🔴Red vs Blue #3: Ransomware (Fidye Yazılımı) vs EDR & Gölge Kopyalar (VSS) Zırhı Kurumsal ağlarda en büyük kabuslardan biri, tek bir gecede tüm sunucuların kilitlenmesi ve sistemlerin erişilemez hale gelmesidir. Modern ransomware operasyonlarında saldırganlar, kurbanın kurtarma seçeneklerini azaltmak amacıyla yerel yedekleri ve gölge kopyaları da hedef alabilir. 🔴 Kırmızı Takım (Red Team): Veri Şifreleme ve Yedek Silme Stratejisi Bazı ransomware operasyonlarında saldırganlar, sisteme erişim ve gerekli yetkileri elde ettikten sonra doğrudan şifrelemeye geçmek yerine önce kurbanın kurtarma seçeneklerini azaltmaya çalışır. Adım 1 (Gölge Kopyaların Hedef Alınması): Bazı ransomware aileleri, Windows Volume Shadow Copy Service (VSS) tarafından oluşturulan gölge kopyaları hedef alarak kullanıcının önceki dosya sürümlerinden veya yerel kurtarma mekanizmalarından yararlanmasını zorlaştırmaya çalışır. -*- # LAB / TESPİT TESTİ — VSSADMIN çalıştırılmasını simüle eden zararsız sorgu vssadmin list shadows -*- Red Team Lab Notu: Gerçek ransomware davranışında saldırgan gölge kopyaları yok etmeye çalışabilir. Laboratuvar ortamında ise vssadmin list shadows ile VSS kullanımına ilişkin süreç/komut satırı telemetrisi güvenli biçimde üretilebilir ve EDR/SIEM tarafında vssadmin.exe çalıştırılması gözlemlenebilir. Adım 2 (Onarımın Engellenmesi): Sistem yeniden başladığında kurtarma moduna girmesin diye bcdedit /set {default} recoveryenabled No gibi komutlarla Windows otomatik onarımı kapatılır. Adım 3 (Dosya Şifreleme ve Fidye Notu): Ransomware ailesine göre farklılık göstermekle birlikte saldırganlar genellikle hızlı simetrik şifreleme ile anahtar koruması için asimetrik kriptografiyi birleştiren hibrit yapılar kullanabilir. Ardından kurbana ödeme veya iletişim talimatlarını içeren bir fidye notu bırakılır. 🔵 Mavi Takım (Blue Team): EDR Davranışsal Tespiti ve Immutable Backup Zırhı Geleneksel antivirüsler imza tabanlı çalıştığı için yeni çıkan bir Ransomware varyantını kaçırabilir. Bu yüzden Mavi Takım savunmasını davranış analizi üzerine kurar. EDR Davranışsal Analiz (Behavioral Monitoring): EDR çözümleri; gölge kopyaların topluca silinmesi, kurtarma ayarlarının değiştirilmesi ve kısa sürede çok sayıda dosyanın olağandışı biçimde değiştirilmesi gibi davranışları korelasyonla tespit edebilir. Ürünün yapılandırmasına göre şüpheli süreç sonlandırılabilir ve etkilenen cihaz ağdan otomatik olarak izole edilebilir. Kurcalama Koruması (Tamper Protection): EDR/antivirüs ajanının, güvenlik politikalarının ve kritik koruma ayarlarının saldırgan tarafından devre dışı bırakılmasını veya değiştirilmesini zorlaştırır. Böylece saldırgan yönetici yetkisi elde etse bile güvenlik kontrollerini etkisiz hâle getirmesi daha zor olur. 3-2-1-1-0 ve Değiştirilemez Yedekler (Immutable Backups): Mavi Takım, yerel yedeklere asla tamamen güvenmez. Ağdan fiziksel/mantıksal olarak izole edilmiş (air-gapped) ve üzerine yazılamaz/silinemez (Immutable / WORM) yedekleme mimarileri sayesinde saldırgan tüm yerel yedekleri silse dahi verileri güvenle geri döndürür. 🔍 Blue Team’in Arayacağı Davranışsal Sinyaller • Gölge kopyaların beklenmedik şekilde silinmeye çalışılması • Windows kurtarma yapılandırmasının değiştirilmesi • Kısa sürede yüzlerce dosyada toplu değişiklik oluşması • Dosya uzantılarının kitlesel olarak değişmesi • Backup ve güvenlik servislerinin durdurulmaya çalışılması • Aynı uç noktada bu olayların kısa zaman aralığında art arda görülmesi Özet Karşılaştırma Red Team Amacı: Şifrelemeden önce vssadmin ile yerel yedekleri yok ederek kurbanı fidye ödemeye mecbur bırakmak. Zayıflık: Yedek silme komutlarının ve hızlı dosya şifrelemenin yüksek sesli (loud) ve belirgin davranışsal izler bırakması. Blue Team Çözümü: EDR Davranışsal Engelleme + Otomatik Ağ İzolasyonu + Değiştirilemez (Immutable) Offline Yedekler. O zaman Mustafa soruyor: Şirketinizde Ransomware senaryolarına karşı EDR üzerinde vssadmin ve bcdedit kullanımını kısıtlayan davranışsal kurallar tanımlı mı? Yedekleme mimarinizde "Immutable Backup" (Değiştirilemez Yedek) yapısını kurabildiniz mi? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Sonraki yazıma dek kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼