Mehmet Kılıç - Garanti Bankası / Intelligence Driven Incident Response #İSTSEC İstanbul Bilgi Güvenliği Konferansı

1. İSTSEC’19
2 Mayıs 2019
Intelligence Driven
Incident Response

2. Hakkımda
2
Mehmet KILIÇ
• Garanti Bankası Kıdemli Siber Olaylara Müdahale Uzmanı
• Twitter @mehmet_klic
• LinkedIn @mhmtklc

3. İçerik
3
Analiz
Modellerine
Bakış
Önemli
Noktalar
Siber Tehdit
İstihbaratı
Olay Analizlerine
Yaklaşım

4. Case Study 1
4
tcnom.pdf
CVE-2009-0658
“C:Documents and Settings[username]
Local Settingsfssm32.exe”
202.abc.xyz.7
- C:Program FilesInternet
- ExplorerIEUpd.exe
- IEXPLORE.hlp

5. Case Study 2
5
MDA_Prelim_09.pdf
CVE-2009-0658
“C:Documents and Settings[username]
Local Settingsfssm32.exe”
202.abc.xyz.7
- C:Program FilesInternet
- ExplorerIEUpd.exe
- IEXPLORE.hlp

6. Case Study 3
6
CVE-2009-0556
“C:Documents and Settings[username]
Local Settingsfssm32.exe”
202.abc.xyz.7
- C:Program FilesInternet
- ExplorerIEUpd.exe
- IEXPLORE.hlp
Celebrity_makeup.ppt

7. Olayı Özetlemek Gerekirse
7
Karşımızdaki(ler) kim?
Motivasyonları nedir?
Benzer durumla karşılaştık mı?
Saldırılarını nasıl gerçekleştiriyorlar?
Kuruma etkisi ne oldu?
Saldırılar tekrarlanır mı?

8. Siber Tehdit İstihbaratı
8
Saklama :
• Tehdit Aktörleri
• TTP(s)
Üretim :
• Tehdit/Olay Analizleri
• Tersine Mühendislik
• Adli Bilişim Çalışmaları
Toplama :
• Açık Kaynak Servisleri
• Tehdit Avcıları
• Siber Suç Örgütleri
• Raporlar
İlişkilendirme :
• Tehditlerle Eşleştir
• Önceliklendir

9. Where to start?
9
• En Popüler Tehdit İstihbaratı Platformu (TIP) Almalıyız
• Feed’lerle Sistemlerimizi Besleyelim (SIEM’lerdeki gibi J)
• Yeni Raporlar/Görsel Ara Yüzler Hazırlayalım
• Acil Tehdit İstihbaratı Analisti İhtiyacımızı Karşılayalım
• Kullandığımız Analiz Modelini En İyisiyle Değiştirelim
• Kurumunuza Yönelik Tehdit Profilini Oluşturun

10. Modeller
10
Pain Pyramid
OODA Loop
Find, Fix, Finish,
Exploit, Analyze,
Disseminate
(F3EAD)
Diamond
Model MITRE ATT&CK
FrameworkCyber
Kill
Chain
…

11. Cyber Kill Chain
11
Reconnaissance
Weaponization
Delivery
Exploitation
Installation Actions on Objectives
Command & Control

12. Case Study 1 (Cyber Kill Chain)
12
Reconnaissance
Weaponization
Delivery
Exploitation
Installation
Actions on
Objectives
Command
& Control
İndikatörler
tcnom.pdf
Şifreleme Algoritması Key1
AIAA Technical Committees - dn..etto@yahoo.com – 60.abc.xyz.215
CVE-2009-0658
fssm32.exe - IEUpd.exe - IEXPLORER.exe
202.abc.xyz.7
Bilinmiyor

13. Case Study 1-2 (Cyber Kill Chain)
13
Reconnaissance
Weaponization
Delivery
Exploitation
Installation
Actions on
Objectives
Command
& Control
İndikatörler
tcnom.pdf
Şifreleme Algoritması Key1
AIAA Technical Committees
dn..etto@yahoo.com
60.abc.xyz.215
CVE-2009-0658
fssm32.exe - IEUpd.exe - IEXPLORER.exe
202.abc.xyz.7
Bilinmiyor
MDA_Prelim_09.pdf
7th
Annual U.S. Missile Defense
dn..etto@yahoo.com
216.abc.xyz.76

14. Case Study 1-2 (Cyber Kill Chain)
14
Reconnaissance
Weaponization
Delivery
Exploitation
Installation
Actions on
Objectives
Command
& Control
İndikatörler
tcnom.pdf
Key1
AIAA Technical Committees
dn..etto@yahoo.com
60.abc.xyz.215
CVE-2009-0658
fssm32.exe - IEUpd.exe - IEXPLORER.exe
202.abc.xyz.7
Bilinmiyor
MDA_Prelim_09.pdf
7th Annual U.S. Missile Defense
dn..etto@yahoo.com
216.abc.xyz.76
Celebrities Without Makeup
ginette.c...@yahoo.com
216.abc.xyz.76
Celebrity_makeup.ppt
Key2
CVE-2009-0556

15. Courses of Action
15
Reconnaissance
Weaponization
Delivery
Exploitation
Installation
Actions on
Objectives
Command
& Control
Detect Deny Disrupt Degrade Deceive Destroy (Contain)
Proxy
Firewall
AV
IPS
EDR
Host IDS
IDS
Patch
Quality Honeypot
DNS Redirect
Firewall
Web
Analytics
Logs
IDS IPS
DLPACL
Trust Zones
Inline AV

16. The Pyramid of Pain
16
Hash Değerleri
IP Adresleri
Domain Adları
Network/Host
İndikatörleri
TTPs
Araçlar
Değer
Etki/Fiyat

17. Case Study 1-2-3 (The Pyramid of Pain)
17
202.abc.xyz.7
216.abc.xyz.76
60.abc.xyz.215
Hash Değerleri
IP Adresleri
Domain Adları
Network/Host
İndikatörleri
fssm32.exe - IEUpd.exe
IEXPLORER.exe - tcnom.pdf
MDA_Prelim_09.pdf - Celebrity_makup.ppt
C2 HTTP İsteği
TTPs
Araçlar
fssm32.exe - IEUpd.exe
IEXPLORER.exe - tcnom.pdf
MDA_Prelim_09.pdf - Celebrity_makup.ppt
……………
Değer
Etki/Fiyat

18. MITRE ATT&CK Matrix (Enterprise)
18
Cobalt Group

19. Diamond Model
19
Adversary
Infrastructure Capability
Victim
à Hacktivist
à CyberCriminal
à Insider Threat
à APT
à Tactics
à Techniques
à Procedures
à Tools
à Network Security
Solutions
à Assets
à Dynamic
à Static
à Compromised
à Owned
à Person
à Critical Infrastructure
à Customer Data
à Intellectual Property

20. Case Study 1 (Diamond Model)
20
Reconnaissance Weaponization Delivery Exploitation Installation
Actions on
Objectives
Command
& Control
PD
F
D
osyası
Tem
in
Ediliyor
D
osya
İçerisine
ZararlıŞifreleniyor
2
-KullanıcıEpostayı
U
laşıyor
1
–
O
ltalam
a
G
önderiliyor
3 – Eposta
Açılıyor
1-PDF
Açılıyor
Bilinmiyor
A
A
A A A
A A
I
I
I I
I I
I
C
C
C
C
C
C
C
V
V
V
VV
VV
2- CVE-2009-
0658 Zafiyeti
Kullanılıyor
Zararlılar Sisteme
Çıkartılıyor
C2
Haberleşm
e
Başlıyor

21. İstihbaratın Olaya Etkisi?
23
Tehdit Aktörlerinin Kullandığı Yöntemlerdeki Değişiklikler
Geçmişteki veya Gelecekteki Olayların İlişkilendirme
Göz Ardı Kalan Noktaların Ortaya Çıkartılması
IOC’leri Alarm Oluşturmak İçin Değil, Öncelik İçin Kullanabilme
Aksiyona Karar Verebilme

22. Olay Hikayeniz
24
Olay Zamanı
Olay Adı
Hedeflenen Kurum
Tehdit Aktörü
Kategoriler
Olay Detayları
02.05.2019 15:45:00
Oltalama Kampanyası
ABC Finansal Kuruluşu
XYZ Group
#Phishing #Backdoor #CyberCrime
Cyber Kill Chain - TTPs

23. Kaynaklar
25
• Intelligence-Driven Incident Response: Outwitting the Adversary
Rebekah Brown and Scott J Roberts
• Lockheed Martin Cyber Kill Chain
https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf
• MITRE ATT&CK Framework
https://attack.mitre.org/
• The Pyramid of Pain
http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
• The Diamond Model of Intrusion Analysis
Sergio Caltagirone, Andrew Pendergast, Christopher Betz

24. Teşekkürler
İSTSEC’19
2 Mayıs 2019