Red Teaming Nedir? Gerçek Bir Siber Saldırıyı Simüle Etmek

Bir kurumun güvenlik duvarının olması, EDR kullanması, SOC tarafından 7/24 izlenmesi ve düzenli sızma testleri yaptırması önemli güvenlik katmanlarıdır.

Ancak bütün bunların cevaplayamadığı kritik bir soru vardır:

Gerçek bir saldırgan kurumunuzu hedef alsaydı ne kadar ilerleyebilirdi?

İşte Red Teaming tam olarak bu sorunun peşinden gider.

Red Team operasyonunda amaç yalnızca bir güvenlik açığı bulmak değildir. Amaç; gerçek bir tehdit aktörünün kullanabileceği yöntemleri kontrollü biçimde simüle ederek kurumun insan, süreç ve teknoloji bileşenlerinin birlikte ne kadar dayanıklı olduğunu ölçmektir.

Bir Red Team uzmanı dışarıdan bakıldığında kurum hakkında hangi bilgilerin elde edilebildiğini araştırabilir, çalışanları ve kullanılan teknolojileri analiz edebilir, saldırı yüzeyini belirleyebilir ve yetkilendirilmiş kapsam içerisinde gerçek saldırgan davranışlarını simüle edebilir.

Bu nedenle Red Teaming, klasik bir zafiyet taramasından veya standart bir sızma testinden daha farklı bir bakış açısına sahiptir.

Red Team şu soruyu sormaz:

“Sisteminizde açık var mı?”

Daha kritik bir soru sorar:

“Bu kuruma gerçekten saldırmak isteseydik hedefimize ulaşabilir miydik?”

Red Teaming Nedir?

Red Teaming; bir kurumun siber güvenlik savunmasını gerçek dünyadaki saldırganların taktik, teknik ve prosedürlerini (TTP – Tactics, Techniques and Procedures) kullanarak test eden kontrollü saldırı simülasyonudur.

Operasyonun hedefi yalnızca teknik zafiyetleri tespit etmek değildir.

Red Team çalışmaları aynı zamanda;

• güvenlik teknolojilerinin saldırıyı algılayıp algılayamadığını,
• SOC ekibinin anormal davranışları fark edip edemediğini,
• çalışanların sosyal mühendislik saldırılarına karşı dayanıklılığını,
• Active Directory güvenliğini,
• kimlik ve erişim yönetimini,
• ağ segmentasyonunu,
• olay müdahale süreçlerini,
• güvenlik politikalarının gerçek hayattaki etkinliğini

değerlendirmeyi amaçlar.

Bu nedenle başarılı bir Red Team operasyonunun sonunda yalnızca bir “açıklar listesi” ortaya çıkmaz.

Kurumun gerçek bir saldırıya karşı ne kadar dayanıklı olduğunu gösteren bir saldırı hikâyesi ortaya çıkar.

Bir Sabah Gelen Sıradan E-Posta

Bir senaryo üzerinden ilerleyelim.

Finans sektöründe faaliyet gösteren hayali bir şirket düşünelim:

ABC Finans A.Ş.

Yaklaşık 1.500 çalışanı bulunuyor.

Kurum;

• yeni nesil firewall,
• EDR,
• e-posta güvenlik çözümü,
• SIEM,
• MFA,
• merkezi Active Directory

gibi birçok güvenlik teknolojisini aktif olarak kullanıyor.

Ayrıca düzenli olarak sızma testleri gerçekleştiriliyor.

Yönetimin düşüncesi oldukça doğal:

“Güvenlik yatırımlarımız güçlü.”

Peki gerçekten öyle mi?

ABC Finans yönetimi bunu görmek amacıyla kontrollü bir Red Team operasyonuna izin veriyor.

Red Team ekibine ise oldukça basit bir hedef veriliyor:

Kurumun kritik finans sistemlerinden birine yetkisiz erişim sağlayabilecek seviyeye ulaşılabilir mi?

Red Team operasyonu başlıyor.

Fakat saldırı firewall üzerinde başlamıyor.

Web uygulamasında da başlamıyor.

İlk adım çok daha basit:

İnternet.

1. Aşama: Saldırgan Kurumunuzu Tanımaya Başlıyor

Gerçek saldırganların önemli bir bölümü saldırıya başlamadan önce hedefini araştırır.

Bu süreç Reconnaissance – Keşif olarak adlandırılır.

Red Team ekibi de aynı yaklaşımı kullanır.

Henüz kurumun sistemlerine herhangi bir saldırı gerçekleştirilmeden açık kaynaklardan bilgi toplanmaya başlanır.

Örneğin;

• şirket web sitesi,
• sosyal medya hesapları,
• LinkedIn çalışan profilleri,
• iş ilanları,
• GitHub depoları,
• DNS kayıtları,
• subdomain yapıları,
• kullanılan e-posta formatları,
• teknoloji sağlayıcıları,
• eski veri sızıntıları,
• internete açık sistemler

incelenebilir.

Bir iş ilanında şu ifadelerin bulunduğunu düşünelim:

“Microsoft 365, Fortinet, VMware ve Active Directory konusunda deneyimli sistem uzmanı arıyoruz.”

Bu ilan bir insan kaynakları duyurusu gibi görünür.

Fakat saldırgan açısından başka anlamlar taşır.

Artık saldırgan kurumun altyapısında hangi teknolojilerin bulunabileceğine ilişkin bazı ipuçlarına sahiptir.

Başka bir çalışanın LinkedIn profilinde ise şöyle yazabilir:

“Microsoft 365 Migration Project – ABC Finans.”

Bir başka çalışan GitHub üzerinde şirket e-posta adresini kullanmış olabilir.

Bütün bu küçük bilgiler bir araya getirildiğinde saldırganın önünde kurumun dijital yapısına ilişkin giderek büyüyen bir resim oluşur.

Bu nedenle Red Team operasyonlarında ilk önemli ders şudur:

Saldırı yüzeyi yalnızca IP adreslerinden oluşmaz.

İnsanlar, sosyal medya hesapları, iş ilanları, alan adları ve internete bırakılmış dijital izler de saldırı yüzeyinin bir parçasıdır.

2. Aşama: Hedef Seçiliyor

Red Team ekibi topladığı bilgileri analiz eder.

Amaç rastgele bir çalışana saldırmak değildir.

Operasyonun hedeflerine ulaşmak açısından anlamlı olabilecek kullanıcı profilleri belirlenir.

Örneğin;

• finans çalışanları,
• insan kaynakları,
• sistem yöneticileri,
• IT destek ekipleri,
• satın alma personeli,
• üst düzey yöneticiler

daha yüksek öneme sahip olabilir.

Burada kritik nokta şudur:

Gerçek saldırganlar çoğu zaman en zayıf sistemi değil, hedeflerine ulaşmalarını sağlayacak en uygun yolu ararlar.

Bazen bu yol internete açık bir sunucudur.

Bazen unutulmuş bir VPN hesabıdır.

Bazen eski bir parola olabilir.

Bazen de yalnızca tek bir çalışan.

3. Aşama: İlk Erişim

Saat 09:02.

ABC Finans çalışanlarından birinin gelen kutusuna oldukça normal görünen bir e-posta ulaşıyor.

Kullanıcının günlük iş akışına uygun hazırlanmış bir içerik.

İlk bakışta şüpheli görünmüyor.

Kullanıcı bağlantıya tıklıyor.

İşte Red Team operasyonunun kritik aşamalarından biri burada başlıyor:

Initial Access – İlk Erişim.

Gerçek saldırılarda ilk erişim birçok farklı yöntemle gerçekleştirilebilir.

Örneğin;

• sosyal mühendislik,
• phishing,
• internete açık uygulama zafiyetleri,
• ele geçirilmiş kullanıcı hesapları,
• yanlış yapılandırılmış uzak erişim servisleri,
• üçüncü taraf sistemleri

saldırganların ilk giriş noktası olabilir.

Red Team operasyonlarında hangi tekniklerin kullanılabileceği operasyon başlamadan önce belirlenen Rules of Engagement (RoE) kapsamında açıkça tanımlanmalıdır.

Amaç kuruma zarar vermek değildir.

Amaç savunma mekanizmalarının gerçek saldırgan davranışlarına nasıl tepki verdiğini ölçmektir.

4. Aşama: Bir Kullanıcı Hesabı Ele Geçirilirse Ne Olur?

Birçok kurumun güvenlik stratejisi saldırganın dışarıda tutulması üzerine kuruludur.

Ancak modern saldırı senaryolarında farklı bir varsayım önem kazanmıştır:

Assume Breach – İhlalin gerçekleşmiş olabileceğini varsay.

Yani şu soru sorulur:

Bir saldırgan bir kullanıcı hesabını veya uç noktayı ele geçirirse onu durdurabilecek miyiz?

Red Teaming'in en önemli faydalarından biri tam olarak burada ortaya çıkar.

Bir kullanıcı hesabının ele geçirilmesi operasyonun sonu değildir.

Asıl test bundan sonra başlar.

Red Team kontrollü kapsam içerisinde;

• kullanıcının erişim haklarını,
• ağ üzerindeki görünürlüğünü,
• erişebildiği servisleri,
• Active Directory yapısını,
• yanlış yapılandırmaları,
• kimlik doğrulama mekanizmalarını

değerlendirebilir.

Amaç saldırganın ilk erişim noktasından kritik varlıklara doğru ilerleyip ilerleyemediğini anlamaktır.

5. Aşama: Active Directory Sahneye Çıkıyor

Kurumsal Windows ortamlarının merkezinde çoğu zaman Active Directory bulunur.

Kullanıcılar, bilgisayarlar, sunucular, gruplar ve yetkiler bu yapı içerisinde birbirleriyle ilişkilidir.

Bu nedenle Active Directory, Red Team operasyonlarında en kritik hedeflerden biridir.

Saldırgan açısından önemli olan yalnızca bir kullanıcı parolasına sahip olmak değildir.

Önemli olan şu sorudur:

Bu kullanıcı bizi nereye götürebilir?

Örneğin düşük yetkili bir kullanıcının doğrudan Domain Admin yetkisi olmayabilir.

Fakat farklı yetkilendirme hataları ve yapılandırmalar nedeniyle saldırı yolu şu şekilde oluşabilir:

Standart Kullanıcı

↓

Yerel Yönetici

↓

Sunucu Erişimi

↓

Servis Hesabı

↓

Yüksek Yetkili Hesap

↓

Kritik Sistem

İşte Red Teaming'in klasik zafiyet taramasından ayrıldığı önemli noktalardan biri budur.

Tek tek bakıldığında kritik görünmeyen güvenlik problemleri, birbirine bağlandığında ciddi bir saldırı zinciri oluşturabilir.

Red Team Bir Açık Aramaz, Bir Yol Arar

Bu yaklaşımı anlamak Red Teaming'i anlamanın en kolay yollarından biridir.

Standart bir güvenlik değerlendirmesinde şu bulgular bulunabilir:

Bulgu 1: Eski yazılım sürümü.

Bulgu 2: Zayıf parola politikası.

Bulgu 3: Gereğinden fazla kullanıcı yetkisi.

Bulgu 4: Ağ segmentasyonu eksikliği.

Bulgu 5: Servis hesabı yapılandırma problemi.

Bu bulgular ayrı ayrı raporlandığında orta seviyeli riskler olarak değerlendirilebilir.

Fakat Red Team şunu araştırır:

Bu beş problemi birbirine bağlayabilir miyiz?

Eğer cevap evet ise ortaya çok daha ciddi bir risk çıkabilir.

Örneğin:

İlk erişim → Kullanıcı hesabı → Yanlış yetkilendirme → Sunucu → Servis hesabı → Yetki yükseltme → Kritik sistem

Bu artık beş farklı güvenlik problemi değildir.

Bu bir Attack Path – Saldırı Yoludur.

Red Teaming ile Pentest Arasındaki Fark Nedir?

Red Teaming ve sızma testi birbirine yakın kavramlar olsa da aynı çalışma değildir.

Sızma testlerinde genellikle belirli bir kapsam bulunur.

Örneğin;

• web uygulaması,
• mobil uygulama,
• API,
• iç ağ,
• dış ağ,
• Active Directory

test edilir.

Amaç ilgili sistemlerde bulunan güvenlik açıklarını tespit etmektir.

Red Teaming ise çoğunlukla hedef odaklıdır.

Örneğin hedef şu olabilir:

“Kritik finans sistemine erişim sağlanabilir mi?”

Red Team bu hedefe ulaşmak için yetkilendirilmiş kapsam dahilinde farklı saldırı yüzeylerini birlikte değerlendirebilir.

Web uygulaması tek başına hedef değildir.

Çalışan tek başına hedef değildir.

Active Directory tek başına hedef değildir.

Bunların tamamı saldırı zincirinin parçaları olabilir.

Bu nedenle Red Team operasyonlarında temel soru:

“Kaç açık bulduk?”

değil;

“Hedefe ulaşabildik mi ve savunma mekanizmaları bizi hangi aşamada tespit etti?”

sorusudur.

Red Teaming'in Asıl Test Ettiği Şey: Savunma

Red Team operasyonunun başarısı yalnızca Red Team'in hedefe ulaşıp ulaşmadığıyla ölçülmemelidir.

Asıl önemli konulardan biri kurumun saldırıyı ne kadar erken fark ettiğidir.

Örneğin saldırı zinciri sırasında;

EDR alarm üretti mi?

SIEM anlamlı korelasyon oluşturdu mu?

SOC analisti alarmı fark etti mi?

Olay doğru önceliklendirildi mi?

Kullanıcı hesabı zamanında devre dışı bırakıldı mı?

İlgili endpoint izole edildi mi?

Incident Response süreci başladı mı?

Saldırganın diğer sistemlere ilerlemesi engellendi mi?

Bu sorular Red Team operasyonunu doğrudan Blue Team ile ilişkilendirir.

Red Team saldırıyı simüle eder.

Blue Team savunmayı gerçekleştirir.

İki tarafın birlikte çalışması ise organizasyonun güvenlik olgunluğunu artırır.

Bu noktada Purple Team yaklaşımı ortaya çıkar.

Purple Team ayrı bir takım olmak zorunda değildir.

Temel amacı Red Team'in saldırı bilgisini Blue Team'in savunma bilgisiyle birleştirmektir.

MITRE ATT&CK Red Team Operasyonlarında Neden Önemlidir?

Modern Red Team operasyonlarında saldırgan davranışlarını sınıflandırmak için en yaygın kullanılan yapılardan biri MITRE ATT&CK çerçevesidir.

MITRE ATT&CK gerçek dünyada gözlemlenen saldırgan davranışlarını taktik ve teknikler altında sınıflandırır.

Örneğin saldırı yaşam döngüsünde;

• Reconnaissance,
• Resource Development,
• Initial Access,
• Execution,
• Persistence,
• Privilege Escalation,
• Defense Evasion,
• Credential Access,
• Discovery,
• Lateral Movement,
• Collection,
• Command and Control,
• Exfiltration,
• Impact

gibi farklı aşamalar bulunabilir.

Bu yapı Red Team operasyonunun daha sistematik değerlendirilmesini sağlar.

Örneğin raporda yalnızca;

“Kullanıcı hesabına erişildi.”

demek yerine ilgili saldırı davranışının hangi MITRE ATT&CK tekniğiyle ilişkili olduğu gösterilebilir.

Bu yaklaşım Blue Team ve SOC ekipleri açısından da son derece değerlidir.

Çünkü kurum hangi saldırgan davranışlarını tespit edebildiğini ve hangilerinde görünürlüğünün zayıf olduğunu daha net görebilir.

Tehdit İstihbaratı Red Teaming'i Nasıl Değiştirir?

Burada serimizin ikinci ana konusu devreye giriyor:

Cyber Threat Intelligence – Siber Tehdit İstihbaratı.

Her kurum aynı saldırganların hedefinde değildir.

Bir banka ile üretim şirketinin tehdit profili aynı olmayabilir.

Bir savunma sanayi şirketi ile e-ticaret firmasının karşılaşabileceği tehdit aktörleri ve saldırı yöntemleri de farklı olabilir.

Bu nedenle gelişmiş Red Team operasyonları yalnızca genel saldırı tekniklerinden oluşmamalıdır.

Operasyon gerçek tehdit istihbaratıyla beslenebilir.

Örneğin kurumun faaliyet gösterdiği sektörü hedefleyen tehdit aktörlerinin;

• kullandığı saldırı yöntemleri,
• tercih ettiği ilk erişim teknikleri,
• kullandığı zararlı yazılım aileleri,
• hedeflediği sistemler,
• bilinen altyapıları,
• TTP'leri

incelenebilir.

Ardından Red Team senaryosu bu bilgiler doğrultusunda şekillendirilebilir.

Bu yaklaşımın temel sorusu şudur:

“Herhangi bir saldırgana karşı hazır mıyız?”

yerine;

“Bizi gerçekten hedefleyebilecek saldırganlara karşı hazır mıyız?”

Red Team Operasyonunda Başarı Nasıl Ölçülür?

Başarılı bir Red Team operasyonunun sonucu yalnızca “sisteme girdik” veya “giremedik” şeklinde değerlendirilmemelidir.

Çok daha değerli metrikler bulunmaktadır.

Örneğin:

Time to Detect – Tespit Süresi

Saldırgan davranışı ne kadar sürede fark edildi?

Time to Respond – Müdahale Süresi

Alarm sonrasında güvenlik ekibi ne kadar sürede müdahale etti?

Attack Path

Saldırgan hangi sistemlerden geçerek ilerleyebildi?

Detection Coverage

Hangi saldırı teknikleri güvenlik sistemleri tarafından tespit edildi?

Security Control Effectiveness

Firewall, EDR, SIEM, MFA ve diğer kontroller beklenen şekilde çalıştı mı?

Human Resilience

Çalışanlar sosyal mühendislik girişimlerini fark edebildi mi?

Bu ölçümler kurumun gerçek güvenlik olgunluğu hakkında çok daha anlamlı sonuçlar üretir.

Red Teaming Kimler İçin Gereklidir?

Her kurumun doğrudan kapsamlı Red Team operasyonuyla başlaması gerekmez.

Temel güvenlik kontrolleri henüz oturmamış bir kurum açısından öncelik;

• zafiyet yönetimi,
• düzenli sızma testleri,
• güvenli yapılandırma,
• log yönetimi,
• EDR,
• SIEM,
• IAM,
• yedekleme,
• olay müdahale süreçleri

gibi temel kabiliyetlerin geliştirilmesi olabilir.

Ancak güvenlik olgunluğu belirli seviyeye ulaşmış kurumlarda Red Teaming son derece değerli hale gelir.

Özellikle;

finans kuruluşları, holdingler, enerji şirketleri, savunma sanayi kuruluşları, telekomünikasyon şirketleri, kritik altyapılar, büyük üretim kuruluşları ve yüksek değerli veri işleyen organizasyonlar

için gerçek saldırgan davranışlarının kontrollü şekilde test edilmesi önemli bir güvenlik doğrulama yöntemidir.

Red Team Operasyonu Kuruma Zarar Verir mi?

Profesyonel bir Red Team operasyonunun en önemli bileşenlerinden biri kontrollü yürütülmesidir.

Operasyon başlamadan önce kapsam ve sınırlar açık biçimde belirlenmelidir.

Bu süreç Rules of Engagement – Angajman Kuralları içerisinde tanımlanır.

Örneğin;

hangi sistemlerin kapsamda olduğu,

hangi sistemlere kesinlikle dokunulmayacağı,

sosyal mühendisliğin kullanılıp kullanılamayacağı,

çalışanlara yönelik senaryoların sınırları,

hangi saatlerde operasyon gerçekleştirilebileceği,

veri erişiminin hangi noktada durdurulacağı,

kritik bir durum oluştuğunda operasyonun nasıl sonlandırılacağı

önceden belirlenir.

Red Teaming'in amacı sistemi bozmak değildir.

Kontrollü şekilde sistemin ne kadar bozulabileceğini göstermektir.

Bu ayrım son derece önemlidir.

Yönetim İçin Red Team Raporu Nasıl Olmalıdır?

Red Team raporu yüzlerce teknik bulgudan oluşan bir doküman olmamalıdır.

Üst yönetimin görmek istediği temel konu şudur:

“Gerçek bir saldırgan bizi hedefleseydi ne olurdu?”

Bu nedenle iyi hazırlanmış bir Red Team raporu saldırıyı bir hikâye şeklinde anlatmalıdır.

Örneğin:

09:02 – Hedef kullanıcıya saldırı senaryosu başladı

↓

09:08 – İlk erişim elde edildi

↓

09:17 – Kurum içi keşif başladı

↓

09:31 – Active Directory yapısı analiz edildi

↓

09:42 – Yetki yükseltme yolu belirlendi

↓

10:04 – Kritik sunucuya erişim sağlandı

↓

10:18 – Operasyon hedefi gerçekleştirildi

Böyle bir zaman çizelgesi yönetim açısından çok daha anlaşılırdır.

Çünkü teknik açıkların ötesinde saldırının kuruma olan gerçek etkisini gösterir.

Güvenlik Ürünlerine Sahip Olmak ile Güvenli Olmak Aynı Şey Değildir

Kurumlar bugün çok sayıda siber güvenlik teknolojisine yatırım yapıyor.

Firewall.

EDR.

XDR.

SIEM.

SOAR.

DLP.

PAM.

NAC.

MFA.

WAF.

Fakat güvenlik teknolojilerinin satın alınmış olması saldırının durdurulacağı anlamına gelmez.

Asıl önemli olan bu teknolojilerin birlikte ne kadar etkili çalıştığıdır.

Red Teaming tam olarak bunu test eder.

Firewall saldırıyı gördü mü?

EDR davranışı algıladı mı?

SIEM olayları ilişkilendirdi mi?

SOC doğru alarmı seçti mi?

MFA saldırı zincirini durdurdu mu?

PAM kritik hesabı korudu mu?

Ağ segmentasyonu lateral movement'ı engelledi mi?

Red Team operasyonunun sonunda kurum yalnızca zafiyetlerini değil, yaptığı güvenlik yatırımlarının gerçek etkinliğini de görür.

Sonuç: Gerçek Saldırgan Gelmeden Önce Kendinizi Test Edin

Siber güvenlikte en tehlikeli varsayımlardan biri şudur:

“Sistemlerimiz güvenli.”

Çünkü gerçek saldırganlar güvenlik kontrol listelerine göre hareket etmez.

Onlar bir yol arar.

Bir çalışan.

Bir kullanıcı hesabı.

Yanlış yapılandırılmış bir servis.

Unutulmuş bir subdomain.

Gereğinden fazla verilmiş bir yetki.

Eski bir parola.

Tek başına önemsiz görünen bu parçalar birleştiğinde saldırganı kritik sistemlere kadar götüren bir yol ortaya çıkabilir.

Red Teaming bu yolu saldırgandan önce bulmaya çalışır.

Ama hikâyemizin henüz başındayız.

Çünkü ABC Finans senaryosunda saldırgan yalnızca ilk adımlarını attı.

Önümüzde çok daha önemli bir soru bulunuyor:

Red Team saldırıyorsa, onu kim savunacak?

Bir sonraki bölümde Red Team, Blue Team ve Purple Team'in rollerini inceleyecek; modern bir kurumda saldırı ve savunma ekiplerinin birbirleriyle nasıl çalışması gerektiğini ele alacağız.