Stealer log'u nasıl okunur? Bir satırın anatomisi
Bir infostealer kaydında ne var, hangi alan neyi söyler ve kurumsal triyajda hangi sırayla bakılır?
Blog
Ekipten notlar
Sahada karşılaştığımız soruların kısa cevapları: stealer log okuma, typosquatting tespiti, IOC yönetimi, vaka kapatma. Araştırma, operasyon ve ürün notları.
IOC'leri SIEM'e beslerken ne ters gider?
Gösterge listesi büyüdükçe değeri artmaz. Bağlamsız IOC, analiste iş çıkarır; kapalı devre bir gürültü kaynağına dönüşür.
Vaka kapatmanın üç doğru yolu
Çözüldü, yanlış pozitif ve risk kabulü aynı şey değildir. Ayrımı doğru yapmak, altı ay sonraki raporunuzu belirler.
Oturum çerezi sızdığında parola sıfırlamak neden yetmez?
Geçerli bir oturum çerezi, saldırganın parolaya da MFA'ya da ihtiyacını ortadan kaldırır. Vaka kapanışı oturum iptaliyle başlar.
Typosquatting alan adlarını sertifika log'larından yakalamak
Sahte alan adlarının çoğu yayına girmeden önce sertifika alır. Bu, kampanyayı kurbanlardan önce görmek için bir fırsat penceresidir.
MITRE ATT&CK'i rapora iliştirmek yetmez
Teknik numaraları listelemek bir kapsama analizi değildir. Asıl soru, o tekniğin sizin ortamınızda görünür olup olmadığıdır.
Sahipsiz alt alan adları: en sessiz açık
DNS kaydı ayakta kalıp arkasındaki kaynak kapandığında, o adı bir başkası devralabilir. Kimse fark etmez; çünkü hiçbir şey bozulmaz.
Uyarı yorgunluğunu sayıyla değil eşikle çözmek
Uyarı sayısını düşürmek bir hedef değil, bir sonuçtur. Hedef, her uyarının bir karara bağlanabilmesidir.
Ürün notu: bulgu sahipliği ve kapanış gerekçesi
Bir bulgunun sahibi yoksa kapanmaz; kapanış gerekçesi yoksa aynı bulgu üç ay sonra yeniden açılır. İkisini de zorunlu alan yaptık.
Sertifika şeffaflığı: ücretsiz ve yeterince iyi bir kaynak
CT log'ları envanterin dışında kalan varlıkları bulmanın en ucuz yolu. Gürültüsü de var; onu azaltmanın yolları belli.
Bir vakayı kapatmadan önce sorulacak beş soru
Kapanış, vakanın en çok acele edilen adımı. Beş soru, aynı bulgunun üç ay sonra geri gelmesini engelliyor.