Ortadan Kaldırma, Kurtarma ve Çıkarılan Dersler

Ortadan kaldırma, tehdidi etkilenen tüm sistemlerden kaldırır. Sınırlama kapsamı doğruladıktan sonra ortadan kaldırma; kötü amaçlı yazılımlar, arka kapılar, ele geçirilmiş kimlik bilgileri veya izinsiz hesaplar gibi hiçbir kalıcılık mekanizmasının kalmamasını sağlar.

Kapsamlı bir ortadan kaldırma işlemi şunları içerir:

• Araştırmada belirlenen tüm kötü amaçlı yazılımları ve yerleştirilmiş yazılımları kaldırın
• Saldırganın eklediği izinsiz kullanıcı hesaplarını ve SSH anahtarlarını silin
• Saldırganın eklediği cron işlerini, kayıt defteri çalıştırma anahtarlarını ve zamanlanmış görevleri kaldırın
• İlk erişimi sağlayan güvenlik açığını düzeltin
• Ele geçirilmiş tüm kimlik bilgilerini sıfırlayın
• Ağır biçimde ele geçirilmiş sistemleri güvenilir olduğu bilinen imajlardan yeniden oluşturun

Ağır biçimde ele geçirilmiş sistemlerde temiz bir imajdan yeniden oluşturma, tüm kötü amaçlı yazılım kalıntılarını kaldırmaya çalışmaktan daha güvenilirdir. Kök takımları ve kalıcı yerleştirilmiş yazılımlar temizleme girişimlerinden sağ çıkabilir. Kritik sistemlerde bir unsuru gözden kaçırma riski çok yüksektir.

Temizleme işleminden sonra şunları doğrulayın:

• Birden fazla AV/EDR aracıyla yeniden tarayın
• Kalıcılık mekanizmalarını inceleyin (otomatik çalıştırmalar, cron, hizmetler)
• Yeni kullanıcı hesapları veya SSH anahtarları olup olmadığını kontrol edin
• Ağ trafiğini komuta ve kontrol geri bağlantıları açısından izleyin
• Kritik ikili dosyalarda bütünlük kontrolleri çalıştırın

Kurtarma, sistemleri güvenli biçimde normal çalışmaya döndürür. Ortadan kaldırma işlemini doğrulamadan kurtarmayı aceleye getirmek yeniden bulaşma riski oluşturur. Temel faaliyetler:

• Gerektiğinde doğrulanmış temiz yedeklerden geri yükleyin
• Gelişmiş izlemeyle sistemleri kademeli olarak yeniden çevrim içi duruma getirin
• Sistem bütünlüğünü ve düzgün çalışmayı doğrulayın
• Saldırganın geri döndüğüne dair işaretleri izleyin

Yedeklerden geri yükleme:

• Yedek bütünlüğünü doğrulayın (karma karşılaştırması)
• Temiz bir ortama geri yükleyin (aynı ele geçirilmiş ortama değil)
• Geri yüklenen sistemleri üretime döndürmeden önce test edin
• Fidye yazılımı durumunda: dosyaları geri yüklemeden önce kötü amaçlı yazılımın kaldırıldığından emin olun

Kurtarma sonrasında izleme yoğunluğunu artırın:

• Geri yüklenen sistemlerde 30 gün veya daha uzun süre gelişmiş günlük kaydı
• Saldırganın taktik, teknik ve prosedürleriyle eşleşen tüm etkinlikler için uyarı
• Olağandışı bağlantılar için ağ akışlarını inceleyin
• Erişim denetimlerini ve izinleri yeniden doğrulayın

Olay sonrası inceleme (ders çıkarma) 1-2 hafta içinde yapılmalıdır. Katılımcılar: IR ekibi, etkilenen sistem sahipleri ve yönetim. Amaç; temel nedeni anlamak, savunmaları iyileştirmek ve prosedürleri güncellemektir.

RCA şu soruyu sorar: bu neden oldu?

• İlk saldırı yolu neydi?
• Hangi kontroller başarısız oldu veya eksikti?
• Saldırgan tespit edilmeden önce ne kadar süre sistemde kaldı?
• Saldırgan yanal olarak nasıl ilerledi?
• Hangi verilere erişildi veya hangi veriler dışarı çıkarıldı?

İzlenecek temel IR ölçümleri:

• MTTD — Ortalama Tespit Süresi
• MTTR — Ortalama Müdahale/Kurtarma Süresi
• MTTC — Ortalama Sınırlama Süresi
• Etkilenen sistem sayısı
• Veriye maruz kalma kapsamı

Ders çıkarımlarından elde edilen sonuçlar:

• Gözlemlenen yeni taktik, teknik ve prosedürlerle IR müdahale kılavuzlarını güncelleyin
• Eksik tespit yeteneklerini devreye alın
• Belirlenen güvenlik açıklarını düzeltin
• Belirlenen eksikliklerle ilgili eğitim planlayın
• İletişim şablonlarını güncelleyin

Ortadan kaldırma; kötü amaçlı yazılımlar, arka kapılar, izinsiz hesaplar ve komuta ve kontrol kalıcılığı gibi tüm saldırgan kalıntılarını kaldırır. Ağır biçimde ele geçirilmiş sistemleri temizlemek yerine yeniden oluşturun. Kurtarma, gelişmiş izlemeyle doğrulanmış temiz yedeklerden işlemleri geri yükler. Olay sonrası inceleme, kök nedeni belirler, MTTD/MTTR ölçümlerini yapar ve güncellenmiş müdahale kılavuzları ile yeni tespit mekanizmaları aracılığıyla gelecekteki müdahaleyi iyileştirir.