Beacon trafiği ve SIEM alarmları

Altay Kargo'nun SIEM'i bir sabah sıradan görünen bir alarm üretir: muhasebe bölümündeki bir bilgisayar gece boyunca aynı dış adrese yüzlerce kez bağlanmıştır. Her bağlantı küçük, şifreli ve kısa sürelidir. Tek tek bakınca hiçbirinde tuhaflık yoktur.

Tuhaflık aralarındaki sürededir: bağlantılar neredeyse dakikası dakikasına tekrarlanır. Bu derste bu düzenliliği ölçmeyi öğrenirsin. Aralıkların ortalamasını ve sapmasını hesaplar, veri boyutunu ikinci eksen olarak kullanırsın.

Şifreli ve DNS üzerinden giden beacon'da nereye bakacağını görürsün. Sonunda bu ölçüleri bir korelasyon kuralına çevirir, alarmı varlık kritikliğine göre sıralarsın.

Ele geçirilmiş bir makine genelde tek seferde büyük bir veri göndermez. Bunun yerine komuta sunucusuna küçük, düzenli aralıklarla bağlanır ve yeni talimat olup olmadığını sorar. Bu örüntüye beacon (yoklama) denir.

Tek başına beacon zararlı sayılmaz; güncelleme denetleyicisi, telemetri istemcisi ve birçok meşru servis de düzenli aralıkla dışarı bağlanır. Ayırt edici olan örüntünün kendisi değil, hedefin kimliği ve bağlamıdır: hiç bilinmeyen, kurum listesinde olmayan bir adrese giden düzenli trafik şüphe uyandırır. Savunmanın işi bu yüzden yalnız düzenliliği aramak değil, düzenliliği hedefin kimliğiyle birlikte okumaktır.

Şema hattı sırayla gösterir. Log kaynakları olayı üretir: güvenlik duvarı, vekil sunucu, DNS çözücü ve Zeek gibi ağ sensörleri. Toplama katmanı bu kayıtları ortak bir biçime sokar; kaynak IP, hedef, zaman ve bayt alanları her kaynakta aynı adı taşır.

Korelasyon kuralı birçok zayıf sinyali birleştirip puanlar, alarm önem derecesiyle çıkar, triyaj aşamasında analist inceler. Düzenli aralık örüntüsü tek başına bir olay değildir; korelasyon kuralı aynı hedefe giden onlarca bağlantıyı birleştirince anlam kazanır. Toplama zayıfsa korelasyon da körleşir: zaman damgaları farklı saat dilimindeyse aralık hesabı baştan bozulur.

Zararlı yazılım yazarları sabit aralığın kolay yakalandığını bilir, bu yüzden aralığa rastgele bir sapma, yani jitter ekler. Tam rastgelelik nadirdir; sapma genelde küçük bir aralıkta kalır ve ortalama süre etrafında toplanır. Bağlantı aralıklarının istatistiksel dağılımını ölçmek bu sapmayı da yakalar: aralıklar tamamen düzensiz değilse, aynı hedefe giden bağlantıların ortalaması ve standart sapması hâlâ dar bir bantta durur. Küçük ve neredeyse sabit boyutlu paket de ikinci bir işarettir.

$ zeek-cut ts id.orig_h id.resp_h < conn.log \
    | awk '$2=="192.0.2.15" && $3=="203.0.113.77" {if (p) print $1-p; p=$1}'
58.0213
61.0047
59.9871
62.0102
58.9934

zeek-cut zaman damgasını, kaynağı ve hedefi alır. awk yalnız 192.0.2.15'ten 203.0.113.77'ye giden satırları tutar ve her satırda bir önceki zaman damgasıyla farkı yazar; p değişkeni önceki zamanı saklar. Beş aralığın ortalaması yaklaşık 60 saniyedir. Ortalamadan sapmalar yaklaşık -2, 1, 0, 2 ve -1'dir; karelerinin ortalaması 2, standart sapma da yaklaşık 1,4 saniyedir.

Değişim katsayısı standart sapmanın ortalamaya bölümüdür: 1,4 bölü 60, yaklaşık 0,02. Bu sayı birimsizdir, bu yüzden dakikalık ve saatlik beacon'ı aynı ölçekte karşılaştırırsın. İnsan kaynaklı gezinmede katsayı genelde 1'e yakın ya da üstündedir. 0,1'in altındaki bir değer makine düzenliliğine işaret eder.

Jitter katsayıyı yükseltir ama ortadan kaldırmaz. Yüzde 10 jitter'lı 60 saniyelik bir beacon'ın aralıkları 54 ile 66 saniye arasında yayılır ve katsayı yaklaşık 0,06 olur. Yüzde 20 jitter'da aralık 48 ile 72 saniyeye açılır, katsayı da 0,12 civarına çıkar. İki değer de insan davranışından çok uzaktır, ama ikincisi 0,1 gibi sıkı bir eşiği aşar.

Aralığı bu yüzden tek başına ölçmezsin. İkinci eksen veri boyutudur. Talimat yoksa her yoklama aynı küçük isteği gönderir ve aynı küçük cevabı alır; conn.log'daki orig_bytes ve resp_bytes neredeyse sabit kalır.

RITA gibi araçlar bu eksenleri birleştirir. RITA'nın beacon skoru dört alt skorun ağırlıklı ortalamasıdır: aralık tutarlılığı, veri boyutu tutarlılığı, bağlantıların günün saatlerine dağılımı ve bağlantının gözlem süresine ne kadar yayıldığı. rita view çıktısındaki Beacon sütunu bu skoru gösterir.

Beacon'ın çoğu TLS içinde gider ve içerik görünmez. Yine de el sıkışma bol iz bırakır. İstemci ClientHello mesajında bağlanmak istediği adı SNI alanında açık yazar; Zeek bunu ssl.log'un server_name alanına kaydeder. İstemcinin şifre takımı ve uzantı tercihleri bir parmak izi oluşturur.

JA3 bu izi uzantı sırasıyla üretiyordu; Chrome 2023'te uzantı sırasını rastgeleleştirince JA3 değeri tarayıcıda sürekli değişti. JA4 uzantıları sıralayarak bu sorunu çözer ve t13d1516h2 gibi okunur bir ön ek taşır: TCP üzerinde TLS 1.3, SNI var, 15 şifre takımı, 16 uzantı, ALPN h2. Zararlı yazılımın kendi TLS kütüphanesi çoğu zaman kurumdaki tarayıcılardan farklı bir JA4 üretir.

$ zeek-cut -d ts id.orig_h server_name version validation_status < ssl.log | grep 192.0.2.15
2026-10-01T02:00:03+0000  192.0.2.15  cdn-guncelle.example  TLSv12  self signed certificate
2026-10-01T02:01:03+0000  192.0.2.15  cdn-guncelle.example  TLSv12  self signed certificate
2026-10-01T02:02:04+0000  192.0.2.15  cdn-guncelle.example  TLSv12  self signed certificate

Üç satır aynı makineden, aynı ada, dakikada bir gider. server_name alanı SNI'dir ve meşru bir içerik dağıtım ağını andıran bir ad taşır. validation_status alanı sertifikanın doğrulanamadığını söyler; Zeek bu alanı sertifika doğrulama betiği yüklüyken doldurur. Kendinden imzalı sertifika, birkaç günlük geçerlilik ve konu alanında anlamsız değerler komuta sunucularında sık görülür.

Sertifikanın ayrıntısı x509.log'dadır; not_valid_before ve not_valid_after alanları geçerlilik aralığını verir. Bir sınırı unutma: TLS 1.3'te sertifika şifreli taşınır ve Zeek bu oturumlar için x509.log üretmez. O zaman SNI, JA4 ve zamanlama elindeki başlıca alanlardır.

Bazı beacon'lar TLS kullanmaz, DNS üzerinden konuşur. MITRE ATT&CK bunu T1071.004 (DNS), veriyi başka bir protokole gömmeyi de T1572 (Protocol Tunneling) koduyla sayar. İz dns.log'da çıkar. Düzenli aralıklı TXT sorguları, uzun ve rastgele görünen alt alan adları, tek bir üst alan altında yüzlerce farklı alt ad ve yeni kayıtlı alan adları başlıca işaretlerdir.

Alan adı sık değişebilir; algoritmayla üretilen alan adları T1568 (Dynamic Resolution) altındadır. İstemciler yalnız kurum çözücüsünü kullanıyorsa bütün bu sorgular tek bir noktada görünür. Doğrudan dış çözücüye giden DNS ise kendi başına bir alarm sebebidir.

Tek bir bağlantı kaydı yeterli değildir; beş dakikada bir bilinmeyen bir adrese giden tek bağlantı sıradan görünür. SIEM bu yüzden daha uzun bir pencerede aynı hedefe giden onlarca kaydı biriktirir, sonra aralarındaki süreyi ölçer. Yedekleme görevi gibi meşru periyodik servisler de aynı örüntüyü taşıyabilir; bu yüzden bilinen, onaylı hedefler için bir izin listesi tutulur ve kural yalnız listede olmayan hedeflere karşı çalışır. İzin listesi güncel tutulmazsa hem yanlış alarm artar hem gerçek beacon gürültüye karışır.

kural: olasi_beacon
pencere: 24 saat
grupla: kaynak_ip, hedef
kosul:
  baglanti_sayisi      >= 50
  aralik_degisim_kats  <  0.1
  hedef                not in izin_listesi
  alan_adi_yasi_gun    <  30
onem:
  temel                = orta
  varlik_kritikligi    = yuksek  ->  onem = yuksek

Kuralı satır satır oku. Pencere 24 saattir, çünkü saatlik bir pencere uzun aralıklı beacon'ı kaçırır. Gruplama kaynak IP ve hedef çiftine göredir; aralık hesabı her çift için ayrı yapılır.

En az 50 bağlantı koşulu birkaç tesadüfi tekrarı eler. Değişim katsayısının 0,1'in altında olması makine düzenliliğini seçer. Geniş jitter'lı beacon'ı da yakalamak istersen eşiği 0,2'ye çeker, biraz daha fazla yanlış alarmı kabul edersin.

İzin listesi koşulu güncelleme ve yedekleme servislerini dışarıda bırakır. Alan adının 30 günden genç olması bir zenginleştirme verisidir; kayıt bilgisinden ya da tehdit istihbaratı akışından gelir. Bütün koşullar tutarsa alarm orta önemle çıkar. Kaynak makine kritik bir varlıksa önem yükselir.

Alarm üretildikten sonra hepsi aynı önemde sayılmaz. SIEM, varlık kritikliğine göre önem derecesi atar. Bir etki alanı denetleyicisinden çıkan beacon, sıradan bir IoT kamerasından çıkandan çok daha acildir.

Denetleyici ele geçerse tüm etki alanı risk altına girer. Bölütlemede kritik varlığı ayrı bölgeye almanın mantığı burada da geçerlidir: kritik varlıktan gelen sinyali önce incelersin, düşük önemli bir cihazdan gelen aynı örüntüyü sıraya koyup sonra bakarsın.

Tek bir kayıt hiçbir zaman kendi başına alarm üretmez, çünkü korelasyon kuralı zaman penceresi boyunca biriken kayıtlara ihtiyaç duyar. Bu yüzden bir analist tek satırlık bir şüpheyi gördüğünde önce aynı hedefe giden diğer kayıtları arar, tek başına karar vermez. Aynı hedefin kurumdaki başka makinelerden de çağrılıp çağrılmadığına bakar.

Tek makine şüphelidir. Yüz makinenin aynı hedefe aynı aralıkla gitmesi ise çoğu zaman yeni dağıtılmış bir yazılımdır ve değişiklik kaydında karşılığı bulunur.

Şüpheli hedefi doğruladıktan sonra bu hedefe giden tüm bağlantıları tek hatla çıkarman gerekir; büyük bir günlük dosyasında bunu elle aramak saatler alır, bir boru hattı saniyeler içinde bitirir. Aynı hattı her yeni şüpheli hedef için tekrar çalıştırırsın, yalnız aradığın adresi değiştirirsin. En sık tekrar eden hedefleri listelemek de iyi bir başlangıçtır. Listenin tepesinde izin listesinde olmayan bir ad görürsen aralık hesabını o çift için yaparsın.

Savunma ölçümü kolaylaştıran mimariyle başlar. Dışarı çıkan web trafiği zorunlu bir vekil sunucudan geçerse her bağlantının adı, zamanı ve boyutu tek yerde kayda girer. DNS yalnız kurum çözücüsünden dışarı çıkarsa, doğrudan 53 numaralı porta giden her paket kendi başına alarm olur.

JA4 değerlerinden bir izin ve engel listesi tutarsın: kurumda kullanılan tarayıcı ve ajanların parmak izi bilinir, listede olmayan yeni bir parmak izi incelemeye değer. MITRE D3FEND bu savunmayı Network Traffic Analysis (D3-NTA) altında sınıflar; bağlantı denemesi analizi ve DNS trafik analizi onun alt teknikleridir.