Saldırı zinciri

Filmlerde saldırı tek sahnede biter. Gerçekte uzun sürer. Saldırgan adım adım ilerler ve her adımda yeni bir kapı arar. Bu diziye saldırı zinciri denir.

Gerçek bir fidye olayında ilk erişim ile şifreleme arasında çoğu zaman günler geçer. O günler savunmanın fırsat penceresidir. Aceleci hamle alarm çaldırır ve zinciri erkenden koparır, bu yüzden saldırgan sabırlı davranır. Bu derste zinciri tanıyacak, üç çerçeveyle karşılaştıracak ve her halkaya bir tespit ile bir engel koymayı göreceksin.

Zinciri farklı çerçeveler farklı sayıda halkaya böler. Lockheed Martin'in Cyber Kill Chain modeli yedi aşama sayar: keşif, silahlandırma, teslim, istismar, kurulum, komuta ve kontrol, hedefe yönelik eylemler.

Model 2011 tarihli Intelligence-Driven Computer Network Defense adlı bildiride yayımlandı. MITRE ATT&CK ise saldırıyı taktik ve teknik olarak sınıflar. Taktik saldırganın niyetini söyler, teknik o niyeti hangi yolla uyguladığını gösterir.

ATT&CK'in Nisan 2026'da yayımlanan 19. sürümü kurumsal saldırıları on beş taktikle tanımlar. Liste Keşif ile başlar, Etki ile biter. Taktik sayısı sürümden sürüme değişebilir, bu yüzden bir raporda sürüm numarasını da yaz.

Bir üçüncü model, Birleşik Saldırı Zinciri (Unified Kill Chain), ikisini birleştirir. Paul Pols'un geliştirdiği bu model on sekiz aşamayı üç kümede toplar: içeri girme, ağda ilerleme, hedefte eylem.

Neden birden çok model var? Çünkü her biri farklı bir işe yarar. Kill Chain kısadır ve anlatması kolaydır. ATT&CK ayrıntılıdır ve tespit kuralı yazarken teknik teknik eşleme sunar.

Birleşik model, ağ içindeki uzun yolları daha iyi gösterir. İsimler değişse de yön aynıdır. Bu derste beş halkalık sade bir görünümle çalışacaksın: keşif, ilk erişim, kalıcılık, yayılma ve sızdırma.

MODEL               BİRİM              SAYI        EN İYİ İŞİ                    SINIRI
Cyber Kill Chain    aşama              7           olayı kısaca anlatmak         ağ içindeki yayılmayı ayrı göstermez
MITRE ATT&CK        taktik + teknik    15 taktik   tespit kuralını eşlemek       adımların sırasını dayatmaz
Unified Kill Chain  aşama              18          uzun ağ içi yolu göstermek    öğrenmesi daha uzun sürer

Tabloyu kullanım yerine göre oku. Yönetime bir olayı beş dakikada anlatacaksan Kill Chain yeter. Tespit kuralı yazıyorsan ATT&CK'e dönersin, çünkü her kuralı bir teknik numarasına bağlayıp kapsamını ölçebilirsin. Olay ağın içinde haftalarca sürdüyse birleşik model ara adımları tek tek gösterir.

Sık yapılan hata, modeller arasında tek doğru olanı aramaktır. Hepsi aynı gerçeğe farklı mercekten bakar. Ekibin hangi dili konuşuyorsa o modeli seç ve raporda hangisini kullandığını belirt.

Keşifte saldırgan hedefi tanır; bunu önceki derslerde gördün. İlk erişimde içeri bir ayak sokar. Yaygın yollar oltalama eki, sızdırılmış parola ya da internete açık bir serviste bilinen bir açıktır. MITRE bunları T1566 (Phishing), T1078 (Valid Accounts) ve T1190 (Exploit Public-Facing Application) olarak listeler.

İlk erişim çoğu zaman bir kabukla sonuçlanır. Kabuk (shell), saldırganın ele geçen makinede komut çalıştırabildiği oturumdur. Güvenlik ekipleri bu anı kısaca kabuk düştü diye anlatır. Bu andan sonra saldırgan artık dışarıda değil, ağın içindedir.

Şema halkaları soldan sağa dizer. Her kutu ayrı bir tespit ve engelleme fırsatıdır. Saldırgan hedefe ulaşmak için bu kutulardan geçmek zorundadır. Sen ise tek bir kutuyu kırarsan sonraki adımlara sıra gelmez.

Zincir modelinin gücü buradan gelir: savunmayı tek bir duvara değil, arka arkaya birçok kapıya yayarsın. Modelin sınırı da var.

Gerçek saldırılar her zaman düz bir çizgide ilerlemez. Saldırgan bir halkayı atlayabilir ya da aynı anda ikisinde çalışabilir. Modeli kesin bir kural gibi değil, olayı parçalara ayırıp üstünde düşünmeni sağlayan bir harita gibi kullan.

İçeri giren saldırgan geri dönüş yolunu sağlama alır. Buna kalıcılık denir. Zamanlanmış bir görev ya da otomatik başlayan bir servis bunun için yeter.

MITRE zamanlanmış görevi T1053 numarasıyla yürütme, kalıcılık ve yetki yükseltme taktiklerinin üçünde birden sayar. Yayılma halkası iki işi taşır. Önce yetki yükseltme gelir: sınırlı bir hesap, yamasız bir çekirdek ya da yanlış bir dosya izniyle yönetici yetkisine çıkılır.

Çekirdek, işletim sisteminin en yetkili katmanıdır; oradaki bir açık bütün makineyi açar. Sonra yanal hareket başlar. Windows ağlarında çalınan parola özeti (hash) bazen parolanın kendisi gibi kullanılabilir. MITRE bunu T1550.002 (Pass the Hash), uzak masaüstü ve SSH gibi yolları da T1021 (Remote Services) olarak yanal hareket taktiğinde sayar.

Son halka sızdırma, yani hedefe ulaşmadır. Amaç veriyi dışarı çıkarmak, fidye için diskleri şifrelemek ya da sessizce izlemek olabilir. MITRE fidye şifrelemesini T1486 (Data Encrypted for Impact) olarak Etki taktiğinde sayar. Fidye olaylarında veri kaçırma çoğu zaman şifrelemeden önce gelir.

Kurban yedekten dönse bile veri saldırganın elindedir ve ikinci bir şantaj aracına dönüşür. Saldırgan bu yüzden şifrelemeden önce yedekleri de siler. Bazı gruplar hiç gürültü çıkarmaz; aylarca içeride kalıp yazışma okumak da bir hedeftir. Amaç ne olursa olsun, buraya kadar gelen yol aynı halkalardan geçer.

Mavi takım bu diziyi tersten okur ve her halkaya bir tespit ile bir engel yazar. CISA'nın #StopRansomware rehberi somut önlemler sıralar. İlk erişimi oltalama ek filtresi zorlaştırır; posta ağ geçidi şüpheli ekleri ve bilinen kötü göstergeleri ayıklar. Kalıcılığı uygulama izin listesi (application allowlisting) zorlaştırır.

Yalnız onaylı programlar çalışır, izinsiz bir servis kaydı işe yaramaz. Yanal hareketi ağ bölümleme durdurur; ele geçen makine, gideceği yeri ağ sınırıyla kısıtlanmış bulur. Çalınan parolayı oltalamaya dayanıklı çok adımlı doğrulama değersiz kılar. Son halkayı çevrimdışı ve şifreli tutulan yedek zayıflatır.

Tespit ve engel farklı işlerdir. Tespit, olan biteni görünür kılar; engel, olayı en baştan zorlaştırır. İkisi birlikte çalışır ve birbirini tamamlar.

Ağı bölümlere ayırmak yanal hareketi engeller. Bölümler arası bağlantıları kaydetmek ise denemeyi tespit eder.

Saldırgan engeli aşmaya çalışırken tespit alarmı üretir. Bu yüzden iyi bir savunma her halkada hem bir engel hem bir tespit ister. Yalnız engel koyarsan, engel aşıldığında kör kalırsın. Yalnız tespit koyarsan, alarmı görürsün ama olayı durduramazsın.

Olay incelemesinde aynı harita işe yarar. Bir gece dört farklı sistem dört farklı uyarı üretmiş olsun. Tek tek bakınca her biri sıradan görünür: bir e-posta eki, bir görev kaydı, bir oturum, yoğun bir dosya okuması.

Halkalara dizince tek bir saldırının adımları ortaya çıkar. Aşağıdaki çizelge Altay Kargo'nun güvenlik ekibinin topladığı kanıtları saat sırasıyla gösterir. Her satırın sonunda o kanıtın oturduğu halka yazar.

# Aynı geceden dört farklı kaynak, dört halka:
2026-09-27 22:14  posta ağ geçidi   makrolu ek teslim edildi        -> ilk erişim
2026-09-27 22:41  uç nokta (EDR)    yeni zamanlanmış görev kaydı    -> kalıcılık
2026-09-28 01:03  kimlik sunucusu   olağan dışı yönetici oturumu    -> yayılma
2026-09-28 03:58  dosya sunucusu    kısa sürede çok sayıda okuma    -> sızdırma öncesi

Çizelgeyi oku. İşin yarısı, dağınık kanıtı doğru halkaya yerleştirmektir. Halkayı bilince ne arayacağını da bilirsin.

Kalıcılık gördüysen geriye bakıp ilk erişimi, yanal hareket gördüysen ileriye bakıp hedefi ararsın. Kalıcılık satırına yakından bak. Windows'ta yeni bir zamanlanmış görev, güvenlik günlüğüne 4698 numaralı olayı yazar.

Olay görevin adını, kuran hesabı ve çalıştıracağı komutu taşır. Sık hata şudur: bu olay, denetim ilkesinde Audit Other Object Access Events alt kategorisi açık değilse hiç yazılmaz. Olayı aramadan önce ilkeyi kontrol et. Onaylı görevlerin listesini tutarsan listede olmayan her yeni görev bir uyarıya dönüşür.

$ grep 'Failed password' /var/log/auth.log | head -3
Sep 28 01:02:11 dosya01 sshd[2211]: Failed password for yedek from 10.20.4.17 port 50412 ssh2
Sep 28 01:02:14 dosya01 sshd[2213]: Failed password for yedek from 10.20.4.17 port 50418 ssh2
Sep 28 01:02:15 dosya01 sshd[2215]: Failed password for invalid user admin from 10.20.4.17 port 50420 ssh2

$ cat /var/log/auth.log | grep 'Failed password' | awk '{print $11}' | sort | uniq -c | sort -rn | head -5
    212 10.20.4.17
     14 admin
      9 198.51.100.23
      3 10.20.7.40

Hattı soldan sağa oku. grep yalnız başarısız parola satırlarını bırakır. awk '{print $11}' boşlukla ayrılmış on birinci sütunu, yani from sözcüğünden sonraki adresi alır.

sort aynı adresleri alt alta getirir. Bu adım şarttır, çünkü uniq -c yalnız art arda gelen aynı satırları sayar. sort -rn sayıları büyükten küçüğe dizer, head -5 ilk beşi gösterir.

Çıktıdaki admin satırı bir tuzaktır. Kullanıcı adı sistemde yoksa satıra invalid user sözcükleri girer ve adres iki sütun sağa kayar. O 14 denemenin adresi bu sayımda görünmez; invalid user satırlarını ayrı süzüp on üçüncü sütunu saymak gerekir.

Asıl dikkat çeken ise ilk sıradaki adrestir: 10.20.4.17 bir iç adres. Dışarıdan gelen deneme ilk erişim girişimidir. İçeriden gelen deneme ise ele geçmiş bir makineden yanal hareket işaretidir.

Böyle bir hat sana aday listesi verir, kesin cevap değil. Çok sayıda başarısız giriş bir kaba kuvvet denemesi olabilir. Parolası değişmiş ama eski parolayla çalışmaya devam eden bir yedekleme betiği de aynı izi bırakır. Bulguyu ikinci bir kaynakla doğrula: aynı adresten başarılı bir giriş var mı, o saatte ağ trafiği ne diyor.

Doğruladığın her kanıtı halkasına koy ve komşu halkalarda iz ara. Tek bir kayıt satırı hikâyeyi anlatmaz. Hikâye, halkalar boyunca saatiyle dizilen ve birbirini doğrulayan kanıtlardan çıkar.

Aynı eşleme savunmayı ölçmeye de yarar. MITRE'nin ATT&CK Navigator aracıyla teknik tablosunu renklere boyarsın. Tespit kuralı olan teknikleri yeşile, olmayanları kırmızıya boyarsan kör noktaların tek bakışta görünür. MITRE'nin D3FEND bilgi grafiği ise öbür yüzü verir.

Savunma tekniklerini yedi başlıkta toplar: modelle, sertleştir, tespit et, yalıt, aldat, çıkar, geri yükle. Bir tatbikatta kırmızı takım bir halkada ilerledikçe mavi takım o halkaya bağlı tespitin çalışıp çalışmadığını kontrol eder. Çalışmayan tespit, kapatılacak bir boşluğu gösterir. Önlemleri halkalara bağlamak böylece bir liste olmaktan çıkar, ölçülebilir bir plana dönüşür.

HALKA           ATT&CK ÖRNEĞİ                      TESPİT KAYNAĞI
İlk erişim      T1566 Phishing                     posta ağ geçidi kaydı
Kalıcılık       T1053 Scheduled Task/Job           4698 olayı, EDR
Yanal hareket   T1021 Remote Services              kimlik ve SSH kayıtları
Hedefe ulaşma   T1486 Data Encrypted for Impact    dosya sunucusu okuma hızı