Yüksek önemHARDEC6 adım · 5 faz
Command & Control / Beaconing Eradication
Aktif C2 kanali / beacon (Cobalt Strike, custom implant) tespit ve kesme.
Bilgilendirme notu
Bilgilendirme notu: C2 beaconing temizliğinde yalnızca zararlı süreci sonlandırmak yeterli değildir; implant konfigürasyonunda tanımlı yedek C2 adreslerini ve malleable profil parametrelerini de kapsayan bir tehdit istihbaratı analizi yapın. MITRE T1071 kapsamında DNS, HTTP ve named pipe kanallarını ayrı ayrı değerlendirin. Ağ izolasyonundan önce bellek görüntüsü alarak beacon konfigürasyonunu çıkarın; bu, aynı operatöre ait diğer implantların tespitine olanak tanır.
1
Preparation
1 adım- Ag/DNS telemetri
NetFlow, DNS/proxy loglari, TLS denetimi, threat intel besleme.
2
Detection & Analysis
1 adım- Kanali haritala
Beacon araligi/jitter, C2 alan/IP, implant barindiran hostlar, protokol (DNS/HTTPS).
3
Containment, Eradication & Recovery
2 adım- Kanali kes
C2 alan/IP firewall/proxy/DNS sinkhole ile engelle, etkilenen hostlari izole et.
- Implant'i kaldir
Tum hostlarda implant + kaliciligi temizle, kimlikleri sifirla, eszamanli yap.
4