Hızlı cevap: Deception (aldatma) teknolojisi, ağınıza meşru görünen sahte varlıklar (honeypot sunucular, honeytoken kimlik bilgileri, canary dosyalar) yerleştirip bunlara dokunulduğu an alarm vermektir. Gücü şudur: meşru hiçbir kullanıcının o tuzağa dokunması için sebep yoktur, bu yüzden her temas neredeyse kesinlikle kötü niyetlidir ve klasik tespit araçlarının boğulduğu yanlış-pozitif sorununu yaşamaz. Honeypot bir sahte sistemdir (düşük veya yüksek etkileşimli), honeytoken ise sahte bir sır (kullanılmayan bir API anahtarı, bir "parolalar.xlsx", bir canary URL); saldırgan bunları keşif veya yanal hareket sırasında kullanınca erken ve yüksek-güvenli bir uyarı üretir. Doğru yerleştirilince, saldırının çok erken aşamasını, başka hiçbir aracın göremediği netlikte yakalar.

Çoğu güvenlik aracı "kötü olanı tanı" mantığıyla çalışır ve bu yüzden sürekli yanlış pozitif üretir; SOC ekipleri alarm yorgunluğundan gerçek olayı kaçırır. Deception bunu tersine çevirir: "iyi olanın asla dokunmayacağı bir şey koy, dokunan kötüdür." Bu rehber, honeypot ve honeytoken'ın nasıl çalıştığını, nereye konacağını ve bir savunma programına nasıl entegre edileceğini uzman bakışıyla anlatır.

Neden deception: sıfıra yakın yanlış pozitif

Klasik tespit (imza, anomali) meşru trafiğin içinden kötüyü ayırmaya çalışır; bu zordur ve gürültü üretir. Honeypot/honeytoken'ın mantığı farklıdır: ortama, iş akışında hiçbir meşru rolü olmayan bir tuzak koyarsınız. Üretimdeki hiçbir çalışan o sahte sunucuya bağlanmaz, o sahte anahtarı kullanmaz, o "do-not-open" dosyasını açmaz. Dolayısıyla oraya gelen her etkileşim tanım gereği şüphelidir ve tek bir dokunuş yüksek-güvenli bir alarmdır. Bu, alarm yorgunluğunu çözen ender yaklaşımlardan biridir. SOC ve izleme yatırımını genel olarak EDR, MDR, SIEM, SOC seçim matrisi yazımızda ele aldık.

Honeypot türleri

Honeypot, saldırganı cezbetmek için konan sahte bir sistemdir. İki ana sınıf vardır.

Tür Ne sunar Artı Eksi
Düşük etkileşimli sahte servis/port taklidi (sınırlı) kurulum kolay, risk düşük derin veri az, tespit edilebilir
Yüksek etkileşimli gerçek gibi tam sistem zengin saldırgan davranışı bakım zor, izolasyon şart
Honeynet birden çok honeypot'tan ağ yanal hareketi gözler en karmaşık

Düşük etkileşimli honeypot (örneğin sahte bir SSH veya veritabanı portu) çoğu kurum için yeterli erken-uyarı verir ve riski düşüktür. Yüksek etkileşimli olanlar saldırganın tekniklerini (araçlar, komutlar) gözlemlemek için zengindir ama gerçek sisteme benzediğinden sıkı izolasyon ister; aksi halde saldırgan onu bir sıçrama noktası yapabilir. Honeypot'a gelen taramalar aynı zamanda saldırgan IP'lerini erken banlamak için kullanılır, böylece robots-tuzağı yollarına değen botlar otomatik engellenir.

Honeytoken ve canary token

Honeytoken, bir sahte sunucu değil, bir sahte sır veya kayıttır ve kullanıldığı an haber verir. En etkili olanlar:

Sahte kimlik bilgileri: hiç kullanılmayan bir veritabanı kullanıcısı, bir bulut API anahtarı veya bir servis hesabı. Saldırgan sızdırılmış kimlik bilgisi ararken bunu bulup denediğinde alarm üretir (örneğin sahte bir AWS anahtarı kullanıldığında log/uyarı). Canary dosyalar: çekici adlı (maaşlar.xlsx, vpn-parolalar.docx) ama içinde sizi uyaran bir işaret taşıyan dosyalar; açıldığında veya sızdırıldığında haber verir. Canary URL/belgeler: açıldığında çağrı yapan benzersiz bağlantılar. Veritabanı honeytoken'ı: bir tabloda sahte "VIP müşteri" kaydı; sorgulanırsa veri kazımayı yakalarsınız.

Honeytoken'ın büyük avantajı, ağın derinine, gerçek verinin yanına konabilmesidir. Saldırgan çoktan içeri girmiş, kimlik bilgisi topluyor veya veri sızdırıyorsa, bir honeytoken bunu başka hiçbir aracın göremeyeceği kadar net yakalar. Çalınan kimlik bilgisi ve hesap ele geçirme senaryolarını hesap ele geçirme ve kurtarma yazımızda, iş e-postası ele geçirmeyi BEC sahte havale yazımızda inceledik.

Saldırı zincirinde nereye oturur

Deception'ın değeri, saldırının erken-orta aşamasını yakalamasıdır. Keşif ve yanal hareket sırasında saldırgan ağı tarar, paylaşımları gezer, kimlik bilgisi arar; tam da honeypot ve honeytoken'ın beklediği davranışlar. Bu, saldırı zincirini (keşif, ilk erişim, yanal hareket, hedefe ulaşma) kesmek için erken bir tetik sağlar; zincirin tamamını cyber kill chain 7 aşama savunma yazımızda ele aldık. Özellikle fidye yazılımı, şifrelemeden önce ağda gezinip yayılır; bir honeytoken bu gezinmeyi şifreleme başlamadan yakalayarak değerli dakikalar kazandırır. Fidye müdahalesini fidye yazılımı ilk 24 saat yazımızda anlattık. Savunmayı gerçekçi saldırıyla sınamak için breach and attack simulation yazımız tamamlayıcıdır.

Doğru kurulum: inandırıcı, izole, izlenen

Deception işe yarasın diye üç şart vardır. İnandırıcılık: tuzaklar gerçek varlıklardan ayırt edilemez görünmeli (isimlendirme, konum, içerik meşru akışa uymalı), yoksa deneyimli saldırgan atlar. İzolasyon: özellikle yüksek etkileşimli honeypot gerçek ağdan sıkı ayrılmalı ki sıçrama noktası olmasın. İzleme: her tuzak merkezi log/SOC'a bağlı olmalı ki dokunuş anında birileri görsün; alarmı kimse görmezse tuzak işe yaramaz. Ayrıca tuzaklar meşru kullanıcıların kazara dokunmayacağı yerlere konmalı (yanlış pozitifi sıfırda tutmak için).

KAOS ve DSET yaklaşımı

DSET olarak deception'ı hem savunma kurulumunda öneririz hem de kendi altyapımızda kullanırız: yönetimli sunucularımız honeypot yollar ve otomatik ban ile tarama botlarını daha ilk dokunuşta engeller, böylece gürültü origin'e hiç ulaşmaz. Geliştirdiğimiz KAOS aracı bir hedefi tararken bilerek-konmuş tuzak yollarını (robots Disallow honeypot'ları) tanıyıp onlara DOKUNMAZ, çünkü bir tarayıcının oraya girmesi savunan tarafta ban demektir; bu da gerçekçi, savunma-farkında bir saldırgan davranışıdır. Kurumunuza honeypot/honeytoken tabanlı erken-uyarı kurmak veya mevcut tespit yığınını güçlendirmek için Ankara Hacettepe Teknokent bünyesindeki ekibimizle DSET ile iletişime geçin. Edge tarafındaki tuzak ve ban yaklaşımını Cloudflare güvenlik yapılandırması yazımızda da ele aldık.

Sık sorulan sorular

Honeypot ile IDS/EDR arasındaki fark nedir? IDS/EDR gerçek trafiğin ve uç noktaların içinden kötü olanı ayırmaya çalışır, bu yüzden yanlış pozitif üretir ve ayar ister. Honeypot/honeytoken ise meşru rolü olmayan bir tuzak koyar; oraya her dokunuş tanım gereği şüpheli olduğundan neredeyse sıfır yanlış pozitifle çok yüksek güvenli alarm verir. İkisi birbirini tamamlar; deception, EDR/IDS'in kaçırdığı sessiz yanal hareketi yakalar.

Honeypot saldırganın işine yarar, beni daha mı çok hedef yapar? Doğru kurulduğunda hayır. Düşük etkileşimli honeypot ve honeytoken sınırlı ve izoledir; saldırgana gerçek bir kazanç sağlamaz, yalnız sizi uyarır. Risk, izolasyonu zayıf yüksek etkileşimli bir honeypot'un sıçrama noktasına dönüşmesidir; bu yüzden yüksek etkileşimliler gerçek ağdan sıkı ayrılmalıdır. Çoğu kurum için düşük etkileşimli + honeytoken yeterli ve güvenlidir.

Küçük bir kurumum, honeytoken kurabilir miyim? Evet, honeytoken deception'ın en ucuz ve en etkili girişidir. Birkaç sahte kimlik bilgisi, bir canary dosya ve bir canary URL, kurulumu dakikalar süren ama saldırının erken aşamasını yakalayan güçlü bir erken-uyarı verir. Önemli olan, bir dokunuş olunca uyarının gerçekten birine ulaşması (e-posta/SOC) ve tuzakların inandırıcı yere konmasıdır.

Kaynaklar