Thinkst Canary Türkiye Resmi Çözüm Ortağı

Thinkst Canary ile İhlali İlk Temasta Fark Edin

Thinkst Canary, ağın içine yerleştirilen gerçekçi tuzak sistemlerle (honeypot) ihlali erken aşamada fark etmeyi sağlayan bir deception (aldatma) platformudur. Canary'ler saldırgan için cazip görünen bir Windows dosya sunucusunu, Active Directory etki alanı denetleyicisini, Linux sunucuyu, ağ cihazını veya SCADA ekipmanını taklit eder. Meşru kullanıcıların bu sistemlerle hiçbir işi olmadığından, bir Canary'ye dokunulduğu anda üretilen alarm doğrudan incelenmesi gereken bir olaydır.

Güvenlik ekiplerinin en büyük sorunu çoğu zaman tespit aracının eksikliği değil, gürültüdür. SIEM, EDR ve ağ güvenliği ürünleri her gün binlerce olay üretir; gerçek bir saldırının ilk işaretleri bu yığının içinde kaybolur. Thinkst Canary farklı bir yoldan gider: anomali öğrenmez, davranış modeli kurmaz, yalnızca biri tuzağa dokunduğunda tek ve güvenilir bir alarm üretir. Bu yüzden false positive oranı son derece düşüktür.

Technodus, Thinkst Canary'nin Türkiye'deki resmi çözüm ortağı olarak yerleşim planlaması, PoC, lisanslama, kurulum, alarm entegrasyonu ve kurulum sonrası işletim desteğini uçtan uca yürütür.

Thinkst Canary Bileşenleri

1. Hardware Canary — Fiziksel Tuzak Cihaz

Bir ağ anahtarı portuna ve güç kaynağına bağlanıp birkaç dakikada devreye alınan fiziksel cihazdır. Console üzerinden bir kimlik (personality) seçilir; cihaz bu kimliğe uygun servisleri ve ağ yığınını sunarak gerçek bir sunucu veya yönlendirici gibi davranır. Hipervizör bulunmayan şubeler, üretim ve OT segmentleri ile sunucu odaları için uygundur. Hardware Canary ayrıntıları

2. Virtual Canary — Sanal ve Container Tuzaklar

VMware ESXi/vSphere, Microsoft Hyper-V, VirtualBox ve OpenStack üzerinde sanal makine olarak, Docker ve Kubernetes ortamlarında container olarak çalışır. Veri merkezi ve sunucu VLAN'larına, yönetim ağlarına ve Active Directory ortamına yakın konumlara hızla çok sayıda tuzak yerleştirmeyi sağlar. Virtual Canary ayrıntıları

3. Cloud Canary — Bulut Ağlarında Tuzak Sunucu

AWS, Microsoft Azure ve Google Cloud üzerinde sanal sunucu olarak çalışır ve şirket içi Canary'lerle aynı filoda yönetilir. Ele geçirilmiş bir bulut sunucusundan başlayan yanal hareketi ve VPC/VNet içindeki taramaları görünür kılar. Cloud Canary ayrıntıları

4. Canarytokens — Tuzak Belirteçler

Sahte Word/Excel belgesi, PDF, AWS API anahtarı, Azure oturum sertifikası, VPN yapılandırması, SQL Server bağlantısı veya e-posta iletisi gibi görünen belirteçlerdir. Belirteç açıldığında, anahtar kullanıldığında ya da bağlantı çağrıldığında alarm üretilir. Kurumsal sürümde belirteçler kuruma özel sunucuda sınırsız sayıda üretilir ve toplu dağıtılabilir. Canarytokens ayrıntıları

5. Canary Console — Merkezi Yönetim

Kuruma özel barındırılan, bulut tabanlı yönetim konsoludur. Donanım, sanal ve bulut Canary'ler ile tüm belirteçler tek yerden yönetilir; olaylar e-posta, SMS, Slack, Microsoft Teams, webhook ve syslog ile iletilir. SAML SSO, gruplama (Flocks) ve API desteği sunar. Platformun tamamı

Thinkst Canary Hangi Sorunları Çözer?

• Fark edilmeyen yanal hareket: Saldırgan ağa girdikten sonra haftalarca keşif yapabilir. Ağ taraması, paylaşım gezintisi veya oturum açma denemesi bir Canary'ye ulaştığı anda görünür olur.
• Alarm yorgunluğu: Canary alarmı nadiren gelir ve geldiğinde gerçektir; küçük güvenlik ekipleri bile bu sinyali kaçırmadan işleyebilir.
• Bakımı yarım kalan honeypot projeleri: Kendi kurulan açık kaynak tuzaklar zamanla güncelliğini yitirir. Canary'ler merkezi olarak güncellenir ve gerçekçiliğini korur.
• İç tehditler: Yetkisi olmadığı hâlde hassas klasörlerde gezinen veya belge kopyalayan kullanıcılar tuzak dosyalarla tespit edilir.
• Ajan kurulamayan ortamlar: OT/SCADA, eski sistemler ve ağ cihazlarının bulunduğu segmentler ek yazılım kurmadan izlenir.
• Çalınan kimlik bilgilerinin kullanımı: Sahte AWS anahtarları, VPN yapılandırmaları ve veritabanı bağlantıları, ele geçirilen bilgilerin kullanıldığı anı haber verir.

Deception Teknolojisi Neden Farklıdır?

Klasik tespit araçları "normal" davranışı öğrenip sapmaları yakalamaya çalışır; bu yaklaşım hem kaçırılan olaylara hem de çok sayıda yanlış alarma açıktır. Deception yaklaşımında ise tuzak sistemin meşru bir kullanımı yoktur. Bir saldırganın Canary'yi gerçek bir sunucudan ayırt etmesi zordur ve etkileşim kurduğu anda alarm tetiklenir. Bu nedenle Canary, mevcut EDR ve SIEM yatırımlarının yerine değil, onların yanına yüksek doğrulukta bir erken uyarı katmanı olarak konumlanır.

Kimler İçin Uygundur?

• Çok sayıda alarmı işleyecek kadrosu olmayan, az ama güvenilir sinyal isteyen BT ve güvenlik ekipleri
• SOC'una ya da güvenlik operasyonuna yüksek doğrulukta bir olay kaynağı eklemek isteyen kurumlar
• Fabrika, enerji ve üretim gibi OT/SCADA ortamlarını ajan kurmadan izlemek isteyen işletmeler
• Şube ağı geniş, her lokasyona tam güvenlik yığını kurmanın zor olduğu yapılar
• Hibrit veya çoklu bulut kullanan, şirket içi ve bulut ortamını tek konsoldan izlemek isteyen kurumlar

Mevcut Güvenlik Altyapısıyla Birlikte Çalışma

Canary alarmları syslog ve webhook ile SIEM'e, e-posta ve Teams/Slack kanallarına veya olay yönetim sistemine iletilir. Bir Canary alarmı, EDR verileriyle birlikte incelendiğinde saldırganın hangi makineden geldiği hızla belirlenir. Saldırı simülasyonu çalışmalarında ise Canary'ler, yanal hareket senaryolarının gerçekten tespit edilip edilmediğini doğrulamak için kullanılabilir.

Canary'ler Console ile şifreli DNS üzerinden haberleşir. Resmi dokümantasyona göre dış alan adlarını çözebilen bir DNS sunucusuna erişim yeterlidir; her cihaz için ayrı sınır güvenlik duvarı kuralı açmak gerekmez.

Lisanslama Yaklaşımı

Thinkst Canary yıllık abonelikle lisanslanır; kapsam, yerleştirilecek Canary sayısına göre belirlenir. Abonelikle birlikte kuruma özel barındırılan Canary Console, sınırsız Canarytoken üretimi ve bir yıllık destek, bakım ve güncelleme gelir. Donanım, sanal ve bulut Canary'ler aynı abonelik altında birlikte kullanılabilir. Kesin kapsam, ağ yapınıza göre hazırlanan teklifle belirlenir. Tüm bileşenleri Thinkst Canary ürün kataloğunda inceleyebilirsiniz.

Technodus ile Thinkst Canary Hizmet Modeli

• Yerleşim planı: Hangi ağ segmentlerine, hangi kimliklerle ve kaç Canary yerleştirileceğini sizinle birlikte belirleriz. Hedef, saldırganın keşif sırasında kaçınılmaz olarak dokunacağı noktalardır.
• PoC: Ürünü satın almadan önce kendi ağınızda sınarsınız; ilk alarmları birlikte değerlendiririz.
• Kurulum ve kimlik tasarımı: Canary'leri kurum adlandırma düzeninize uygun ad, servis ve sahte dosyalarla yapılandırırız.
• Canarytoken dağıtımı: Dosya sunucuları, kullanıcı bilgisayarları, kod depoları ve bulut hesapları için belirteç planını hazırlar, toplu dağıtırız.
• Alarm entegrasyonu: Olayların SIEM'e, e-postaya, Teams kanallarına veya olay yönetim sistemine iletilmesini devreye alırız.
• İşletim desteği: Ağ değiştikçe yerleşimi güncel tutar, alarm geldiğinde ilk inceleme adımlarında yanınızda oluruz.

Devreye Alma Yaklaşımı

İlk adımda ağ haritası üzerinden kritik segmentler belirlenir ve az sayıda Canary ile başlanır. Ardından Canarytoken'lar hassas klasörlere, yönetici bilgisayarlarına ve bulut hesaplarına yayılır. Son adımda alarm akışı mevcut güvenlik operasyonuna bağlanır ve bir tatbikatla uçtan uca doğrulanır.

Bizimle İletişime Geçin

Thinkst Canary'yi kendi ağınızda denemek veya yerleşim planı için iletişim formunu doldurun ya da [email protected] adresine yazın.