Siber Tehdit Avcılığına Giriş: Velociraptor ile Kalıcılık (Persistence) Analizi

Neden Sadece Beklemek Yetmez?

Siber güvenlik dünyasında sadece alarmların çalmasını beklemek artık yeterli değil. Modern savunma anlayışı, ağın içinde gizlenen tehditleri aktif olarak aramayı (Threat Hunting) gerektiriyor. Bu çalışmamda, Google tarafından geliştirilen güçlü bir Dijital Adli Analiz ve Olay Müdahalesi (DFIR) aracı olan Velociraptor’u deneyimlemek için kendi laboratuvarımı kurdum. Amacım basitti: Bir saldırgan gibi sisteme sızmak, kalıcılık sağlamak ve ardından bir dedektif gibi bu izleri bulmak.

Bu simülasyonu gerçekleştirmek için izole bir sanal ağ ortamı kurdum:

• Sunucu (Server): Kali Linux üzerinde Velociraptor Sunucusu.
• Ajan (Client): Windows 10 işletim sistemi (Hedef makine).
• Bağlantı: SSL şifrelemeli güvenli iletişim tüneli.

Senaryo: Saldırganın İlk Hedefi (Persistence) Bir saldırgan sisteme sızdığında ilk amacı, bilgisayar yeniden başlatılsa bile erişimini kaybetmemektir. Buna “Kalıcılık” (Persistence) denir. Bu çalışmada, MITRE ATT&CK T1547 (Boot or Logon Autostart Execution) tekniğini simüle ettim. Windows Kayıt Defteri’ne (Registry) zararlı bir başlangıç anahtarı ekledim. Senaryo gereği bu “zararlı”, sistem her açıldığında calc.exe'yi (Hesap Makinesini) çalıştıracak şekilde ayarlandı.

reg add “HKCU\Software\Microsoft\Windows\CurrentVersion\Run” /v “GizliHackerBackdoor” /t REG_SZ /d “C:\Windows\System32\calc.exe” /f

Velociraptor ile Analiz : Geleneksel yöntemlerde her bilgisayarı tek tek gezip Kayıt Defterini kontrol etmek imkansızdır. Ancak Velociraptor ile binlerce uç noktayı (Endpoint) saniyeler içinde tarayabilirsiniz.

Analiz sürecinde şu adımları izledim:

1. Sysinternals Autoruns Entegrasyonu: Velociraptor’un Windows.Sysinternals.Autoruns ve Windows.Persistence artifact'lerini kullanarak hedef makineden canlı veri topladım.
2. Veri Yığını İçinde İğne Aramak: Tarama sonucunda 1400'den fazla başlangıç kaydı döndü. Bu noktada analist yetenekleri devreye girdi.
3. Filtreleme ve Tespit: Veri setini filtreleyerek, standart Windows hizmetleri arasına gizlenmiş “GizliHackerBackdoor” isimli şüpheli anahtarı tespit ettim.

Bu laboratuvar çalışması bana şunları öğretti:

• EDR ve DFIR araçlarının çalışma mantığını,
• Saldırganların sistemde nasıl kalıcı izler bıraktığını,
• Büyük veri yığınları (Loglar) arasında anomali tespitinin nasıl yapıldığını uygulamalı olarak deneyimledim.

Siber güvenlik, sadece araçları kullanmak değil, o araçların arkasındaki mantığı anlamaktır.

Okuduğunuz için teşekkürler.