Müdahale Eylemleri

Bir tehdidi tespit etmek işin yalnızca yarısıdır. Müdahale, bir saldırıyı durdurmak ve temizlemek için aldığınız önlemdir.

Hızlı müdahale hasarı sınırlar ve yayılmayı önler.

İzolasyon (ağ sınırlaması), bulaşmış bir uç noktanın ağla bağlantısını keser.

Makine, inceleme için EDR konsoluyla iletişim kurmaya devam edebilir; ancak kötü amaçlı yazılımı yayamaz veya veri sızdıramaz.

Analistler zararlı bir işlemi uzaktan durdurabilir.

İşlemi sonlandırmak, daha kapsamlı temizlik devam ederken saldırganın şifreleme veya veri hırsızlığı gibi mevcut faaliyetlerini durdurur.

Karantina, şüpheli bir dosyayı güvenli ve kilitli bir konuma taşır.

Dosya artık çalıştırılamaz; ancak kanıt olarak saklanır ve güvenli olduğu anlaşılırsa geri yüklenebilir.

Bir tehdit anlaşıldığında ekipler, tehditteki güvenlik ihlali göstergelerini her yerde engeller.

• Kötü amaçlı dosya özetleri
• Kötü amaçlı IP adresleri ve alan adları

Bu işlem diğer tüm uç noktaları aynı anda korur.

Bir uyarı tetiklendiğinde bazı işlemler otomatik olarak çalışabilir.

Örneğin, fidye yazılımı davranışı tespit edildiği anda, bir insan uyarıyı okumadan önce bile bir uç nokta kendini izole edebilir.

Temizlikten önce analistler kanıtları uzaktan toplar.

• Çalışan işlemlerin listelerini toplama
• Şüpheli dosyaları analiz için alma
• Uç noktada uzak bir kabuk açma

Bu işlem saldırının net bir görünümünü oluşturur.

Tehdidi giderme, tehdidi ortadan kaldırır ve yaptığı değişiklikleri geri alır.

• Kötü amaçlı dosyaları silme
• Kalıcılık girdilerini kaldırma
• Zararlı yapılandırma değişikliklerini geri alma

Bazı EDR araçları, kötü amaçlı yazılımların yaptığı değişiklikleri geri alabilir; örneğin fidye yazılımı tarafından şifrelenen dosyaları eski hâline getirebilir.

Geri alma mümkün olmadığında makine temiz bir imajdan yeniden oluşturulur.

Müdahale daha geniş bir döngünün parçasıdır:

• Tanımlayın
• Sınırlayın (izolasyon)
• Ortadan kaldırın (tehdidi giderme)
• Sistemi kurtarın
• Ders çıkarın

Bir olaydan sonra ekipler ne olduğunu gözden geçirir.

Saldırganın nasıl içeri girdiğini kaydeder ve aynı saldırının yeniden başarılı olamaması için tespitleri ve ilkeleri güncellerler.

Müdahale işlemlerini ne kadar anladığınızı sınayın.

EDR müdahale işlemleri şunları içerir:

• Ana bilgisayarı izole etme, işlemleri sonlandırma ve dosyaları karantinaya alma
• Güvenlik ihlali göstergelerini engelleme ve otomatik sınırlama
• Tehdidi giderme, değişiklikleri geri alma ve çıkarılan dersler

Bu adımlar tanımlama, sınırlama, ortadan kaldırma ve kurtarma döngüsünü izler.