Fidye yazılımı saldırıları dakikalar içinde olmaz. Tipik bir saldırıda ilk erişimle şifreleme arasında saatler, bazen günler vardır. Bu sürede zararlı yazılım komuta sunucusuyla konuşur, ek araç indirir, ağı keşfeder. Ve neredeyse her adım bir DNS sorgusuyla başlar.
İlk sinyal DNS'tedir
Komuta sunucuları genellikle yeni kaydedilmiş, kısa ömürlü ya da algoritmayla üretilmiş adlar kullanır. Defender bu sorguları birkaç katmanda değerlendirir:
- Tehdit istihbaratı: RPZ zone'ları, TAXII 2.1 ve MISP akışları, URL listeleri. Ad, cevap IP'si ya da adın yetkili sunucusu bilinen kötü altyapıdaysa sorgu engellenir.
- Yapay zekâ kategorizasyonu: daha önce görülmemiş adlar da kategorisine ve risk puanına göre değerlendirilir.
- Davranış: yeni kayıtlı alan, DGA üretimi ad ve DNS tüneli tespiti.
Engellenen sorgu cevapsız kalmaz; istemciye engelleme cevabı döner ve bağlantı hiç kurulmaz.
Engellemek yetmez: cihaz hâlâ enfekte
Engellenen bir C2 sorgusu, o bilgisayarda bir şeylerin çalıştığının kanıtıdır. Asıl iş, cihazı temizlemektir. Burada hız her şeydir.
NameDefence alarmları dış sistemlere otomatik bağlanır:
- Alarm oluşur: hangi kullanıcı, hangi bilgisayar, hangi alan, hangi kural.
- ServiceNow ya da Jira'da bilet açılır; önem derecesi ve ayrıntılar bilete yazılır. İsterseniz kendi otomasyonunuza imzalı webhook gider.
- Uç nokta koruma ürünü üzerinden cihaz ağdan yalıtılır. CrowdStrike Falcon ve Microsoft Defender for Endpoint doğrudan desteklenir.
- Aynı cihaz DNS tarafında da karantinaya alınabilir.
Gece üçte gelen bir alarm, sabah ekip gelene kadar beklemez.
Kim başka etkilendi?
Bir cihazda C2 görüldüğünde ilk soru başka cihazların da aynı altyapıya ulaşıp ulaşmadığıdır. Tehdit avı ekranında alan adından IP'ye, IP'den aynı adreste barınan diğer alanlara geçilerek saldırganın altyapısı bir grafik olarak çıkarılır. Pasif DNS geçmişi, bir alanın geçmişte hangi IP'lere çözüldüğünü saklar; altyapı değişse bile iz kaybolmaz.
Kısacası
Fidye yazılımı sessizce gelir ama ilk iş DNS'e sorar. O ilk sorguyu engelleyip bileti ve izolasyonu otomatiğe bağladığınızda, şifreleme başlamadan saldırıyı durdurma şansınız olur.