MITRE ATT&CK ile avlanmak

ATT&CK, MITRE'nin gerçek saldırılarda gözlenen davranışlardan derlediği açık bir bilgi tabanıdır. Saldırgan davranışını taktik ve teknik olarak sınıflar, her tekniğe bir kimlik verir.

Neden ortak sözlük gerekir? Çünkü aynı davranış her ekipte başka adla anılır. Biri arka kapı der, öteki kalıcılık, üçüncüsü hizmet kurulumu. Aynı olayı üç farklı kelimeyle anlatan üç rapor karşılaştırılamaz.

Teknik kimliğini yazdığın anda tartışma tanımdan çıkar, bulguya iner. Avcı için ATT&CK üç iş görür: olay adımlarını ortak dille anlatır, kuralların neyi kapsadığını gösterir ve boş kalan yerleri av listesine çevirir. Matris genellikle nisan ve ekim aylarında güncellenir. Güncel ana sürüm, 28 Nisan 2026'da yayımlanan v19'dur.

ATT&CK iki katmanlıdır. Taktik, saldırganın o anki amacıdır: içeri girmek, kalıcı olmak, yetki yükseltmek. Teknik ise o amaca ulaşma yöntemidir.

Kalıcılık bir taktiktir; yeni hizmet kurmak, zamanlanmış görev yazmak ve kayıt defterine başlangıç girişi eklemek bu taktiğin üç ayrı tekniğidir. Saldırgan yöntemi değiştirir, niyeti değişmez. Alt teknik ayrıntıyı taşır.

T1053.005 kimliğinde noktadan önceki kısım tekniği (zamanlanmış görev ve iş), sonraki kısım belirli bir uygulamayı (Windows Görev Zamanlayıcı) gösterir. Bazı teknikler birden çok taktiğe hizmet eder. T1053.005 v19'da üç taktikte durur: yürütme, kalıcılık ve yetki yükseltme. Enterprise matrisinde bugün 15 taktik, 222 teknik ve 475 alt teknik var.

TA0043  Ön keşif                 Reconnaissance
TA0042  Kaynak geliştirme       Resource Development
TA0001  İlk erişim              Initial Access
TA0002  Yürütme                 Execution
TA0003  Kalıcılık               Persistence
TA0004  Yetki yükseltme         Privilege Escalation
TA0005  Gizlenme                Stealth              (v19'da yeni adı)
TA0112  Savunmayı bozma         Defense Impairment   (v19'da yeni)
TA0006  Kimlik bilgisi erişimi  Credential Access
TA0007  Keşif                   Discovery
TA0008  Yanal hareket           Lateral Movement
TA0009  Toplama                 Collection
TA0011  Komuta ve kontrol       Command and Control
TA0010  Sızdırma                Exfiltration
TA0040  Etki                    Impact

Sıralama bir saldırının kabaca akışını izler: hazırlık, giriş, yerleşme, ilerleme ve sonuç. Yine de sıra katı değildir. Saldırgan keşfe birkaç kez döner, komuta ve kontrol baştan sona sürer. v19'un en büyük değişikliği eski Savunmadan Kaçınma (Defense Evasion) taktiğini ikiye bölmesidir.

TA0005 kimliği Gizlenme (Stealth) adıyla kaldı: saldırganın eylemlerini saklaması ve olağan davranış gibi görünmesi. Yeni TA0112 Savunmayı Bozma (Defense Impairment) ise güvenlik araçlarını, kayıt hatlarını ve denetimleri bozmayı toplar. Güvenlik aracını kapatmak ya da olay günlüğünü temizlemek artık bu taktiğin tekniklerindendir. Eski bir raporda ya da kuralda Defense Evasion etiketi görürsen, tekniğin bugün hangi tarafa düştüğünü kontrol et.

Bir adımı taktiğe bağlarken saldırganın niyetine bak, komutun adına değil. 'net group' komutu teknik olarak bir sorgudur, ama niyeti keşiftir: saldırgan ortamda kim olduğunu öğrenmeye çalışır. Aynı mantığı her adımda uygula.

Adım veri mi topluyor, kalıcı mı oluyor, yetki mi yükseltiyor, yoksa veri mi taşıyor? Bu dört soru çoğu adımı doğru kovaya yerleştirir. Bazı adımlar birden çok taktiğe hizmet edebilir; öyleyse asıl amacı, yani adımın olay zincirinde hangi işi çözdüğünü seç. Şüphede kaldığında adımı sona bırak, geri kalanları yerleştirdikten sonra tekrar bak.

ATT&CK yalnız taktik ve teknikten oluşmaz. Model yukarıdan aşağı iner: en üstte amacı anlatan taktik, altında yöntemi anlatan teknik ve alt teknik, en altta prosedür durur. Prosedür, belirli bir grubun o tekniği gerçekte nasıl uyguladığıdır.

'APT29 zararlı betikleri mshta ile çalıştırdı' cümlesi bir prosedür örneğidir. Grup, kampanya ve yazılım nesneleri tehdit bilgisini taşır: kim, hangi operasyonda, hangi araçla. Azaltım (Mitigation) nesnesi M ile başlayan bir kimlik taşır ve tekniği önleyen yapılandırmayı anlatır.

Ekim 2025'teki v18'den bu yana savunma tarafı üç nesneyle anlatılır. Tespit stratejisi (DET) bir tekniği nasıl yakalayacağını tarif eder. Analitik (AN) bu stratejinin belirli bir platformdaki uygulamasıdır. Veri bileşeni (DC) ise analitiğin beslendiği kayıt türüdür: süreç oluşturma ya da zamanlanmış görev oluşturma gibi.

Bu değişiklik avcının işini kolaylaştırdı. Eskiden teknik sayfasının tespit bölümü düz metinle öneri verirdi, veri kaynakları da kaba başlıklardı. v18, tekniklerdeki tespit bölümünü tespit stratejileriyle değiştirdi ve eski veri kaynağı (Data Source) nesnesini kullanımdan kaldırdı. Artık bir tekniğin sayfasından tespit stratejisine, oradan analitiğe, oradan da hangi olay numarasına bakacağına zincirle inersin.

Analitik ayrıca ayarlanabilir alanları (mutable elements) listeler: zaman penceresi, kullanıcı bağlamı ya da görev adı deseni gibi. Bunlar senin ortamına göre değiştireceğin eşiklerdir. Aynı analitik bir kurumda sessiz kalır, başka bir kurumda gürültü üretir; farkı bu alanlar yaratır.

T1053.005  Scheduled Task/Job: Scheduled Task
  └─ DET0441  Detection of Suspicious Scheduled Task Creation and Execution on Windows
       └─ AN1221  (Windows)
            DC0001  Scheduled Job Creation              WinEventLog:Security  EventCode=4698
            DC0012  Scheduled Job Modification          WinEventLog:Security  EventCode=4702
            DC0032  Process Creation                    WinEventLog:Sysmon    EventCode=1
            DC0039  File Creation                       WinEventLog:Sysmon    EventCode=11
            DC0063  Windows Registry Key Modification   WinEventLog:Sysmon    EventCode=13, 14
            Ayarlanabilir: TimeWindow, UserContext, TaskNamePattern, CommandLineEntropyThreshold

Zinciri yukarıdan aşağı oku. En üstte teknik durur. DET0441 bu tekniği yakalamanın yolunu tarif eder: görevin oluşturulması ya da değiştirilmesi, ardından görevin çalışması. AN1221 bu yolu Windows'a indirir.

Altındaki satırlar hangi kaydın gerektiğini söyler; her satırda veri bileşeni, günlük adı ve olay numarası yan yana durur. Güvenlik günlüğünde 4698 görev oluşturmayı, 4702 görev değişikliğini yazar. Sysmon'un 1 numaralı olayı süreç oluşturmayı, 11 numaralı olayı dosya oluşturmayı, 13 ve 14 numaralı olayları kayıt defteri değişikliklerini kaydeder.

Zincir sana bir kontrol listesi verir: bu beş kaydın hangisini topluyorsun? Toplamadığın her satır, o analitiğin senin ortamında kör kaldığı yerdir.

Raporu ATT&CK diliyle yazarken teknik kimliğinin yanına sürümü de ekle. 'T1218, Stealth, ATT&CK v19' satırı altı ay sonra da aynı anlamı taşır. Sürümsüz bir eşleme ise matris değiştiğinde sessizce eskir. Kimlik okuyana da yol gösterir: raporu okuyan kişi teknik sayfasından prosedür örneklerine ve tespit stratejisine kendisi ulaşır.

Her olay kapanışında adımları tekniklere eşle. Zamanla hangi tekniklerin ortamında gerçekten görüldüğünü bilirsin. Bu liste, kural önceliklerini belirlemenin en sağlam ölçüsüdür.

ATT&CK'in ikinci büyük faydası kapsam haritasıdır. Tespit kurallarını tekniklere eşler, sonucu ATT&CK Navigator'da bir katman (layer) olarak görürsün. Navigator matrisi tarayıcıda açan ücretsiz bir araçtır. Katman ise JSON biçiminde bir dosyadır ve her teknik için bir puan, bir yorum ve isteğe bağlı üst veri taşır.

Renk puandan gelir. Kural yazılmış tekniği yeşile, kuralı olmayanı kırmızıya boyamak kolaydır. Asıl değer rengin altındadır: hücreye kuralın kimliğini ve son doğrulama tarihini yaz. Renk bir iddiadır, kural kimliği ve tarih ise kanıttır.

{
  "name": "SOC kapsam: Kalıcılık",
  "versions": { "attack": "19", "layer": "4.5" },
  "domain": "enterprise-attack",
  "techniques": [
    { "techniqueID": "T1543.003", "score": 2, "comment": "TK-041: 7045 + Public dizini",
      "metadata": [{ "name": "doğrulama", "value": "2026-09-12" }] },
    { "techniqueID": "T1136.001", "score": 2, "comment": "TK-022: 4720",
      "metadata": [{ "name": "doğrulama", "value": "2026-08-30" }] },
    { "techniqueID": "T1053.005", "score": 0, "comment": "kural yok" },
    { "techniqueID": "T1547.001", "score": 0, "comment": "kural yok" }
  ],
  "gradient": { "colors": ["#e8604c", "#f5d76e", "#6fbf73"], "minValue": 0, "maxValue": 2 }
}

Katmanı satır satır oku. versions alanı katmanın hangi ATT&CK sürümüne göre yazıldığını söyler; sürüm değişince taktik eşlemeleri kayabilir. techniques dizisindeki her nesne bir alt tekniktir.

Kapsamı alt teknik düzeyinde tut. Hizmet kurulumunu yakalayan kural, Çalıştır (Run) anahtarına eklenen girişi göremez; üst teknik düzeyindeki tek bir yeşil hücre bu farkı gizler. score alanı gradyandaki rengi seçer.

comment alanına kural kimliğini, metadata alanına son doğrulama tarihini yazarsın. İki satır sıfır puan taşıyor: zamanlanmış görev ve Çalıştır anahtarı. Bunlar bir sonraki avın konusudur.

Boş bir hücreyi kurala çevirmek için tespit stratejisinden başla. T1053.005 için AN1221 iki güçlü kayıt gösterdi: 4698 ve Sysmon'un süreç oluşturma olayı. schtasks.exe komut satırı, görevin hangi hesapla ve hangi komutla kurulduğunu gösterir. 4698 olayı ise görevin tam XML tanımını taşır ve görev PowerShell ya da doğrudan API ile kurulsa bile düşer.

4698'in kayda düşmesi için Diğer Nesne Erişimi Olaylarını Denetle (Audit Other Object Access Events) alt kategorisi açık olmalıdır. Aşağıdaki Sigma iskeleti süreç tarafını yakalar. Sigma, SIEM'den bağımsız bir kural biçimidir; araçlar onu Splunk, KQL ya da başka bir sorgu diline çevirir.

title: Yazılabilir dizindeki programı çalıştıran zamanlanmış görev
status: experimental
logsource:
  category: process_creation
  product: windows
detection:
  secim_arac:
    Image|endswith: '\schtasks.exe'
    CommandLine|contains|windash: '-create'
  secim_yol:
    CommandLine|contains:
      - '\Users\Public\'
      - '\AppData\'
      - '\Temp\'
  condition: secim_arac and secim_yol
level: medium
tags:
  - attack.persistence
  - attack.t1053.005

İskeleti oku. logsource kuralın hangi olay türüne uygulanacağını söyler: süreç oluşturma. secim_arac iki koşulu birleştirir; süreç schtasks.exe olmalı ve komut satırında create geçmeli.

windash değiştiricisi tire yerine eğik çizgiyle yazılan biçimi de yakalar, yani /create ile -create aynı kurala düşer. secim_yol görevi yazılabilir dizinlerdeki bir programa bağlar. Meşru görevler çoğu zaman Program Files altındaki bir programı çalıştırır.

tags satırı kuralı tekniğe bağlar; Navigator katmanını bu etiketlerden otomatik üretebilirsin. Kuralı yazdıktan sonra hücreyi hemen yeşile boyama. Kendi lab ortamında bir görev kur ve kuralın alarm ürettiğini gör.

Kapsam haritasının en yaygın yanılgısı şudur: kural var, o hâlde teknik kapsanıyor. Oysa bir teknik birçok farklı yolla uygulanabilir. Zamanlanmış görev schtasks ile, PowerShell cmdlet'i ile, WMI ile ya da doğrudan API çağrısıyla kurulabilir.

Yalnız schtasks komut satırını izleyen kural öteki üç yolu görmez, hücre yine de yeşil görünür. MITRE'nin Tehdit Bilgisine Dayalı Savunma Merkezi (CTID) bu sorunu Summiting the Pyramid projesinde ele alır. Eylül 2026 sürümü iki ölçü tanımlar.

Uygulama kapsamı, bir analitiğin tekniği uygulamanın davranışça farklı kaç yolunu görebildiğini ölçer. Tespit kalitesi ise o görünürlüğün arkasındaki sinyalin sağlamlığını ve isabetini değerlendirir. Saldırganın kolayca değiştirebileceği bir dosya adına bağlı kural düşük kalite alır.

Görünürlük ile tespit ayrı şeylerdir. Görünürlük, davranışın kayda düşmesidir; tespit, o kaydın alarma dönüşmesidir. DeTT&CT bu ayrımı ölçmek için yazılmış açık kaynak bir çerçevedir. Veri kaynaklarının kalitesini, görünürlüğü ve tespit kapsamını ayrı ayrı puanlar, sonucu Navigator katmanı olarak verir.

Görünürlüğü olan ama tespiti olmayan teknik avcı için en verimli hedeftir: veri zaten elindedir, yalnız soru sorulmamıştır. Görünürlüğü olmayan teknikte ise av yapılamaz. Önce veri toplamayı açarsın, sonra avlanırsın.

Matrisin tamamını boyamaya çalışma. Her tekniği kapsamak ne mümkündür ne gereklidir. Önceliği tehdit bilgisi belirler.

ATT&CK'teki grup sayfalarından sektörünü hedefleyen grupların teknik listesini al ve bunları bir katmanda birleştir. Birden çok grubun kullandığı teknik, katmanda daha yüksek puan alır.

Yıllık tehdit tespit raporlarında en sık görülen teknikleri de ekle. Bu katmanı kendi kapsam katmanınla üst üste koy. Yüksek puanlı ama boş hücreler av listenin başına geçer. Bulut kullanmıyorsan bulut tekniklerini kovalamak boşa emektir.

Kapsam çalışmasında dört hata sık görülür. Birincisi matrisi boyamak için boyamaktır; yüzde yükselir ama gerçek risk azalmaz. İkincisi alt teknik düzeyini atlamaktır.

Üçüncüsü raporda ve katmanda ATT&CK sürümünü yazmamaktır; altı ay sonra hangi eşlemeye göre çalışıldığını kimse bilemez. Dördüncüsü v19 öncesinden kalan Defense Evasion etiketlerini güncellememektir. Eski etiketli kurallar yeni katmanda yanlış taktiğe düşer ya da hiç görünmez.

Kapsamı her zaman gerçek olaylarla ve tatbikat sonuçlarıyla birlikte oku. Her olay kapanışında görülen teknikleri aynı tabloya işle. Altı ay sonra bu tablo, ortamının gerçek tehdit profilini gösterir.