İyi kurgulanmış bir purple team koordinasyonu, şu tanıdık tartışmayı bir daha yaşatmaz: saldırı ekibi kimlik bilgisi çıkarımı yaptığını söyler, savunma ekibi “bizim kuralımız bunu yakalar” diye yanıt verir, kimse ekranı açıp kanıt göstermez. İki hafta sonra aynı teknik gerçek bir olayda kullanıldığında alarmın neden üretilmediği anlaşılır: kural yazılmıştır ama yalnız sunuculara uygulanmakta, kullanıcı bilgisayarlarında devrede değildir.

Kırmızı ve mavi ekibin ayrı ayrı iyi olması, birlikte etkili oldukları anlamına gelmez. Bu iki tarafı aynı masaya oturtan çalışma biçimi, saldırı tekniğini uygularken savunma telemetrisini eş zamanlı izlemeye dayanır. Aşağıda böyle bir çalışmanın nasıl planlandığı, oturumun nasıl yürütüldüğü, hangi kayıtların tutulduğu ve hangi tutumların süreci boşa çıkardığı ele alınıyor.

Ayrı bir ekip değil, ortak bir çalışma biçimi

Purple takım genellikle kadroya eklenen üçüncü bir birim sanılır. Uygulamada ise mevcut iki tarafın belirli bir gündemle, aynı odada ve şeffaf biçimde çalıştığı bir yöntemdir. Saldırı tarafı kullandığı komutu, hedefi ve zaman damgasını anlık paylaşır; savunma tarafı aynı anda kayıt yönetimi ekranına bakar ve olayın görünüp görünmediğini söyler.

Bu şeffaflık, tam kapsamlı bir tatbikatın gizlilik ilkesine aykırı görünse de amaç farklıdır. Burada ölçülen şey, savunmanın habersiz yakalayıp yakalayamayacağı değil, tekniğin telemetride izinin bulunup bulunmadığıdır. Bir kurumsal siber güvenlik danışmanlığı programında bu iki yaklaşım birbirinin alternatifi değil, sıralı adımlarıdır: önce boşluklar kapatılır, sonra habersiz senaryoyla gerçek refleks sınanır.

Masada kimler oturur, kim neyi getirir

Katılımcı listesi dar tutulmalıdır; kalabalık oturumlar karar üretmez. Etkili bir oturumda şu roller bulunur:

• Saldırı tarafı: teknikleri uygular, komut çıktılarını ve zaman damgalarını kaydeder.
• Tespit mühendisi: kural mantığını bilir, oturum sırasında sorgu yazabilir.
• SOC analisti: alarmın operasyonda nasıl göründüğünü ve neye benzediğini aktarır.
• Sistem veya kimlik yöneticisi: telemetri eksikliğinde kaynağın neden toplanmadığını yanıtlar.
• Oturum sahibi: karar ve aksiyon maddelerini yazar, süreyi yönetir.

Bir kişinin iki rolü üstlenmesi mümkündür; ancak “kural yazabilecek” ve “log toplamayı değiştirebilecek” yetkinin odada bulunması, oturumun aynı gün sonuç üretmesini sağlar.

Oturum nasıl yürütülür

Tek bir oturumda beş-yedi teknikten fazlasını denemek verimi düşürür. İşleyen akış şöyledir:

1. Kurumun tehdit profiline uygun teknikleri seçin ve her biri için beklenen telemetriyi önceden yazın.
2. Tekniği uygulamadan önce savunma tarafına yalnız taktik adını söyleyin, ayrıntıyı vermeyin.
3. Tekniği uygulayın, saati saniye hassasiyetiyle kaydedin.
4. Alarm üretildi mi, üretilmediyse ham kayıtta iz var mı, sırayla kontrol edin.
5. Sonucu üç kategoriden birine yazın: tespit edildi, iz var alarm yok, iz bile yok.
6. İz varken alarm yoksa kuralı oturum içinde yazın veya taslağını çıkarın.
7. Düzeltmenin ardından aynı tekniği ikinci kez uygulayın ve sonucu doğrulayın.
8. Kapanmayan maddeleri sahibi ve tarihiyle iyileştirme kuyruğuna alın.

Yedinci adım çoğu kurumda atlanır; oysa doğrulanmamış düzeltme, kapandığı sanılan bir boşluktur.

Teknikler tehdit profiline göre seçilir

Rastgele teknik denemek zaman kaybıdır. Seçimi kurumun sektörü, dışa açık yüzeyi ve geçmiş olay kayıtları belirler. Finans kurumunda kimlik bilgisi hırsızlığı ve ayrıcalıklı hesap kötüye kullanımı, üretim tesisinde ağlar arası geçiş ve uzaktan bakım erişimleri, e-ticarette uygulama katmanı ve OWASP kapsamındaki web zafiyetleri öne çıkar.

Geçmiş olay kayıtları bu seçimde en çok göz ardı edilen kaynaktır. Son bir yılda kapatılan olaylarda hangi başlangıç yöntemi tekrar etmiş, hangi uyarı geç fark edilmişse, o teknikler listenin başına yazılır. Aynı şekilde son sızma testi raporunda “düzeltildi” işaretlenen bulguların bir kısmı, ortak oturumda tekrar denendiğinde kısmen kapatılmış çıkar.

Seçilen tekniklerin MITRE ATT&CK matrisindeki taktik dağılımına da bakın. Yalnız ilk erişim ve çalıştırma taktiklerine yığılan bir oturum, kalıcılık ve veri sızdırma tarafını hiç sınamamış olur.

Hangi çalışma ne zaman gerekir

Kurumların en sık karıştırdığı konu, bu üç çalışmanın hangi soruya cevap verdiğidir.

Tablo bir öncelik sırası da içerir: temel zafiyetleri kapatmamış bir kurumun doğrudan habersiz tatbikata geçmesi, zaten bilinen sonucu pahalı biçimde tekrar etmekten öteye gitmez.

Ortak dilin adı: teknik kimliği

İki ekibin aynı olayı farklı adlandırması, tartışmaların yarısının nedenidir. Saldırı tarafının “bilet talebi topladık” dediği eylem, savunma tarafında “olağandışı şifreleme türüyle hizmet bileti isteği” olarak görünür. Her iki tarafın da aynı teknik kimliğine referans vermesi bu kopukluğu ortadan kaldırır.

Aynı ortak dil, sonrasında yazılan kuralların ve kapsama haritasının etiketlenmesinde de kullanılır. Böylece altı ay sonra “bu kural neden yazılmıştı” sorusunun cevabı kayıtlı olur.

Oturumdan çıkan kayıtlar

Toplantı notu yeterli değildir. Her teknik için tek satırlık, izlenebilir bir kayıt tutulmalıdır: teknik kimliği, uygulama saati, hedef varlık, üretilen kayıt kaynağı, alarm durumu, alınan aksiyon, sorumlu ve hedef tarih.

Kaydın basit bir tabloda tutulması yeterlidir; önemli olan biçimi değil, bir sonraki oturumda aynı satırların açılıp durumlarının güncellenmesidir. Aksiyonların takibi ayrı bir sistemde yürütülüyorsa, her satıra ilgili iş kaydının numarası eklenir.

Bu kayıt zamanla kurumun tespit olgunluğunun tarihçesine dönüşür. İlk oturumda “iz bile yok” kategorisindeki tekniklerin oranı yüksekse, öncelik kural yazmak değil telemetri toplamaktır. Bu oran çeyrekler içinde düştüğünde, kapsamlı bir red team hizmeti almanın zamanı gelmiş demektir; çünkü artık ölçülecek gerçek bir savunma refleksi vardır.

Süreci boşa çıkaran tutumlar

Ortak oturumların çoğu teknik nedenlerle değil, kültürel nedenlerle başarısız olur:

• Boşluğun savunma ekibinin başarısızlığı gibi sunulması; ikinci oturumda kimse eksik söylemez.
• Saldırı tarafının tekniği kayıt tutmadan uygulaması, sonradan doğrulamanın imkânsız hale gelmesi.
• Oturumdan çıkan maddelerin sahipsiz bırakılması ve bir sonraki toplantıya devredilmesi.
• Yalnız araç yeteneklerinin gösterildiği, kurum verisiyle sınanmayan demo oturumları.
• Yöneticinin odada bulunup her boşluk için anında açıklama beklemesi.

Bu tutumların panzehiri basit bir kuraldır: oturumun konusu kişiler değil, kontrollerdir. Boşluk bulunduğunda sorulacak soru “kim atladı” değil, “bu iz neden merkezde görünmüyor” olmalıdır.

Sık sorulan sorular

Purple team çalışması için ayrı bütçe gerekir mi?

Genellikle mevcut savunma ekibinin zamanı ile dışarıdan alınan saldırı tarafı uzmanlığının birleşimi yeterlidir. Maliyet, kapsamlı bir tatbikata göre belirgin biçimde düşüktür çünkü süre kısadır ve hazırlık aşaması daha yalındır.

Ne sıklıkla tekrarlanmalı?

Çeyrek dönemde bir oturum çoğu kurum için sürdürülebilir bir ritimdir. Altyapıda büyük bir değişiklik olduğunda, örneğin yeni bir bulut ortamı ya da kimlik sağlayıcı devreye alındığında, takvimden bağımsız ek oturum yapılmalıdır.

Savunma ekibi tekniği önceden bilirse ölçüm anlamlı olur mu?

Ölçülen şey farklıdır. Burada amaç sürpriz etkisi değil, telemetri ve kural kapsamasının doğrulanmasıdır. Habersiz ölçüm için ayrıca kapsamlı ve gizli yürütülen bir tatbikat planlanır; ikisi birbirini tamamlar.

Dış hizmet almadan kurum içinde yapılabilir mi?

Saldırı tarafında yeterli deneyim varsa yapılabilir. Ancak iç ekipler kendi kurdukları savunmanın varsayımlarını paylaştığı için kör noktalar da ortak olur; dışarıdan gelen bakış açısı bu nedenle dönemsel olarak devreye alınmalıdır.

Çıktılar denetimlerde kullanılabilir mi?

Kayıtlar, kontrollerin etkinliğinin test edildiğini gösteren somut kanıt niteliği taşır. ISO 27001 kapsamındaki iç denetim ve yönetimin gözden geçirme süreçlerinde, teknik kontrollerin yalnız tanımlı değil işler durumda olduğunu belgelemek için kullanılabilir.

Sonuç

Kırmızı ve mavi ekibi hizalamanın yolu daha fazla araç değil, aynı olaya aynı anda bakmayı alışkanlık haline getirmektir. Teknikleri tehdit profiline göre seçin, her denemeyi izlenebilir biçimde kaydedin, düzeltmeyi aynı gün doğrulayın ve kapanmayan maddeyi sahipsiz bırakmayın; bu ritmi kuran kurum, bir sonraki gerçek olayda saldırganı ilk saatlerde görmeye başlar.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.