IDS/IPS Sistemi ve Trafik İzleri: Ağ Güvenliğinde Saldırı Tespiti ve Adli Analiz

IDS (Intrusion Detection System) ve IPS (Intrusion Prevention System), ağ trafiğini izleyerek saldırıları, anormallikleri ve politika ihlallerini tespit eden temel güvenlik bileşenleridir. Dijital adli bilişim açısından IDS/IPS sistemleri, yalnızca anlık uyarılar üretmekle kalmaz; aynı zamanda olay sonrası incelemelerde trafik izleri (network traces) üzerinden saldırının nasıl, ne zaman ve hangi yöntemle gerçekleştiğini ortaya koyar.

IDS ve IPS Nedir?
IDS (Intrusion Detection System)

- Trafiği izler ve uyarı üretir
- Saldırıyı engellemez, raporlar
- Pasif konumlandırma (SPAN/TAP) yaygındır

IPS (Intrusion Prevention System)

- Trafiği izler ve müdahale eder
- Şüpheli paketleri bloklar/drop eder
- Aktif (inline) konumlandırma kullanır

IDS/IPS Çalışma Modelleri
1. İmza Tabanlı (Signature-Based)

- Bilinen saldırı kalıplarını eşleştirir
- Hızlı ve düşük yanlış pozitif

Dezavantaj:

- Sıfır gün (zero-day) saldırıları kaçırabilir

2. Anomali Tabanlı (Anomaly-Based)

- Normal trafik davranışını öğrenir
- Sapmaları tespit eder

Dezavantaj:

- Yanlış pozitif üretme riski

3. Hibrit Yaklaşım

- İmza + Anomali birlikte
- Modern sistemlerde yaygındır

Trafik İzleri (Network Traces) Nedir?

Trafik izleri, ağ üzerinden geçen paketlerin ham veya özetlenmiş kayıtlarıdır.

Başlıca İz Türleri

PCAP (tam paket yakalama)
Flow kayıtları (NetFlow/IPFIX)
IDS/IPS uyarı logları
Firewall logları

IDS/IPS Log ve İz İçerikleri

Bir IDS/IPS kaydı genellikle şunları içerir:

- Zaman damgası
- Kaynak IP / Port
- Hedef IP / Port
- Protokol
- Tetiklenen kural (signature)
- Aksiyon (alert/drop)

Örnek log alanları:

1timestamp | src_ip | src_port | dst_ip | dst_port | signature | action

Trafik İzlerinin Toplanması
Paket Yakalama (PCAP)

1tcpdump -i eth0 -w capture.pcap

Belirli bir IP için filtreleme:

1tcpdump -i eth0 host 192.168.1.10 -w host_traffic.pcap

IDS Üzerinden Uyarı İncelemesi

Örnek bir IDS uyarısı:

1ET TROJAN Possible C2 Communication

Bu uyarı:

- Bilinen C2 davranışını
- Şüpheli ağ iletişimini

işaret eder.

Örnek Adli Senaryo

Senaryo:
Bir sunucuda veri sızıntısı şüphesi var.

İzlenen adımlar:

1 - IDS uyarıları incelenir
2 - Aynı zaman aralığına ait PCAP alınır
3 - Şüpheli IP ve domain’ler filtrelenir
4 - Veri transfer hacmi analiz edilir
5 - Olay, sistem ve uygulama loglarıyla korele edilir

Bu süreç, saldırının giriş noktası, hareketi ve çıkışını netleştirir.

Trafik İzlerinde Aranan Göstergeler (IOC)

- Olağandışı port kullanımı
- Şüpheli DNS sorguları
- Düzenli beaconing (periyodik bağlantı)
- Büyük outbound veri transferleri
- Bilinen kötü IP/domain eşleşmeleri

IDS/IPS ve SIEM Entegrasyonu

IDS/IPS logları genellikle SIEM sistemlerine gönderilir.

Avantajları:

- Merkezi korelasyon
- Zaman çizelgesi oluşturma
- Çoklu kaynak analizi

İpuçları ve En İyi Uygulamalar

- IDS/IPS saat senkronizasyonunu (NTP) kontrol edin
- Uyarıları ham trafikle mutlaka doğrulayın
- False positive listeleri oluşturun
- Kritik segmentlerde PCAP saklamayı planlayın
- Log saklama sürelerini adli gereksinimlere göre ayarlayın

Sınırlamalar ve Zorluklar

1 - Şifreli trafik (TLS)
2 - Yüksek trafik hacmi
3 - Yanlış pozitifler
4 - IPS’in trafiği değiştirme riski
5 - Gizlilik ve KVKK/GDPR kısıtları

IDS/IPS sistemi ve trafik izleri, ağ güvenliği ve dijital adli bilişimde saldırıların tespiti, doğrulanması ve analizinde kritik rol oynar. IDS uyarıları olayın ilk sinyalini verirken; PCAP ve flow kayıtları saldırının teknik detaylarını ortaya koyar. Etkili bir inceleme, IDS/IPS verilerinin ham trafik, sistem logları ve zaman çizelgesi ile birlikte korelasyonunu gerektirir.

#AdliBilişim #kaynak