Hızlı cevap: Bir güvenlik aracının değeri, bilgisinin ne kadar güncel olduğuyla doğrudan bağlıdır. Dünün statik açık veritabanıyla bugün açıklanan bir CVE'yi yakalayamazsınız. KAOS'u güncel tutan üç mekanizma vardır: birincisi, hedefte bulunan teknoloji ve sürüme göre CVE'leri canlı çeken bir besleme (varsayılan açık NVD-live sorgusu); ikincisi, geçmiş taramalardan ve sömürülerden öğrenip saklayan bir hafıza (beyin/korpus); üçüncüsü, yeni bir exploit üretip onu doğrulayıp sonucu hafızaya yazan bir üret-doğrula-öğren döngüsü. Bu sayede KAOS bilinen açıkları güncel tanır, aynı hatayı iki kez yapmaz ve bir CVE'nin yamasından yola çıkıp gerçek sömürüyü sentezleyerek n-day ve varyant açıkları avlar.

Siber tehdit manzarası her gün değişir: yeni CVE'ler yayımlanır, yeni exploit teknikleri çıkar, eski açıkların yeni varyantları türer. Statik bir açık listesiyle çalışan bir araç daha kullanılmaya başladığı gün eskimeye başlar. KAOS'u dünya standardına taşıyan üçüncü temel fark, bilgisini canlı tutan ve her koşumda öğrenen bir beyne sahip olmasıdır. Bu rehber, KAOS'un canlı CVE istihbaratını nasıl kullandığını, hafızasının nasıl öğrendiğini ve üret-doğrula-öğren döngüsünün onu nasıl sürekli güçlendirdiğini anlatır.

Canlı CVE istihbaratı: statik liste değil, güncel besleme

Çoğu tarayıcı, periyodik olarak güncellenen bir imza veya açık veritabanıyla çalışır; iki güncelleme arasında yayımlanan bir CVE görünmez kalır. KAOS farklı bir yol izler: bir hedefte teknoloji ve sürüm tespit edildiğinde, o teknolojiye ait CVE'leri canlı olarak sorgular. Bu canlı sorgu varsayılan olarak açıktır, böylece KAOS yalnızca kendi deposundaki bilgiyle sınırlı kalmaz, güncel açık kayıtlarına erişir.

Bu yaklaşımın gücü, taze açıklarda ortaya çıkar. Bir hafta önce yayımlanmış bir CVE, statik veritabanlı bir araçta henüz yokken, KAOS onu canlı beslemeyle tanıyabilir. Hava-boşluklu (air-gapped) ortamlarda ise bu canlı sorgu bilinçli olarak kapanır ve KAOS yalnızca yerel bilgisiyle çalışır; böylece egemen ve çevrimdışı senaryolarda da veri dışarı sızmaz. Bu çevrimdışı yeteneği KAOS egemen ve çevrimdışı siber zeka yazımızda ayrı ele aldık. Tehdit istihbaratının genel çerçevesini ise siber tehdit istihbaratı CTI rehberimizde bulabilirsiniz.

Öğrenen hafıza: aynı hatayı iki kez yapmamak

KAOS'un beyni, bir koşumdan diğerine taşınan bir hafızaya sahiptir. Her tarama, gözlemleri, doğrulanmış bulguları ve işe yarayan sömürü yollarını bir korpusa yazar. Bu hafıza, sonraki taramalarda bağlam olarak geri çağrılır: KAOS daha önce bir teknolojide hangi açığın gerçek çıktığını, hangi yolun yanlış pozitif olduğunu ve hangi sömürünün işe yaradığını hatırlar.

Bu öğrenme, aracı zamanla keskinleştirir. Bir dil modeli her oturumda sıfırdan başlar; KAOS'un beyni ise birikir. Hafıza, yalnızca başarıları değil, elenen yanlış pozitifleri de saklar, böylece KAOS aynı yanlış izi tekrar tekrar kovalamaz. Bu birikimli öğrenme, kanıt odaklı doğrulama doktriniyle birleşince güçlü bir etki yaratır: her doğrulanmış bulgu geleceğin taramasını hızlandırır, her elenen iddia geleceğin gürültüsünü azaltır. Kanıt doktrinini KAOS kanıt odaklı doğrulama yazımızda ele aldık.

Üret-doğrula-öğren: exploit sentezleyen döngü

KAOS'un en ileri yeteneklerinden biri, bir açığı yalnızca tanımakla kalmayıp, onun için bir sömürü üretip o sömürüyü doğrulayan ve sonucu hafızaya yazan bir döngüdür. Bu döngü üç adımdan oluşur:

Adım İş Sonuç
Üret açık için aday sömürü/PoC sentezle denenebilir hipotez
Doğrula sömürüyü güvenli biçimde çalıştır, kanıt üret gerçek mi, değil mi
Öğren sonucu (başarı/başarısızlık) korpusa yaz gelecek için bilgi

Bu döngü, KAOS'un bir CVE'nin yamasından yola çıkarak gerçek sömürüyü sentezlemesini sağlar: yama farkına bakıp açığın tam yerini çıkarır ve ona uygun bir sömürü üretir. Aynı mantık, bilinen bir açığın yeni varyantlarını (n-day) ve bazen henüz kataloglanmamış sıfırıncı-gün benzeri açıkları avlamakta kullanılır. Varyant avcılığının ve otomatik exploit üretiminin genel çerçevesini AI varyant avcılığı n-day sıfırıncı gün yazımızda ve AI otomatik exploit üretimi AEG yazımızda ele aldık. KAOS'u güçlü kılan, bu üretimi her zaman doğrulamaya bağlamasıdır; üretilen sömürü kanıtlanamıyorsa iddiaya dönüşmez.

Neden öğrenen beyin, dünya standardının şartı

Siber güvenlikte statik kalmak gerilemektir. Tehdit manzarası günlük değişirken, bilgisi dünde kalan bir araç her geçen gün daha çok açığı kaçırır. KAOS'un canlı istihbaratı, öğrenen hafızası ve üret-doğrula-öğren döngüsü, onu zamanla eskimek yerine zamanla güçlenen bir sisteme dönüştürür. Dünya standardında bir siber zekayı tanımlayan özelliklerden biri tam da budur: her koşumda biraz daha iyi olmak.

KAOS ve DSET yaklaşımı

DSET olarak KAOS'un öğrenen beynini, kurumunuzu yalnızca bugünün değil yarının tehditlerine karşı da değerlendirebilmek için kurduk. Bir taramada yalnızca bilinen açıkları değil, canlı CVE istihbaratıyla taze açıkları ve üret-doğrula-öğren döngüsüyle varyant/n-day açıklarını da ararız; her sömürü iddiası doğrulamaya bağlıdır, kanıtsız üretim rapora girmez. Hava-boşluklu kurumlarda ise bu istihbaratı tamamen yerelde, veri dışarı çıkmadan çalıştırırız. Kurumunuzun güncel tehditlere karşı durumunu KAOS'un öğrenen beyniyle değerlendirmek için Ankara Hacettepe Teknokent'teki ekibimizle DSET ile iletişime geçin.

Sık sorulan sorular

Canlı CVE sorgusu veri gizliliğini riske atar mı? Hayır, çünkü bu davranış yapılandırılabilirdir. Varsayılan olarak KAOS, tespit ettiği teknolojiye göre güncel CVE kayıtlarını sorgular; ama hava-boşluklu veya egemen bir kurulumda bu canlı sorgu kapatılır ve KAOS yalnızca yerel bilgisiyle çalışır. Böylece hassas ortamlarda hiçbir veri dışarı çıkmaz. Güncel olmak ile gizlilik arasında seçim yapmak zorunda değilsiniz; dağıtım senaryosuna göre ikisini de elde edersiniz.

Öğrenen hafıza yanlış bir şey öğrenirse ne olur? KAOS'un hafızası kanıt odaklı doğrulama doktrinine bağlıdır: bir bulgu hafızaya "doğrulandı" olarak yalnızca kanıtı varsa yazılır, elenen yanlış pozitifler ise "elendi" olarak saklanır. Bu ayrım, hafızanın yanlış pozitifleri gerçek olarak öğrenmesini engeller. Tam tersine, elenen iddiaların saklanması, KAOS'un gelecekte aynı yanlış izi kovalamasını önler ve gürültüyü azaltır.

Üret-doğrula-öğren döngüsü gerçek sömürü mü çalıştırır? Döngü, üretilen sömürüyü doğrulamak için güvenli ve kontrollü biçimde çalıştırır; amaç hedefe zarar vermek değil, açığın gerçekten sömürülebildiğini kanıtlamaktır. Bir sömürü kanıtlanamıyorsa iddiaya dönüşmez ve bu da hafızaya "işe yaramadı" olarak yazılır. Böylece her döngü, kanıt üretirken aynı zamanda gelecekteki taramalar için bilgi biriktirir.

Kaynaklar