Önemli çıkarımlar
- Kritik altyapı kuruluşları, rastgele seçilen hedefler değildir. E-posta, iş sürekliliği ile neredeyse eşanlamlı olduğundan, bu kuruluşlar kasıtlı olarak seçilmektedir. Bu kuruluşlara yönelik kampanyalar, genellikle e-posta ile başlayan, uzun vadeli ve çok aktörlü operasyonlardır.
- Saldırganlar, yüklerini teslim etmeden önce kurumsal güvenlik sistemlerinde test ederler. Tarayıcınızı geçen zararlı bir dosya, o dosyanın temiz olduğunun kanıtı değildir; bu dosyanın, tarayıcınızı atlatmak üzere tasarlanmış olması mümkündür.
- "Tespit öncelikli" güvenlik yaklaşımı, hazırlıklı bir saldırgan karşısında yapısal bir zayıflığa sahiptir: Daha önce karşılaşmadığı durumlara karşı harekete geçemez.
- Katmanlı e-posta savunması, yapısal bir çözümdür. Her katman, diğerlerinin algılayamayacağı tehditleri yakalar. Bunun birleşik etkisi basittir: Saldırgan için dağıtım öncesi optimizasyonun maliyetini artırır.
Bu bir e-posta saldırısı değil, bir kampanya
Hiçbir güvenlik uzmanı, tehditleri münferit olaylar olarak ele almaya karar vermez. Bu süreç kademeli olarak gerçekleşir. Tespit oranları sabit kalır, olaylar zamanında çözülür ve denetimler önemli bir bulgu olmaksızın geçilir. Her bir veri noktası tek başına makul görünür; ancak bir araya geldiklerinde, tamamen doğru ancak tehlikeli derecede eksik bir tablo ortaya çıkar.
Bu güven birikimi, başlı başına bir güvenlik açığıdır. Kritik altyapı kuruluşları için ise bu, saldırganların kasıtlı olarak istismar ettiği bir zafiyettir; bu istismar, günümüzde hâlâ e-posta güvenlik risklerinin başlıca vektörlerinden biri olan gelen kutusundan başlar.
Devlet destekli bir grup bir enerji şebekesini, bir hastaneyi veya bir savunma sanayi müteahhidini hedef aldığında, bu durum yıllarca sürebilen bir kampanya haline gelebilir. Bu tür saldırılar genellikle, asıl yük ulaşmadan önce savunma sistemlerinin haritasını çıkarmak amacıyla tasarlanmış yüzlerce deneme, keşif girişimi ve yanıltma saldırısını içerir. Amaçları, zaman içinde sürekli kesintiye yol açmak, tekrar tekrar maruz bırakmak ve itibar açısından maksimum zarara yol açmaktır. Fidye tutarı, ilk e-postayı göndermeden önce hesaplanmıştı; daha da kötüsü ise saldırganların, hedeflerinin kesintiye tahammül edemeyeceğini zaten biliyor olmalarıdır.
Saldırı aktörlerinin farklı motivasyonları ve farklı saldırı profilleri vardır, ancak ortak bir noktaları vardır: hedef belirleme. Kritik altyapı kuruluşları tesadüfen seçilmez; bunlar özenle seçilir ve bu kuruluşlara yönelik kampanyalar, neredeyse her zaman e-posta ile başlayan uzun vadeli süreçlerdir.
İlk adım, bir mühendise, operatöre veya yöneticiye gönderilen, silah olarak kullanılan bir ek, kötü amaçlı bir bağlantı ya da özenle araştırılmış ve kişiye özel olarak hazırlanmış bir kimlik bilgisi oltalama girişimidir. E-postanın hâlâ tercih edilen giriş noktası olmasının nedeni teknik karmaşıklık değil, matematiksel basitliktir. Kuruluşlar, operasyonları aksatmadan bu giriş noktasını kapatamaz veya kısıtlayamaz.
Bir çalışan, kötü geçen bir gün, açılmış bir dosya. Başarı için gereken tek şey budur. Binlerce gelen kutusuna aynı anda ulaşan bir kampanyanın başarılı olması için tek bir zayıf an yeterlidir ve savunma tarafı bunların her birini engellemek zorundadır.
Bu kampanya modeli, ABD’nin kritik altyapısında şimdiden gözlemlenebilmektedir. CISA, NSA ve FBI tarafından yayınlanan ortak bir uyarıda, Volt Typhoon aktörlerinin operasyonel teknolojiye yönelik olası bozucu veya yıkıcı saldırılara hazırlık amacıyla bazı BT ağlarında en az beş yıl boyunca gizli kaldıkları doğrulandı.
Bu aktörlerin hiçbiri, bir hedefin yamalarını daha hızlı uyguladığı ya da daha fazla analist istihdam ettiği için stratejisini yeniden ayarlamayacaktır. Saldırılar taktiksel hamlelerdir ve çoğu zaman daha geniş bir stratejinin parçasıdır.
Bundan doğan yaklaşım, isteğe bağlı değildir. Kritik altyapı kuruluşları, bir güvenlik ihlalinin gerçekleşeceği varsayımıyla hareket etmeli ve buna uygun olarak sistemlerini kurmalıdır: her giriş noktasında katmanlı savunma mekanizmaları ve hasarın artmadan önce kontrol altına alınmasını sağlayacak kadar hızlı müdahale kabiliyeti.
Saldırganlar, saldırı yüklerini dağıtmadan önce test ederler
Bu uygulama yaygın ve belgelenmiştir. Devlet destekli gruplar, fidye yazılımı operatörleri ve gelişmiş suç örgütleri genelinde, yükler gönderilmeden önce bir hazırlık sürecinden geçer. Saldırganlar, kurumsal güvenlik sistemlerinin kopyalarını oluşturur, dosya temiz bir algılama puanı elde edene kadar denemeleri tekrarlar ve ancak o zaman dosyayı gönderir.
2025 yılında, koordineli bir uluslararası operasyon sonucunda, kötü amaçlı yazılım geliştiricilerinin dosyalarının dağıtımdan önce tespit edilip edilmeyeceğini test etmelerine olanak tanıyan, dünyanın en büyük antivirüs atlatma hizmetlerinden biri olan AVCheck çökertildi. Bu hizmetin varlığının nedeni, dağıtım öncesi atlatma testlerine yönelik talebin, bu hizmet etrafında kurulmuş ticari bir işletmeyi ayakta tutacak kadar büyük olmasıydı.
"Algılama öncelikli" güvenlik yaklaşımı, hazırlıklı bir saldırgan karşısında yapısal bir zayıflık barındırır. Bu yaklaşım, daha önce karşılaşılmış tehditleri ya da geçmiş kayıtlarında yer alan tehditlere çok benzeyen tehditleri tanımak üzere tasarlanmıştır. Her iki kategoriye de uymayacak şekilde özel olarak tasarlanmış bir yük, algılama katmanına harekete geçmesi için herhangi bir dayanak sunmadığı için sistemden geçip gider.
Bu optimizasyon tek seferde gerçekleşmez. Yıllar süren yinelemeler ve yüzlerce deneme boyunca, her karantina ve her engelleme, saldırganın bir sonraki denemesini iyileştirmek için kullandığı geri bildirim niteliğindedir. Kampanya, savunmalarınızın otomatik olarak karşılık veremeyeceği bir şekilde savunmalarınızdan ders çıkarır. Bu, sizin tespit sistemlerinize karşı özel olarak hazırlık yapmış bir saldırgana karşı “tespit öncelikli” bir yaklaşım benimsemenin mantıksal bir sonucudur.
Bunun, e-posta güvenlik savunma hatlarınızı nasıl oluşturacağınız açısından ne anlama geldiği
Yükünü önceden test etmek amacıyla güvenlik yığınınızın bir kopyasını oluşturmaya çalışan saldırgan, birbirinden bağımsız çok sayıda katmanın tam kombinasyonunu ve sıralamasını kolayca taklit edemez. Katmanlı e-posta savunmasının ardındaki stratejik mantık budur: Bu, sadece ek bir koruma değil; saldırganın dayandığı dağıtım öncesi optimizasyon sürecinin maliyetini artıran yapısal bir yanıt niteliğindedir.
Bu mantık geçerlidir, çünkü her katman farklı bir ilkeye göre çalışır ve diğerlerinin algılayamayacağı şeyleri yakalar.
- Multiscanning güvenliği, ekleri birden fazla bağımsız tarama motorunda aynı anda tarayarak kapsama alanını genişletir; bu da, tek bir tarama motoruna yönelik yük optimizasyonunu yetersiz kılar.
- İçerik Etkisizleştirme ve Yeniden Yapılandırma (CDR), daha önce görüntülenmiş olup olmadığına bakılmaksızın her dosyadan aktif içeriği kaldırır; bu da, imza tespitinden kaçmak üzere tasarlanmış bir yükün bile aktif bileşenlerinden arındırılacağı anlamına gelir.
- Sandboxing, yürütme aşamasında davranışları ortaya çıkararak, kötü niyetli davranışları teslimattan sonraya ertelemek üzere özel olarak tasarlanmış yükleri tespit eder.
- Tıklama anında yapılan URL analizi, dağıtım ile kötü amaçlı kullanım arasındaki boşluğu ortadan kaldırır.
- Giden ve şirket içi e-postalarda Veri Kaybını Önleme (DLP), yalnızca gelen e-postaları kapsayan denetimlerin tamamen açık bıraktığı görünürlük boşluğunu kapatır.
Hiçbir tek başına bileşen her şeyi yakalayamaz. Bu bileşenlerin bir araya gelmesiyle ortaya çıkan sonuç, her katman eklendikçe yığınınız üzerinde ön test yapmayı yapısal olarak daha zor hale getirmesidir.
Tespit edilen bir tehdit, size yalnızca saldırganın hâlâ hazırlık aşamasında olduğunu gösterebilir. Bunu, savunma sistemlerinizin işlevini yerine getirdiğinin bir işareti olarak değil, bir sinyal olarak değerlendirin. Bu varsayım temelinde hareket etmek, uzun vadeli kampanyalar yürüten çeşitli türdeki aktörler tarafından hedef alınmış olmanıza karşı verilebilecek mantıklı bir tepkidir.
E-posta sınırında katmanlı koruma, hasarın yayılmasını önleyen hızlı müdahale tedbirleri ve her olayı kapanmış bir bilet olarak değil, kampanya hakkında bir istihbarat kaynağı olarak değerlendiren sürekli iyileştirme yaklaşımı: işte kritik altyapı kuruluşları için anlamlı koruma budur.
Şimdi bunu endüstriyel ölçekte uygulandığını hayal edin. Eskiden belirli bir hedef için bir yükü optimize etmek için haftalar harcayan bir saldırganın, artık bunu binlerce hedef için aynı anda, birkaç saat içinde yapabildiğini hayal edin. Microsoft Dijital Savunma Raporu 2025, yapay zeka destekli oltalama saldırılarının geleneksel kampanyalara kıyasla %12'lik tıklama oranına karşılık %54'lük bir tıklama oranı elde ettiğini ve bu sayede 4,5 kat daha etkili olduğunu ortaya koyan bağımsız bir araştırmaya atıfta bulundu. Yapay zeka şimdiden bunu mümkün kıldı ve bu, bu dizinin bir sonraki makalesinin konusu olacak.
Bu blog yazısı, “Made to Evade” serisinin 1. bölümü.
2. ve 3. bölümler yakında yayınlanacak.
