Windows sistemlerinde uzun süreli erişim sağlamak, siber güvenlik alanında hem saldırı hem de savunma senaryolarının temel taşlarından biridir. Bu konuda yetkin olmak, kırmızı takım operatörlerinin gerçek dünya tehditlerini simüle etmesine, mavi takım profesyonellerinin ise saldırıları erkenden tespit ederek müdahale etmesine olanak tanır.
Bu rehberde, Windows üzerindeki kalıcılık tekniklerinin (persistence) derinlemesine incelenmesiyle birlikte, MITRE ATT&CK çerçevesine göre sınıflandırılmış uygulamaları bulacaksınız. Ayrıca, siber güvenlik öğrencilerinden dijital adli tıp uzmanlarına kadar geniş bir kitleye hitap eden bu içeriğin temelini oluşturan kurumsal kurs hakkında da detaylı bilgiler sunulmaktadır.
Windows Kalıcılık Teknikleri Neden Kritik Öneme Sahip?
Kalıcılık, bir saldırganın sisteme ilk girişinden sonra uzun vadede erişimini sürdürebilmesini sağlayan mekanizmalara verilen genel bir terimdir. Bu teknikler, sistem yöneticilerinin günlük rutin kontrollerinde fark edilmeyecek şekilde tasarlanmış olabilir. Örneğin, Windows Kayıt Defteri’ne yerleştirilen bir anahtar dosya veya otomatik olarak başlayan bir hizmet, saldırganın sistemde istediği zaman yeniden erişim sağlamasına olanak tanır.
MITRE ATT&CK çerçevesine göre, kalıcılık teknikleri TA0003 koduyla sınıflandırılır ve saldırı zincirinin önemli bir halkasını oluşturur. Bu teknikleri anlamak, hem saldırıların simülasyonunda hem de savunma stratejilerinin geliştirilmesinde kritik rol oynar.
En Yaygın Windows Kalıcılık Yöntemleri ve Uygulamaları
Windows sistemlerinde kullanılan kalıcılık teknikleri oldukça çeşitlidir. İşte en sık karşılaşılan yöntemler ve bunların nasıl uygulandığına dair temel bilgiler:
1. Kayıt Defteri Tabanlı Kalıcılık
Windows Kayıt Defteri, sistem yapılandırmaları ve uygulamalar hakkında geniş bilgiler içeren merkezi bir veritabanıdır. Saldırganlar, bu kayıt defterine ekleyecekleri belirli anahtarlar aracılığıyla sistemin her başlangıcında otomatik olarak çalışacak dosyalar veya komutlar yerleştirebilirler.
- Run Anahtarlarına Eklenen Girişler: Windows sistemleri, kullanıcı oturumu açtığında veya sistem yeniden başlatıldığında otomatik olarak çalıştırılması gereken uygulamaları
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunveHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runkayıt defteri anahtarlarında saklar. - Kalıcı DLL Yükleme: Bir DLL dosyasının, sistem tarafından kullanılan bir uygulamaya enjekte edilmesiyle, saldırganın kodu her çalıştırıldığında otomatik olarak sisteme yerleşmesi sağlanır.
2. Hizmet Olarak Çalıştırılan Uygulamalar
Windows hizmetleri, sistem açılışında otomatik olarak çalışmaya başlayan arka plan uygulamalarıdır. Bu hizmetlere zararlı DLL’ler enjekte edilerek saldırganın sistemde uzun süreli varlığı garanti altına alınabilir.
# Hizmet oluşturma örneği (izin gerektirir)
New-Service -Name "GüvenlikGüncellemesi" -BinaryPathName "C:\Windows\System32\malware.exe" -StartupType Automatic3. Zamanlanmış Görevler ve Otomatik Başlangıç
Windows’un yerleşik zamanlanmış görevler aracı (schtasks), saldırganların sistemde belirli aralıklarla çalışacak görevler oluşturmasına olanak tanır. Bu görevler, sistem yöneticilerinin dikkatini çekmeyecek şekilde gizlenebilir.
- Örnek Görev Tanımlama
schtasks /create /tn "GünlükYedek" /tr "C:\malicious\payload.exe" /sc daily /st 03:004. DLL Yükleme (DLL Hijacking)
DLL yükleme saldırıları, saldırganın sistemdeki bir uygulamaya zararlı bir DLL dosyasını enjekte etmesiyle gerçekleşir. Bu uygulama çalıştırıldığında, saldırganın kodu otomatik olarak sisteme yerleşir.
- Saldırı Senaryosu
- Saldırgan, sistemdeki
C:\Program Files\Uygulama\klasöründe bulunan bir uygulamaya zararlı bir DLL dosyası yerleştirir. - Normalde sistem tarafından kullanılan bu uygulama, zararlı DLL’yi yüklediğinde saldırganın kodu çalıştırılır.
Siber Güvenlik Ekipleri için Önerilen Araçlar
Windows kalıcılık tekniklerini hem saldırı hem de savunma perspektifinden analiz etmek için çeşitli araçlar kullanılabilir. Bu araçlar, sistemdeki anormallikleri tespit etmek ve saldırıları simüle etmek amacıyla geliştirilmiştir:
- Mimikatz: Windows sistemlerinde kimlik bilgilerinin çıkarılması ve yönetilmesi için kullanılan güçlü bir araçtır. Saldırganlar tarafından kullanılan bu araç, mavi takım ekipleri tarafından da saldırıların tespiti için kullanılabilir.
- PowerUp: PowerShell tabanlı bu araç, sistemdeki zafiyetleri ve kalıcılık fırsatlarını otomatik olarak taramaktadır.
- RegRipper: Kayıt defteri analizlerinde kullanılan bu araç, sistemdeki şüpheli değişiklikleri hızlıca tespit eder.
- Frogman Tool: Kırmızı takım operatörleri tarafından kalıcılık tekniklerinin uygulanması ve analizinde kullanılan özel bir araçtır.
Eğitsel Kursun Kapsamı ve Hedef Kitlesi
Bu rehberde bahsedilen tekniklerin yanı sıra, siber güvenlik alanında derinlemesine bilgi edinmek isteyenler için önerilen bir kurs bulunmaktadır. Bu kurs, Windows sistemlerinin iç yapısını, kalıcılık mekanizmalarını, ayrıcalık yükseltme tekniklerini ve dijital adli tıp süreçlerini uygulamalı olarak ele almaktadır.
- Kursun İçeriği
- Windows Önyükleme Süreci
- Windows Sistem Çağrıları ve Bellek Yönetimi
- PEB ve TEB Yapıları
- Kayıt Defteri Tabanlı Kalıcılık
- Ayrıcalık Yükseltme ve Sonrası
- MITRE ATT&CK Haritalaması
- Hedef Kitle
- Siber güvenlik öğrencileri
- SOC analistleri
- Mavi takım mühendisleri
- Kırmızı takım operatörleri
- Malware analizcileri
- Dijital adli tıp araştırmacıları
Önemli Uyarı: Eğitim Amaçlı Kullanım
Bu kurs ve teknikler, yalnızca yetkilendirilmiş laboratuvar ortamlarında ve eğitim amaçları doğrultusunda kullanılmalıdır. Sistemi test etmek veya analiz etmek istediğinizde, mutlaka ilgili sistemin sahibinden veya yöneticisinden izin almanız gerekmektedir. Yasal olmayan herhangi bir aktivite ciddi ceza ve hukuki sonuçlar doğurabilir.
Siber güvenlik dünyasında sürekli gelişen tehditlere karşı hazırlıklı olmak, hem savunma hem de saldırı ekiplerinin temel görevidir. Windows kalıcılık tekniklerini anlamak, saldırıların simülasyonundan savunma stratejilerinin geliştirilmesine kadar geniş bir yelpazede kritik bir rol oynar. Bu alandaki bilgilerinizi sürekli güncel tutarak, dijital dünyanın güvenliğine katkıda bulunabilirsiniz.
Yapay zeka özeti
Windows sistemlerinde uzun vadeli erişim sağlamanın en etkili yöntemlerini ve MITRE ATT&CK haritalamasıyla nasıl tespit edilebileceğini öğrenin. Hem saldırı hem de savunma ekipleri için kritik bir kaynak.
