ZEKASTRA

Uygulamalı

Laboratuvar

Bir güvenlik operasyon ekibinin günlük işini uydurma veriyle çalışın: benzetim ağını izleyin, alarmları ayıklayın, kayıtları arayın, neyi tespit edebildiğinizi haritalayın. Hiçbir şey tarayıcınızdan çıkmaz.

Yerelde çalışırUydurma veri. İlerleme yalnızca bu tarayıcıda tutulur.

Benzetim. Gerçek saldırı verisi değildir.

Operasyon panosu

Uydurma bir lojistik şirketi olan Kuzey Lojistik A.Ş.'nin güvenlik operasyon merkezi (SOC) ekranı. Arka planda olağan trafik ve her günkü saldırı gürültüsü akar. Bir senaryo başlattığınızda bu gürültünün üstünde adım adım ilerleyen bir olay görürsünüz; her adımda savunmacının ne yapması gerektiği yazılıdır.

Benzetim saati--:--:--Duraklatıldı

Pano JavaScript ile çalışır. Aşağıdaki açıklamalar JavaScript olmadan da okunur.

Göstergeler

  • Olay / dk–son benzetim dakikasıSon 10 benzetim dakikasında dakika başına olay
  • Açık alarm–tespit edilen ya da ayıklama bekleyen
  • Engellenen–olayların payı, son 10 dk
  • Ortalama tespit süresi–MTTD, engellenmeyen olaylar
  • Ortalama müdahale süresi–MTTR, kapatılan alarmlar
  • En çok hedeflenen–olay, son 10 dk
  • Olağan akış / dk–alarm üretmeyen bağlantılar

Ağ haritası

  • Olağan trafik
  • Engellendi
  • Tespit edildi
  • Ayıklama bekliyor
  • Senaryo yolu

Bir düğümü seçin; rolünü, son olaylarını ve onu koruyan kontrolleri görürsünüz.

Olay akışı

    Senaryo ilerlemesi

    Çalışan senaryo yok. Yukarıdan birini seçip başlatın; adımlar gerçekleştikçe burada görünür.

      Dağılımlar, son 10 benzetim dakikası

      Sonuca göre

      ATT&CK taktiğine göre

        Olay türüne göre

          Kaynak konum etiketi

            Bilerek rastgele dağıtıldı. Bir IP adresinin ülkesi, arkasında kimin olduğunu pek söylemez.

            Canlı saldırı haritaları nasıl okunmalı

            1. Bir firmanın haritası saldırıların tamamını göstermez. Gösterdiği, o firmanın kendi algılayıcılarında, ürünlerinde ve tuzak sistemlerinde (honeypot) yakalanan tespitlerden bir örnektir; bir harita yalnızca kendi virüs tarayıcısının, e-posta filtresinin ya da saldırı tespit sisteminin bulduklarını çizebilir.
            2. Haritaların çoğu canlı değildir; kaydedilmiş olayları yeniden oynatır, bazıları her gün sıfırlanır.
            3. Ok, trafiğin nerede görüldüğünü gösterir, kimin saldırdığını değil. Kaynak adres çoğu zaman ele geçirilmiş bir ev cihazına, kiralık bir sunucuya, bir VPN'e ya da bir botnet üyesine aittir.
            4. IP konumu güvenilmezdir. Konum veritabanları adresin kayıtlı olduğu yeri tahmin eder ve sık sık yanılır. Bu panoda ülke kodları bilerek rastgele dağıtılmış etiketlerdir; savunmacılar ülke engeli yerine itibar listeleri ve davranış kuralları kullanır.
            5. Bir kurumun kendi SOC'u için işe yarayan harita dünya haritası değil, kendi ağ haritasıdır: hangi varlığa ne geldi, ne engellendi, ne hâlâ birinin bakmasını bekliyor. Bu pano o görünümü canlandırır.

            Kaynaklar

            Bu benzetim nasıl çalışır

            • Her adım 10 benzetim saniyesidir; 1x hızda bir adım 0,8 saniye sürer. Göstergeler ve dağılımlar son 10 benzetim dakikasını kapsar.
            • MTTD, kötü amaçlı eylem ile alarm arasındaki ortalama süredir; engellenen olaylar hesaba katılmaz. MTTR, alarmın oluşmasından kapanmasına kadar geçen ortalama süredir.
            • Yoğun günde olay sayısı yaklaşık üç katına çıkar; analist kuyruğu uzadığı için alarmlar da daha geç kapanır.
            • Alarmları akıştan kendiniz kapatabilirsiniz. Kapatmazsanız benzetimdeki analist bir süre sonra kapatır; senaryo alarmları senaryo bitene kadar açık kalır.
            • Arka plan olayları sabit bir tohum değeriyle üretilir; Sıfırlayın düğmesi aynı akışı baştan oynatır. Hiçbir veri bir yere gönderilmez.

            Laboratuvarlar

            Her laboratuvar uydurma veri kullanır ve yalnızca savunma işini canlandırır. Sahibi olmadığınız ya da yazılı izin almadığınız sistemleri denemeyin: bilişim sistemine hukuka aykırı erişim suçtur (TCK m. 243).