Herkese selamlar,
Geçmiş yazılarımda T480 Dark Lightning projemden bahsetmiştim. Yavaş yavaş OS tarafında olan kamuflajlara ve sertleştirmelere başladım. Aynı zamanda IPS yerine NDR sistemi için çalışmalara başladım.
Peki bu tercihim neden?
NDR sistemleri IPS sistemlerinin daha gelişmiş halidir. IPS'ler genelde kural bazlı çalışır ancak NDR'lar genelde nöral sinir ağları ve daha ilkel haliyle CPU'lar veya ASIC çipler üzerinde heuristic veya özelleştirilmiş çipler ile ML tabanlı çalışabilirler.
Şu an ilk çalışmamı heuristic AI olmayan NDR ile ilerletiyorum ve açık kaynak olarak toplanmış veriler üzerinden sezgisel analizlerle C2 beacon, AI attack, DDoS, ransomware, worm ve port scan gibi ofansif denemeleri tutmaya çalışıyorum.
Dün gece ağ üzerinde iki bilgisayar arasında basit bir dog fight işine başladım. Nmap ile çeşitli taramalara giriştim.
Amacım burada nessus ve nmap türevi araçları kör etmek ve tamamen işlevsiz hale getirmek.
Sadece bunlarda değil AI tabanlı saldırıları da düşündüm ve attıkları payloadlar kendilerini vursun diye tarpit sistemleri geliştirmeye uğraşıyorum.
Sergi Kısmı:
Port scan ve C2 beacon denemeleri. Henüz tune edilmedi ilk etapta AI olmayan sistem sonrasında AI tabanlı sistemlere geçilecek.
ICAW - Integrated Cautions and warnings havacılıkta kullanılan sistemlerdir. Genelde uçaklarda olan herhangi bir arızalı veya uyarı veren sistemleri görmek için pilotun kontrol edeceği bir donanımsal arayüzü vardır. Kullandığım sistem için ise bunu biraz daha özelleştirdim.
Provider uptime feed buradan sağlayıcı çökmelerinin olup olmadığını gerçek zaman verisi ile kontrol edebiliyorum.
CTI - DDoS feed
Bu kısımdan hangi IP adreslerin DDoS ile vurulduğunu ve aciliyet seviyesini görebiliyorum yoğun bir DDoS saldırısı varsa ona göre kararlar alabilirim.
Payloads Encoder System
Bu modüllerle beraber ARROW adını verdiğim pentest sistemi ve Puma adını verdiğim NDR sisteminden forklanan ve ileride elimde olan firewall'a dönüşmüş olan bilgisayarlar üzerinde kullanılmak üzere ekstra birkaç farklı modül var.
Bununla beraber T480 üzerine yeni modüller eklemeye uğraşıyorum bazılarını NSA seviyesine çekmek hedefim zamanla. HTTP kullanan servisleri HTTPS tarafına geçirdim.
Çalışan uygulamaların güvenli olup olmadığını kontrol eden bir AppArmor kiti oluşturuluyor ve aynı zamanda hookları engelleyecek bir sistem üzerinde çalışıyorum.
HUD gece operasyonları için IRNV modunda gündüz için day seçeneği ile farklı görünümlere kavuşabiliyor.
Vibecoding yapıyorum fakat kendime ileride buna elle kodlara müdahile etmek için hem dökümantasyon çıkarıyorum hem Ian Sommerville software engineering kitabında olduğu gibi standartları uygulamak hedeflerim arasında ve uyguluyorum.
UEFI tarafında sıkılaştırması yapıldıktan sonra en büyük sorun RAM bellek. Şu an bu canavar 16 GB ram ile çalışıyor her ne kadar kodların çoğunu C ve python ağırlıklı yaptırsam da memory management'ı iyi ayarlamam gerekiyor.
Bir yandan Ransom / kernel canary aldatma sistemleri de planlarımın arasında.
Bir yandan ise Aegis Self Repair & Diagnosis tool'u üzerinde çalışıyorum. T480'in mantığı tamamen F-22 veya F-117 uçakları gibi olduğundan belli bir havada kalma süresi var ve benim cihazı kapatmadan çalışma süresinde reboot etmeden herhangi bir hasar veya araçlarda sorun çıktığında self repair özelliğine kazandırmam gerekiyor.
Bununla beraber EBPF içinde telemetri, OS parmak izi yakalama, klavye izlerini ve benzer kritik verileri gizleyen ek modüller oluşturdum.
Youtube, LinkedIn veya herhangi bir yere girdiğimde telemetri sistemi şişirmesin ve parmak izi toplamasın diye uğraşıyorum.
İleride ise elimde olan Google coral, Intel Neural Compute Stick 2 ve Hailo 8 AI hızlandırıcı çipler ile çalışmalarım olacak.
Ayrıca bu AI hattı için Solid state mission data recorder mantığında çalışan özel cloud bağımsız anomali tespiti ve elimde olan X99 sistem üzerinde olan 2 RTX 3060 üzerine eğitim seti materyali olarak gelecek bir alt yapı oluşturmak hedefim.
T480 internet üzerinde gezdiğim yerlerde anormal Javascript AI attack, PNG malware veya video içine gizlenmiş bir payload tespit ederse bunların hepsi birer eğitim materyali olacak.
Peki neden havada kalma süresinde eğitim yok? Bunun sebebi elimde E-gpu kitim yok yani Blok 70 ve 80 civarına geldiğimde bu thunderbolt ile düşünülebilir ama şu an bu olmadığından X99 sunucuma bağımlıyım. Logların yolda bozulmaması için cloud ortamı tercih etmiyorum.
Testler devam ediyor. Bu projeyi github veya benzer bir yere paylaşmayı ya da satmayı planlamıyorum. Kendi özel çalışmalarım için.
Tüm telif hakları saklıdır Hakan Çevik'e aittir.