Giriş
Ağ trafiği analizi, güvenlik ekiplerinin ağ içinde gerçekleşen etkinlikleri algılaması, anormallikleri tespit etmesi ve olay müdahalesini hızlandırması için temel bir veri kaynağıdır. ISP, veri merkezi, NOC ve SOC ekipleri için trafik bazlı görünürlük, paket düzeyinden akış (flow) verisine kadar farklı seviyelerde toplanmalıdır. Bu makalede genel ilkeler, uygulanabilir teknikler ve Flowtrion ile pratik uygulama adımları ayrıntılı olarak ele alınacaktır.
Ağ Trafiği Analizinin Sağladığı Güvenlik Avantajları
Ağ trafiği analizi, aşağıdaki ana güvenlik hedeflerine doğrudan katkı sağlar:
- Saldırı algılama: DDoS, port taramaları, C2 (komut-kontrol) bağlantıları ve lateral hareket gibi olayların erken tespiti.
- Olay müdahalesi ve adli analiz: Zaman damgalı akışlar ve PCAP'ler olay zincirinin yeniden inşasını kolaylaştırır.
- İçerik ve meta analiz: DNS, TLS ve HTTP başlıkları gibi meta veriler tehdit korelasyonu için kullanılabilir.
- Uyum ve raporlama: Trafik kayıtları, SLA izleme ve regülasyon gereksinimleri için delil sağlar.
Temel Veri Kaynakları
Ağ trafiği analizinde kullanılabilecek başlıca veri kaynakları ve her birinin avantajları:
NetFlow / IPFIX
Akış tabanlı veriler, kaynak ve hedef IP/port, protokol, bayt/paket sayıları, zaman damgası ve ASN/VRF gibi öğeleri içerir. NetFlow/IPFIX, geniş ölçekli ortamlarda bant genişliği-odaklı analiz ve uzun süreli saklama için uygundur.
sFlow
sFlow örnekleme tabanlıdır; yüksek hacimli ortamlar için düşük maliyetli telemetri sağlar. Paket örnekleri sayesinde protokol analizine dair daha fazla bağlam sunar ancak tam akış doğruluğu gerektiren durumlarda ek dikkat gerektirir.
SPAN / Port Mirroring ve TAP
Paketi tam yakalamak isteyen analiz ve IDS/IPS çözümleri için gereklidir. SPAN/TAP, gerçek zamanlı paket analizine ve PCAP arşivlemeye izin verir. Yüksek trafik durumlarında paket broker veya trafik yönlendirme çözümü ile ölçeklendirme gerekir.
PCAP (Tam Paket Yakalama)
Adli analiz ve protokol düzeyinde incelemeler için zorunludur. Ancak PCAP depolaması maliyetlidir ve sürekli arşivleme yerine olay sırasında yakalama stratejileri tercih edilir.
DNS, DHCP, BGP, SMTP Logları ve Sistem Telemetri
Bu kayıtlar akış verisine zengin bağlam sağlar: DNS kayıtları veri sızıntısı vektörleri ve tünelleme tespitinde, BGP verileri yönlendirme anormalliklerinde kritik öneme sahiptir.
Toplama Mimarisi ve Ölçeklenebilirlik
Ağ trafiği analizi platformları için sağlam bir toplama mimarisi tasarlamak gerekir. Ana bileşenler:
- Eksportörler: Router, switch, sunucu ve load-balancer gibi cihazlardan NetFlow/IPFIX/sFlow verisini üretir.
- Toplayıcılar (Collectors): Gelen akışları kabul eder, normalleştirir, zenginleştirir ve depolar.
- Packet Brokerlar ve TAP'ler: SPAN trafiğini filtreleyip çoğaltarak analiz altyapısına iletir; bant genişliği seviyesinde yönetim sağlar.
- Depolama katmanı: Zaman serisi veritabanları, arşiv PCAP depolama ve arama indeksleri içerir. Soğuk/ılık/sıcak depolama politikaları uygulanmalıdır.
- Analitik katmanı: Kurallara dayalı motorlar, istatistiksel modeller, ML bileşenleri ve gösterge tabloları (dashboards) barındırır.
Ölçeklenebilirlik ve dayanıklılık
Yüksek hacimli ortamlarda şu hususlar kritik:
- Akış örnekleme oranlarını (sampling) dikkatli belirlemek. Örnekleme, maliyeti düşürür ama küçük olayları kaçırabilir.
- Zaman senkronizasyonu (NTP/PTS) ile tüm veri kaynaklarının tutarlı zaman damgasına sahip olması.
- Veri deduplifikasyonu ve ön işleme ile veri akışının optimize edilmesi.
- Failover ve coğrafi yedekleme stratejileri.
Veri Zenginleştirme ve Bağlam
Ham akış verisini güvenlik açısından anlamlı hale getirmek için zenginleştirme gerekir. Yaygın zenginleştirme türleri:
- GeoIP ve ASN çözümlemeleri
- DNS ters ve ileri sorgu korelasyonu
- Whois/IRR ve BGP komşuluk bilgileri
- TLS sertifika meta verileri
- Tehdit istihbarat skorları (IP, domain, URL)
Bu bağlamlar, bir IP adresinin yalnızca paket seviyesindeki davranışını değil, aynı zamanda internet üzerindeki itibarını ve tarihçesini de ortaya koyar.
Anomali Tespiti Teknikleri
Anomali tespiti birden fazla yöntem içerir; ideal yaklaşım hibrit bir kombinasyondur.
İstatistiksel Eşikleme ve Davranış Tabanlı Eşikler
Geçmiş veriye dayalı ortalama/medyan/çeyrekler kullanarak anormal trafik artışları veya yoğunluk değişimleri belirlenir. Bunu uygularken işletme trafiği paternleri (yedekleme pencereleri, toplu güncellemeler) dikkate alınmalıdır.
Zaman Serisi Analizi
Mevsimsellik, saatlik ve günlük paternler oluşturulup sapma anormallikleri tespit edilir. ARIMA, Holt-Winters gibi klasik zaman serisi yaklaşımları işe yarayabilir; ML modelleri ise daha karmaşık paternleri yakalayabilir.
Sketching ve Akıllı Özetleme
Büyük hacimlerde memory-efficient veri yapıları (Count-Min Sketch, HyperLogLog) kullanılarak heavy-hitter tespiti ve benzersiz öğe sayımı yapılır.
Makine Öğrenmesi Uygulamaları
Denetimsiz öğrenme (clustering, isolation forest) ile bilinmeyen anormalliklerin ortaya çıkarılması; denetimli modeller ise bilinen saldırı tiplerinin sınıflandırmasında kullanılır. ML uygulamalarında etiketleme, doğrulama ve model doğruluğu için sürekli geri bildirim gerekir.
Özel Tehdit Tespit Senaryoları
IP Spoofing ve Kaynak Doğrulama
IP spoofing tespiti için kullanılabilecek yaklaşımlar:
- Asimetrik trafik analizi: Aynı 5-tupla için iki yönde farklı kaynak adresleri veya yanlış RTT değerleri.
- TTL ve TCP/IP fingerprint karşılaştırmaları: TTL değişimleri ve TCP seçenek dizileri anormallikleri gösterebilir.
- BGP/IRR ve veri yoluyla bağlama: Gelen IP blokları ile beklenen ASN/peering bilgilerini karşılaştırma.
DNS Tabanlı Tehditler (Tünelleme, Exfiltrasyon, Fast-Flux)
DNS trafiğinde kısa ömürlü domainler, yüksek sorgu hacmi, karakteristik sorgu uzunlukları ve düşük TTL değerleri hızlı tespit kriterleridir. DNS yanıt boyutu ve sorgu/desinasyon dağılımı da anomali işaretleri verir.
SMTP/Kötü Amaçlı Posta Akışı
SMTP istismarlarını tespit etmek için:
- Bağlantı sayısı ve başarısız oturum oranı artışları
- PTR/HELO sahtekârlığı, DKIM/SPF başarısızlıkları
- Gönderici IP adresinin itibar skorları ve blacklist (DNSBL) sorguları
DDoS ve Volumetrik Saldırılar
Volumetrik anormallikler genelde byte/paket bazlı eşiklerle tespit edilir. Ancak uygulama katmanı (HTTP flood) saldırıları için istek oranları, benzersiz kullanıcı-agent dağılımları ve oturum açma yoğunluğuna bakmak gerekir.
Olay Müdahalesi ve Forenzik İş Akışı
Olay yönetimi şu adımları içermelidir:
- Uyarı ve sınıflandırma: Anomali tipi, etki alanı ve öncelik belirlenir.
- Kapsamlandırma: Etkilenen ağ segmentleri, IP/port/host listesi çıkarılır.
- Hızlı müdahale: İzolasyon, ACL/flow bloklama veya WAF kuralları ile yayılım engellenir.
- Adli veri toplama: İlgili akışların, PCAP'lerin ve sistem loglarının imzalı kopyaları alınır.
- Kök neden analizi: Keşif, lateral hareket ve başlangıç vektörü araştırılır.
- Geri dönüş ve düzeltme: Konfigürasyon düzeltmeleri, zayıf IAM politikalarının güncellenmesi, cihaz yamaları yapılır.
Her adımda zaman damgası ve değişiklik kontrolü önemlidir; adli bütünlük için hash ve imzalama uygulanmalıdır.
Depolama, Gizlilik ve Uyumluluk
Ağ trafiği verileri hassas bilgi içerebilir (ör. IP adresleri, URL parametreleri). Saklama ve erişim politikaları şu şekilde düzenlenmelidir:
- Kayıt minimizasyonu: Sadece gerekli meta veriyi saklama.
- Anonimizasyon/maskeleme: Kişisel verilerin GDPR veya yerel düzenlemelere uygun maskelenmesi.
- Erişim kontrolü: Rol tabanlı erişim ve sorgu denetimi.
- İzleme ve denetim izi: Veri erişimi ve arama işlemlerinin kaydı.
Doğrulama, Test ve Sürekli İyileştirme
Analiz altyapısını güvenilir tutmak için düzenli test ve doğrulama yapılmalıdır:
- Saldırı simülasyonları ve kırmızı takım çalışmaları.
- Sistem yük testleri ve örnekleme etkilerinin değerlendirilmesi.
- Algoritma performansının geri bildirimle sürekli iyileştirilmesi (yanlış pozitif/negatif oranları).
- Düzenli güncelleme: Tehdit istihbaratı, protokol değişiklikleri ve yazılım yamaları.
Pratik Konfigürasyon Örnekleri
Aşağıda tipik bir NetFlow/IPFIX toplama akışına dair basitleştirilmiş bir örnek verilmiştir (cihazlara göre sözdizimi değişir):
# Router / Switch üzerinde NetFlow/IPFIX export örneği (temsilidir)
flow exporter EXPORT-1
destination 10.1.1.100
transport udp 2055
template data timeout 60
flow monitor MON-1
record netflow-original
exporter EXPORT-1
interface GigabitEthernet0/1
ip flow monitor MON-1 input
ip flow monitor MON-1 output
Toplayıcı tarafında ise, uygun zaman damgası eşleştirme, kaynak IP/port ve protokol desteklerinin aktif olduğundan emin olunmalıdır. Zaman senkronizasyonunun tutarlı olması kritik bir adımdır:
# NTP minimal örnek
ntp server 192.0.2.1 prefer
ntp server 192.0.2.2
Flowtrion ile Ağ Trafiği Analizi: Genel Bir Uygulama Rehberi
Aşağıdaki bölüm Flowtrion'a özgü değil, ancak Flowtrion müşterileriyle uygulanan tipik iş akışlarını yansıtır. Flowtrion'da veya benzer ağ gözlemlenebilirlik çözümlerinde tipik olarak izlenen adımlar şunlardır:
Adım 1 — Kaynakların Envanterinin Çıkarılması
Router, switch, firewall, load balancer, sanal ağ cihazları ve kritik sunucular gibi export edilebilecek tüm kaynaklar listelenir. Hangi cihazların NetFlow/IPFIX, sFlow ya da SPAN/TAP desteklediği belirlenir.
Adım 2 — Veri Toplama Katmanının Tasarımı
Toplayıcı ve packet broker yerleşimi, örnekleme stratejileri ve zaman senkronizasyonu planlanır. Depolama politikaları (sıcak/ılık/soğuk) ve veri saklama süreleri belirlenir.
Adım 3 — Zenginleştirme ve Entegrasyon
GeoIP, ASN, DNS korelasyonu ve tehdit istihbarat kaynaklarının entegrasyonu yapılır. SIEM/SOAR, BGP monitörleri ve DNS çözücülerle bağlantılar kurulur.
Adım 4 — Deteksiyon ve Kural Setleri
İşletmeye özgü normal davranış profilleri oluşturulur; başlangıç için temel kurallar (heavy-hitter, ani trafik artışı, başarısız oturumlar) uygulanır. ML modelleri gerektiğinde devreye alınır ve false-positive yönetimi için ince ayar yapılır.
Adım 5 — Olay İşleme ve Otomasyon
Uyarı akışı SOAR veya ticketing sistemine bağlanır. Otomatik izolasyon gerektiren yüksek önemli uyarılar için güvenlik kontrol düzeyinde düzenlemeler tanımlanır.
Adım 6 — Sürekli İzleme ve İyileştirme
Performans metrikleri, false positive/negative oranları ve kapalı döngü geri bildirimleri ile sürekli iyileştirme sağlanır. Ekipler için eğitim ve S.O.P. dokümantasyonu hazırlanır.
ISP, Veri Merkezi ve NOC/SOC Ekiplerine Özel Tavsiyeler
- ISP'ler: BGP anomalileri, botnet dağılımı ve volumetrik trafik değişiklikleri için per-asa/per-prefix izleme kurun. NetFlow/IPFIX ile ASN seviyesinde korelasyon kritik fayda sağlar.
- Veri merkezleri: Doğru SPAN/TAP planlaması ile uygulama katmanı telemetrisi alın. Tenant izolasyonu, çok kiracılı ortamlarda ek gizlilik gerektirir.
- NOC ekipleri: SLA bazlı gösterge tabloları ve canlı trafik anormallik uyarıları kurun. Olay eskalasyon matrisleri ve runbook'lar hazır olsun.
- SOC ekipleri: Akış verilerini log ve uç nokta telemetri ile korele edin. Hızlı arama ve retroaktif PCAP çekme yetenekleri forenzik hızlandırır.
En İyi Uygulamalar – Özet Kontrol Listesi
- NetFlow/IPFIX, sFlow ve SPAN/TAP kombinasyonunu kullanın; her kaynağın güçlü olduğu alanları değerlendirin.
- Zaman senkronizasyonunu tüm cihazlarda zorunlu hale getirin.
- Veri zenginleştirmeyi otomatikleştirin (GeoIP, ASN, DNS, TI).
- Örnekleme oranlarını operasyonel ihtiyaçlara göre ayarlayın; küçük ama kritik trafik için ilave paket yakalama stratejileri belirleyin.
- Anonimizasyon ve erişim kontrolü ile gizliliği koruyun.
- Düzenli saldırı simülasyonları ile tespit kabiliyetinizi test edin ve ayarlayın.
Sonuç ve Çağrı
Ağ trafiği analizi, modern siber savunmanın merkezinde yer alır. Doğru veri kaynaklarının toplanması, etkili zenginleştirme, uygun ölçeklenebilir mimari ve sürekli iyileştirme ile ISP, veri merkezi ve NOC/SOC ekipleri tehditlere karşı daha hızlı ve isabetli müdahale edebilir.
Flowtrion özelinde: Flowtrion, müşterileriyle birlikte ağ envanteri çıkarma, toplama mimarisi tasarımı, veri zenginleştirme ve tespit iş akışlarının hayata geçirilmesinde teknik danışmanlık sağlar. Burada verilen genel ilke ve adımlar, Flowtrion'un sahada uyguladığı mimari yaklaşımlarla uyumludur. Flowtrion tarafından yapılan uygulamalarda müşterinin ortamına bağlı olarak uygun veri kaynakları, örnekleme oranları, depolama politikaları ve entegrasyonlar belirlenir.
Eğer organizasyonunuz için daha ayrıntılı, ortamınıza özgü bir değerlendirme ve uygulama planı isterseniz teknik bir danışmanlık oturumu planlayabiliriz.