C2 İşaret Trafiği Nedir?

Bir makineye yerleşen zararlı yazılımın hemen bir şey yapması gerekmez. Beklemesi, kendisini yönetenden talimat alması gerekir.

Bağlantıyı dışarıdan içeriye kurmak zordur; güvenlik duvarı bunu engeller. Bu yüzden yön tersine çevrilir: içerideki makine dışarıya bağlanır ve “yeni bir emir var mı” diye sorar. Cevap yoksa kapatır, bir süre sonra tekrar sorar.

Neden Fark Edilmesi Zor

Bağlantı içeriden kurulur ve çoğu kurumda dışarı çıkış geniştir. Hedef port 443’tür, trafik şifrelidir, hacim küçüktür.

Tek bir bağlantıya bakıldığında sıradan görünür. Örüntü ancak zaman içindeki tekrar incelendiğinde ortaya çıkar.

Ölçülebilir İşaretler

• Düzenli aralık. Bağlantılar birbirine yakın zaman farklarıyla tekrarlanır. Yazılımlar bu düzeni bozmak için rastgele sapma ekler, ama sapma da genellikle sınırlı bir aralıktadır.
• Küçük ve dengeli hacim. Gönderilen ve alınan bayt sayısı her seferinde birbirine yakındır. İnsan kullanımı böyle davranmaz.
• Uzun süreli devamlılık. Örüntü günlerce, makine açık olduğu her saat sürer. Mesai dışında da devam etmesi güçlü bir işarettir.
• Az bilinen hedef. Yeni kayıtlanmış alan adı ya da hiçbir kullanıcının başka türlü gitmediği bir adres.

Bunların hiçbiri tek başına yeterli değildir. Yazılım güncelleme kontrolleri, izleme aracıları ve senkronizasyon istemcileri de düzenli aralıklarla küçük bağlantılar kurar.

Nereden Aranır

Akış kayıtları bu analiz için doğru kaynaktır; içerik gerekmez, gereken şey zaman ve hacim örüntüsüdür.

DNS kayıtları ikinci kaynaktır. Aynı ada düzenli aralıklarla yapılan sorgular, bağlantı kurulmasa bile örüntüyü gösterir.

Örnekleme burada belirleyici bir engeldir. Küçük ve seyrek bağlantılar, örneklenmiş akış verisinden büyük ölçüde düşer. Bu analizin yapılacağı noktalarda örnekleme oranı düşürülmelidir.