Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Saldırganların en büyük avantajı artık “tek bir exploit” değil; imzayı atlatma. Makroyu saklar, payload’ı şifreler, ZIP/ISO içine gömer, ilk aşamada “temiz” görünen bir dosyayı içeri sokar. Geleneksel AV çoğu zaman ilk dalgada kaçırır; çünkü ortada henüz imza yoktur.
Bu noktada doğru yaklaşım: gateway üzerinde şüpheli dosyayı otomatik sandbox’a gönder, davranışa göre puanlat, IOC/imza üret, sonra bu korumayı ilgili güvenlik katmanlarına otomatik dağıt.
🧩 Sorun
- Paketleme/şifreleme ile imza atlatma
- Makro/JS/VBS gibi içeriklerin “dosya içinde” saklanması
- ZIP/RAR/ISO gibi konteynerlerle zaman kazanan saldırılar
- AV’nin “geç” güncellenmesi → ilk kurban riski
🛡️ Çözüm: Threat Prevention + WildFire (davranış tabanlı tespit + otomatik IOC)
Palo Alto Networks Threat Prevention katmanı, trafiği ve dosyaları policy üzerinde kontrol eder. WildFire ise şüpheli dosyaları sandbox ortamında çalıştırarak davranış analizi yapar; sonuçtan IOC / imza üretip korumayı günceller. Mantık basit:
“Dosya şüpheliyse → detonasyon → verdict → koruma güncellemesi → tekrar görürsen engelle.”
✅ 3 Adımda Hızlı Kazanım
1) Profil seti: “neye bakacağız, neyi göndereceğiz?”
Amaç; dosyayı doğru noktada yakalayıp WildFire’a yönlendirmek.
Minimum profil seti
- File Blocking (dosya türü bazlı allow/block/alert)
- Antivirus
- Anti-Spyware
- Vulnerability Protection
- WildFire Forwarding Profile (şüpheli dosyaları WildFire’a gönderen yönlendirme profili)
Pratik öneri
- İlk gün “tam block” yerine alert + log ile başlayın.
- Dosya türlerinde risk odaklı ilerleyin:
- PE/EXE, Office (macro), PDF, JS/VBS
- ZIP/RAR/ISO (konteynerler)
- APK (mobil akışlar varsa)
2) Politika uygulama: doğru trafikte doğru enforcement
WildFire değeri en çok şu akışlarda çıkar:
- İnternet çıkış (HTTP/HTTPS)
- E-posta akışları (SMTP/POP3/IMAP; kurum mimarinize göre gateway üzerinde)
Uygulama modeli
- İlgili security rule’a Threat Prevention profillerini bağla
- File Blocking’de kritik tipleri önce alert, 24–48 saat veri topla
- False positive görmüyorsan kademeli şekilde block / quarantine seviyesine çek
Kritik not: “Her şeyi her yerde” değil; internet-facing ve e-posta gibi yüksek riskli yüzeylerden başlayın.
3) İzleme & otomasyon: bulguyu aksiyona çevir
Operasyonel hedef: WildFire’dan gelen verdict ve IOC’leri, manuel triage beklemeden “containment”a bağlamak.
İzleme
- WildFire submissions / verdict trendleri
- En çok tetiklenen dosya türleri / kaynak kullanıcılar
- Aynı IOC’nin farklı segmentlerde tekrar görülmesi (lateral risk)
Otomasyon (isteğe bağlı ama çok etkili)
- Yüksek riskli bulgularda:
- Auto-Tag ile kaynak IP/host’u etiketle
- Dynamic Address Group ile otomatik karantina/deny policy uygula
- İstisnaları süreli (EXP) + owner/ticket ile yönetin (denetim + teknik borç kontrolü)
🎯 Kazançlar
⚡ Daha hızlı koruma: “ilk görülen” dosya davranıştan yakalanır, aynı IOC tekrarında koruma sertleşir
🧠 Davranış tabanlı tespit: imza yokken de karar üretebilme
🌐 Otomatik IOC yayılımı: IOC/imik üretimi sonrası gateway kontrolleri tutarlılık kazanır
🔇 Daha az gürültü: doğru dosya tipi + doğru policy ile FP yönetimi kolaylaşır
48s Mini-PoC (hemen başla)
- İnternet çıkış policy’sinde: Threat Prevention + File Blocking’i alert-only bağla
- WildFire forwarding’i sadece yüksek riskli dosya tiplerinde aç
- 24 saat sonra: ilk 20 bulguyu incele → “gerekli block listesi” oluştur
- 1 hafta: Auto-Tag + DAG ile “yüksek risk verdict → otomatik containment” dene
- KPI: MTTD/MTTR, tekrar eden IOC sayısı, kullanıcı şikâyeti/FP oranı
Cem Kemal Erbaş sitesinden daha fazla şey keşfedin
Subscribe to get the latest posts sent to your email.
