Thread Starter
#0
Bellek analizi, siber güvenlik dünyasında kritik bir rol oynar. Bu süreç, bir sistemin RAM'inde bulunan verileri inceleyerek zararlı yazılımların izini sürmeyi sağlar. Bellek üzerinde hareket eden zararlı yazılımlar genellikle, disk tabanlı analiz yöntemleriyle tespit edilemeyecek kadar hızlı ve gizli bir şekilde faaliyet gösterirler. Bunun için bir bellek döküm aracı kullanmak gerekiyor. Örneğin, "Volatility" gibi araçlar, bellek dökümleri alarak çeşitli analizler yapmamıza olanak tanır. Bellek dökümünün alınmasının ardından, bu verileri analiz etmek için bir dizi eklenti ve komut kullanmak gerekir.
Bellek dökümü aldıktan sonra, bu verilerin yorumlanması aşamasına geçmek önemli bir adımdır. Döküm, genellikle çok miktarda veriyi içerir; bu nedenle, hangi alanların inceleneceği konusunda bir strateji belirlemek faydalı olacaktır. İşte burada "pslist" gibi komutlar devreye giriyor. Bu komut, sistemde çalışan süreçleri listeleyerek hangi uygulamaların aktif olduğunu gösterir. Eğer kötü amaçlı bir yazılım var ise, bu süreçlerden biri şüpheli olabilir. Şüpheli süreçlerin üzerinde yoğunlaşmak, potansiyel zararlıları tespit etmenin ilk adımıdır. Ama dikkatli olun, her şüpheli süreç kötü niyetli değildir...
Daha sonra, bellek dökümünde yer alan ağ bağlantılarını incelemek faydalı bir yöntemdir. Bu aşamada "netscan" komutu, sistemin hangi ağ bağlantılarına sahip olduğunu ve bu bağlantıların hangi IP adreslerine yönlendirildiğini gösterir. Eğer bağlantılardan biri tanınmıyorsa, bu noktada durup düşünmek gerekir. Belki de sistem, yetkisiz bir erişim sağlanmış olan bir sunucuya bağlı. Bu tür durumlar için log dosyalarını incelemek de önemlidir; çünkü loglar, sistemin geçmişteki aktivitelerini gösterir ve olası bir saldırının zamanlaması hakkında bilgi verebilir.
Bellek analizi yaparken, kötü amaçlı yazılımların kendilerini gizlemek için kullandıkları teknikleri de unutmamak gerekir. Örneğin, bazı zararlı yazılımlar, kendilerini sistem süreçleri arasında gizleyerek tespit edilmemeye çalışırlar. Bu tür durumlar için "malfind" komutu oldukça işe yarar. Bu komut, bellek içerisinde kötü amaçlı yazılımların izlerini arar. Eğer bu komutla yapılan bir analiz sonucunda şüpheli bir durumla karşılaşırsak, o zaman daha derinlemesine bir inceleme yapmak gerekebilir.
Bellek analizi, yalnızca zararlı yazılımları tespit etmekle kalmaz, aynı zamanda saldırıların nasıl gerçekleştirildiği konusunda da bilgi verir. Örneğin, bir zararlı yazılımın hangi dosyaları etkilediği veya hangi sistem bileşenlerine zarar verdiği gibi bilgileri elde etmek, saldırıya karşı alınacak önlemler açısından kritik bir öneme sahiptir. Analiz sonuçları, sistemin nasıl koruma altına alınacağı ve gelecekteki saldırılara karşı nasıl önlem alınacağı konusunda yol gösterici olabilir. Kısacası, bellek analizi, günümüz siber güvenlik ortamında kaçınılmaz bir uygulama haline gelmiştir.
Bellek dökümü aldıktan sonra, bu verilerin yorumlanması aşamasına geçmek önemli bir adımdır. Döküm, genellikle çok miktarda veriyi içerir; bu nedenle, hangi alanların inceleneceği konusunda bir strateji belirlemek faydalı olacaktır. İşte burada "pslist" gibi komutlar devreye giriyor. Bu komut, sistemde çalışan süreçleri listeleyerek hangi uygulamaların aktif olduğunu gösterir. Eğer kötü amaçlı bir yazılım var ise, bu süreçlerden biri şüpheli olabilir. Şüpheli süreçlerin üzerinde yoğunlaşmak, potansiyel zararlıları tespit etmenin ilk adımıdır. Ama dikkatli olun, her şüpheli süreç kötü niyetli değildir...
Daha sonra, bellek dökümünde yer alan ağ bağlantılarını incelemek faydalı bir yöntemdir. Bu aşamada "netscan" komutu, sistemin hangi ağ bağlantılarına sahip olduğunu ve bu bağlantıların hangi IP adreslerine yönlendirildiğini gösterir. Eğer bağlantılardan biri tanınmıyorsa, bu noktada durup düşünmek gerekir. Belki de sistem, yetkisiz bir erişim sağlanmış olan bir sunucuya bağlı. Bu tür durumlar için log dosyalarını incelemek de önemlidir; çünkü loglar, sistemin geçmişteki aktivitelerini gösterir ve olası bir saldırının zamanlaması hakkında bilgi verebilir.
Bellek analizi yaparken, kötü amaçlı yazılımların kendilerini gizlemek için kullandıkları teknikleri de unutmamak gerekir. Örneğin, bazı zararlı yazılımlar, kendilerini sistem süreçleri arasında gizleyerek tespit edilmemeye çalışırlar. Bu tür durumlar için "malfind" komutu oldukça işe yarar. Bu komut, bellek içerisinde kötü amaçlı yazılımların izlerini arar. Eğer bu komutla yapılan bir analiz sonucunda şüpheli bir durumla karşılaşırsak, o zaman daha derinlemesine bir inceleme yapmak gerekebilir.
Bellek analizi, yalnızca zararlı yazılımları tespit etmekle kalmaz, aynı zamanda saldırıların nasıl gerçekleştirildiği konusunda da bilgi verir. Örneğin, bir zararlı yazılımın hangi dosyaları etkilediği veya hangi sistem bileşenlerine zarar verdiği gibi bilgileri elde etmek, saldırıya karşı alınacak önlemler açısından kritik bir öneme sahiptir. Analiz sonuçları, sistemin nasıl koruma altına alınacağı ve gelecekteki saldırılara karşı nasıl önlem alınacağı konusunda yol gösterici olabilir. Kısacası, bellek analizi, günümüz siber güvenlik ortamında kaçınılmaz bir uygulama haline gelmiştir.