“Sessiz Saldırılar” Log Üretmeyen Malware’ler, Fileless Saldırılar ve KVKK (2025)
Yayın: · Güncelleme: · Okuma: 10–14 dk · Kategori: SOC / SIEM / EDR-XDR
Geleneksel güvenlik yaklaşımları uzun yıllardır şu prensip üzerine kuruluydu: “Bir saldırı gerçekleştiğinde, sistem mutlaka bir iz bırakır.” Antivirüs imzaları, EDR alarmları, SIEM korelasyonları ve log analitiği, kurumların siber savunma stratejisinin temel dayanaklarıydı.
Bu varsayım artık geçerliliğini kaybetmiş durumda. 2025 itibarıyla saldırganlar, yalnızca antivirüsleri ve EDR çözümlerini değil, kurumların güvenlik operasyon merkezlerini (SOC) ve log analitiği altyapılarını da atlatabilen yeni nesil malware türlerini aktif şekilde kullanıyor. Ortak özellikleri şu: dosya bırakmadan, bellek içinde çalışıp klasik log zincirini devre dışı bırakabilmek.
Bu modele literatürde fileless attacks, living-off-the-land (LOTL), in-memory malware ve logless malware deniyor. Kurumsal açıdan kritik tarafı şu: ihlal gerçekleştiğinde kurumun elinde kanıt üretecek log/telemetri olmayabiliyor.
1. Sessiz Saldırılar Nedir? Yeni Nesil Malware Mimarisinin Anatomisi
Sessiz saldırılar; dosyasız (fileless), bellek içi (in-memory) ve log üretimini zayıflatan tekniklerle ilerleyen modern saldırı zincirlerini ifade eder. Amaç; disk ile minimum temas kurup sistemin meşru bileşenleri üzerinden görünürlüğü azaltmak ve korelasyonu zorlaştırmaktır.
1.1. Dosyasız (Fileless) Çalışma Prensibi
Geleneksel zararlılar disk üzerinde dosya izine ihtiyaç duyabilir. Fileless yaklaşımda ise saldırı; script, komut zinciri ve bellek içi payload ile yürür. Bu nedenle klasik imza taraması çoğu senaryoda yetersiz kalır.
1.2. Living-Off-The-Land (LOTL)
Saldırgan, sistemin yerleşik araçlarını (ör. PowerShell, WMI, rundll32) kullanarak “zararlı dosya” taşımadan hareket eder. Bu araçlar meşru olduğundan, yalnızca “varlıkları” üzerinden engellemek gerçekçi değildir; davranış izlemek gerekir.
1.3. Log Üretiminin Engellenmesi
Log zinciri kırıldığında; SIEM korelasyonu, SOC uyarıları ve olay incelemesi zayıflar. Bu nedenle saldırganlar; log servisleri, ajanlar ve iletim hatlarını hedefleyebilir.
1.4. Memory-Only Malware
Bazı payload’lar yalnızca RAM’de çalışır. Bu tip vakalarda olay müdahalesi; uç nokta izolasyonu + bellek toplama + memory forensics adımlarını gerektirir.
2. Sessiz Saldırılar Neden Bu Kadar Tehlikeli?
Sessiz saldırılar sadece teknik bir konu değil; iş sürekliliği, itibar ve KVKK uyumu için de kritik bir risk setidir. En büyük problem; saldırının veri kaynağı seviyesinde görünmezleşebilmesidir.
2.1. Klasik Güvenlik Araçları Görünürlük Kaybedebilir
- Antivirüs: dosya imzası yoksa kaçırabilir.
- EDR: telemetri/log akışı kesilirse körleşebilir.
- SIEM/SOC: veri yoksa korelasyon üretmez.
2.2. KVKK Perspektifi: Kanıt ve Zaman Yönetimi
- İhlal geç/hiç tespit edilebilir.
- Kapsam ve etkilenen veri netleşmeyebilir.
- Olayın yönetimi (bildirim/raporlama) zorlaşır.
- Teknik tedbirlerin yetersizliği algısı doğabilir.
2.3. Tipik Sessiz Saldırı Zinciri
- İlk erişim: phishing, sızmış kimlik bilgisi, zafiyet istismarı, VPN/RDP.
- LOTL: meşru araçlarla komut zinciri.
- Log kırma: silme/devre dışı bırakma/iletimi kesme.
- Veri çıkışı: şifreli trafik, bulut servisleri, “normal” görünen kanal kullanımı.
3. Kurumlarda Sessiz Saldırıları Mümkün Kılan Açıklar
3.1. Loglama Olgunluğunun Düşüklüğü
- Sysmon yok / yanlış konfigürasyon
- PowerShell/WMI logları kapalı
- Merkezi log toplama ve zaman senkronizasyonu zayıf
3.2. Kimlik ve Erişim Yönetimi
- MFA eksikliği
- Aşırı yetki / ortak admin hesapları
- Periyodik erişim gözden geçirme yok
3.3. Segmentasyon Eksikliği
Segmentasyon zayıfsa lateral movement kolaylaşır. Zero Trust ve mikro-segmentasyon, sessiz yayılımı daraltır.
3.4. Proaktif Threat Hunting Eksikliği
Sadece alarm izleyen SOC yapıları, sessiz saldırılarda gecikir. Hunting; hipotez bazlı arama + uç nokta telemetrisi + ağ verisiyle birlikte yürümelidir.
4. Modern Kurumsal Savunma Mimarisi
Ürün bazlı değil, mimari bazlı yaklaşım: görünürlük + davranış analizi + immutable log + olay müdahale.
4.1. Sysmon + EDR + XDR
Uç nokta görünürlüğü (Sysmon), davranış tespiti (EDR) ve çoklu kaynak korelasyonu (XDR) birlikte kurgulandığında sessiz saldırıların tespit olasılığı yükselir.
4.2. Zero Trust
- Bağlama duyarlı erişim
- Minimum yetki
- Mikro segmentasyon
4.3. Memory Forensics Yetkinliği
IR planında bellek toplama, saklama ve analiz prosedürleri bulunmalı; kritik vakalarda diskten çok bellek artefaktları belirleyici olabilir.
4.4. Immutable / Append-Only Log Saklama
Loglar silinemez/manipüle edilemez şekilde saklanmalı; log altyapısı ayrı segmentte ve sıkı erişim kontrolleriyle korunmalıdır.
4.5. IR Planlarında Sessiz Saldırı Senaryosu
- Uç nokta izolasyonu
- Memory dump & zincirleme delil
- Kimlik reset + MFA sıkılaştırma
- KVKK bildirim karar matrisi
5. Sessiz Saldırılar ve KVKK: Hukuki Boyut
5.1. KVKK m.12 ve Log Mimarisinin Rolü
Teknik tedbirler, yalnızca “araç satın almak” değil; görünürlük, izlenebilirlik ve denetlenebilirlik kapasitesini sürdürülebilir şekilde kurmaktır.
5.2. Geç Tespit ve Yönetim Riski
Sessiz saldırılar geç fark edildiği için olay yönetimi süreçleri zorlaşır. Bu nedenle log saklama politikası, IR playbook’ları ve erişim kontrolleri birlikte ele alınmalıdır.
5.3. Özel Nitelikli Veriler
Özel nitelikli veri işleyen kurumlarda; Sysmon/XDR görünürlüğü, DLP ve Zero Trust yaklaşımı daha da kritik hale gelir.
6. Sonuç
Sessiz saldırılar, modern tehdit ekosisteminin kalıcı bir parçası. Kurumlar için fark yaratan; görünürlük, log mimarisi, proaktif hunting ve KVKK uyumlu olay yönetimi bütünlüğüdür.
7. Sık Sorulan Sorular
Log üretmeyen malware’ler antivirüsle tespit edilemez mi?
Klasik antivirüs çözümleri dosya imzalarına dayanır. Fileless/in-memory senaryolarda diskte taranacak dosya olmayabilir. Bu nedenle EDR/XDR, Sysmon ve davranışsal analiz ile desteklenmelidir.
Sessiz saldırılar KVKK açısından neden kritik?
Log üretilmemesi veya manipülasyon; ihlal kapsamını ve zamanını netleştirmeyi zorlaştırabilir. Olay yönetimi ve bildirim süreçlerini riskli hale getirir.
İlk etapta hangi adımlara odaklanmalıyız?
Sysmon tabanlı görünürlük, EDR/XDR, Zero Trust segmentasyon, threat hunting ve IR planlarında bellek toplama/izolasyon senaryoları.
Nesil Teknoloji nasıl destek olabilir?
Red Team & gelişmiş pentest, SOC/MDR, log-görünürlük mimarisi, Sysmon/EDR/XDR entegrasyonları ve KVKK odaklı danışmanlıkla çok katmanlı savunma kurulumunu uçtan uca güçlendirebilir.
