IR Yaşam Döngüsü: Hazırlık, Tanımlama, Sınırlama

Olay Müdahalesi (IR), güvenlik olaylarını ele almak ve yönetmek için düzenli bir yaklaşımdır. Amaç; zararı en aza indirmek, kurtarma süresini azaltmak ve olayın tekrarlanmasını önlemektir. Bir olay gerçekleşmeden önce belgelenmiş bir IR planına sahip olmak kritik öneme sahiptir.

Başlıca IR çerçeveleri:

• NIST SP 800-61: Hazırlık → Tespit/Analiz → Sınırlama/Ortadan Kaldırma/Kurtarma → Olay Sonrası
• SANS PICERL: Hazırlık, Belirleme, Sınırlama, Ortadan Kaldırma, Kurtarma, Ders Çıkarma
• CISA: Genel olarak NIST ile uyumludur

Hazırlık faaliyetleri:

• IR politikasını ve prosedürlerini belgeleyin
• IR ekibini (CIRT) kurun ve eğitin
• Günlük kaydı ve tespit araçlarını devreye alın
• İletişim kanallarını ve eskalasyon yollarını oluşturun
• Masa başı tatbikatları ve simülasyonlar gerçekleştirin
• Yaygın olay türleri için çalışma kılavuzları oluşturun

Olaylar gerçekleşmeden önce hazırlanın:

• Günlük analizi için merkezi SIEM
• Yazma engelleyicileri ve imaj oluşturma araçları bulunan adli bilişim iş istasyonu
• Hukuk ve İK iletişim kişileri önceden belirlenmiş olmalı
• Harici bir adli bilişim firmasıyla önceden yapılmış IR hizmet sözleşmesi
• Çevrim dışı yedekler doğrulanmış ve erişilebilir olmalı

Belirleme, bir olayın gerçekleştiğini tespit etme ve doğrulama sürecidir. Tespit kaynakları:

• SIEM uyarıları ve IDS/IPS olayları
• Kullanıcı bildirimleri (“Bilgisayarım garip davranıyor”)
• Tehdit istihbaratı akışları
• Anomali tespiti (olağandışı oturum açma zamanları, veri aktarımları)
• Üçüncü taraf bildirimi (kolluk kuvvetleri, iş ortakları)

Müdahaleye öncelik vermek için olayları önem derecesine göre sınıflandırın:

• P1/Kritik: etkin ihlal, veri dışarı çıkarma, fidye yazılımı
• P2/Yüksek: ele geçirilmiş ayrıcalıklı hesap, tespit edilmiş kötü amaçlı yazılım
• P3/Orta: politika ihlali, şüpheli etkinlik
• P4/Düşük: başarısız oturum açma denemeleri, küçük yapılandırma hatası

Sınırlama, kanıtları yok etmeden zararın yayılmasını durdurur. İki türü vardır:

• Kısa vadeli sınırlama: etkilenen sistemleri yalıtma (ağ karantinası)
• Uzun vadeli sınırlama: işlemleri sürdürürken kötü amaçlı unsurları kaldırma

Sınırlama işlemleri:

• Ağ yalıtımı: VLAN karantinası, güvenlik duvarı engelleme kuralları
• Hesap kilitleme: ele geçirilmiş kimlik bilgilerini devre dışı bırakma
• EDR ile sonlandırma: EDR aracılığıyla kötü amaçlı işlemleri sonlandırma
• DNS kara deliği: geri bağlantıları önlemek için komuta ve kontrol alan adlarını yönlendirme
• Silme işleminden BEFORE önce kanıtları koruyun

Büyük olaylar sırasında net bir komuta yapısı kullanın:

• Olay Komutanı — genel koordinasyon
• Teknik Lider — araştırma ve düzeltme
• İletişim Lideri — kurum içi ve dışı bildirimler
• Hukuk/Mevzuata Uyum — düzenleyici yükümlülükler

Etkili IR; sınırlama, araştırma ve iletişimi sırayla değil, paralel olarak yürütür. Teknik ekip tehdidi sınırlarken hukuk ekibi bildirimleri hazırlar ve yönetim paydaşlarla iletişim kurar. Zaman önemlidir: sınırlanmamış erişimin sürdüğü her saat daha fazla zarara yol açar.

Bir olay sırasında her şeyi belgeleyin:

• Zaman damgalarıyla olayların zaman çizelgesi
• Gerçekleştirilen tüm işlemler (kim, ne yaptı, ne zaman yaptı)
• Toplanan kanıtlar ve muhafaza zinciri
• Alınan kararlar ve gerekçeleri

Bu belgeler, hukuki süreçler ve olay sonrası inceleme için gereklidir.

Kötü amaçlı yazılımın yayılmasını durdurmak için virüs bulaşmış bir sistemi ağdan hangi IR aşamasında yalıtırsınız?

IR yaşam döngüsü (NIST): Hazırlık, Belirleme, Sınırlama, Ortadan Kaldırma, Kurtarma, Olay Sonrası. Hazırlık en önemli aşamadır; olaylar gerçekleşmeden önce ekibi, araçları ve çalışma kılavuzlarını oluşturun. Belirleme, bir olayı doğrular. Sınırlama, kanıtları korurken yayılmayı durdurur. Her işlemi zaman damgalarıyla belgeleyin.