Köstebek

• Gece mesai kartı çözersin: bir terim eşleştirmesi, bir olta sorusu ya da bir alarm kaydı gelir.
• Kartı doğru çözersen o gece sana atılan olta tutmaz.
• Gece kimseye bağlanmazsın.

Pek çok saldırı bir bağlantıya tıklamakla başlar. Tuhaf bir e-postayı erkenden bildiren çalışan ekibe zaman kazandırır. Oyunda doğru cevap seni oltadan korur; gerçekte farkındalık riski azaltır, sıfırlamaz.

• Her gece bir hesabı tararsın. Sonucu sabah görürsün.
• Baş Köstebek, Oltacı ve Fidyeci Şüpheli görünür. Rootkit, İçeriden Biri ve Trol Olağan görünür.
• Taradığın kişiye o gece bağlanmış sayılırsın. Adli Bilişimci ve Bal Küpü bunu görebilir.

SOC analisti kişiyi değil, hesabın ve cihazın kayıtlarını inceler. Gizlenen bir saldırgan olağan görünebilir, masum bir işlem de alarm üretebilir. Bu yüzden tek sonuca değil, kayıtların birleşimine bakar.

• İzole ettiğin hesap o gece ele geçirilemez ve şifrelenemez.
• Aynı kişiyi art arda iki gece izole edemezsin.
• Kendini oyunda bir kez izole edebilirsin.

Olay müdahalesinde ilk adımlardan biri sınırlamadır: ele geçirilen cihaz ağdan ayrılır, saldırı yayılmaz. Oyunda saldırıdan önce korursun; gerçekte izolasyon belirtiden sonra gelir ve işi bir süre durdurur.

• Sabah, izini sürdüğün kişinin o gece kime bağlandığını ya da kimseye bağlanmadığını görürsün.
• Birini tarayan, izole eden, izini süren ya da ona saldırıyı yürüten o kişiye bağlanmış sayılır.
• Köstebeklerden yalnız saldırıyı ya da keşfi yürüten bağlanır.

Adli bilişimci olayın zaman çizelgesini kurar: kim, ne zaman, nereye bağlandı. Delili değiştirmeden kopyalar, her adımı kayda geçirir. Oyunda iz bir gecede gelir; gerçekte inceleme günler sürebilir.

• Tuzak kurduğun gece sana bağlanan herkes sabah raporunda adıyla çıkar.
• Tuzak kurduğun gece sana gelen saldırı boşa gider.
• Tuzak hakkın masadaki kişi sayısına bağlı; kalabalık masada artar.

Bal küpü gerçek iş yapmayan tuzak sistemdir. Meşru kullanıcının orada işi yoktur, ona dokunan her bağlantı incelenir. Oyunda tuzak saldırıyı da durdurur; gerçekte korumaz, tespit eder.

• Gece mesai kartı çözersin.
• Gece ortasında biri hedef alınırsa "Temiz kurulum yapılsın mı?" sorusu gelir. Soru kilitten sonra gelir, cevap için en az 8 saniyen olur.
• Evet dersen ve o hesap gerçekten ele geçirilir ya da şifrelenirse sabah geri yüklenir.

Fidye yazılımına karşı en sağlam cevaplardan biri çevrimdışı tutulan ve geri yüklemesi denenmiş yedektir. Ama yedek tek başına yetmez: parolalar sıfırlanır, giriş yolu kapatılır. Sızan veri yedekle geri gelmez.

• Yetkini sorgu evresinde açıklarsın. Kartın o an herkese döner.
• O andan sonra verdiğin her oy iki oy sayılır.
• Yetkini açıkladıktan sonra Olay Müdahalecisi seni izole edemez.

CISO güvenlik risklerini yönetir ve önceliği belirler. Kendisi tespit etmez, ekibinin bulgusuyla karar verir. Görünür yöneticiler hedef de olur; üst düzey hesaplara özel hazırlanan oltaya balina avı denir.

• Keşif gecesinde saldırı olmaz. Ekibin seçtiği kişinin rolünü öğrenirsiniz.
• Hedefi ekip oyla seçer. Eşitlikte senin seçimin geçer. Kimse seçmezse o gece saldırı olmaz.
• Hedef gece ortasında kilitlenir.

Saldırgan sık sık çalınmış ama geçerli bir hesapla içeride dolaşır ve her adımda iz bırakır. Aynı teknikleri izinle kullanıp bulguyu raporlayan ekibe kırmızı takım denir; fark izin ve amaçtadır.

• Oltaladığın kişinin o geceki eylemi boşa gider ve kişi bunu sabah öğrenir.
• Hedef o gece mesai kartını doğru çözdüyse olta tutmaz. Tutup tutmadığını sen göremezsin.
• Ekibin hedef oyuna katılırsın.

Oltalama sahte bir e-posta ya da mesajla parola, kod ya da tıklama ister. Çok adımlı doğrulama çalınan parolanın işini zorlaştırır. Oyunda olta bir geceyi boşa çıkarır; gerçekte hedef çoğunlukla hesabın kendisidir.

• SOC taramasında Olağan görünürsün.
• Baş Köstebek ya da Oltacı çevrimiçiyken saldırıyı yürütmezsin ve kimseye bağlanmazsın.
• İkisi de yoksa saldırıyı sen yürütürsün; o zaman kurbana bağlanırsın, izin görünür.

Rootkit işletim sisteminin gösterdiği süreç ve dosya listelerini değiştirerek gizlenir. Bellek analizi bu listelere güvenmez, gizleneni başka yoldan bulur. Araçların görmemesi orada bir şey olmadığı anlamına gelmez.

• Köstebekleri tanırsın, onlar da seni tanır.
• Gece ekip telsizini okur ve yazarsın ama hedef oyuna katılmazsın, saldırı yürütmezsin.
• Gece mesai kartı çözersin. SOC taramasında Olağan görünürsün.

İç tehdit, erişimini kötüye kullanan çalışan ya da iş ortağıdır. Yetkisi zaten olduğu için imza bırakmaz, iz davranışta kalır: alışılmadık saat, alışılmadık veri. En az yetki ve görev ayrılığı riski küçültür.

• Yalnız oylamayla karantinaya alınırsan kazanırsın.
• Gece ele geçirilir ya da şifrelenirsen kazanamazsın.
• Kazandığında oyun sürer. Maç sonunda kazananlar arasında sen de olursun.

Sahte bayrak, saldırının izini başka birine yıkmaktır. Oyunda Trol şüpheyi kendine çeker; ikisinde de ekip yanlış yere bakar. Kanıtsız karantina gerçek saldırgana zaman kazandırır.

• Kimseyle ekip değilsin. Köstebekler de seni tanımaz.
• Keşif gecesinde şifreleme yok; o gece mesai kartı çözersin.
• Şifrelediğin hesap çevrimdışı olur. İzole edilen hesap o gece şifrelenmez.

Fidye çetesi önce sessizce yayılır, yedekleri arar, veriyi dışarı taşır. Oyunda her gece bir hesap düşer; gerçekte şifreleme son adımdır ve hepsi bir anda gelir. Yedek sızan veriyi geri getirmez.