Hazırlık: IR Planları, Oyun Kitapları ve Ekipler

NIST olay müdahalesi yaşam döngüsünün dört aşaması vardır: Hazırlık, Tespit ve Analiz, Sınırlama/Yok Etme/Kurtarma ve Olay Sonrası Etkinlik. Hazırlık en önemli aşamadır; bir kuruluşun olaydan önce yaptığı her şey, olay sırasında ne kadar etkili müdahale edeceğini belirler. Hazırlığa yatırım yapan kuruluşlar ihlalleri daha hızlı keşfeder, daha çabuk sınırlar ve kurtarma için çok daha az harcama yapar. IR hazırlığı yüksek ve düşük kuruluşlar arasındaki ortalama maliyet farkı, olay başına milyonlarca dolardır.

Incident Response Plan (IRP), kuruluşun güvenlik olaylarını ele alma yaklaşımını tanımlayan temel belgedir. Kapsamlı bir IRP şunları içerir: misyon ve scope, ekip rolleri ve iletişim bilgileri, neyin olay sayıldığını açıklayan tanımlar, önem derecesi sınıflandırma ölçütleri, üst makama bildirim prosedürleri, iletişim şablonları, yasal ve düzenleyici bildirim gereklilikleri ve teknik Playbook'lara referanslar. IRP, üst düzey yönetim tarafından onaylanmalı ve en az yılda bir kez gözden geçirilmelidir.

CSIRT, IRP'yi yürütmekten sorumlu ekiptir. Temel roller şunlardır: Olay Komutanı (genel koordinasyon ve karar alma), Güvenlik Analistleri (teknik Investigation ve Evidence Collection), İletişim Lideri (paydaşlara, müşterilere ve medyaya yönelik mesajlar), Hukuk Danışmanı (düzenleyici uyumluluk ve kolluk kuvvetleriyle iletişim) ve Yönetici Sponsoru (önemli düzeltme eylemleri için yetkilendirme). İyi tanımlanmış roller karmaşayı önler ve hiçbir kritik görevin gözden kaçmamasını sağlar.

Önem derecesi sınıflandırması, müdahalenin aciliyetini, üst makama bildirim yolunu ve bildirim gerekliliklerini belirler. Yaygın kullanılan dört seviyeli model şöyledir: P1/Critical — veri sızdırma veya önemli iş etkisi içeren etkin ihlal; derhâl, 7/24 müdahale gerektirir; P2/High — doğrulanmış veri kaybı olmadan doğrulanmış compromise; P3/Medium — Investigation altındaki şüpheli etkinlik; P4/Low — politika ihlalleri veya küçük anormallikler. Sınıflandırma hataları — P1'i P3 olarak değerlendirmek gibi — müdahale gecikirken ihlallerin büyümesine izin verir.

IRP stratejik yönlendirme sağlarken Playbook'lar, belirli olay türlerine müdahale etmek için taktik ve adım adım prosedürler sunar. Bir Ransomware Playbook'u şunları belirtebilir: etkilenen sistemleri yalıtın (1. adım), herhangi bir temizleme işleminden önce Forensic imajları alın (2. adım), bu türün bilinen bir tür olup olmadığını ve şifre çözücülerin bulunup bulunmadığını kontrol edin (3. adım), yönetici ekibine bildirin (4. adım), harici bir IR firmasını görevlendirin (5. adım). Playbook'lar, müdahale ekiplerinin aksi takdirde kritik adımları atlayabileceği yüksek stresli olaylarda zihinsel yükü azaltır.

Teknik hazırlık, müdahale ekiplerinin bir olay sırasında ihtiyaç duyacağı araçların kurulmasını ve yapılandırılmasını içerir. Temel IR araç seti şunları kapsar: günlüklerin toplanması ve ilişkilendirilmesi için SIEM, uç nokta görünürlüğü ve containment için EDR, Forensic imaj alma araçları (FTK, dd, Magnet AXIOM), Memory acquisition (Magnet RAM Capture, WinPmem), Network packet capture (Wireshark, Zeek) ve olay sırasında birincil Email hesabının compromise olması durumunda kullanılacak Out-of-band communication kanalları.

Birçok kuruluş, uzmanlaşmış Incident Response firmalarıyla (Mandiant, CrowdStrike, Palo Alto Unit 42) retainer anlaşmaları yapar. Retainer, bir olay meydana geldiğinde öncelikli müdahaleyi; önceden müzakere edilmiş ücretleri ve tanımlanmış SLA'ları garanti eder (örneğin bildirimin ardından 4 saat içinde müdahale görevlisinin sahada olması). Retainer olmadan, büyük bir ihlal sırasında IR firmasını görevlendirmek günler sürebilir ve yüksek ücretler doğurabilir. Retainer firmaları ayrıca masa başı tatbikatlarının yürütülmesini, tehdit avcılığını ve ihlal öncesi değerlendirmeleri de sağlar.

Masa başı tatbikatları, üretim sistemlerine dokunmadan, toplantı odasında tartışma biçiminde olay senaryolarını simüle eder. Katılımcılar gelişen bir senaryoyu — bir Ransomware saldırısı, CEO adına gönderilmiş sahte bir Email veya bir kimlik bilgilerinin compromise olması — adım adım ele alır ve her karar noktasında ne yapacaklarını tartışır. Masa başı tatbikatları, gerçek bir olay ortaya çıkarmadan önce Playbook'lardaki eksikleri, rol sorumluluklarındaki belirsizlikleri ve sınanmamış varsayımları açığa çıkarır. Bu tatbikatlar CSIRT için üç ayda bir, yöneticiler için ise yılda bir yapılmalıdır.

Olay iletişimi önceden planlanmalıdır. Temel hususlar şunlardır: düzenleyici bildirim süreleri (GDPR, ihlal bildirimini 72 saat içinde; HIPAA ise 60 gün içinde gerektirir, eyaletlerin ihlal yasaları değişiklik gösterir), müşteri bildirim şablonları, kolluk kuvvetlerine bildirim ölçütleri (Ransomware için FBI, mali dolandırıcılık için Secret Service), halkla ilişkiler mesajları ve çalışanlara yönelik iç iletişim. Kritik olarak, olay sırasında iletişim için out-of-band kanallar kullanılmalıdır; saldırgan kurumsal Email'i izliyor olabilir.

Hazırlık, Evidence Collection işlemlerinin hukuken kabul edilebilirliğini koruyacak prosedürlerin oluşturulmasını da kapsar. Temel gereklilikler şunlardır: uçuculuk sırasını belgelemek, disk imajı alma işlemlerinde yazma engelleyiciler kullanmak, tüm Evidence için kriptografik hash değerlerini (SHA-256) kaydetmek ve Collection işleminden Storage'a kadar Chain of Custody'yi belgelemek. Kimliği doğrulanamayan Evidence — prosedürlere uyulmadığı için — saldırganlara veya çalışanlara karşı yürütülen hukuki süreçlerde kabul edilmeyebilir.

Olgun bir IR hazırlığı olmayan kuruluşlar, ihlaller sırasında düzenli olarak maliyetli hatalar yapar: müdahale ekipleri Forensic Evidence'i almadan önce sistemleri yeniden imajlar (ne olduğunu anlama olanağını yok eder), compromise olmuş kanallar üzerinden iletişim kurar (saldırganları uyarır), önem derecesi sınıflandırması belirsiz olduğu için çok yavaş üst makama bildirimde bulunur, containment kararlarını almak için yetkileri yoktur (saatler süren onaylar gerekir) ve varlık envanteri eksik olduğu için hangi sistemlerin etkilendiğini belirleyemez. Bu başarısızlıkların her biri hazırlıkla önlenebilir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: IRP'nin rolleri, önem derecesi sınıflandırmalarını ve iletişim prosedürlerini tanımlayan temel belge olduğunu, Playbook'ların belirli olay türleri için taktik ve adım adım rehberlik sağladığını ve masa başı tatbikatlarıyla retainer anlaşmalarının, gerçek bir olay meydana gelmeden önce ekipleri etkili müdahaleye hazırladığını. Sıradaki konuda tespit ve analizi, yani gerçek olayları belirlemeyi inceleyeceğiz.