CertStream Nedir ve Phishing Tespitinde Nasıl Kullanılır?

SSL Sertifikası Sorunu

Geçmişte, tarayıcı adres çubuğundaki asma kilit (HTTPS) bir web sitesinin güvenli ve doğrulanmış olduğu anlamına geliyordu. Bugün, Let's Encrypt gibi otomatik sertifika yetkilileri sayesinde herkes — saldırganlar dahil — saniyeler içinde SSL sertifikası alabilmektedir. Hatta phishing sitelerinin %95'inden fazlası artık HTTPS kullanmaktadır.

Ancak olumlu bir tarafı da var. Her SSL sertifikası düzenlendiğinde, bu işlem Sertifika Şeffaflığı (CT) loglarına kamuya açık şekilde kaydedilmektedir. Bir saldırgan paypa1-guvenli-giris.com gibi bir domain kaydedip SSL sertifikası talep ettiğinde, anında kamuya açık bir kayıt oluşmaktadır.

CertStream Nedir?

CertStream, küresel CT loglarını tek bir gerçek zamanlı WebSocket akışında toplayan bir istihbarat ağıdır. Bu veri akışına bağlanan güvenlik analistleri, dünya genelinde düzenlenen her SSL sertifikasını (çoğunlukla saniyede yüzlercesini) izleyebilmektedir.

Veri Akışı Nasıl Filtrelenir?

CertStream dinlemek büyük miktarda veri üretir. Phishing tespitinin anahtarı, gelen domain adlarına düzenli ifadeler ve Levenshtein mesafe algoritmaları uygulamaktır.

import certstream
import re

HEDEF_MARKA = "paypal"

def geri_cagri(mesaj, baglam):
    if mesaj['message_type'] == "certificate_update":
        tum_domainler = mesaj['data']['leaf_cert']['all_domains']
        for domain in tum_domainler:
            if HEDEF_MARKA in domain.lower():
                print(f"[UYARI] Phishing domaini tespit edildi: {domain}")

certstream.listen_for_events(geri_cagri, url='wss://certstream.calidog.io/')

SOC Ekiplerinin Karşılaştığı Zorluklar

Yukarıdaki script harika bir kavram kanıtı olsa da production ortamında çalıştırmak oldukça zahmetlidir. WebSocket bağlantısı düşer, bellek sızıntıları sunucuyu çökertir ve basit anahtar kelime eşleştirmesi binlerce yanlış pozitif tetikler.

Tetik.NET Çözümü

Tetik.NET tüm altyapıyı sizin adınıza yönetir. Özel AI Görüntü İşleme Motoru CertStream'e bağlanır, Makine Öğrenimi risk puanlama modelleriyle gürültüyü filtreler ve şüpheli domainlerin ekran görüntülerini otomatik olarak alır. Bir domain markanıza benziyorsa, Tetik.NET anında DMCA bildirimi sürecini başlatır.