Kök neden analizi
- Belirtiyi kök nedenden ayırır, zinciri ATT&CK ile eşler, kapsamı ve etkiyi ölçer, düzeltmeyi çalışmayan denetime bağlarsın.
- Bu derste fin-pc12 olayında kapının nerede açıldığını ve neden açık kaldığını bulacaksın.
- Yanlış kök neden, aynı saldırının bir ay sonra tekrarlaması demektir.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +60 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Olay müdahalesinin en pahalı hatası, yangını söndürüp kıvılcımı yerinde bırakmaktır. Altay Kargo ekibi fin-pc12'deki zararlı hizmeti kaldırdı, makineyi yeniden kurdu, parolaları değiştirdi. Asıl soru hâlâ açıktır: saldırgan aynı yoldan yarın yeniden girebilir mi? Kök neden analizi bu soruyu yanıtlar.
NIST SP 800-61 Rev. 3, olay müdahalesini CSF 2.0 işlevlerine göre düzenler. Olay analizi Respond işlevinin içindedir.
RS.AN-03 alt kategorisi, olayda ne olduğunun ve kök nedeninin analizle ortaya konmasını ister. Rev. 3 Nisan 2025'te yayımlandı ve 2012 tarihli Rev. 2'nin yerini aldı.
Belirti ile kök neden
Kök neden ile belirti farklıdır. Zararlı dosya bir belirtidir; o dosyanın makineye nasıl geldiği kök nedene götürür. Temp klasöründeki update.exe, 203.0.113.19'a giden düzenli bağlantılar ve WinUpdateSvc hizmeti olayın izleridir. Bu izleri temizlemek olayı kapatmaz.
Kapıyı açık bırakan koşul yerinde durur: makrolu bir belge kullanıcıya ulaşabiliyor ve makro çalışabiliyor. Belirti temizlenir, kök neden kapatılır. Raporda ikisini ayrı başlıklarda yazarsın, çünkü sahipleri farklıdır. Temizliği olay müdahale ekibi yapar, kök nedeni çoğu zaman sistem, posta ya da kimlik ekibi kapatır.
En sık hata, ilk bulunan zararlı dosyayı kök neden ilan etmektir. O dosya çoğu kez zincirin ikinci ya da üçüncü halkasıdır. svcupd.exe kalıcı ajandır; onu getiren update.exe'dir, update.exe'yi indiren de belgedeki makrodur. Zincirin başına gitmeden yazılan rapor, saldırganın geri dönüş yolunu açık bırakır.
İkinci sık hata insan hatasında durmaktır. Kullanıcı eke tıkladı cümlesi doğrudur ama düzeltme üretmez. Ekin neden kullanıcıya ulaştığını ve makronun neden çalışabildiğini sorarsın. Bu sorular seni yönetilebilir bir sürece götürür.
Etkinlik 1 / 8
Bulguları belirti ve kök neden olarak ayır.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/5 seçenek yerleşti.
Olay raporlarında sık görülen bir örüntü vardır: bir kurum birkaç ay arayla aynı teknikle ikinci kez ele geçirilir. İlk olayda zararlı temizlenmiş, makineler yeniden kurulmuş, ama giriş yolu yerinde bırakılmıştır. Altay Kargo için bunu düşün. Yalnız svcupd.exe silinip hizmet kaldırılsın.
Makro ilkesi istemcilerde hâlâ uygulanmıyor, posta ağ geçidi makrolu belgeyi hâlâ geçiriyor. Saldırganın elinde de mkaya'nın posta adresi var. Yeni bir fatura e-postası aynı zinciri baştan başlatır.
Etkinlik 2 / 8
Olaydan sonra yalnız zararlı dosyaları silip makineyi geri veren ekibin en olası sonucu nedir?
Zinciri ATT&CK ile eşle
Kök nedene giden yol, çizelgede geriye yürümekten geçer. En eski şüpheli artefaktı bulur, ondan önce ne olduğunu sorarsın. Her adımı MITRE ATT&CK'teki bir teknikle eşlemek bu yürüyüşü düzenler.
ATT&CK saldırganın amacını taktik, yöntemini teknik olarak adlandırır. Taktikler keşiften etkiye uzanan bir dizi oluşturur. İlk erişim, çalıştırma, kalıcılık, yetki yükseltme, gizlenme, savunmayı zayıflatma, kimlik bilgisi erişimi, yanal hareket, komuta kontrol ve sızdırma bunlardandır.
Nisan 2026'daki v19 sürümü eski Defense Evasion taktiğini ikiye böldü: Stealth, yani gizlenme, ve Defense Impairment, yani savunmayı zayıflatma. Eski raporlarda günlük silmeyi T1070.001 olarak görürsen, aynı davranış artık T1685.005 numarasıyla anılır. Eşleme tablosunun her satırı dört alan taşır: taktik, teknik numarası, kanıt artefaktı ve güven düzeyi. Kanıtı olmayan satır tabloya girmez.
Taktik Teknik Kanıt artefaktı Güven İlk erişim T1566.001 Posta ağ geçidi kaydı, fatura_eylul.docm yüksek Çalıştırma T1204.002 LNK: belge 03:05:48'de açıldı yüksek Çalıştırma T1059.001 Sysmon 1: WINWORD.EXE > powershell.exe yüksek Komuta kontrol T1105 pcap: /d/update.exe indirmesi yüksek Kalıcılık T1543.003 SYSTEM kovanı WinUpdateSvc, Sysmon 13 yüksek Gizlenme T1070.006 USN BasicInfoChange, Sysmon 2 yüksek Kalıcılık T1136.001 4720 svc_update (SIEM kopyası) yüksek Kimlik bilgisi T1003.001 Sysmon 10: lsass.exe süreç erişimi orta Yanal hareket T1021.002 netscan 445, RunMRU \\10.20.30.10\c$ orta Komuta kontrol T1071.001 Zeek ssl.log, 60 sn aralıklı bağlantılar yüksek Sızdırma T1041 conn.log giden baytlar, SRUM orta Savunmayı zayıflatma T1685.005 1102 ve 104 günlük silme olayları yüksek
Tabloyu satır satır oku. İlk satır kapıdır: T1566.001, e-posta ekiyle hedefli kimlik avı. Kanıtı posta ağ geçidinin teslim kaydı ve diskteki belgedir.
Sonraki iki satır, kullanıcının belgeyi açmasını ve makronun PowerShell'i başlatmasını gösterir. Ardından yükün inmesi, kalıcılık, damga bükme ve yeni hesap gelir. Güven sütunu kanıtın gücünü söyler. LSASS erişimi orta güvendedir, çünkü Sysmon olayı erişimi gösterir ama hangi bilginin alındığını göstermez.
Yetki yükseltme satırı ise hiç yoktur. Hizmet kurmak yerel yönetici yetkisi ister. Ya bir yükseltme adımını kaçırdın ya da mkaya zaten yerel yöneticiydi. Boş satır da bir bulgudur ve ayrı bir soru açar.
İlk erişimi tek kaynakla kabul etmezsin. fin-pc12'deki belge izi, posta ağ geçidinin teslim kaydıyla doğrulanır. Ağ geçidi kaydı göndericiyi, alıcıyı, ekin adını ve özetini, verilen kararı gösterir.
Kayıt fatura_eylul.docm ekinin 03:04'te mkaya'ya teslim edildiğini ve karar sütununda temiz yazdığını söylüyor. Böylece hem kapı hem de denetimin neden çalışmadığı görünür. Aynı göndericiden başka kimlere posta gittiği ise kapsamın ilk ipucudur ve hemen ayrı bir sorguyla aranır.
Etkinlik 3 / 8
ATT&CK tekniğini fin-pc12'deki kanıtıyla eşleştir.
Beş neden ve balık kılçığı
Kapıyı bulduktan sonra kapının neden açık kaldığını sorarsın. Beş neden yöntemi bu soruyu katman katman açar. Her cevaba yeniden neden diye sorarsın.
Beş sayısı kural değil, alışkanlıktır. Teknik bir olgudan başlar, yönetilebilir bir süreç eksiğine varınca durursun. Durma ölçütü basittir: vardığın cümle bir sahibe ve bir tarihe bağlanabilen bir düzeltme üretmelidir.
Düzeltilemeyen bir cümlede duruyorsan yeterince derine inmemişsindir. Yöntem karmaşık bir araç istemez; bir beyaz tahta ve olay çizelgesi yeter. Önemli olan her cevabın bir kanıta dayanmasıdır.
Belirti : fin-pc12, 203.0.113.19 adresine bağlanıyor neden -> svcupd.exe hizmet olarak çalışıyor neden -> mkaya oturumundaki PowerShell hizmeti kaydetti neden -> WINWORD.EXE makrosu PowerShell'i çağırdı neden -> Makro engelleme ilkesi bu makinede uygulanmıyor neden -> Grup ilkesi yalnız sunucu birimine bağlanmış KÖK NEDEN 1 : Makro ilkesi istemci birimini kapsamıyor Yan dal : Hizmet kurmak yerel yönetici yetkisi ister neden -> mkaya yerel Administrators grubunda neden -> Kurulum betiği her kullanıcıyı yerel yönetici yapıyor KÖK NEDEN 2 : Gereksiz yerel yönetici yetkisi
Zinciri satır satır oku. İlk üç neden tekniktir ve çizelgede kanıtı vardır. Dördüncü satır bir yapılandırma bulgusudur: gpresult çıktısı makro ilkesinin fin-pc12'ye uygulanmadığını gösterir.
Beşinci satır süreç eksiğine iner. İlke doğru yazılmış ama yanlış birime bağlanmış, kapsamı da kimse denetlememiş. Yan dal ikinci bir kök neden açar. mkaya yerel yöneticiydi, çünkü kurulum betiği bu yetkiyi herkese veriyordu.
Makro ilkesi çalışsaydı saldırı başlamazdı. Yetki kısıtlı olsaydı saldırı kalıcılık kuramazdı. İki neden ayrı madde olarak yazılır ve ayrı takip edilir.
Tek kök neden varsaymak tehlikelidir. Olayların çoğunda birden çok denetim aynı anda çalışmaz. Balık kılçığı diyagramı, yani Ishikawa, bu yüzden beş nedenle birlikte kullanılır.
Balığın başına sonucu yazarsın: fin-pc12 ele geçirildi. Kılçıklar neden kategorileridir: insan, süreç, teknoloji ve çevre. Her kılçığa bir beş neden zinciri bağlarsın.
Teknoloji kılçığında makro ilkesi ve yerel yönetici yetkisi durur. Süreç kılçığında ilke kapsamının denetlenmemesi durur. İnsan kılçığında, beklenmeyen bir faturanın göndericiye sorulmadan açılması durur.
Bütün bu adımlar bir sıraya oturur. Önce belirtileri toplar ve çizelgeye yerleştirirsin. Sonra en eski şüpheli artefaktı bulur, ilk erişim yolunu ikinci bir kaynakla doğrularsın. Ardından hangi denetimin çalışmadığını belirlersin.
Kapsamı zincirin başını öğrendikten sonra bütün ağa genişletirsin, çünkü neyi arayacağını ancak o zaman bilirsin. Düzeltme önerisi en sona gelir ve belirtiye değil, çalışmayan denetime yazılır. Bu sıra NIST'in önerisiyle de örtüşür: önce olayların sırasını ve ilgili varlıkları belirlersin, sonra altta yatan ya da sistemik kök nedenleri ararsın.
Etkinlik 4 / 8
Kök neden analizinin adımlarını sıraya koy.
Bir öğeye odaklan, yukarı ve aşağı ok tuşlarıyla taşı. Home tuşu en üste, End tuşu en alta alır.
- 1Kapsamı bütün ağda IOC ile genişlet
- 2Hangi denetimin çalışmadığını belirle
- 3Düzeltme önerisini kök nedene bağla
- 4Belirtileri topla ve zaman çizelgesine yerleştir
- 5En eski şüpheli artefaktı bul
- 6İlk erişim yolunu doğrula
Kök neden cümlesi düzeltmeye yön verir. Kullanıcı dikkatsizdi cümlesi düzeltme üretmez. Makro ilkesi istemci birimine bağlanmamış cümlesi ise üretir: ilkeyi bağlar, kapsamı denetlersin.
Kök nedeni yazarken kendine şunu sorarsın: bu cümleyi okuyan sistem yöneticisi yarın sabah ne yapacağını biliyor mu? Bilmiyorsa cümle henüz kök neden değildir. Kök nedeni tek cümlede yazabilmelisin; uzun ve dolambaçlı bir açıklama, nedeni henüz bulamadığını gösterir.
Derinleş:Beş nedenin sınırları
Beş neden yöntemi Toyota'nın üretim sisteminden gelir ve basitliği sayesinde yaygınlaştı. Sınırları da iyi bilinir. Tek bir zincir izlediği için paralel nedenleri gözden kaçırabilir.
Cevaplar analistin bilgisine bağlıdır; aynı olayı iki kişi farklı zincirlerle açıklayabilir. Zincir kolayca bir kişiye varır ve suçlamaya döner. Bu yüzden her neden halkasına bir kanıt bağlar, zinciri ekiple birlikte gözden geçirirsin.
Halkaların yanına kanıtın adı yazılınca toplantıdaki tartışma kişilerden kanıta kayar. Balık kılçığı paralel nedenleri, ATT&CK tablosu teknik adımları, beş neden ise süreç eksiğini görünür kılar. Üçü birlikte kullanıldığında birbirinin kör noktasını kapatır. Karmaşık olaylarda zincirin her halkasını ayrı bir kişiye doğrulatmak da iyi bir alışkanlıktır.
Etkinlik 5 / 8
Doğru mu, yanlış mı?
Kök neden analizinde bulunan neden, düzeltilebilir bir denetim eksiği olmalıdır.
Kapsam ve etki
Kök neden tek makinede bulunsa da olay tek makinede kalmayabilir. Kapsam belirleme, aynı göstergeleri bütün ağda aramaktır. Elindeki IOC listesi burada işe yarar: dosya adları, özetler, hizmet adı, alan adı ve IP adresi. Uç noktalarda toplu arama için Velociraptor gibi bir araç kullanırsın.
Velociraptor'da bir artefaktı bütün istemcilere aynı anda gönderen işe hunt denir. Windows.Search.FileFinder artefaktı dosyaları bir glob deseniyle arar ve istersen özetlerini de hesaplar. Hizmet adını, hizmet listesini toplayan ayrı bir artefaktla ararsın.
Hunt : Windows.Search.FileFinder Glob : C:\Users\**\svcupd.exe Calculate_Hash : Y İstemci : bütün Windows uç noktaları (412) Makine Dosya yolu SHA-256 eşleşmesi Hizmet (ayrı hunt) fin-pc12 C:\Users\Public\svcupd.exe evet WinUpdateSvc fin-pc07 C:\Users\Public\svcupd.exe evet WinUpdateSvc fin-pc09 C:\Users\Public\svcupd.exe evet WinUpdateSvc muh-pc05 C:\Users\Public\svcupd.exe evet yok dc01 yok - WinUpdateSvc (durdurulmuş)
Sonucu satır satır oku. Dosya dört istemcide aynı yolda ve aynı özetle duruyor. Hizmet, dosyanın bulunduğu makinelerin üçünde kayıtlı. muh-pc05'te dosya var ama hizmet yok; yük oraya bırakılmış, kalıcılık henüz kurulmamış olabilir.
dc01'de dosya yok ama hizmet kaydı var. Bu satır en kritik olanıdır: dosya silinmiş olabilir ya da hizmet başka bir yoldan çalışıyordur. Yanal hareketin vardığı yer burasıdır ve inceleme önceliği alır. Kapsam bulguları kök nedeni değiştirmez, ama düzeltmenin ve temizliğin sınırını belirler.
Etkinlik 6 / 8
Olayın aynı göstergelerle başka makinelerde de aranmasına ne ad verilir? ____
Etki analizi üç soruyu yanıtlar: hangi veriye erişildi, ne kadarı dışarı çıktı, hangi hesaplar kullanıldı. Dışarı çıkan veri için birden çok kaynak kullanırsın, çünkü her birinin kör noktası vardır. SRUM, süreç başına gönderilen baytı saatlik toplamlarla tutar. Zeek conn.log bir bağlantının iki yönündeki bütün baytları sayar.
Vekil sunucu günlüğü ise trafiğin vekilden geçip geçmediğini gösterir. Kaynaklar farklı sonuç verdiğinde birini seçmezsin. Alt ve üst sınır yazar, belirsizliği açıkça belirtirsin.
Kaynak Ölçülen Değer SRUM, 01:00 saati (UTC) svcupd.exe gönderilen bayt 30408704 SRUM, 02:00 saati (UTC) svcupd.exe gönderilen bayt 12582912 SRUM toplamı 42991616 bayt (~43 MB) Zeek conn.log 49871 portu, giden bayt 214097651 bayt (~214 MB) Vekil sunucu günlüğü 203.0.113.19 isteği yok, doğrudan çıkış Alt sınır süreç başına ölçüm (SRUM) ~43 MB Üst sınır bağlantı ölçümü (conn.log) ~214 MB
Tabloyu oku. SRUM toplamı yaklaşık 43 MB, conn.log ise aynı kanal için yaklaşık 214 MB veriyor. Alt sınır sağlamdır: svcupd.exe en az bu kadar veri gönderdi. Üst sınır da sağlamdır: kanaldan bundan fazlası geçmedi.
Önceki modülde bulduğun DNS tüneli üst sınıra yalnız birkaç on kilobayt ekler. Aradaki fark henüz açıklanmadı ve raporda açık soru olarak kalır. Tahmin ettiğin kısmı tahmin diye yazarsın. Abartılmış etki gereksiz bildirime ve paniğe, küçümsenmiş etki ise eksik bildirime yol açar.
Etkinlik 7 / 8
Tablodaki ölçümlere göre raporun etki bölümüne hangi cümle girer?
Önce kodu oku, sonra çıktıyı seç.
SRUM toplamı ~43 MB (svcupd.exe, süreç başına) Zeek conn.log ~214 MB (49871 portu, bağlantı başına) Vekil sunucu kayıt yok (doğrudan çıkış)
Denetim boşluğu ve iyi öneri
Denetim boşluğu analizi kök nedeni üç denetim türüne göre ayırır. Önleyici denetim saldırıyı başlamadan durdurur: makro ilkesi, ek süzgeci, en az yetki. Tespit edici denetim saldırıyı fark eder: Sysmon kuralı, SIEM alarmı. Düzeltici denetim hasarı sınırlar: yalıtım, yedekten dönüş.
fin-pc12'de önleyici denetimler çalışmadı. Tespit edici denetim yarım çalıştı: Sysmon olayları kaydedildi ama alarm üretmedi, olay saatler sonra sabah vardiyasında fark edildi. Tespit boşluğu da bir kök nedendir. Saldırı neden saatlerce fark edilmedi sorusunun cevabı, çoğu zaman listenin en değerli maddesidir.
Boşluk Düzeltme Tür Sahip Doğrulama Makro ilkesi istemcilerde yok İlkeyi bütün istemci birimlerine bağla önleyici Sistem ekibi 30 gün sonra gpresult örneklemi Gereksiz yerel yönetici yetkisi Yetkiyi kaldır, ayrık yönetici hesabı aç önleyici Kimlik ekibi yerel grup üyeliği denetimi Ağ geçidi makrolu eki geçiriyor Makrolu eki karantinaya al önleyici Posta ekibi test e-postası Office > PowerShell alarmı yok Sigma kuralını SIEM'de canlıya al tespit SOC benzetimle alarm testi
İyi öneri dört soruyu yanıtlar: ne yapılacak, kim yapacak, ne zamana kadar yapılacak ve nasıl doğrulanacak. Farkındalık artırılsın cümlesi bu soruların hiçbirini yanıtlamaz ve takip edilemez. Her kök nedene en az bir önleyici ve bir tespit edici düzeltme bağlarsın.
Tespit tarafında Sigma kuralı yazmak işi taşınabilir kılar, çünkü aynı kural farklı SIEM ürünlerinin sorgu diline çevrilebilir. Düzeltmenin maliyetini de yazarsın. Bütçesi ve sahibi olmayan madde listede yıllarca bekler.
Olaydan sonra ders çıkarma toplantısı yaparsın. Amaç suçlu bulmak değil, hangi denetimin neden çalışmadığını yazmaktır. Suçlu arayan toplantıda insanlar bilgi saklar ve gerçek neden gizli kalır.
NIST SP 800-61 Rev. 3, çıkarılan dersleri CSF 2.0'ın Identify işlevindeki iyileştirme kategorisine bağlar. Dersler yalnız müdahale planını değil, bütün güvenlik programını besler.
Olayı kapatmadan önce doğrulama turu atarsın. Otuz gün sonra makro ilkesinin gerçekten uygulandığını örnek makinelerde ölçer, sonucu kayda geçirirsin.
Derinleş:D3FEND ile karşı önlem eşleme
MITRE D3FEND, savunma tekniklerini adlandıran bir bilgi grafiğidir. ATT&CK saldırganın ne yaptığını, D3FEND savunmanın ne yapabileceğini anlatır. İkisi, süreç, dosya ya da ağ trafiği gibi dijital yapıtlar üzerinden birbirine bağlanır.
Savunma teknikleri modelleme, sertleştirme, tespit, yalıtım, aldatma, çıkarma ve geri yükleme gibi taktiklere ayrılır. fin-pc12 tablosundaki her ATT&CK satırının yanına bir D3FEND karşılığı yazmak, öneri listesindeki boşlukları gösterir. T1059.001 satırı için süreç başlatma analizi gibi bir tespit tekniği, yürütülebilir dosya engelleme gibi bir sertleştirme tekniği karşılık gelir.
Kanıtı olan ama karşı önlemi olmayan satır, sıradaki düzeltme maddesidir. D3FEND bir ürün listesi değildir ve her tekniğin hazır bir karşılığı yoktur. Eşlemeyi başlangıç noktası olarak kullanır, uygulanabilirliği kendi ortamında sınarsın.
Etkinlik 8 / 8
Hangi öneriler takip edilebilir biçimde yazılmış?
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.