Hızlı cevap: AV/EDR atlatma (evasion), saldırganların zararlı kodu antivirüs ve uç nokta tespit ve müdahale (EDR) sistemlerinden gizleme çabasıdır. Başlıca teknikler: imzayı değiştirmek, bellekte çalışmak (dosyasız), meşru sistem araçlarını kötüye kullanmak (LOLBins) ve kodu gizlemek (obfuscation). Önemli olan şudur: hiçbir EDR yüzde yüz koruma vermez, ama iyi yapılandırılmış ve izlenen bir EDR, atlatmayı çok zorlaştırır. Bu yazı atlatma tekniklerini savunma ve tespit perspektifinden açıklar.

Neden EDR atlatması önemli bir konu?

EDR, modern uç nokta savunmasının temelidir; davranış tabanlı tespitle imza tabanlı antivirüsün ötesine geçer. Ama saldırganlar da bu savunmayı atlatmak için sürekli yeni teknikler geliştirir. Yetkili bir kırmızı takım testinde, EDR'nin gerçekten ne kadar koruduğunu ölçmek için bu atlatma teknikleri kontrollü biçimde denenir.

Doğru bakış açısı şudur: amaç EDR'yi küçümsemek değil, onun kör noktalarını bulup kapatmaktır. Bir savunmanın gücü, atlatılmaya çalışıldığında test edilir.

Başlıca atlatma teknik aileleri

Teknik ailesi Mantığı
İmza değiştirme Kodu değiştirip bilinen imzadan kaçma
Bellekte çalışma Diske dosya yazmadan, bellekte yürütme (dosyasız)
LOLBins Meşru sistem araçlarını (powershell, certutil) kötüye kullanma
Obfuscation Kodu ve komutu okunmaz hale getirme
Kesintiye uğratma EDR kancalarını (hook) atlatma ya da devre dışı bırakma

Savunma ve tespit nasıl güçlendirilir?

  1. EDR'yi davranış tabanlı tespit ve bellek analiziyle yapılandırın, yalnızca imzaya güvenmeyin.
  2. Uygulama beyaz listesi ve en az yetki ile meşru araçların (LOLBins) kötüye kullanımını sınırlayın.
  3. PowerShell ve script loglamasını açın, olağandışı komut desenlerini izleyin.
  4. EDR kurcalama korumasını (tamper protection) etkinleştirin.
  5. EDR uyarılarını merkezi olarak (SIEM/SOC) toplayıp insan analiziyle değerlendirin.
  6. Kırmızı takım testiyle EDR'nin kör noktalarını düzenli ortaya çıkarın.

KAOS ve DSET yaklaşımı

DSET, yetkili kırmızı takım ve uç nokta güvenliği değerlendirmelerinde EDR'nin dayanıklılığını ölçer: hangi teknikler yakalanıyor, hangileri kör noktada kalıyor. Amacımız EDR'yi atlatıp zarar vermek değil, savunmanın nerede güçlü nerede zayıf olduğunu kanıta dayalı göstermek ve kör noktaları kapatmaktır. Geliştirdiğimiz KAOS güvenlik motoru, tespit ile doğrulama ayrımını korur ve bulguları abartmadan raporlar. Amacımız savunmanın gerçek etkinliğini ölçmektir.

Bağlantılı okumalar: fileless dosyasız zararlı yazılım ve LOLBins, EDR ve antivirüs farkı modern koruma, EDR XDR MDR farkı uç nokta güvenliği, zararlı yazılım analizi statik dinamik sandbox, SIEM ve SOC, MITRE ATT&CK çerçevesi.

Sık sorulan sorular

EDR atlatılabiliyorsa EDR'ye değer mi? Kesinlikle değer. Hiçbir güvenlik kontrolü yüzde yüz koruma vermez, ama iyi yapılandırılmış ve izlenen bir EDR, saldırganın işini çok zorlaştırır ve çoğu saldırıyı yakalar. Amaç mükemmel koruma değil, saldırının maliyetini artırmak ve tespit şansını yükseltmektir. EDR'siz bir ortam, atlatma çabası bile gerektirmeyen açık bir hedeftir.

LOLBins nedir ve neden tehlikeli? LOLBins (Living Off the Land Binaries), saldırganın kendi zararlısını getirmek yerine sistemde zaten var olan meşru araçları (PowerShell, certutil, wmic) kötüye kullanmasıdır. Bu tehlikelidir çünkü araçlar meşrudur ve imza tabanlı tespit onları zararlı görmez. Savunma için bu araçların kullanımını izlemek, script loglaması ve davranış tabanlı tespit gerekir.

EDR'min kör noktalarını nasıl bulurum? En etkili yol, yetkili bir kırmızı takım testidir. Testçiler, gerçek atlatma tekniklerini kontrollü biçimde deneyerek EDR'nin hangi davranışları yakaladığını hangilerini kaçırdığını ölçer. Çıkan kör noktalar, yapılandırma ve izleme iyileştirmeleriyle kapatılır. Bu test düzenli tekrarlanmalıdır çünkü hem tehditler hem EDR sürekli değişir.

Kaynaklar

Uç nokta savunmanızın (EDR) dayanıklılığını yetkili kırmızı takım testiyle ölçmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.