Çoğu dosya sunucusunda alarm kuralı şu mantıkla kurulur: bir kullanıcı bir saat içinde 1.000'den fazla dosya işlemi yaparsa haber ver. Kural yazıldığı gibi çalışır. Eşiği aşan herkesi yakalar, günde 60 dosya kopyalayıp bunu bir ay boyunca sürdüren kişiyi ise hiç görmez.

FolSec, kurumsal ortamlar için dosya sunucusu denetimi, NTFS izin yönetimi ve eşik tabanlı alarm üretiyor. Bu yetenekler kendi sorularını doğru yanıtlıyor ve kurumlar her gün bunlara güveniyor. Ancak güvenlik ekiplerinin sürekli sorduğu, olaydan sonra da ilk sorulan bir soru var ki bunların hiçbiri onu yanıtlamıyor: o hareket, o kişi için normal miydi?

Dosya sunucusunda anomali tespiti tam olarak bunu sorar. Etkinliği sabit bir sayıyla değil, kullanıcının kendi geçmişiyle karşılaştırır. Pazartesi sabahı 400 dosya açan bir mali işler uzmanı büyük olasılıkla rutin işini yapıyordur. Aynı 400 dosyayı gece 02.00'de, daha önce hiç girmediği klasörlerde açan bir idari işler çalışanı ise yapmıyordur.

Bu yazı, dosya sunucusunda anomali tespitinin nasıl çalıştığını, klasik dosya denetimi ile eşik tabanlı alarm ve genel UEBA çözümlerinin arasında nasıl bir görünürlük açığı kaldığını, FolSec platformundaki anomali tespiti yeteneğinin de bu açığı nasıl kapattığını ele alıyor.

Öne Çıkanlar

• Eşik tabanlı kurallar yalnızca birinin önceden öngörüp bir sayıya bağladığı hareketleri yakalar. Sayının altında kalan her şey, tasarım gereği görünmez.
• Denetim kaydı ne olduğunu yazar, olanın normal olup olmadığını söyleyemez. Bu soruyu yanıtlamak için gereken karşılaştırma logun içinde yoktur.
• Anlamlı bir referans kuruma değil kişiye özeldir. Aynı erişim hacmi bir rol için rutin, başka bir rol için olağandışıdır.
• "Yeterli geçmiş yok" diyemeyen bir sistem, yeni işe başlayan çalışanı sessizce normal sayar. Bu, kimsenin fark etmediği hata türüdür.
• Davranışı hatırlamak için denetim kaydının ikinci bir kopyasını tutmak gerekmiyor. Olayların değil davranış özetlerinin saklanması, kapladığı yeri iş hacmine değil kadro büyüklüğüne bağlıyor.
• İşletme maliyeti kurumun iş hacmiyle değil çalışan sayısıyla büyüyor. Yoğun geçen bir ay altyapı ihtiyacını değiştirmiyor.
• Alarm sayısı, kural yazılırken seçilmiş bir eşikten değil, ekibin gerçekten inceleyebileceği kapasiteden türetilmeli.

Dosya Sunucusunda Anomali Tespiti Nedir?

Tanım. Dosya sunucusunda anomali tespiti, her kullanıcının dosya hareketlerini o kullanıcının kendi geçmiş davranışıyla karşılaştıran ve bu geçmişten ayrışan hareketleri işaretleyen bir güvenlik yeteneğidir. Bir işlemin sabit bir sınırı aşıp aşmadığını değil, o işlemin onu yapan kişi için olağandışı olup olmadığını sorar.

Girdi, Windows dosya sunucusunun zaten ürettiği denetim kayıtlarıdır (audit log): kim neye erişti, ne zaman, hangi işlemi yaptı, işlem başarılı mı oldu yoksa reddedildi mi, hangi sunucuda gerçekleşti ve hangi erişim hakları kullanıldı. FolSec bu kayıtları dosya denetimi ve uyumluluk raporlaması için hâlihazırda topluyor ve saklıyor. Anomali tespiti aynı kayıtları okur, sadece onlara davranışsal bir soru sorar.

Eşik Tabanlı Alarmdan Farkı Ne?

Eşik tabanlı alarm deterministiktir ve açıklaması kolaydır; her dosya güvenliği ürününde bulunmasının sebebi de budur. Aynı nedenle etrafından dolaşması da kolaydır. Saatte 1.000 dosya işlemine kurulmuş bir alarm, saldırgana pratikte 999'un güvenli olduğunu söyler. Bir yedekleme görevini, bir departman taşımasını ve bir veri sızdırmayı birbirinden ayıramaz, çünkü üçü de yalnızca birer sayıdır.

Davranışsal tespit sabit sayının yerine kişiye özel bir referans koyar. "Çok fazla"yı tanımlayan tek bir rakam yoktur, çünkü o rakam her kişi için farklıdır ve o kişinin önceki haftalarda fiilen ne yaptığından türetilir.

İkisi rakip değil tamamlayıcıdır. Kesin biçimde ifade edilebilen koşullar için eşik kuralları hâlâ doğru araçtır: bir tuzak klasöre yapılan her erişim ya da belirli bir ACL üzerindeki her değişiklik gibi. Davranışsal tespit ise önceden tarif edilemeyen çok daha geniş kümeyi kapsar.

Davranış Profili Neyi İçerir?

Anomali tespiti, her kullanıcının normal çalışma alışkanlığını çıkarmakla başlar. Bir kişinin hangi saatlerde çalıştığı, hangi klasörlerde vakit geçirdiği, günde kaç dosyaya dokunduğu, hangi dosya türleriyle uğraştığı ve hangi erişim haklarını kullandığı zaman içinde belirgin bir örüntü oluşturur. Bu olağan davranış modeline yazının geri kalanında davranış profili diyeceğiz.

Tanım. Davranış profili, bir kullanıcının yakın geçmişteki kendi dosya hareketlerinden oluşturulan kişiye özel bir örüntüdür. Erişim yoğunluğunu, çalışma saatlerini, kullanılan klasörleri, dosya türlerini ve erişim haklarını kapsar. Ayrıca ilk kez gerçekleşen olayları da kaydeder: kullanıcının bir klasörü ilk kez açması ya da bir dosya türüyle ilk kez çalışması gibi.

Profil kişiye özel olduğu için aynı olay farklı kişilerde farklı sonuç üretir. 200 klasörde izin taraması yapan bir sistem yöneticisi işini yapıyordur. Aynı şeyi yapan bir satış temsilcisi ise kendi geçmişindeki her örüntüden ayrışmıştır ve sistemin bildirdiği şey budur.

Senaryo: departman dışı erişim. Bir bordro sorumlusu, iki saat içinde mühendislik tasarım klasöründe 40 dosya açıyor. Bütün işlemler yetkili, çünkü iki yıl önceki bir proje için verilen grup üyeliği hiç geri alınmamış. Eşik kuralı sessiz kalıyor; 40 dosya makul hiçbir sınıra yaklaşmıyor. Denetim kaydı da erişimi başarılı ve yetkili olarak yazıyor. Davranışsal tespit ise bunu bildiriyor, çünkü bu hesabın o klasör ağacının hiçbir yerinde geçmişi yok ve o dosya türlerini daha önce hiç açmamış.

Bu senaryonun üzerinde durmaya değer, çünkü içinde saldırı yok. Bayat kalmış bir yetki ve sıradan bir çalışan var. Önemli olan şu: bir hesabın bugüne kadar hiç dokunmadığı klasörlerde çalışması, ele geçirilmiş bir kimlik bilgisinin ilk gününde de tam olarak böyle görünür.

Eşik Tabanlı Kurallar Gerçek Saldırıları Neden Kaçırır?

Eşik kurallarının yakaladıkları ile güvenlik ekiplerinin asıl endişelendikleri arasındaki fark bir ayar meselesi değil, yapısal bir mesele.

Yavaş Veri Sızdırma Her Eşiğin Altında Kalır

Toplu hırsızlık gürültülüdür ve yakalanır, sabırlı hırsızlık ise yakalanmaz. İşten ayrılmaya hazırlanan bir çalışan altı hafta boyunca günde birkaç düzine belge kopyalıyorsa hiçbir hacim eşiğini aşmaz, çünkü olağandışı olan hacim değildir. Değişen şey dokunulan klasörler, örüntünün süreklilik kazanması ve aynı kişinin o konumlarda hiçbir geçmişinin bulunmamasıdır.

Senaryo: işten ayrılış öncesi veri hareketi. Bir satış temsilcisi, ortak takım klasörlerinden kendi kişisel dizinine her gün 30 ila 60 belge kopyalamaya başlıyor ve bunu altı hafta sürdürüyor. Okuduğu her dosyaya erişim yetkisi var. Hiçbir gün tek başına olağandışı görünmüyor ve hiçbir noktada eşik aşılmıyor. Davranışsal tespit ise bu kişinin kendi kopyalama hacmi profilinden sürekli bir ayrışma görüyor; buna daha önce yalnızca ara sıra yazdığı bir hedef dizin ekleniyor ve tablo, tek bir yoğun öğleden sonrayla açıklanamayacak kadar uzun sürüyor.

Bunu yakalamak için eşiği düşürmek ters etki yaratır. Her meşru proje başlangıcı, her denetim çalışması ve her departman yeniden yapılanması yeni sınırı aşar; ekip de bir süre sonra alarmları okumayı bırakır.

Fidye Yazılımı Aslında Kolay Olan Vaka

Fidye yazılımına (ransomware) özgü toplu şifreleme, eşik kurallarının makul biçimde başa çıkabildiği tek senaryodur; çünkü davranış aşırıdır ve kısa bir zaman aralığına sıkışmıştır. Çok sayıda dosya üzerinde hızla ilerleyen okuma, yazma, yeniden adlandırma ve silme dizisi neredeyse her ölçüde göze çarpar.

FolSec fidye yazılımı davranışını birincil tehdit olarak ele alıyor ve buna göre tespit ediyor. Burada söylenmesi gereken ve genelde atlanan nokta şu: hacim kuralıyla fidye yazılımının yakalanıyor olması, aynı kuralın daha yavaş hiçbir şeyi yakalayacağı anlamına gelmez. Yalnızca fidye yazılımının en kolay vaka olduğunu gösterir.

Asıl Zor Vaka: Ayrıcalıklı Hesaplar

Yönetici ve servis hesapları hem ele geçirilmeye en değer hesaplardır hem de eşik kurallarına en az uyan hesaplardır. Meşru olarak çok sayıda dosyaya dokunurlar, meşru olarak mesai dışında çalışırlar ve meşru olarak kimsede olmayan erişim haklarını taşırlar. Bu meşru davranışa yer açmak için yazılan her kural, hesabı ele geçiren saldırganın da devraldığı bir kuraldır.

Senaryo: mesai dışı ayrıcalıklı hesap kullanımı. Normalde 01.00 ile 02.00 arasında sabit bir dizin kümesinden okuma yapan bir yedekleme servis hesabı, saat 03.40'ta departman paylaşımlarında klasör izinlerini taramaya başlıyor. Hiçbir işlem reddedilmiyor, çünkü hesap gerekli haklara sahip. Hacim de mütevazı kalıyor. Eşik kuralı yetkili bir hesabın yetkili okuma yaptığını görüyor. Davranışsal tespit ise hesabın kendi profilinden aynı anda üç ayrışma görüyor: hiç kullanmadığı bir çalışma saati, hiç kullanmadığı bir erişim hakkı kümesi ve geçmişinde hiç yer almamış klasörler.

Bunu tespit edilebilir kılan ayrım şu: davranışsal tespit, hesabın bir şeyi yapmaya yetkili olup olmadığını sormaz. O soruyu izinler zaten yanıtlamıştır ve yanıt evettir. Sorduğu soru, bu hesabın bunu daha önce hiç yapıp yapmadığıdır.

Kural Yazılmayan Vaka: Kasıtsız İç Tehdit

Zarar veren her olay saldırı değildir. Özlük dosyalarının bulunduğu bir klasörü ortak departman sürücüsüne kopyalayan bir çalışan, hiçbir kötü niyet olmadan bir veri ifşası yaratmıştır. Hiçbir kural çiğnenmemiştir, hiçbir eşik aşılmamıştır, hiçbir şey çalınmamıştır.

Bu vaka hem imza tabanlı hem eşik tabanlı tespit için görünmezdir, çünkü ikisi de zararlı hareketin sıradan hareketten farklı göründüğü varsayımı üzerine kuruludur. Davranışsal tespit ise olayı olduğu gibi görür: bu kişi, bu türde içeriği, daha önce hiç yazmadığı bir konuma yazıyor.

FolSec Anomali Tespiti Nasıl Çalışır?

Yeteneğin üretim ortamındaki davranışını dört özellik belirliyor.

Zaten Topladığınız Denetim Kayıtlarını Okur

Ayrı bir agent ya da ikinci bir toplayıcı yok. Windows dosya sunucusu her erişimi kendi denetim kaydına yazıyor, FolSec bu kaydı bugün zaten dosya erişim denetimi ve raporlama için topluyor, anomali tespiti katmanı da yerinde duran bu kayıtları okuyor.

BT ekipleri açısından bunun kulağa geldiğinden daha büyük bir karşılığı var. Kurulum sorusu "dosya sunucularına ne kuracağız" değil; çoğu güvenlik projesini durduran soru tam olarak budur. Kapsam, FolSec'in bugün denetlediği platformları içeriyor: Windows'un yanı sıra NetApp, Synology ve QNAP depolama sistemleri.

Loglarınızın İkinci Kopyasını Tutmadan Davranışı Hatırlar

Bugünü geçmişle karşılaştıran her sistemin geçmişi bir yerde saklaması gerekir. Akla ilk gelen yöntem, yani denetim kayıtlarının bir kopyasını tutmak, iki sorun üretir: depolama olay hacmiyle büyür ve kurum, kendi denetim kaydının ikinci bir nüshasını beraberinde gelen tüm saklama yükümlülükleriyle birlikte elinde tutmaya başlar.

FolSec olayları değil davranış özetlerini saklıyor. Kalıcı olarak tutulan şey, her kullanıcının günlük aktivitesinin derli toplu bir tarifi ve bir klasöre ilk kez erişilmesi gibi ilk kez gerçekleşen olayların kaydı; denetim kayıtlarının kendisi değil.

Bunun operasyonel karşılığı şu: hafıza, iş hacmiyle değil kişi ve gün sayısıyla büyüyor. Kurumun dosya işlemlerinin iki katına çıktığı bir ay, sistemin sakladığı veriyi iki katına çıkarmıyor.

Her Kullanıcıyı Kendi Geçmişiyle Karşılaştırır

Skorlanan her olay, işlemi yapan kullanıcının kendi davranış profiline göre konumlanır: bu hareket kişinin olağan hacminden ne kadar uzakta, saat o kişi için olağandışı mı, klasör onun için yeni mi, dosya türü çalıştığı türlerden biri mi.

Bir tasarım kararının açıkça söylenmesi gerekiyor, çünkü ölçeklenen sistemle ölçeklenmeyen arasındaki fark burada. FolSec kullanıcı başına ayrı model eğitmiyor. Tüm kurum için tek bir model çalışıyor ve kişiselleşme modelden değil, her kullanıcının saklanan geçmişinden geliyor. Çalışan sayısı arttıkça eğitilecek ve sürümlenecek model sayısı artmıyor, yalnızca davranış geçmişi sayısı artıyor. Bunun bir sonucu daha var: yeni işe başlayan bir çalışan, kendisi için henüz var olmayan bir modeli beklemek yerine geçmiş üretmeye başladığı andan itibaren kapsama giriyor.

Geçmiş Yetersizse Tahmin Yürütmez

Bir kullanıcı hakkında yargı kurmaya yetecek geçmiş birikmemişse FolSec skor üretmek yerine "yeterli geçmiş yok" bildirimi veriyor.

Bu bilinçli ve alışılmadık bir tercih; davranışsal güvenlik araçlarındaki en pahalı hata türünü hedefliyor. Her zaman bir sayı döndüren bir sistem, "bu normal görünüyor" ile "hiçbir fikrim yok" arasındaki farkı taşıyamaz. İkisi de düşük skor olarak geri döner ve ikincisi sessiz bir kaçırmadır. Eksikliği açıkça bildirmek, analiste değerlendirilmiş kullanıcı ile değerlendirilememiş kullanıcıyı ayırt etme imkânı verir.

Bu, BT ve SOC Ekipleri İçin Ne Değiştirir?

Alarm Sayısını Eşik Değil Ekip Belirler

FolSec alarm eşiğini müşterinin yanıtladığı bir sorudan türetiyor: bu ekip günde kaç alarmı gerçekten inceleyebilir? Eşik, bu sayıdan ve gözlenen davranış dağılımından çıkıyor; üretici tarafından seçilmiş sabit bir değer değil.

Bu, alışılmış ayar ilişkisini tersine çeviriyor. Alarm hacmi katlanılabilir hâle gelene kadar kuralları oynamak yerine, ekip kapasitesini bir kez beyan ediyor ve sistem ona göre kalibre oluyor. Alarm yorgunluğu, yapılandırmanın kaçınılmaz bir yan ürünü olmaktan çıkıyor.

Yeni Çalışanlar Yanlış Pozitife Dönüşmez

Her çalışanın ilk haftaları tanımı gereği olağandışı görünür; açtığı her şeyi ilk kez açmaktadır. İlk kez erişimi doğrudan şüpheli sayan sistemler, kurum her yeni ekip aldığında bir alarm dalgası üretir ve analistler bir süre sonra bu kategoriyi tümden görmezden gelmeyi öğrenir.

FolSec var olmayan bir profile karşı skor üretmek yerine yetersiz geçmiş bildirdiği için işe alım dönemi bu dalgayı yaratmıyor; gelen alarmlar da anlamını koruyor.

Her Alarmın Yeniden Üretilebilir Bir Gerekçesi Var

Yalnızca "anormal" diyen bir alarm, incelemenin tamamını analistin sırtına yıkar. FolSec her kararın arkasındaki ölçülebilir etkenleri, kararı üreten yapılandırma ve model sürümüyle birlikte kaydediyor.

Bunun pratik sınavı altı ay sonraki denetimdir. Belirli bir kullanıcının belirli bir tarihte neden işaretlendiği sorulduğunda yanıt hatırlanarak değil kayıttan üretilir. İzleme kararlarını denetçiye, düzenleyiciye ya da ilgili çalışana karşı savunmak durumunda kalan kurumlar için bu, tartışma ile yanıt arasındaki farktır.

Kritik Klasörler Sürekli Gürültü Üretmez

Tespit katmanı, kurumun hangi klasörleri kritik saydığını bilerek bilmiyor. Aksi durum düşünülünce mantığı ortaya çıkıyor: klasörün önemi davranış skoruna karışırsa, önemli bir klasördeki her rutin hareket şüpheli görünmeye başlar ve en yoğun kullanılan hassas konumlar en gürültülü yanlış pozitif kaynağına dönüşür.

İş önemi daha sonra, FolSec bulguları önceliklendirirken devreye giriyor. Davranış sorusu ile iş sorusu ayrı ayrı yanıtlandığı için aynı bilgi iki kez sayılmıyor. Sonuçta bir klasörün hassasiyeti, gerçek bir anomalinin önceliğini yükseltiyor ama kendisi anomali üretmiyor.

Sistem Önerir, Kararı İnsan Verir

FolSec'in anomali tespiti yeteneği işaretler ve önceliklendirir. Davranış skoruna dayanarak kendiliğinden erişim iptal etmez, kullanıcı engellemez.

Bu sınır bilinçli. Davranış skorları olasılıksaldır ve olasılıksal bir sinyale dayanan otomatik yaptırım, er ya da geç meşru bir iş yoğunluğu sırasında yanlış kişiyi dışarıda bırakır. Öneriler analiste gider, yanıtı analist uygular.

Denetim, Eşik Alarmı ve UEBA Yanında Davranışsal Tespit Nerede Duruyor?

Davranışsal anomali tespiti, çoğu kurumun zaten kullandığı bu yeteneklerin hiçbirinin yerine geçmiyor. Üçünün ortak olarak bıraktığı bir açığı kapatıyor ve yatırım gerekçesini oluşturan şey, özellik listesi değil bu açığın tam olarak nerede olduğu.

Görünürlük açığı. Dosya denetimi, eşik tabanlı alarm ve SIEM korelasyonu ya geriye dönüktür ya da öngörüye dayanır. Denetim, ne arayacağınızı bildiğinizde ne olduğunu söyler. Eşik ve korelasyon kuralları ise birinin önceden tanımladığı koşullarda ateşlenir. Hiçbiri; tamamen yetkili olan, her sınırın belirgin biçimde altında kalan ve bilinen hiçbir örüntüye uymayan hareketi yüzeye çıkaramaz. Oysa çoğu iç tehdit olayının ve ele geçirilmiş her kimlik bilgisinin ilk gününün profili tam olarak budur.

Denetim "Ne Oldu" Sorusunu Yanıtlar, "Normal miydi" Sorusunu Değil

Dosya denetim kaydı bir kayıttır. Bağlayıcıdır, uyumluluk için zorunludur ve davranışsal tespit dâhil her şeyin üzerine kurulduğu temeldir. Yapamadığı tek şey kendini değerlendirmektir.

Sınır aslında bir sorgulama sorunudur. Denetim kaydında bir şey bulmak için ne arayacağınızı bilmeniz gerekir: bir kullanıcı, bir klasör, bir tarih aralığı, bir işlem. Bu, soru zaten oluşmuşken, yani inceleme sırasında iyi çalışır. İnceleme başlamadan önce ise işe yaramaz; çünkü kayıt, geçen haftaki milyonlarca yetkili işlemden hangisinin ikinci kez bakılmayı hak ettiğine dair hiçbir işaret taşımaz. Dosya sunucusu yönetiminde görünürlük tartışmasının çekirdeğinde de bu sorun duruyor.

Davranışsal tespit, soruyu üreten katmandır. Denetim kaydının yerine geçmez; onu okur ve kısa bir liste döndürür.

Genel UEBA Dosya Hareketini Tek Bir Sinyal Olarak Görür

UEBA (Kullanıcı ve Varlık Davranış Analizi) platformları kimlik doğrulamayı, uç noktaları, ağ trafiğini ve bulut uygulamalarını kapsar ve tam da bu genişlik nedeniyle değerlidir. Dosya hareketi böyle bir platforma genellikle bir olay sayısı ya da kaba bir kategori olarak girer.

Genişlik karşılığında bu makul bir takas, ancak dosya sunucusu davranışını yorumlanabilir kılan bağlamı dışarıda bırakır: klasör hiyerarşisi ve erişimin bu hiyerarşideki yeri, erişimi mümkün kılan izin yapısı, hangi erişim haklarının kullanıldığı, denemenin reddedilip reddedilmediği ve kullanıcının klasör alanının zaman içinde nasıl değiştiği. "X kullanıcısı 40 dosya işlemi yaptı" bilgisini gören bir platform, yukarıdaki bordro sorumlusunu yoğunca bir sabah geçiren herhangi bir çalışandan ayıramaz.

Tanım. Dosya sunucusu anomali tespiti, UEBA yaklaşımının özel olarak dosya hareketlerine uygulanmış hâlidir. Genel bir UEBA platformundan daha dar bir alanı kapsar ve o alanda çok daha fazla bağlamı değerlendirir: klasör yapısı, izin bağlamı, kullanılan erişim hakları, reddedilen denemeler ve her kullanıcının değişen klasör alanı.

Yan Yana Karşılaştırma

Dördü alternatif değil katmandır. Denetim kaydı tutar. Eşik kuralları tanımlı vakaları ucuza yakalar. UEBA kimlik riskini sistemler arasında ilişkilendirir. Davranışsal dosya tespiti ise geriye kalanı, yani kimsenin öngörmediği yetkili hareketi kapsar.

Dosya Sunucusu Denetim Kaydı Neyi Söyler, Neyi Söylemez?

Kurulum öncesinde beklentiyi doğru kurmak, kurulum sonrasındaki hayal kırıklığının çoğunu önler. Dosya sunucusu denetim kayıtları üç kategoriye ayrılıyor ve aralarındaki fark, davranışsal katmanın neyi değerlendirip neyi değerlendiremeyeceğini belirliyor.

Her kayıtta var. İşlemi yapan hesap, zaman damgası, dosya ya da klasör, yapılan işlem, işlemin başarılı mı yoksa reddedilmiş mi olduğu, ilgili sunucu ve kullanılan erişim hakları. Bütün davranış ölçüleri bunların üzerine kuruluyor.

Kuruma göre değişir. İşlemi hangi programın yaptığı bilgisi bazı ortamlarda geliyor, bazılarında hiç gelmiyor; bu tamamen denetim politikasının nasıl yapılandırıldığına bağlı. Bu yüzden tespit, bu alanların varlığına bağlı çalışmıyor ve eksikliği bir değer gibi değil, eksiklik olarak kaydediyor.

Hiç gelmiyor. Bağlanan makinenin IP adresi, yeniden adlandırma sonrasındaki hedef yol ve oturum bilgisi dosya sunucusu denetim kaydının parçası değil. Dosya içeriği parmak izi, USB hareketi ve e-posta ise zaten dosya sunucusu denetiminin kapsamı dışında.

İlk ikisinden ayrı tutulması gereken bir üçüncü kategori daha var, çünkü o bir eksiklik değil bir tercih. FolSec dosya içeriğini, tespit anında klasör kritikliğini ve dil modeliyle üretilmiş serbest metin anlatıyı bilerek kullanmıyor. Eksik bir alan, müşterinin denetim politikasını değiştirerek kapatabileceği bir şey olabilir. Bilinçli bir dışarıda bırakma ise değişmez; ikisini aynı kefeye koymak, ekipleri hiç sorun olmamış bir ayarın peşinde koşturur.

Eksik bilgi eksik olarak kaydediliyor. Sıfırla doldurulmuyor; doldurulsaydı sistem, reddedilmiş bir erişimin hiç gerçekleşmediğini öğrenirdi.

Üretim Ortamında Kurulum ve Ölçeklenme

Güvenlik yetenekleri en az tespit kalitesi kadar sık biçimde operasyonel uyum üzerinden kabul ya da ret ediliyor; bu yüzden kurulumun şeklini netleştirmekte fayda var.

FolSec'in bugün sevk ettiği motor, CPU üzerinde çalışan klasik makine öğrenmesi kullanıyor. Ne eğitim ne de skorlama için GPU gerekiyor. Ekran kartı sorusu ancak ileride derin öğrenme tabanlı bir motor eklenirse doğar, o durumda bile yalnızca eğitim için.

Kurulum şekli tek sunucu: kurum içinde (on-premise), mevcut FolSec kurulumunun yanında çalışan bir servis. İşleme yolunda bulut aboneliği, olay başına ücretlendirme ya da dış servis bağımlılığı yok.

Kurum büyüdükçe sistemin nasıl davranacağını üç mimari özellik belirliyor.

Tek model, kullanıcı başına bir tane değil. Çalışan eklendikçe model değil davranış geçmişi ekleniyor. Kadro büyüklüğüyle birlikte büyüyen bir eğitim, sürümleme ve bakım yükü doğmuyor; yeni işe başlayanlar için soğuk başlangıç sorunu da oluşmuyor.

Eğitim istek yolunda değil, planlanmış olarak çalışıyor. Model, arka planda belirli aralıklarla eğitiliyor. Skorlama ise eğitimi beklemeyen ayrı ve hafif bir işlem; tespitin dosya aktivitesinin gerisinde kalmak yerine ona yetişebilmesinin sebebi de bu.

Depolama olay hacmiyle değil kişi ve gün sayısıyla büyüyor. Olaylar değil davranış özetleri saklandığı için olağandışı yoğun geçen bir dönem, sistemin tuttuğu veriyi aynı oranda büyütmüyor. Kapasite, kurumların planlayabildiği bir büyüklük olan kadroyu takip ediyor; planlayamadıkları bir büyüklük olan iş hacmini değil.

Kapasite planlamasında bir kategori ayrıca not edilmeli. İlk erişim kayıtları en yoğun olarak kurum izlenmeye yeni başladığında üretiliyor, çünkü o aşamada neredeyse her şey ilk kez görülüyor. Her kullanıcının alışkın olduğu klasör kümesi doldukça bu üretim azalıyor. Bu nedenle boyutlandırma, işletmenin ilk haftalarından yola çıkılarak değil, kurulum planlaması sırasında ilgili ortama göre belirlenmeli.

Uyumluluk ve Veri Yerelliği

Davranışsal izleme çalışan aktivitesine dokunduğu için KVKK ve sektöre göre GDPR, HIPAA ya da PCI DSS yükümlülüklerinin kapsamına giriyor. Tasarımın üç özelliği bu konuyu doğrudan karşılıyor.

İşlem kurum içinde kalıyor. Bütün analiz kurumun kendi sunucusunda çalışıyor. Dosya aktivitesi verisi ortamdan çıkmıyor; işleme yolunda bulut aboneliği ya da dış servis yok.

Denetim kaydının ikinci kopyası oluşmuyor. Sistem olayları değil davranış özetlerini sakladığı için kurumun denetim kayıtlarının kopyasını üretmiyor, dolayısıyla bu kayıtlar etrafında ikinci bir saklama ve ifşa yükümlülüğü doğurmuyor.

Silme yolu sonradan eklenmedi, baştan tasarlandı. Bir kişinin kayıtlarının kaldırılmasına ait yol, veri modeline en başından yazıldı. Çalışan bir davranış sistemine sonradan silme yeteneği eklemek, baştan dâhil etmekten belirgin biçimde daha zor; bu yüzden ertelenmedi.

Raporlama tarafında anomali bulguları ayrı bir konsolda değil, FolSec'in mevcut NTFS izin yönetimi ve dosya erişim denetimi raporlamasının yanında duruyor.

Sık Sorulan Sorular

Dosya sunucusunda anomali tespiti nedir? Dosya sunucusu anomali tespiti, her kullanıcının dosya hareketlerini o kullanıcının kendi geçmiş davranışıyla karşılaştırır ve bu geçmişten ayrışan hareketleri işaretler. Sabit bir sayının aşılmasıyla ateşlenen eşik alarmının aksine, bir işlemin onu yapan kişi için olağandışı olup olmadığını değerlendirir.

Anomali tespiti ile eşik tabanlı alarm arasındaki fark nedir? Eşik alarmı hareketi önceden belirlenmiş bir değerle karşılaştırır; bu değerin altında kalan her şey ne kadar olağandışı olursa olsun bildirilmez. Anomali tespiti ise hareketi, kullanıcının kendi geçmişinden oluşan davranış profiliyle karşılaştırır. Böylece saldırganın altında kalabileceği sabit bir sayı kalmaz.

Anomali tespiti ile dosya denetimi arasındaki fark nedir? Dosya denetimi ne olduğunu kaydeder ve uyumluluk açısından bağlayıcı kayıttır; içinde bir şey bulmak için ne arayacağınızı bilmeniz gerekir. Anomali tespiti aynı kaydı okur ve incelenmeye değer hareketlerin kısa bir listesini döndürür. Bu, denetim sorgusu yazılabilmesi için önce gerçekleşmesi gereken adımdır.

Fidye yazılımı davranışı tespit edilebilir mi? Evet. Toplu şifreleme, kısa bir zaman aralığında çok sayıda dosya üzerinde hızlı okuma, yazma, yeniden adlandırma ve silme dizisi üretir; bu da her kullanıcının olağan örüntüsünden keskin biçimde ayrışır. FolSec fidye yazılımına özgü toplu işlemleri birincil tehdit olarak ele alıyor. Yavaş veri sızdırma gibi hareketler daha zor vakadır ve davranışsal tespite asıl ihtiyaç duyulma sebebidir.

Ayrı bir agent kurmak gerekiyor mu? Hayır. Anomali tespiti, FolSec'in zaten topladığı Windows dosya sunucusu denetim kayıtlarını okuyor. Dosya sunucularına kurulacak ek bir agent ya da ikinci bir toplayıcı yok; mevcut bir FolSec kurulumu üzerinde devreye alınabilmesinin sebebi de bu.

Sistem bir kullanıcıyı değerlendirebilmek için ne kadar geçmişe ihtiyaç duyuyor? O kullanıcının olağan örüntüsünü tarif etmeye yetecek kadar. Bu eşik karşılanana kadar FolSec skor üretmek yerine o kullanıcı için yeterli geçmiş olmadığını bildiriyor. Böylece yeni çalışanlar, yalnızca her şeyi ilk kez yapıyor oldukları için işaretlenmiyor.

GPU gerekiyor mu? Hayır. FolSec'in sevk ettiği motor, hem eğitim hem skorlama için CPU üzerinde çalışan klasik makine öğrenmesi kullanıyor. Eğitim istek anında değil arka planda belirli aralıklarla çalışıyor, skorlama ise olay başına hafif bir işlem; bu yüzden yetenek sıradan sunucu altyapısına kurulabiliyor.

Dosya sunucusu verileri kurum dışına çıkıyor mu? Hayır. İşlem kurum içinde, kurumun kendi sunucusunda yapılıyor. Dosya aktivitesi verisi ortamdan çıkmıyor; bu, KVKK ve benzeri yükümlülükler altında çalışan kurumlar için bir gereklilik.

Kurumsal Dosya Güvenliği Açısından Bu Ne Anlama Geliyor?

Dosya sunucusu riskinde üç şey değişti ve üçü de aynı yönü gösteriyor.

Birincisi, zarar veren olaylar giderek daha fazla yetkili olaylar. Bayat kalmış grup üyelikleri, fazla yetkilendirilmiş servis hesapları, meşru okuma hakkıyla işten ayrılan çalışanlar ve ele geçirilmiş kimlik bilgileri; hepsi her izin kontrolünden geçen hareket üretiyor. Erişim kontrolü soruyu doğru yanıtlamıştı ve yanıt evetti. Tamamen izinler ve kurallar üzerine kurulu bir kontrol modelinin bu noktadan sonra oynayacağı hamle kalmıyor.

İkincisi, meşru dosya aktivitesinin hacmi elle incelemeyi aştı. Her çalışan sıradan bir iş gününde kesintisiz bir dosya işlemi akışı üretiyor ve bu, kurum ölçeğinde hiçbir ekibin okuyamayacağı bir hacme dönüşüyor; okuması da beklenmemeli. Soru artık hareketin kaydedilip kaydedilmediği değil; kaydın tamamını, insan bakışını hak eden birkaç satıra indiren bir şeyin olup olmadığı.

Üçüncüsü, denetim beklentisi yer değiştirdi. Düzenleyiciler, denetçiler ve siber sigorta tarafı artık yalnızca kurumun logu üretip üretemediğini değil, fark edip edemeyeceğini de soruyor. Bunlar farklı sorular ve yalnızca birinin yanıtı saklama süresiyle ilgili.

Bunların hiçbiri mevcut kontrolleri gereksiz kılmıyor. Denetim kaydı hâlâ kayıttır ve uyumluluk kanıtıdır. Eşik kuralları, kesin tanımlanabilen vakaları yakalamanın hâlâ en ucuz yoludur. İzin yönetimi hâlâ birincil kontroldür. Değişen şey, bunların tek başlarına yetmemesi; çünkü her biri, birinin neye bakacağını zaten bilmesine bağlı çalışıyor.

Geriye kalanı kapatan katman davranış analizidir. Kurumsal dosya güvenliğinin standart bir bileşeni hâline gelmesinin sebebi, on yıl önce uç nokta tarafında davranışsal tespitin standartlaşmasıyla aynı: önemli olan saldırılar saldırıya benzemeyi bıraktı. Dosya sunucusunda bu saldırılar, sıradan bir çalışanın sıradan bir gününe benziyor; yalnızca daha önce hiç açmadığı bir klasörde.

Çoğu kurum için asıl soru bu katmanı eklemek gerekip gerekmediği değil, davranış profili oluşturmak için gereken denetim verisinin zaten toplanıp toplanmadığı. Bugün dosya sunucusu denetimi yapan her kurumda bu veri zaten var.

Kendi ortamınızda davranışsal bakışın neyi yüzeye çıkardığını görmek isterseniz FolSec demo talep edebilirsiniz. Davranış profili yalnızca kendi kullanıcılarınıza ve kendi klasör yapınıza karşı anlam taşır; bu yüzden örnek bir veri kümesi yerine gerçek veri üzerinde görülmesi daha doğru olur.