Yüksek önemHARDEC11 adım · 6 faz
Malware / Endpoint Compromise
Uç noktada kötü amaçlı yazılım yürütme olayında sınıflandırma, izolasyon, kanıt toplama, temizleme ve güvenli yeniden devreye alma akışı.
Bilgilendirme notu
Bilgilendirme notu: Zararlı yazılım müdahalesinde kalıcılık mekanizmaları en yüksek önceliği almalıdır; kötü yazılım çalışmak zorunda olduğundan yürütme kanıtı (Prefetch, ShimCache, Amcache) her zaman mevcuttur. MITRE ATT&CK'ın tüm kalıcılık kategorilerini (T1547, T1543, T1546) kapsayan otomatik triyaj scripti hazırlayın. WMI event subscription tabanlı kalıcılık özellikle göz ardı edilmektedir;
wmiprvse.exe altındaki olağandışı süreç hiyerarşisini EDR telemetrisinde mutlaka izleyin.1
Hazırlık
1 adım- EDR ve triyaj kitini hazır tut
Merkezi EDR, bellek/disk imaj araçları, sandbox erişimi ve güncel IOC beslemeleri; uç nokta izolasyon yetkisi önceden tanımlı olsun.
2
Tespit ve Analiz
3 adım- Alarmı doğrula ve önceliklendir
Yanlış pozitifi ele; süreç ağacı, üst süreç, komut satırı ve imza durumundan gerçek zararlıyı ayırt et.
- Zararlıyı sınıflandır
Hash/IOC, aile, yetenek (fidye/stealer/RAT), kalıcılık mekanizması ve C2 altyapısını belirle.
- Yayılım kapsamını çıkar
Aynı IOC/hash'i tüm filoda tara; yanal hareket, paylaşılan kimlik bilgisi ve etkilenen host listesini oluştur.
3