Parent-Child Process Anomalilerinin Test Edilmesi

Zararsız süreç zincirleriyle beklenmeyen parent-child ilişkilerine yönelik detection kurallarını doğrulama. Test yalnızca yazılı olarak yetkilendirilmiş ve geri dönüş planı bulunan laboratuvar ortamında yürütülür.

Giris ve Temel Akis

Bu bölümün pratik akışı şu sırayla ilerler:

İzinli süreç zincirini tasarla
Beklenen parent ve childı yaz
Test zincirini çalıştır
Sysmon olaylarını bul
Sigma eşleşmesini kontrol et
Test süreçlerinin kapandığını doğrula

Temel Kavram Eslesmeleri

Parent-Child Process Anomalilerinin Test Edilmesi kapsamında kullanılan araçlar ve yönetişim bileşenleri farklı görevleri destekler.

Sysmon: Birincil test, analiz veya telemetri doğrulama aracı
Sigma: İkinci veri kaynağı veya bağımsız doğrulama aracı
Rules of Engagement: İzinleri, sınırları ve durdurma koşullarını belirler
Cleanup Plan: Test artefactlarının güvenli biçimde geri alınmasını tanımlar

Ilk Cekirdek Kavram

Bu bölümde öne çıkan çekirdek kavram Parent-Child Anomaly olarak verilir. Zararsız süreç zincirleriyle beklenmeyen parent-child ilişkilerine yönelik detection kurallarını doğrulama. Amaç gerçek güvenlik kontrollerini aşmak değil, bu davranışlara karşı görünürlük ve detection dayanıklılığını ölçmektir.

Arac, Komut veya Inceleme Akisi

Konuya uygun güvenli gözlem veya lab komutları: powershell.exe -NoProfile -Command "Start-Process cmd.exe -ArgumentList '/c echo parent-child-test' -Wait" Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-Sysmon/Operational";Id=1} -MaxEvents 20

Bu bölümün pratik akışı şu sırayla ilerler:

Komutu İncele
Lab Hedefini Doğrula
Telemetriyi Aç
Komutu Çalıştır
Çıktıyı Kaydet
Cleanup Yap

Kanit ve Bilesen Iliskileri

Komut ve araç çıktıları, evasion davranışlarının savunma tarafındaki izlerini doğrulamak için kullanılır.

powershell.exe -NoProfile -Command "Start-Process cmd.exe -ArgumentList '/c echo parent-child-test' -Wait": Birincil güvenli kontrol veya sentetik test komutu
Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-Sysmon/Operational";Id=1} -MaxEvents 20: Olay, durum veya cleanup doğrulama komutu
Sysmon: Ana analiz veya emülasyon çıktısını sağlar
Sigma: Sonucu ikinci bir veri kaynağında doğrular

Ikincil Odak Noktasi

Bu bölümde öne çıkan çekirdek kavram Sysmon olarak verilir. Bu derste birincil araç olarak Sysmon, yardımcı doğrulama aracı olarak Sigma kullanılır.

Operasyonel Dogrulama ve Raporlama

Evasion testinin öğretici olması için beklenen telemetri, gözlenen olay ve detection sonucu aynı zaman çizelgesinde karşılaştırılır.

Bu bölümün pratik akışı şu sırayla ilerler:

Beklenen Olayı Tanımla
Test Zamanını Kaydet
Endpoint Verisini Topla
Ağ veya Kimlik Verisini Topla
SIEM Sonucunu Karşılaştır
Detection Boşluğunu Yaz

Cikti ve Kullanım Amaci

Evasion testi çıktıları farklı savunma ekiplerine farklı kanıtlar sunar.

Endpoint Telemetry: Süreç, dosya ve yapılandırma davranışlarını doğrular
Network Telemetry: Bağlantı, DNS ve proxy görünürlüğünü doğrular
Detection Result: Kuralın alarm üretip üretmediğini gösterir
Cleanup Evidence: Test artefactlarının kaldırıldığını kanıtlar

Son Kavram ve Cikis

Bu bölümde öne çıkan çekirdek kavram Cleanup olarak verilir. Test tamamlandığında sentetik artefactlar kaldırılır, değişiklikler geri alınır ve güvenlik araçlarının başlangıç durumunda olduğu doğrulanır.

Bu Egitimden Ne Kazanirsiniz?

Bu icerik, Parent-Child Process Anomalilerinin Test Edilmesi konusunu SOC L3 - Adversary Emulation - Savunma Atlama (Evasion) Testleri baglaminda parcali degil, butunlu bir ogrenme akisina donusturur. Yalnizca kavramlari ezberlemek yerine surec sirasini, bilesenler arasi iliskiyi ve hangi kanitin neden onemli oldugunu kavramayi hedefler.

Ozet

Bu ders kapsaminda one cikan basliklar: Sysmon, Sigma, Rules of Engagement, Cleanup Plan, powershell.exe -NoProfile -Command "Start-Process cmd.exe -ArgumentList '/c echo parent-child-test' -Wait", Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-Sysmon/Operational";Id=1} -MaxEvents 20, Endpoint Telemetry, Network Telemetry, Detection Result, Cleanup Evidence. Egitimin mantigi; once temel akis kurmak, sonra eslestirme ve kavram netlestirme yapmak, en sonda ise bulguyu operasyonel bir sonuca baglamaktir.