Brute Force Nedir ve Neden Tehlikelidir?
Brute force saldırısı, siber saldırganların en temel ve en yaygın kullandığı tekniklerden biridir. Saldırgan, hedef sistemdeki kullanıcı hesaplarına binlerce farklı şifre kombinasyonu deneyerek erişim sağlamaya çalışır. MITRE ATT&CK çerçevesinde T1110 olarak sınıflandırılır.
Saldırı Türleri
Brute Force (Klasik): Tek bir hesaba çok sayıda şifre denenir. Hesap kilitleme politikası ile kısmen engellenebilir.
Password Spraying: Çok sayıda hesaba az sayıda yaygın şifre denenir. Kilitleme eşiğinin altında kaldığı için tespit edilmesi zordur.
Credential Stuffing: Başka sitelerden sızdırılmış kullanıcı-şifre çiftleri denenir. Kullanıcıların şifre tekrarı alışkanlığını hedefler.
ACKLOG Korelasyon Kuralı
ACKLOG şu korelasyon zincirini uygular: Aynı kaynak IP → 5 dakikada 10+ Event ID 4625 → Brute Force Alarmı. Ardından: Aynı kaynak IP → Event ID 4624 (başarılı giriş) → Hesap Ele Geçirme Kritik Alarmı.
Gerekli Log Kaynakları
Windows Domain Controller Event logları (4625, 4624, 4740), Linux SSH auth.log, VPN gateway logları, Web uygulaması login logları.