Page 58 - bilgem-teknoloji-dergisi-12

Siber Güvenlik
Bu yaklaşımları incelemek gerekirse, ilk yaklaşım üretmek için harcanan emeğin çoğu farklı biçimde-
çok fazla yanlış-pozitif üretilmesine yol açacak- ki verileri anlamlandırmaya çalışmak ve eldeki veri
tır. Bu da hem sistemin güvenilirliğini zedeleyecek yığınını yönetmeye harcanmaktadır. Sonuç olarak
hem de inceleyen kişilerin zamanına mâl olacaktır. üretilen yazılımda ise yine insanların oluşturacağı
Bu tip yaklaşımda bazı güvenlik ürünleri kullanıcı- kurallar ile gürültülü veri üzerinde saldırılar tespit
lara tek tek olayları göstererek, kullanıcının olaya edilmeye çalışılır. Ayrıca ikinci yaklaşımda yapay
izin vermesini veya engellemesini istemektedir. zekâ kullanımıyla kuralların otomatik üretimi üze-
Kullanıcıdan alınan bu bildirimler ile kurallarda iyi- rinde çalışmalar yapılmaktadır.
leştirme yapılmaktadır. Örneğin burada ssh “dae-
mon”ı güvenilir yazılım listesine alınabilir. Ancak Bilindiği gibi son yıllarda makine öğrenmesi çalış-
kullanıcılar her zaman tekil olayları yorumlayabi- malarında insan güdümlü özellik mühendisliğinin
lecek durumda olmayabilirler. Bu nedenle iyileştir- yeri azalmış bunun yerine özellikleri makinelerin
meler bu yaklaşımı kullanılabilir kılmamaktadır. öğrenebilmesi üzerine çalışmalar yapılmıştır. Ço-
ğunlukla yapılan bu çalışmalar sayesinde yapay
İkinci yaklaşımda ise yaygın olarak kullanılan kayıt zekâ uygulamaları günlük hayatımızda kullanabi-
yönetim yazılımları, farklı kaynaklardan elde etti- leceğimiz kalitede ürünler ortaya çıkarabilmiştir.
ği kayıtları ilişkilendirerek saldırıları tespit etmeye Buradan da anlaşılabilir ki; insan eliyle yapılan
çalışmaktadır. Ancak kayıtlar kayıplı ve tekrarlı bil- özellik mühendisliği sonucunda elde edilen veriler-
gi içerdiğinden bu tip yaklaşımlar eğreti çözümler den yola çıkarak yorum yapmaktansa, saf verinin
ortaya çıkarmaktadır. Bunun yanında bu yazılımları yorumlandığı yöntemler daha başarılı olmaktadır.
Sorular İşletim sistemi çağrıları Kütüphane çağrıları
Muhatabı kimdir? İşletim sistemi çekirdeği İşletim sistemi çekirdeği
Dinamik kütüphane fonksiyonları
Nasıl tetiklenir? Yazılım kesmesi ve işlemci Program içerisinde ilgili
komutlarıyla fonksiyonun çağırılmasıyla
Çalışması için gereken Kesme yönetimi ve işlemci sis- Dinamik bağlayıcı
mekanizmalar nelerdir? tem çağrı mekanizmaları
Yönetilebilir, iyi tanımlanmış ve
İşletim sisteminin sunması ge- basit bir arayüz sunmak; kulla-
Amacı nedir?
reken temel özellikleri sağlamak nıcı uzayında gerçeklenebilecek
servisleri sağlamak
56
BILGEM
TEKNOLOJI
İşte bu noktada sistem ve kütüphane çağrılarından açıdan ele almaktadırlar. Bunlardan ilki, farklı iş-
yararlanma ihtimali doğmuştur. Sistem çağrıları lemler için verilerin ayrı olarak değerlendirilmesidir.
kullanıcı uygulamalarının* işletim sistemi arayüzü- Bu yaklaşımda her bir işlem için toplanan veri kendi
nü oluşturduğundan, uygulamanın sistem kaynak- özelinde değerlendirilir. Örneğin cmd.exe ve exp-
larına erişim taleplerini ifade etmektedir. Bu şekilde lorer.exe işlemlerinin ürettiği sistem çağrıları ayrı
kullanıcı uzayında çalışan programlar dosya siste- ayrı incelenerek ilgili işlemin zararlı davranışa sahip
mi, aygıtlar ve bellek alanı gibi kaynaklara erişebil- olup olmadığı denetlenir. Diğer bir yaklaşımda ise,
mektedir. Yazılım kütüphaneleri ise basit kullanımlı işletim sistemine yapılan tüm çağrıların bir kaynak
işletim sistemi arayüzü sunmak ve programlara ça- tarafından üretildiği kabul edilerek değerlendirme
lışma zamanı ortamı sağlamak amacıyla oluşturu- yapılmaktadır. Bu yaklaşımda uygulamaların sergi-
lan yazılımlardır. Çoğunlukla çalışma anında işletim lediği zararlı davranışın kaynağını bulmak zorlaşa-
sistemi tarafından belleğe yüklenen dinamik kütüp- caktır. Ancak zararlı davranışı sergileyen program
haneler** olarak bulunmaktadırlar. birden fazla yazılım parçasından oluşuyor ise bu
davranışı tespit etmek mümkün olabilir.
İşletim sistemlerinin iki temel işlevi vardır. Bunlar-
dan ilki sahip olduğu donanım kaynaklarını yönet- Sistem çağrı dizisi çalışma şekli itibariyle rastgele
mektir. İkincisi ise sistem üzerinde çalışan uygu- olmak durumundadır.Bunun en basit nedenlerinden
lamalara arayüz sağlamaktır. Bu işlevi çoğunlukla biri kullanıcı yazılımı tarafından sistemden talep
sistem ve kütüphane çağrıları aracılığıyla yerine ge- edilen kaynakların mevcut olmamasıdır. Bu duru-
tirir. Bu nedenle bu çağrılar program kodunun sistem ma örnek olarak brk(2) veya mmap(2) çağrılarının
ve çalışma ortamı ile etkileşimini göstermektedir. başarısız sonuçlanması gösterilebilir. Yeterli bel-
Bir programın sırasıyla hangi dosyalara eriştiğini, leğin olmadığı durumlarda çoğunlukla programın
hangi işlemleri başlattığını, ne şekilde bellek tah- sonlandığı görülmektedir. Bu da programın dinamik
sis ettiğini ve hangi ağ arayüzleriyle haberleştiğini davranışının çevresel etkilere göre değişebileceğini
sisteme yapılan çağrılar üzerinden görebiliriz. Bu göstermektedir. Bir yandan da çok çekirdekli ve iş-
nedenle sistem ve kütüphane çağrıları zararlı dav- lem parçacıklı bilgisayar sistemleri işlemlerin çalış-
ranışı göstermesi açısından bahsi geçen ve belirli ma sırası açısından rastgele olmak durumundadır.
kurallara göre oluşturulan alarmlardan daha detaylı Bu nedenle çok işlem parçacığı ile çalışan bir prog-
bilgi sağlamaktadır. Programın dinamik ortamda ram için sistem çağrı dizisi farklı şekillerde oluşabi-
çalıştırılması sonucunda elde edilen sistem ve kü- lir. Ancak örüntü tanımada kullanılan uygun makine
tüphane çağrı verileri ile ilgili bilgiler yan sayfadaki öğrenmesi algoritmalarının bu sorunların üstesin-
tabloda görülmektedir. den geldiği görülmüştür.
Sistem ve kütüphane çağrılarının benzer özellikleri- Açıklamalar
nin yanında birbirlerinden farklı özellikleri de vardır. * Kullanıcı uygulamaları, uzun adıyla kullanıcı uza-
Örneğin kütüphane çağrıları birbirlerinin yerine kul- yı uygulamaları çekirdek uzayı ve kullanıcı uzayı
lanılabilir. Bir işlevi gerçekleştirebilecek birden fazla olarak ayrılan yetki bölgelerinde çalışan yazılımları
kütüphane fonksiyonu vardır. Ancak sistem çağrıla- sınıflandırmak için kullanılan bir terimdir. Özellikle
rı bu özelliğe sahip değildir. Bu da sistem çağrıları- günümüz işlemcilerinin bellek bölgelerine erişimi
nın kullanımını yararlı kılmaktadır. kısıtlayan özellikleri sayesinde gerçekleştirilen bu
ayrım, işletim sistemi çekirdeğinde çalışan yazılım-
Zararlı davranış tespitinde yaklaşımlar ve zorluklar ları korumak için kullanılan bir mekanizmadır.
Zararlı davranış tespiti ile ilgili güncel uygulamalar ** Bahsedilen yazılım kütüphaneleri yaygın olarak
incelendiğinde görülmüştür ki günümüzde yaygın
olarak kullanılan yaklaşımlar zararlı davranış tespiti işletim sistemi kütüphaneleri olarak da adlandırılır-
problemine tatmin edici bir çözüm bulmamaktadır. lar. Örneğin Microsoft Windows kütüphaneleri ola-
Bunun yanında sistem ve kütüphane çağrılarının rak bahsedilen kütüphaneler Microsoft’un Windows
zararlı davranışları tespit etmek için gereken bilgi- işletim sistemleri için oluşturulmuş kütüphaneler-
yi barındırdığı ifade edilmiştir. Bu nedenle sistem dir. Benzer bir örneği ise GNU C kütüphanesi (glibc)
ve kütüphane çağrı verileri kullanılarak oluşturulan olarak adlandırılan Linux kütüphaneleridir.
modeller zararlı davranışların tespiti için kullanıl- Kaynakça
malıdır. • syscalls(2) — Linux manual page
• Programming reference for the Win32 API - https://docs.
microsoft.com/en-us/windows/win32/api
Sistem ve kütüphane çağrılarını kullanarak zararlı • Computer Immune Systems - https://www.cs.unm.edu/~im-
davranış tespitini hedefleyen sistemler, verileri iki msec
57