Siber g端venlik ve SOC
- 1. Serkan zden Servis Olarak SOC ve SIEM
- 2. Norbury
- 3. 禽艶庄庄馨...
- 4. Big Data ve IOT Etkisi
- 5. Siber Tehditler Securityintelligence.com DDOS, Malware, SQLi, Misconfigurations,
- 6. Target Veri S脹zd脹rma Vakas脹 (Eyl端l 2013 Ocak 2014) Sald脹rgan cephesi Target cephesi Eyl端l 2013 12 Kas Target PCI-DSS sertifikasyonu Sald脹rganlar脹n Fazio hesap bilgilerini oltalama y旦ntemi ile ele ge巽irmesi 15-28 Kas 30 Kas 2 Ara 12 Ara 15 Ara 19 Ara 10 Oca Target a脹na s脹z脹lmas脹 Zararl脹 yaz脹l脹m脹n Target POS sisteminde test edilmesi POS zararl脹 yaz脹l脹m脹n脹n tam faal hale gelmesi Veri s脹zd脹rma yaz脹l脹mlar脹n脹n y端klenmesi S脹zd脹rme ve zararl脹 yaz脹l脹m g端ncellemesi 聴le kart bilgilerinin s脹zd脹rman脹n balamas脹 Symantec zararl脹 yaz脹l脹m aktivitesi tespiti 聴lk FireEye Alarmlar脹n脹n tetiklenmesi Daha fazla FireEye alarm脹 US DoJ Targettaki s脹zma vakas脹n脹 duyurmas脹 Target vakay脹 onad脹,zararl脹 yaz脹l脹mlar脹 bertaraf etmeye balamas脹 Sald脹rganlar脹n Target a脹na eriimi kaybetmeleri Target 40M kart bilgisinin 巽al脹nd脹脹n脹 duyurmas脹 Target ilave 70Mkart bilgisinin 巽al脹nd脹脹n脹 duyurmas脹
- 7. Benglade Merkez Bankas脹 Vakas脹 (ubat 2016) Bangladesh Central Bank Federal Reserve Bank (NY) Philippine Bank Sri Lanka Bank Hackers Sald脹rganlar Benglade Merkez Bankas脹 sistemlerine malware y端klemesi ger巽ekletirir. Y端ksek olas脹l脹kla 0-g端n tipte mail veya web tipi a巽脹kl脹ktan faydalan脹larak ger巽ekletii d端端n端lmektedir. Malware, y端ksek olas脹l脹kla uzaktan y旦netilebilir bir 旦zelliktedir. Keylogger, spyware tipi bilgi toplama y旦ntemi kullan脹l脹r. Sald脹rganlar脹n uzaktan haftalar s端ren incelemeleri ile banka s端re巽leri 旦renilmeye 巽al脹脹l脹r. 2 Amerikadaki bankalardan 巽ekilecek ekilde paran脹n 巽脹kart脹lma y旦ntemi belirlenir. Y端ksek olas脹l脹kla FTT (Fedwire Fund Transfer) servisinin incelenmesi ile. Bankan脹n SWIFT hesap bilgileri kullan脹larak Sri Lanka ve Filipinlerde daha 旦nce a巽脹lm脹 olan hesaplara para transferi ger巽ekleir. (ubat 2016) May脹s 2015te Sri Lanka ve Filipin Bankalar脹nda sahte banka hesab脹 a巽脹l脹r Toplamda 100mio USD Sri Lanka ve Filipinlerdeki banka hesaplar脹na a脹rl脹脹 Filipinler olmak 端zere 5 farkl脹 transfer ile ger巽ekletirilir. 3 4 5 7 1 SWIFT transflereri i巽in kullan脹lan hesap bilgileri ele ge巽irilir.8 Fonlar Filipinlerdeki kiisel hesaplara transfer edilmitir. Daha sonra iki farkl脹 hesaba konsolide edilip buradan da yurt d脹脹ndaki farkl脹 Casino hesaplar脹na g旦nderilir. Filipinlerdeki hesaplar脹n sahibi olan i adam脹 daha sonra yap脹lan sorgulamada hesaplar脹n kendisine ait olmad脹脹n脹 belirtir. 6 Fake Personal Accounts Consolida tion Accounts Outside Entities 9
- 8. Y旦netim ve 聴zleme 5 x 8 Tan脹mlama Planlama Tasar脹m Kurulu 7 x 24 Troubleshooting SIEM NMS Olay Y旦netimi
- 9. SOC Mimarisi G端venlik Bilgi ve Olay Y旦netimi Platformu (SIEM) ( HTTP, SMTP, SNMP, SYSLOG, API, ..) G端venlik Sistemleri Sunucu ve Sanallat脹rma Sistemleri Network Cihazlar脹 Uygulamalar ( Mail, Veri taban脹, AD, vb..) 聴letmen G端venlik Sistemleri Y旦netimi Network Altyap脹 Y旦netimi Sunucu Sistemleri Uygulama Y旦netimi 7x24 聴zleme Tehdit Analizi ve Y旦netimi Zafiyet Y旦netimi SIEM Y旦netimi Korelasyon Kural Yaz脹m ve Uygulanmas脹 Flow Analiz Analist ( K端resel ) Analist SIEM M端hendisi SOC M端hendisi L2 L3 L1 L2 + L3
- 10. Neden SOC? Siber g端venlik 端r端nlerinin ger巽ek sald脹r脹lar kar脹s脹ndaki uyar脹 ve engelleme kabiliyeti 20% 聴巽 ve d脹 veya kayna脹 bilinmeyen siber sald脹r脹 olay脹 yaanma oran脹 ( Son 2 y脹lda) 63% Zaman脹nda siber sald脹r脹y脹 farketme ve 旦nleme oran脹5% Kullan脹lan siber g端venlik 端r端nlerine olan g端ven 80% al脹anlar脹n Siber G端venlik teknik fark脹ndal脹脹30% Bir sald脹r脹 olsa da konunun 旦nemi artsa diyenler70%
- 11. G端venlik Operasyon Merkezi (SOC) Temel Standart 聴leri G端venlik cihazlar脹n脹n Performans ve Trafik izlemesi URL izleme G端venlik Cihazlar脹nda Problem Tespiti ve M端dahale* Atak Durumlar脹n脹n Tespit, Takip ve Raporlanmas脹 (SNMP) SIEM Sistemi Tasarlanmas脹 ve Kurulumu Log Kaynaklar脹n脹n Belirlenmesi ve Entegrasyonu Korelasyon Kurallar脹n脹n Oluturulmas脹 Gold Platin SIEM 聴letimi Global Tehdit 聴stihbarat Servisi Kullan脹m脹 Gold Platin M端teri zelinde SIEM ve SOC Dan脹manl脹脹* G端venlik 聴hlal Durumlar脹n脹n Detayl脹 Anl脹k Analizi Zafiyet Tarama ve Flow Analizi Gold Platin
- 12. Offense (Use Case) Kurallar脹 12 3. Parti Dan脹manlar (VPN, Proxy, AV) - Kullan脹c脹 Listesi - VPN Subnetleri - Aktivite izleme POS ve kasa sistemleri (Firewall, IPS, AV) - AV stat端s端 izleme - Deaktif - Eski imzalar Phishing Sald脹r脹lar脹 (Ironport, Symantec.cloud Email Sec, Office 365) - Phishing Email alan kullan脹c脹lar - Zararl脹 sitelere ulamaya 巽al脹an kullan脹c脹lar Sunucu Aktivitelerinin 聴zlenmesi (domain 端yeleri, IP addresleri, Sunucu isimleri, lokasyonlar) - AD lolar脹 端zerinden kimlik dorulama lolar脹n脹n izlenmesi - AV lolar脹ndan AV stat端lerinin izlenmesi - SCCM loglar脹 ile uygulama 端zerindeki deiikliklerin izlenmesi Uzak ube izleme (AD, LDAP, ACS, MS Office 365, IPS, sunucu lolar脹) - ubelerden 巽oklu kimlik dorulama hatalar脹 - Shell balant脹 denemeleri - Uzak ubelerden tarama aktiviteleri - Uzak ubeden kaynaklanan SPAM postalar Kritik zararl脹 tip programlar脹n tespiti (IIS, Apache HTTP sunucular脹, proxy loglar脹, SSL VPN) - M端terinin sistemlerindeki ula脹labilir zafiyetler - Kritik malware tool tespiti Deaktif hesap kullan脹m脹 (AD, LDAP, ACS) - Deaktif edilen kullan脹c脹lar - Login olan deaktif kullan脹c脹lar脹n izlenmesi
- 13. Yaanm脹 vaka 旦rnei 13 1 2 3 Vaka: Internet 端zerinden irketin AD sunucusuna balant脹 ger巽ekletirilmesi Zaman: Yeni bir m端terimizin SIEM iletim hizmeti ge巽i 巽al脹malar脹 aamas脹 Bir irket 巽al脹an脹na ait mail hesab脹na ait ifrenin brute-force y旦ntemiyle ele ge巽irilmesi Ele ge巽irilen hesaba ait ifrenin deitirilmesi OWA sunucusuna d脹ar脹dan eriilmesi 4 AD sunucusuna ayn脹 hesapla balant脹 salanmas脹
- 15. KURUM KOS聴STEM BORDRO $ M端teri 1 M端teri 2 M端teri 3 M端teri 4 M端teri 5 BORDRO $ SERV聴S $ SERV聴S $ YEMEK $ YEMEK $ YER MAL聴YET聴 $ YER MAL聴YET聴 $ Y E D E K Y E D E K
- 16. K U R U M K O S 聴 S T E M Korelasyon Ekibi Alarm Alarm Ekibi Korelasyon Korelasyon #1 Korelasyon #2 Korelasyon #3 Korelasyon #4 Korelasyon #5 Alarm #1 Alarm #2 Alarm #3 Alarm #4 Alarm #5 ! !! ! Korelasyon #1 Korelasyon #2 Korelasyon #3 Korelasyon #4 Korelasyon #5 Alarm #1 Alarm #2 Alarm #3 Alarm #4 Alarm #5 Korelasyon #6 Alarm #6
- 17. U巽tan U巽a Y旦netim ve Bak脹m Hizmeti (G端venlik Network Ses) Geni kapsaml脹 y旦netilen g端venlik hizmet 端r端nleri z kaynaklarla y旦netilen hizmetler T端rkiyedeki ilk SOC ve k端resel i ortakl脹klar脹 ile L3 destek Internet ve/veya ISP'den ba脹ms脹z bir g端venlik hizmeti olmas脹 G端venlik 端reticileri ve ISPler ile 端st seviye i ortakl脹klar脹 G端venlik oda脹 ile birlikte ula脹lan 100+ YH M端terisi Neyi Farkl脹 Yap脹yoruz?
- 19. Yol Haritam脹z Web Uygulama G端venlik Duvar脹 (WAF) Global Y端k Dengeleme DDoS Atak nleme (Uygulama Seviyesi) A Eriim G端venlii (NAC) Veritaban脹 G端venlik Duvar脹 Log Y旦netimi G端venlik Duvar脹 Sald脹r脹 nleme (IPS) Y端k Dengeleme VPN (SSL, Ipsec) Web/URL Filtreleme Mail Filtreleme/G端venlii Hotspot Otomatize Zafiyet Tarama Korelasyon/Olay Y旦netimi (SIEM) Otomatize S脹zma Testi G端venlik Operasyon Merkezi (SOC) 2016 Plan脹 2017 2018 Plan脹 K端resel G端venlik Operasyon Merkezi
- 20. Nereye Gidiyoruz? B端y端k Veri daha 巽ok 旦nem kazanacak Internet of Things ile Network kavram脹 farkl脹 bir anlam kazanacak ve sosyal medya g端venlik anlam脹nda tehditlerin odak noktas脹 haline gelecek Kredi kart脹 h脹rs脹zlar脹 Bilgi Tacirlerine d旦n端ecek MDM G端venlii ihtiya巽 artacak Corafi yedekli SOC yap脹lanmas脹 G端venlik analizinin odak haline gelmesi (SOME vb.) Veri s脹z脹nt脹lar脹 ve tehditlere istihbarat servisleriyle ileri seviye entegrasyon 聴巽 ve d脹 tehditlere kar脹 yeni nesil proaktif yakla脹m (Dan脹manl脹k) K端resel 旦l巽ekte hizmet vermeye y旦nelik yap脹lanma Trend Ko巽Sistem SOC
- 21. D端nyada yap脹labilecek en b端y端k iyilik, korku i巽inde yaayan bir kimseyi emniyete kavuturmakt脹r. BEYDEBA