AWS'de Olay Müdahalesi Yaşam Döngüsü

Güvenlik olayı, AWS kaynaklarınızın veya verilerinizin gizliliğini, bütünlüğünü ya da kullanılabilirliğini tehlikeye atabilecek herhangi bir olaydır. Bu, sızdırılmış bir erişim anahtarı, kötü amaçlı yazılımdan etkilenmiş bir bulut sunucusu veya herkese açık bir S3 paketlemesi olabilir.

Olay müdahalesi (IR), bu olaylara hazırlanma, olayları algılama ve olayların ardından kurtarma süreçlerinin yapılandırılmış biçimidir. AWS üzerinde bulut, şirket içi ekiplerin ancak hayal edebileceği hız ve otomasyon olanaklarını sağlar.

AWS, olay müdahalesini her biri bir öncekini temel alan üç geniş aşamada ele alır:

• Hazırlık — herhangi bir şey gerçekleşmeden önce kişileri, süreçleri ve araçları hazırlayın.
• Operasyonlar — etkin bir olay sırasında algılayın, analiz edin, sınırlayın, ortadan kaldırın ve kurtarın.
• Olay sonrası — yaşananlardan öğrenin ve iyileştirin.

Bunlar, sınavın bilmenizi beklediği klasik NIST yaşam döngüsüyle büyük ölçüde örtüşür.

Hazırlık en önemli aşamadır; çünkü baskı başlamadan önce kontrol edebildiğiniz tek aşama budur. Hazırlık; çalışma kılavuzları oluşturmayı, müdahale ekiplerine doğru IAM rollerini önceden vermeyi, her yerde günlük kaydını etkinleştirmeyi ve tatbikat günleriyle prova yapmayı kapsar.

Hazırlanan bir ekip, bir olayı dakikalar içinde sınırlayabilir. Doğaçlama yapan bir ekip ise kimin harekete geçmeye yetkili olduğunu belirlerken değerli zaman kaybeder.

Algılama, ham sinyalleri doğrulanmış bir olaya dönüştürür. Amazon GuardDuty, AWS Security Hub ve CloudTrail gibi hizmetler şüpheli etkinlikleri görünür kılar.

Analiz ise temel soruları yanıtlar: Hangi kaynak etkilendi, saldırgan içeri nasıl girdi ve etki alanı ne kadar geniş? Amazon Detective, tek bir bulgudan olayın tamamına geçmenize yardımcı olur.

Sınırlama, kanıtları yok etmeden zararın büyümesini durdurur. Kısıtlayıcı bir güvenlik grubu kullanarak bir EC2 (Elastic Compute Cloud) bulut sunucusunu yalıtabilir, güvenliği ihlal edilmiş bir rol oturumunu iptal edebilir veya bir erişim anahtarını devre dışı bırakabilirsiniz.

Amaç, adli inceleme için gereken durumu korurken zararı sınırlamaktır. Aşırı hızlı veya sert davranmak, incelemenin dayandığı ipuçlarını yok edebilir.

Ortadan kaldırma, saldırganı ve temel nedeni ortadan kaldırır — güvenlik açığını yamalamak, arka kapıları silmek veya açığa çıkan tüm gizli bilgileri yenilemek gibi.

Kurtarma, normal işlemleri geri getirir: güvenilir imajlardan temiz bulut sunucuları yeniden oluşturmak, verileri yedeklerden geri yüklemek ve sistemleri üretime yeniden bağlamadan önce tehdidin gerçekten ortadan kalktığını doğrulamak.

Ortalık yatıştıktan sonra, kimseyi suçlamadan bir olay sonrası değerlendirme yapın. Zaman çizelgesini, nelerin işe yaradığını, nelerin başarısız olduğunu ve somut iyileştirmeleri belgeleyin.

Çalışma kılavuzlarını güncelleyin, olayı daha erken yakalayabilecek tespit denetimleri ekleyin ve elle yapılan adımları otomatikleştirin. Her olay, bir sonraki müdahaleyi daha hızlı ve daha sakin hâle getirmek için bir fırsattır.

Bulut, olay müdahalesini yeniden şekillendirir. API'ler sayesinde tek bir çağrıyla bir diskin anlık görüntüsünü alabilir, bir güvenlik grubunu değiştirebilir veya bir rolü saniyeler içinde karantinaya alabilirsiniz. Kod olarak altyapı, temiz ortamları gerektiğinde yeniden oluşturmanıza olanak tanır.

Bu, onarım yerine yeniden dağıtımı tercih edebileceğiniz anlamına gelir — güvenliği ihlal edilmiş bir bulut sunucusunu yenisiyle değiştirmek, onu temizlemekten çoğu zaman daha hızlı ve güvenlidir.

Sorumluluğun açıkça belirlenmesi karmaşayı önler. Bir olayı kimin ilan edeceğini, paydaşlarla kimin iletişim kuracağını ve klavye başında kimin işlem yapacağını tanımlayın.

Müdahale ekiplerinin üstleneceği IAM rollerini önceden oluşturun; böylece erişim hazır olur ve denetlenir. Paylaşılan sorumluluk modeli hâlâ geçerlidir: AWS bulutu güvence altına alır, ancak sizin hesaplarınızdaki olaylara müdahale etmek sizin görevinizdir.

İlk gerçek olayınızın, hayatınızdaki ilk olay olmasını istemezsiniz. Olay tatbikatları, ekibin çalışma kılavuzunu baştan sona uyguladığı simüle edilmiş olaylardır.

Risk düşükken eksikleri — eksik izinleri, güncel olmayan kişi listelerini ve sınanmamış otomasyonu — ortaya çıkarırlar. Düzenli prova, yazılı planı kas hafızasına dönüştürür.

Hangi araca başvuracağınızı bilmek için hizmetleri aşamalarla eşleştirin:

• Tespit: GuardDuty, Security Hub, CloudWatch alarmları.
• Analiz: Detective, CloudTrail, Athena.
• Sınırlama: güvenlik grupları, IAM, AWS Systems Manager.
• Kurtarma: yedekler, AMI'ler (Amazon Makine İmajları), CloudFormation.

Yaşam döngüsünü ne kadar kavradığınızı sınayın.

AWS üzerinde olay müdahalesi hazırlık, tespit ve analiz, sınırlama, ortadan kaldırma, kurtarma ve olay sonrası inceleme aşamalarından geçer. Tamamen kontrol edebildiğiniz aşama hazırlıktır; olay tatbikatları da bu hazırlığı canlı tutar. Bulut, API'ler aracılığıyla olayları saniyeler içinde sınırlamanıza ve sistemleri yeniden oluşturmanıza olanak tanır; bu nedenle onarım yerine yeniden dağıtım tercih edilir. Kanıtların korunması için dikkatli sınırlama uygulayın, ardından temel nedeni ortadan kaldırıp güvenilir kaynaklardan kurtarın.