Pyramid Of Pain
Pyramid Of Pain Nedir?
Pyramid Of Pain, siber saldırıları sınıflandırmak ve saldırganların hedef sistemlere ulaşmak için kullandığı araçların zorluğunu temsil eden bir kavramdır, başka bir şekilde ifade etmek gerekirse aşamalarda yukarı çıkıldıkça(piramit), savunma tarafının işi zorlaşır, yani saldırganı takip etme işi zorlaşmaya başlar, aynı şekilde saldırganın da harcayacağı çaba piramidin üst katmanlarına çıktıkça artar. Bunun sonucunda saldırganın yeni taktikler geliştirmesi, savunma tarafından kaçmak için özel teknikler kullanması gerekir.
Nasıl ki ‘Cyber Kill Chain’ bir siber saldırının aşamalarının nasıl olması gerektiği hakkında bilgi veriyorsa, ‘Pyramid Of Pain’ kavramı da siber saldırıları savunma stratejisinde nasıl bir yol izlememiz gerektiğini anlatır.
Pyramid Of Pain 6 basamaktan oluşur ve aşağıdan yukarı doğru çıkıldıkça zorluk derecesi artar. Bu altı aşamayı, daha açıklayıcı olması açısından örnekler vererek anlatacağım.
Bu altı aşama şu şekildedir:
1.Hash Değerleri: Piramidin en altındaki seviyedir. Bu aşamayı anlamak için öncelikle hash değerinin ne olduğunu bilmemiz gerekiyor. Hash değeri, verilerin benzersiz bir şekilde temsil edilmesi için kullanılan kriptografik bir işlemdir, yani veri üstünde değişiklik yapıldığı zaman, hash değeri de değişir, bozulur.
İlk hash değeri ve elimizdeki hash değerini karşılaştırarak, herhangi bir zararlı dosyayla verinin değiştirilip değiştirilmediğini anlayabiliriz.
2. IP Adresleri: Saldırgan VPN kullanarak IP adresini değiştirmiş ve bu şekilde kendini gizlemiş olabilir. Savunma tarafı IP adresleri karşılaştırması yaparak VPN sağlayıcı kullanılıp kullanılmadığını belirleyebilir.
3.Domain Adları: Domain adlarını değiştirmek, sahte bir domain adı üretmek de IP adresi değiştirmek gibidir. Amacı IP adresi değiştirmek ile aynıdır, kendini gizlemek.
Örneğin resmi bir alan adında çok küçük harf değişikliği yapılarak, insanları yanıltma amacı güdülebilir. Savunma tarafı, domain adlarının doğru olup olmadığını taramalıdır.
4.Network/Host Artifacts: Bir ağ veya ana bilgisayarda yapılan işlemlerden, kullanılan kaynaklardan kalan izler olarak özetleyebiliriz(log kaydı). Bu izler, ağ trafiği, girdiler, sistem dosyaları gibi izler olabilir.
Bu izler, savunma tarafının kalıntıları inceleyerek, analiz ederek herhangi bir tehdit olup olmadığını anlamasına yardımcı olur.
5.Araçlar(Tools): Siber saldırılarda hepimizin bildiği gibi birtakım araçlar kullanılır. Bir kullanıcının hangi araçları kullandığına bakılarak şüpheli bir durum olup olmadığı hakkında genel bir yargıya erişilebilir. Detaylı olarak kullanılan araçlar incelenirse, saldırganın saldırıyı hangi amaçla yaptığı, ne elde etmek istediğiyle ilgili tahmin yürütülebilinir.
6.TTP (Teknik, Taktik, Prosedürler): Genel olarak saldırganın, saldırı esnasında izlediği yol haritası, saldırıyı yaparken kullandığı yöntemler, saldırı stratejilerini temsil eder. Savunma tarafı bu TTP’leri analiz ederek, saldırı ile ilgili tahminler yapabilir ve önlemler alabilir.
Özet olarak ‘Pyramid Of Pain’ saldırıları sınıflandırırken ve savunma stratejileri geliştirirken kullanılan bir modeldir. Her bir basamak saldırıları zorlaştırmak ve saldırganın hedeflediği veriye ulaşmasını güçleştirmek için savunma yöntemlerinin geliştirilmesine yardımcı olur.
