Zararlı Yazılım Tespiti ve Siber i̇stihbarat Amaçlı IOC Kullanımı

Zararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IoC Kullanımı
NetsecTR
- 2016 -

Hakkımda
Zararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IOC Kullanımı
@BGASecurity
 İYTE Bilgisayar Mühendisi
 Senior SOC Analyst - BGA Bilgi Güvenliği A.Ş.
 Blog : blog.bga.com.tr, mehmetkilic.pro
 Twitter : @mehmet_klic
 LinkedIn : mhmtklc
 Mail : mehmet.kilic@bga.com.tr

İçerik
Zararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IOC Kullanımı
@BGASecurity
IoC Nedir?
Mevcut Zorluklar
IoC Çeşitleri
Zararlı Yazılım Analizi
IoC Kullanımı
Siber Tehdit İstihbaratı
Araçlar

IoC Nedir?Zararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IOC Kullanımı

IoC Nedir?
@BGASecurity
Indicator of Compromise (IOC) — in computer forensics is an artifact observed on a
network or in an operating system that with high confidence indicates a computer
intrusion. Typical IOCs are virus signatures and IP addresses, MD5 hashes of malware files
or URLs or domain names of botnet command and control servers.
Kaynak : https://en.wikipedia.org/wiki/Indicator_of_compromise

IoC Nedir?
@BGASecurity
Forensic
Analysis
Malware
Analysis
IOC
• Özel İndikatörler (URL, File Hash,
string, ...)
• Genel İndikatörler (Kullanılan API, Code Injection
Sign, Suspicious Process Tree, ...)
• Tanımla ve Geliştir
• Analiz (Canlı Sistemlerde, Disk İmajında,
Memory İmajında)

Mevcut Zorluklar
@BGASecurity
• Neyi Arıyorum?
• Sınırlı Bilgi
• Zaman
• Aksiyonum Ne Olmalı?
• Kaybım Nedir?

IoC ÇeşitleriZararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IoC Kullanımı

OpenIOC – IoC Çeşitleri
@BGASecurity
Open Indicators of Compromise — is an extensible XML schema for the description
of technical characteristics that identify a known threat, an attacker’s methodology, or
other evidence of compromise.
Kaynak : http://www.openioc.org
Mandiant

OpenIOC – IoC Çeşitleri
@BGASecurity
Kaynak : http://www.openioc.org

CybOX – IoC Çeşitleri
@BGASecurity
Cyber Observable eXpression — is a standardized schema for the specification,
capture, characterization and communication of events or stateful properties that are
observable in the operational domain.
Kaynak : http://cybox.mitre.org
Mitre

CybOX File Instance
@BGASecurity

MAEC– IoC Çeşitleri
@BGASecurity
Malware Attribute Enumaration and Characterization — is a standardized
language for encoding and communicating high-fidelity information about malware based
upon attributes such as behaviors, artifacts, and attack patterns.
Kaynak : https://maec.mitre.org/
Mitre

MAEC– IoC Çeşitleri
@BGASecurity

IODEF – IoC Çeşitleri
@BGASecurity
Incident Object Description Exchange Format— defines a data representation
that provides a framework for sharing information commonly exchanged by Computer
Security Incident Response Teams (CSIRTs) about computer security incidents.
Kaynak : http://www.ietf.org/rfc/rfc5070.txt
IETF Standard ( RFC5070 )

Zararlı Yazılım AnaliziZararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IoC Kullanımı

Zararlı Yazılım Analizinde IoC
@BGASecurity
• Amacı
• Sızma Yöntemi
• Sistemde Aktifleşme
• Network Tarafında Haberleşme
• Saldırganın Zararlı ile İletişimi
• Saldırının Profili
• Zararlının Etkisi

Zararlı Yazılım Analizi Yaşam Döngüsü
@BGASecurity
Kaynak : OpenIOC

Stuxnet IoC
@BGASecurity

OpenIOC
@BGASecurity
Mandiant IoC Editor

OpenIOC
@BGASecurity
Mandiant IoC Finder
• Komut satırından yönetim
• Canlı veriler üzerinde çalışma
• IoC leri toplanan verilerde deneme
• Html ya da Word olarak çıktı

@BGASecurity
YARA
rule netsec_sample
{
meta:description = "This is just an example for netsec”
thread_level = 3
in_the_wild = true
strings:
$a = {6A 40 68 00 30 00 00 6A 14 8D 91}
$b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
$c = ”Netsec.exe”
condition:
$a and ($b or $c)
}

@BGASecurity
YARA Cheat Sheet
Kaynak : https://github.com/YaraExchange/yarasigs

@BGASecurity
YARA
rule CozyCar
{
meta:
description = "Rule designed to detect CozyCar Dropper, extracted from SFX archive alongside a decoy"
author = "bleneve@paloaltonetworks.com"
reference = "http://researchcenter.paloaltonetworks.com/2015/07/tracking-minidionis-cozycars-new-
ride-is-related-to-seaduke/"
date = "2015-07-14"
strings:
$s0 = "5 5$505P:T:X::`:d:h:l:p:t:" fullword ascii
$s1 = "<U<^<5=A=l=)>2>$?-?" fullword ascii
$s2 = "%ws_out%ws" fullword wide
$s3 = "=#=4=:=@=G=P=U=[=c=h=n=v={=" fullword ascii
condition:
uint16(0) == 0x5a4d and filesize < 1172KB and all of them
}
Kaynak : https://github.com/YaraExchange/yarasigs

Siber Tehdit İstihbaratıZararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı IoC Kullanımı

@BGASecurity
Siber Tehdit İstihbaratı
• Siber Tehdit İstihbaratının Geleceği – IoC
• Siber Saldırganların Yöntemlerini Bil
• Kanıt Tabanlı Veri
• Var Olan Verilerde Pasif Kontrol

@BGASecurity
IoC Paylaşımı
Saldırgan
Kurum A
Saldırgan
Kurum B Kurum C Kurum D Kurum E
SİBER TEHDİT İSTİHBARATI

@BGASecurity
STIX
Structured Threat Information eXpression— is primarily for sharing of threat
intelligence pertaining to incidents. STIX represents the relationships between these
objects, forming a graph of relationships that potentially link different campaigns through
particular actors and malware hashes.
Kaynak : http://stix.mitre.org
Mitre

@BGASecurity
IoC Araçları
• Redline
• Memoryze
• Audit Viewer
• Highlighter
• openioc_scan – IoC Scan for Memory
• Red Curtain
• Web Historian
• First Response

SORULAR
Zararlı Yazılım Tespiti ve Siber İstihbarat Amaçlı
IoC Kullanımı

-Teşekkürler-
bgasecurity.com | @bgasecurity

Zararlı Yazılım Tespiti ve Siber i̇stihbarat Amaçlı IOC Kullanımı

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (8)

Similar to Zararlı Yazılım Tespiti ve Siber i̇stihbarat Amaçlı IOC Kullanımı

Similar to Zararlı Yazılım Tespiti ve Siber i̇stihbarat Amaçlı IOC Kullanımı (20)

More from BGA Cyber Security

More from BGA Cyber Security (20)

Zararlı Yazılım Tespiti ve Siber i̇stihbarat Amaçlı IOC Kullanımı

Editor's Notes