Veri Sızdırma ve C2 Kanalları: Exfiltration Teknikleri, OPSEC ve Tespiti

title: C2 Kanalı Üzerinden Büyük Veri Exfiltrasyonu (Proxy/Firewall)
id: 6b2e8d4a-5c9f-4b3e-a7d1-0e5f3c8b2a19
status: experimental
description: |
  Proxy veya güvenlik duvarı loglarında tek bir oturumda aşırı büyük outbound veri transferini tespit eder.
  C2 beacon'ları normalde küçük boyutlu (< 10KB) paket gönderir; ancak exfiltrasyon fazında
  saldırganlar toplanan veriyi mevcut C2 kanalı üzerinden büyük POST/PUT istekleriyle iletir.
  Bu kural cs-bytes değerinin anormal eşiği aştığı durumları işaretler.
references:
  - https://attack.mitre.org/techniques/T1041/
  - https://www.sans.org/reading-room/whitepapers/detection/detecting-c2-traffic-proxy-logs-37880
  - https://car.mitre.org/analytics/CAR-2020-09-001/
author: CyberSecLab (AI)
date: 2026-06-13
modified: 2026-06-13
tags:
  - attack.exfiltration
  - attack.t1041
logsource:
  category: proxy
detection:
  selection_large_upload:
    cs-bytes|gt: 52428800
  selection_suspicious_method:
    cs-method:
      - 'POST'
      - 'PUT'
  filter_known_cloud:
    cs-host|endswith:
      - '.sharepoint.com'
      - '.onedrive.com'
      - '.dropbox.com'
      - '.box.com'
      - '.drive.google.com'
      - '.s3.amazonaws.com'
      - '.blob.core.windows.net'
      - '.wetransfer.com'
  filter_update_services:
    cs-host|endswith:
      - '.windowsupdate.com'
      - '.microsoft.com'
      - '.adobe.com'
      - '.apple.com'
  condition: all of selection_* and not 1 of filter_*
falsepositives:
  - Meşru dosya yükleme servisleri (izin verilenler listesi güncel tutulmalıdır)
  - Bulut yedekleme araçları büyük upload yapabilir
  - Video konferans uygulamaları büyük veri transferi yapabilir
level: high