Hipotez kurmak

Tehdit avı alarm beklemez, alarm üretmeyen saldırganı arar. Analist ile avcı aynı veriye bakar ama farklı soru sorar.

Analist gelen alarmı inceler ve karar verir: gerçek mi, yanlış pozitif mi? Avcı ise şunu sorar: hangi saldırgan davranışı benim kurallarımın arasından geçer? Sonra o davranışı veride elle arar.

Tespit kuralları yalnız önceden tanımladığın davranışı yakalar. Saldırgan eşiğin altında kalır, meşru bir sistem aracı kullanır ya da hiç izlemediğin bir kayıttan geçer. Av bu boşluğu kapatır.

Her av turu bir soruyla başlar ve bir kararla biter. Soru iyi kurulmazsa av saatlerce sürer ve hiçbir karar üretmez. Bu yüzden avın en önemli adımı sorgu yazmak değil, hipotez yazmaktır.

Av rastgele gezinme değildir, hipotezle başlar. Kötü hipotez şöyle olur: ağda kötü bir şey var mı? Bu soru sınanamaz, çünkü hiçbir veri kaynağı onu kapatmaz. İyi hipotez dardır ve ölçütü bellidir.

Sınanabilir hipotez üç soruya tek cümlede cevap verir: hangi davranış, hangi makineler, hangi kayıt? 'Muhasebe makinelerinde Office altından PowerShell çalışmış olabilir' cümlesinde üçü de bellidir. Davranış Office altından başlayan PowerShell, makineler muhasebe birimi, kayıt da süreç oluşturma olayıdır. Aynı testi kendi hipotezine de uygula.

Cümleyi okuyan biri hangi sorguyu yazacağını anlıyorsa hipotez sınanabilirdir. Anlamıyorsa cümle bir dilek gibi durur, hipotez gibi değil. Aşağıdaki tabloda üç kötü hipotez ve düzeltilmiş hâlleri var.

Kötü hipotez                                   Eksik olan
Sunucularda tuhaf bir şey oluyor olabilir      Davranış, makineler ve kayıt
Bir saldırgan ağda kalıcılık kurmuş olabilir   Hangi yöntem, hangi makineler
VPN'den şüpheli girişler yapılmış olabilir     Şüphelinin ölçüsü ve süre

Düzeltilmiş hâli
1) Son 14 günde dosya sunucularında yeni bir yerel yönetici hesabı açılmış olabilir.
   Kayıt: 4720 (hesap açıldı) ve 4732 (yerel gruba üye eklendi)
2) Son 30 günde iş istasyonlarında kullanıcı dizininden program çalıştıran
   zamanlanmış görev kurulmuş olabilir.
   Kayıt: 4698 (görev oluşturuldu), görev komutunda \Users\ yolu
3) Son 7 günde VPN'e aynı hesapla, bir saat içinde iki farklı ülkeden giriş yapılmış olabilir.
   Kayıt: VPN ağ geçidi oturum günlüğü, kaynak adresin ülke bilgisi

Düzeltilmiş cümlelerin ortak yanı şudur: her biri doğrudan bir sorguya dönüşür. Yine de tek cümle her şeyi taşımaz. Avın hangi sonuçla biteceğini, sorgunun hangi alanlara bakacağını ve avın ne kadar süreceğini de yazman gerekir. Bu yüzden ekipler hipotezi bir şablonla yazar.

Şablonla herkes aynı alanları doldurur, eksik kalan alan da hemen göze çarpar. Aşağıdaki şablon muhasebe hipotezini altı alana döker.

Davranış : Office sürecinin altından PowerShell başlaması
Ortam    : Muhasebe birimindeki 40 iş istasyonu (MUH-PC01..MUH-PC40)
Veri     : Windows 4688 kayıtları, komut satırı alanı açık
İz       : ParentProcessName WINWORD.EXE ya da EXCEL.EXE,
           NewProcessName powershell.exe
Süre     : Son 30 günün verisi, av için 4 saatlik zaman kutusu
Ölçüt    : Açıklanamayan tek bir süreç bulunursa hipotez doğrulanır.
           Hepsi bilinen bir desene oturursa hipotez yanlışlanır ve av kapanır.

Şablonu satır satır oku. Davranış satırı ne aradığını söyler ve niyet değil, kayda düşen bir eylem yazar. 'Saldırgan veri çalmaya hazırlanıyor' cümlesi hiçbir kayıtta görünmez, 'Office altından PowerShell' görünür.

Ortam satırı sorgunun hacmini belirler; kırk makine ile kırk bin makine aynı sorgu değildir. Veri satırı, bakacağın kaydın gerçekten toplanıp toplanmadığını sorgulatır. 4688 olayında komut satırı alanı ayrı bir ilkeyle açılır, açık değilse hipotez daha başta kördür.

İz satırı sorgunun alan adlarını neredeyse hazır verir. Süre satırı iki şey söyler: verinin ne kadar geriye gideceği ve avın ne kadar süreceği. Ölçüt satırı ise avın hangi sonuçla biteceğini baştan yazar.

Av tek bir yöntem değildir. Splunk'ın araştırma ekibinin 2023'te yayımladığı PEAK çerçevesi üç av türü tanımlar. Hipotez güdümlü av, burada kurduğun türdür: bir davranışı öngörür, veride ararsın. Temel çizgi avı (baseline) hipotezsiz başlar.

Bir veri kaynağının olağan hâlini çıkarır, sonra ondan sapan az sayıdaki kaydı incelersin; buna keşifsel veri analizi de denir. Model destekli av (M-ATH) ise bir makine öğrenmesi modeliyle şüpheli kayıtları öne çıkarır, avcı modelin seçtiklerini doğrular. PEAK adı üç evreden gelir: Hazırlık (Prepare), Yürütme (Execute) ve Eylem (Act). Her evreye bilgi (Knowledge) girer: kurumun işleyişi, tehdit istihbaratı ve önceki avların notları.

Daha eski bir çerçeve olan TaHiTI, 2018'de Hollanda ödeme sektörünün ortak çalışmasıyla yayımlandı ve avı tehdit istihbaratına bağladı. Üç evre kullanır: başlat, avla ve bitir. Başlat evresinde bir tetikleyici kısa bir av özetine çevrilir ve av birikim listesine (backlog) yazılır. Avla evresinde özet somut bir soruşturmaya dönüşür, veri alınır ve analiz edilir.

Hipotez sonunda üç sonuçtan birine varır: doğrulandı, yanlışlandı ya da sonuçsuz kaldı. Sonuçsuz kalan av, veri ya da sorgu iyileştirilip yeniden tanımlanır. Bitir evresi bulguları olay müdahalesine, tespit mühendisliğine ve istihbarat ekibine aktarır. İki çerçeve de aynı şeyi söyler: av, yazılı bir girdiyle başlar ve yazılı bir çıktıyla biter.

Hipotezi nereden bulursun? Dört kaynak öne çıkar. Birincisi tehdit istihbaratıdır: sektörüne saldıran grupların raporları, ulusal müdahale merkezlerinin uyarıları ve yıllık tespit raporlarında en sık görülen teknikler.

İkincisi kapsam boşluğudur. Tespit kurallarını ATT&CK tekniklerine eşler, kuralı olmayan hücreleri çıkarırsın. Bu kaynak çoğu zaman en verimlisidir, çünkü boş hücre kör noktanı doğrudan gösterir. Üçüncüsü ortam değişikliğidir: yeni bir VPN ürünü, buluta taşınan bir uygulama ya da yeni açılan bir şube.

Dördüncüsü önceki olaylardır. Kapanan bir olayda kullanılan teknik, ortamın başka bir köşesinde de denenmiş olabilir. Kaynak ne kadar tazeyse sonuç o kadar değerlidir, ama eski teknikleri küçümseme. Saldırganlar işe yarayan yöntemi yıllarca bırakmaz.

Av türünü seçerken elindeki bilgiye bak. Belirli bir davranışı öngörebiliyorsan hipotez güdümlü av en hızlı yoldur. Bir veri kaynağını ilk kez tanıyorsan, olağan hâli bilmeden hipotez kuramazsın; önce temel çizgi avı yaparsın.

Elinde çok büyük ve gürültülü bir veri varsa, model destekli av dikkatini birkaç yüz kayda indirir. Türler birbirini besler. Temel çizgi avında gördüğün tuhaf bir desen, sonraki hipotez güdümlü avın konusu olur.

Şimdi şablondaki hipotezi sına. Altay Kargo'nun muhasebe biriminde kırk iş istasyonu var. Kayıtlar SIEM'de toplanıyor ve 4688 olayında komut satırı alanı açık.

İlk sorguyu Splunk'ta yazarsın. Aynı hipotezi uç nokta tespit aracının sorgu dilinde de kurabilirsin. Microsoft Defender XDR'ın gelişmiş av (advanced hunting) ekranı KQL dilini kullanır ve süreç olaylarını DeviceProcessEvents tablosunda tutar. İki sorgu aynı soruyu sorar: Word ya da Excel hangi makinede PowerShell başlattı ve hangi komut satırıyla?

index=wineventlog EventCode=4688 host=MUH-PC*
    (ParentProcessName="*\\WINWORD.EXE" OR ParentProcessName="*\\EXCEL.EXE")
    NewProcessName="*\\powershell.exe"
| stats count values(CommandLine) as komutlar by host

DeviceProcessEvents
| where Timestamp > ago(30d)
| where InitiatingProcessFileName in~ ("winword.exe", "excel.exe")
| where FileName =~ "powershell.exe"
| summarize adet = count(), komutlar = make_set(ProcessCommandLine) by DeviceName

Splunk sorgusunu satır satır oku. İlk satır veriyi daraltır: yalnız süreç oluşturma olayları ve yalnız muhasebe makineleri. İkinci satır ebeveyn süreci Word ya da Excel olarak süzer; yıldız, yolun geri kalanını serbest bırakır.

Üçüncü satır çocuk süreci PowerShell'e indirir. Son satır sonucu makine başına özetler: kaç kez çalıştı ve hangi komut satırlarıyla? KQL sorgusu aynı mantığı kurar.

in~ ve =~ işleçleri büyük küçük harfe duyarsız karşılaştırır. Bu ayrıntı önemlidir, çünkü süreç adı kayda WINWORD.EXE ya da winword.exe olarak düşebilir. Gelişmiş av ekranı son otuz günün verisini tutar; daha eski bir dönem için SIEM'e dönersin.

host       count  komutlar
MUH-PC07   4      powershell.exe -File C:\Rapor\AySonu.ps1
MUH-PC11   3      powershell.exe -File C:\Rapor\AySonu.ps1
MUH-PC19   2      powershell.exe -File C:\Rapor\AySonu.ps1
MUH-PC04   2      powershell.exe -NoProfile -Command Import-Module EFaturaEklenti
MUH-PC23   1      powershell.exe -nop -w hidden -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoA

Burada kullandığın yönteme yığın sayımı (stacking) denir. Olayları ortak bir alana göre gruplar, sayıları yan yana koyarsın. Sık görülen desen çoğu zaman meşrudur, nadir görülen desen incelenir.

On iki olayın dokuzu aynı ay sonu rapor betiğinden gelir; betiğin yolu, sahibi ve değişiklik kaydı bellidir. İkisi e-fatura eklentisinin modül yüklemesidir ve eklenti muhasebe yazılımıyla birlikte kurulmuştur.

Geriye bir satır kalır: MUH-PC23'te gizli pencerede, profil yüklemeden çalışan kodlanmış bir komut. Bu satır hiçbir bilinen desene oturmaz. Ölçüte göre hipotez doğrulanmıştır ve av artık tek bir makineye, tek bir ana inmiştir. Sonraki adım o süreçten önceki ve sonraki olaylara bakmaktır: hangi belge açıldı, PowerShell hangi adrese bağlandı?

Sorgu boş dönerse ne düşünürsün? İki ihtimal vardır: ya davranış ortamda yoktur ya da sorgu onu göremiyordur. İkisini ayırmak için pozitif kontrol yaparsın.

Davranışın bilinen bir örneğini veriye yerleştirir, sorgunun onu bulup bulmadığına bakarsın. Bunun için kendi lab ortamında ya da yazılı iznin olan bir test makinesinde Atomic Red Team'in ilgili testini çalıştırabilirsin. Hiç çalıştırmadan, OTRF'nin Security-Datasets deposundaki hazır olay kayıtlarını SIEM'e yüklemek de aynı işi görür.

Sorgu bu örneği bulmuyorsa sorun ortamda değil, sorgudadır: alan adı yanlıştır, dizin eksiktir ya da komut satırı kaydı kapalıdır. Kontrolü avın başında yap. Dört saatin sonunda sorgunun baştan kör olduğunu öğrenmek en pahalı hatadır.

Avı yazmadıysan yapmamış sayılırsın. Her av için bir av defteri girişi aç. OTRF'nin ThreatHunter-Playbook projesi bu yapının açık bir örneğidir: her defterde hipotez, teknik bağlam, veri seti, analitik sorgular ve av çıktısı aynı sayfada durur. Senin girişin de benzer başlıklar taşısın: hipotez, veri, pozitif kontrol, sorgular, bulgular, karar ve çıktı.

Sorguları çalıştığı hâliyle kopyala; altı ay sonra aynı avı tekrarlarken yeniden yazmak zorunda kalmazsın. Bulgular bölümüne meşru desenleri de yaz. Rapor betiğinin ürettiği satırları belgelersen, bir sonraki avda aynı desen saniyeler içinde elenir. Avın hızı, biriken bu bilinen desen listesinden gelir.

AV-2026-014  Office altından PowerShell
Hipotez  : Muhasebe makinelerinde Office altından PowerShell çalışmış olabilir.
Veri     : 4688 (komut satırı açık), son 30 gün, 40 makine
Kontrol  : Test makinesindeki bilinen örnek bulundu, pozitif kontrol geçti
Sorgular : Splunk S-1, KQL K-1 (ekte, çalıştığı hâliyle)
Bulgular : 12 olay. 9 ay sonu rapor betiği, 2 e-fatura eklentisi, 1 açıklanamayan
Karar    : Hipotez doğrulandı. MUH-PC23 için OLAY-2026-051 açıldı
Çıktı    : Yeni kural TK-118 (Office ebeveyni + PowerShell + kodlanmış komut)
           Bilinen desen listesine 2 satır eklendi
Süre     : 3 saat 20 dakika

Avın süresini baştan sınırla. Dört saat iyi bir kutudur. Kutuyu bölerek kullan: ilk saat veriyi tanımaya, ikinci saat sorguyu keskinleştirmeye, üçüncü saat elemeye ayrılır, son saat yazmaya kalır. Süre dolduğunda ya bulgu vardır ya hipotez yanlışlanmıştır ya da av sonuçsuz kalmıştır; sonuçsuzsa nedenini yazarsın.

Sınırsız av, avcıyı veri içinde kaybeder. Hipotezi başlamadan önce ekiple de paylaş. Başka bir analist ortamın bilmediğin bir ayrıntısını söyleyebilir; beş dakikalık konuşma üç saatlik yanlış yönde aramayı önler. Av tek kişilik iş gibi görünür, ama hazırlığı ortak yapılır.

Sahada dört hata sık görülür. Birincisi süresi sınırsız avdır. İkincisi kapsamsız sorgudur: bütün kurumda, bütün zamanlarda arayan sorgu ya zaman aşımına düşer ya da binlerce satırla avcıyı boğar.

Dar kapsamla başlayıp sonuç aldıkça genişletmek daha hızlı ilerler. Üçüncüsü boş sonucu yazmamaktır.

Dördüncüsü veri kaynağının akmadığını fark etmemektir. Bunlara bir alışkanlık eksikliği de eklenir: avın çıktısını kurala çevirmemek. Elle bulduğun davranış bir daha elle aranmamalı. Kural üretmeyen av, her çeyrek aynı emeği yeniden ister.