Ürünü SIEM ile karşılaştırmak pek mümkün değil çünkü amaç ve kullanım use-caseleri oldukça farklı. Burada bizim SIEM’e ek olarak yaptığımız 156 farklı delil ve üzerinde arama var ama sadece loglar için konuşursak Binalyze tarafına Sigma kuralları yazılabiliyor.(Şu anda bunu ara yüzde veya direk destekliyoruz demiyoruz) Sigma kuralları sayesinde internette bulunan evrensel bir kural direk olarak loglar içerisinde arama yapılmak için kullanılabilir. Çoğu SIEM markası direk olarak sigma desteği sunmaz, kuralı kendi dil yapısına çevirmek gerekmektedir. 2. olarak SIEM de geriye dönük bir search büyük log dizinlerinde saatler sürebilir. Binalyze da ise her ajan sigma kuralını kendi yüklü olduğu makine üzerinde çalıştıracağından ötürü yük dağıtılmış ve aranan şey daha hızlı erişilmiş hale gelir. Son olarak SIEM makinelerden real time log alamaz. En iyi SIEM’ler bile near-real time çalışır. Bir saldırganın makineye girdikten sonra yapacağı ilk hamlelerden biri dışarı log gönderme servisini öldürme olacaktır. Bu noktada makine üzerine log tuttuğu sürece Binalyze bunları gidip alabilir yapıda çalışır. (Bazı SIEMler de bu şekilde çalışabiliyor, bu hepsi ile farkı demek değil)

Kullanılabilir. Binalyze’ın delil sayılması basit bir log’a göre daha değerli olduğundan ötürü, log ile delil saydırılabilen neredeyse her şey Binalyze ile de delil niteliği taşır.

Bir saldırganın içerideki tüm kanıtları ortadan kaldırma gibi bir olasılığı söz konusu değildir. Mutlaka bazı yerlerde delilleri kalacaktır. Tabiki de delillerini silen/gizleyen bir saldırganın bütün hareketlerini tespit mümkün olmayabilir ama içeride kalan deliller incelenerek büyük resmin birçok parçasının çıkartılması mümkündür.

Ransomeware shield özelliği mevcuttur. Binalyze process’i system level haklarıyla çalışır(Admin haklarından yüksek) ve process herhangi bir process tarafından interupt edilmeye karşı korunaklıdır. Ransomeware bulaşmış bir makinede henüz şifrelenmemiş olan bütün delilleri getirir. Buna RAM imajı da dahil.

Tüm disk şifrelenmiş ise burada işletim sisteminin de sağlıklı çalışması pek de mümkün değildir. Bu soru case’e ve karşılaşılan ransomeware türüne göre değişiklik gösterebilir.

İlk olarak Binalyze diğer tüm rakiplerine karşı topladığı delil sayısı ve bunları parse ederek raporda sunması açısından diğer rakiplerinin önündedir. Binalyze’ı karşılaştırmak için şu anda 3 farklı ürün grubu ile kıyas yapılması gerekmektedir. Ek olarak bu ürünler için 3 farklı yönetim 3 farklı arayüz ve 3 farklı kontrol gerekip, sonrasında da bu verilerin birleştirilip anlamlandırılması gerekmektedir. Ek olarak bu 3 ürünle bile live-response yeteneklerinden dolayı belki 4. bir ürünü bile buraya dahil etmek gerekebilir. Bunlar delil toplama, comprimise assesment ve basic auto-discovery ürünleri. 3. olarak Binalyze ürünü rakiplerinden hız olarak oldukça üstün bir noktadadır. İsmi geçen bazı rakiplerin işlerini yapması 3 gün gibi inanılmaz süreler alabilmektedir. Acil bir durumda veya bir olay müdahale esnasında 3 gün gibi bir süre sadece bir aracı bekleme zamanımız var ise, durum bir olay müdahale veya aciliyet teşkil eden bir durumdan oldukça uzaktır. Son olarak Binalyze forensic ve olay müdahaleye farklı ve yenilikçi bir yaklaşım getirmiştir. Klasik yöntemler yerine zamana karşı yarış, kolay kullanım ve ihtiyaç duyulan ile ilerleme felsefesi ile ürün ilerlemektedir. 2022 yılında availibity’nin çok önemli olduğu ve kurumların kesinti yaşamaması gerekmektedir. Bu gibi durumlarda gerek düşük kaynak tüketimi gerek ise herhangi bir kesinti yaşatmaksızın çalışabilir olması kurumlara büyük avantaj sağlamaktadır. Bazı rakip ürünler basit taramalar için bile 200GB ram gibi kurumlar için imkansız kaynak istemektedir. (Hazırda çalışan sunucuda boş 200 gb ram verilebiliyor ise, sistem yanlış konfigüre edilmiş demektir)

Hayır. İleride Thin client veya Linux/Windows işletim sistemlerinin çalıştığı farklı cihazlarda çalışabilir durumda olabilir ama Android veya IOS olmayacak.

İlk bakılan yer hikayeye göre değişir. Ülkemizde olay müdahale uzmanlarının bir kısmı kendini rahat hissettikleri delillere bakarak başlarlar ama işin doğrusu karşılaştığınız case’e göre delilleri önceliklendirmeli ve başlangıcınızı tercih etmelisiniz. Shellbags veya shimcache burada favoriler denilebilir.