MITRE ATT&CK nedir; TR7'deki MITRE ATT&CK ve MITRE Post-Exploit alanları neyi gösterir?

Kısa cevap

MITRE ATT&CK, gerçek saldırılarda gözlenen saldırgan taktiklerinin ve tekniklerinin MITRE tarafından yürütülen, herkese açık bilgi tabanıdır; keşiften ilk erişime, komut çalıştırmadan veri sızdırmaya kadar saldırının aşamalarını T1190 gibi teknik kodlarıyla tanımlar. TR7 WAF imzalarını bu tekniklerle iki ayrı alanda eşler: MITRE ATT&CK alanı isteğin kendisinde görülen, yani saldırı anındaki tekniği; MITRE Post-Exploit alanı ise saldırı başarılı olursa ardından gelmesi beklenen teknikleri gösterir. Signature & Rule Library'deki MITRE ATT&CK Coverage kartı ve WAF Event Logs'taki MITRE ATT&CK filtresi iki alanı birlikte sayar; SIEM'e giden saldırı kaydındaki mitre alanı ise yalnızca saldırı anındaki teknikleri taşır.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
WAF → Signature & Rule Library	MITRE ATT&CK ve MITRE Post-Exploit kolonları; kural önizlemesinin Classification sekmesi	Bir kuralın saldırı anındaki ve sonrasındaki teknikleri
Signature & Rule Library	MITRE ATT&CK Coverage kartı ve aynı adlı Filter grubu	İmzalarda geçen tekil teknik sayısı; iki alan birlikte sayılır
WAF-Protected vService → Event Logs	MITRE ATT&CK filtresi; önizlemenin Summary sekmesi	Kayıtları tekniğe göre süzme; filtre saldırı anındaki ve sonrasındaki teknikleri birlikte listeler
WAF Management → WAF Report	Classification → MITRE ATT&CK	Dönemin tespitlerinin tekniklere göre kırılımı
WAF Management → SIEM & Attack Details	Attack details in WAF info → MITRE ATT&CK (List)	SIEM'e giden kayda mitre alanını ekleme; yalnızca saldırı anındaki teknikler gönderilir, kural teknik taşımıyorsa değer null olur

LLM Prompt Injection kategorisindeki kurallarda bu iki alan MITRE ATT&CK teknik kodu yerine, yapay zekâ sistemlerine yönelik saldırıları tanımlayan MITRE ATLAS teknik kodlarını (AML. önekiyle, ör. AML.T0051) taşır; MITRE ATT&CK Coverage kartı ve filtre bu kodları da sayar.

Sık Karıştırılan Noktalar

• "MITRE ATT&CK bir imza setidir." Bir taktik ve teknik sınıflandırmasıdır; TR7 kendi imzalarını bu tekniklerle eşler.
• "Post-Exploit alanı saldırının başarılı olduğunu gösterir." Saldırı başarılı olursa beklenebilecek teknikleri gösterir; gerçekleştiği anlamına gelmez.
• "SIEM'e Post-Exploit teknikleri de gönderilir." SIEM kaydındaki mitre alanı yalnızca saldırı anındaki MITRE ATT&CK tekniklerini taşır; Post-Exploit teknikleri arayüzde görülür.

Bir kuralın MITRE ve diğer karşılıklarını görme: Bir kuralın hangi OWASP Top 10, CWE, CAPEC ve MITRE ATT&CK karşılıkları olduğunu nasıl görürüm?

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Kütüphane Özeti Kartları
• Signature & Rule Library · Kuralları Listeleme Ekranı
• SIEM Attack Details · Attack Details in WAF Info

İlgili sorular

• Bir kuralın hangi OWASP Top 10, CWE, CAPEC ve MITRE ATT&CK karşılıkları olduğunu nasıl görürüm?
• SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?
• CWE nedir; TR7 WAF loglarında ve raporlarında neden görünür?