İhlal şüphesinde ilk saatte kimlerle görüşüleceğini, delillerin nasıl korunacağını öğrenin.
Bu teknoloji ve araç ne işe yarar?
Olay müdahalesinin amacı etkilenmiş varlığı anlamak, yayılım riskini azaltmak ve iş sürekliliğini korumaktır. Aceleyle logları silmek veya sistemi sıfırlamak, delil kaybına yol açabilir. Acil güvenlik riski ile adli inceleme gerekliliği dengelenmelidir.
Güvenli uygulama çerçevesi
Bu rehberde örnekler; size ait yerel makineler, izole sanal laboratuvarlar veya test yetkiniz olan sistemlerle sınırlıdır. İşlemlerin kapsamını yazılı tanımlayın, kişisel veri toplanmasını en aza indirin ve üretim değişikliklerinde geri dönüş planı hazırlayın.
Adım adım inceleme planı
- Alarm saatini, gözlenen belirtiyi ve raporlayan kişiyi kaydedin. Kritik servisleri ve sorumlu ekibi belirleyin.
- İlgili hesapların, sunucuların ve ağ oturumlarının kapsamını güvenilir loglarla doğrulayın.
- Yetkili olay komutası altında etkilenen hesabı askıya almak veya ağ bölümünü izole etmek gibi orantılı sınırlama seçeneklerini değerlendirin.
- İç iletişim, yönetim bildirimi, mevzuat değerlendirmesi ve zaman damgalı sonraki adım listesi oluşturun.
Kontrollü laboratuvar uygulaması
Kurgusal hesap ele geçirme senaryosunda kronoloji tablosu oluşturun; kanıt teslim zinciri ve iletişim rollerini yazın. Gerçek sistem müdahalesi yapmayın.
Çıktıları nasıl yorumlamalı?
- İlk müdahalenin hedefi delilleri korurken zararı durdurmaktır.
- Bildirim yükümlülükleri olay türüne ve ülkenin düzenlemelerine göre değişir.
Sık yapılan hatalar
- İnceleme yapmadan sunucuyu sıfırlamak
- Delilin orijinalini değiştirmek
- Doğrulanmamış iddiaları kamuya açıklamak
Örnek güvenlik senaryosu
Bir çalışan şüpheli hesap etkinliği bildirir. İlk dakikalarda olayın gerçekleştiği saat, kullanılan cihaz ve görülen belirti kayıt altına alınır. Hesabın ele geçirildiği henüz doğrulanmadıysa iletişimde kesin hüküm verilmez. Yetkili olay ekibi kanıtı korur, gerekiyorsa oturumları sınırlar ve iş sürekliliğini planlar. Zaman çizelgesi, sonraki adımlar ve sorumlular tek yerde tutulmalıdır.
Bulgu değerlendirme matrisi
Aşağıdaki tablo, bulgulara otomatik hüküm vermek yerine kontrol edilmesi gereken bağlamı açıklar.
| Gözlem | Olası anlam | Doğrulama |
|---|---|---|
| Şüpheli oturum | Hesap istismarı olabilir | Kimlik sağlayıcı loglarıyla karşılaştır |
| Kritik servis etkisi | İş sürekliliği riski | Olay komutası ve servis sahibini bilgilendir |
| Delil bütünlüğü | İnceleme güvenilirliği | Hash ve teslim zinciri kaydını sakla |
Temel kavramlar
- Containment: olayın yayılımını sınırlandırma
- IOC: ihlal göstergesi
- Delil zinciri: erişim ve aktarım kayıtları
Pratik çalışmanızın sonunda kapsam, delil ve doğrulama notlarını tek raporda toplayın. Siber Saldırı Akademisi, güvenlik araçlarının sorumlu kullanımı ve sürdürülebilir savunma için bu kayıt disiplinini önerir.
Kontrol listesi ve sonraki adım
- İzin ve kapsam belgesini, hedef sahiplerini ve çalışma saatini doğruladım.
- İnceleme öncesi ve sonrası sistem durumunu ve kanıtları kayıt altına aldım.
- Bulguları etki, olasılık ve bağlama göre değerlendirdim; yanlış pozitif kontrolü yaptım.
- Düzeltme sorumlusunu, yeniden test tarihini ve geri dönüş seçeneğini belirledim.
Resmî dokümantasyon ve kaynaklar
Üretici dokümantasyonu: INCIDENT RESPONSE resmî kaynak. Kaynakların sürüm ve lisans koşullarını kullanımdan önce kontrol edin.
Bu makale Sibersaldiri.com için özgün hazırlanmıştır. Eğitim amacı taşır; tek başına güvenlik sertifikası veya tamamlanmış sızma testi yerine geçmez.
