Siber Güvenlik Olay Müdahalesi: Hazırlık, Tespit ve Kurtarma

Kısaca

• Bir siber güvenlik olayının ortalama tespit süresi 194 gün, sınırlandırma süresi ise ek 64 gündür; etkili bir olay müdahalesi programı bu süreleri saatler mertebesine indirebilir.
• NIST SP 800-61 çerçevesi, IR yaşam döngüsünü Hazırlık → Tespit ve Analiz → Sınırlandırma/Temizleme/Kurtarma → Çıkarılan Dersler olarak dört ana aşamada tanımlar.
• Proaktif zafiyet yönetimi, olay müdahalesinin önceki katmanıdır; bilinen zafiyetlerin kapatılması, olayların oluşma olasılığını kökten azaltır.
• SİTEY'in zafiyet yönetimi platformu, SIEM/SOAR ve IR araçlarıyla entegre çalışarak olay bağlamına anlık zafiyet istihbaratı sağlar.

Olay Müdahalesi Nedir?

Olay müdahalesi (Incident Response – IR), bir organizasyonun siber güvenlik olaylarını tespit etme, analiz etme, sınırlandırma, ortadan kaldırma ve kurtarma süreçlerinin tamamını kapsayan sistematik bir yaklaşımdır. Bir güvenlik olayı; yetkisiz erişim, veri ihlali, zararlı yazılım bulaşması, hizmet engelleme (DDoS) saldırısı veya içeriden gelen tehditler gibi geniş bir yelpazeyi kapsar.

IR, yalnızca teknik bir süreç değildir; hukuki, iletişimsel ve yönetimsel boyutları da içerir. Etkili bir IR programı, olayın iş süreçlerine etkisini minimize eder, yasal yükümlülüklerin zamanında yerine getirilmesini sağlar ve organizasyonun itibar kaybını sınırlandırır. KVKK ve GDPR gibi düzenlemeler, veri ihlallerinin belirli süreler içinde bildirilmesini zorunlu kılar; bu nedenle IR süreçlerinin hız ve doğruluk açısından optimize edilmesi yasal bir gerekliliktir.

Modern siber güvenlik ortamında, saldırıların tamamen önlenmesi mümkün olmadığından, "ihlal varsayımı" (assume breach) yaklaşımı benimsenmiştir. Bu paradigma, saldırıların kaçınılmaz olduğunu kabul eder ve organizasyonların tepki kapasitesini güçlendirmeye odaklanır. Bir organizasyonun olgunluk seviyesi, yalnızca savunma katmanlarıyla değil, aynı zamanda olay müdahale kapasitesiyle de ölçülür.

Neden Önemli?

Etkili bir olay müdahalesi programının kurumsal değeri, birden fazla boyutta ortaya çıkar:

• Mali kayıp minimizasyonu: IBM'in 2025 Cost of a Data Breach raporuna göre, IR ekibine ve planına sahip organizasyonlar, olmayanlarla karşılaştırıldığında ihlal başına ortalama 1,49 milyon dolar daha az maliyet yaşamıştır. IR otomasyon araçları kullanan kuruluşlarda bu fark daha da belirgindir.
• Hukuki uyumluluk: KVKK 72 saat içinde veri ihlal bildirimi, GDPR 72 saat DPA bildirimi, PCI DSS olay müdahale planı gerekliliği gibi düzenleyici yükümlülükler, yapılandırılmış bir IR programı olmadan karşılanamaz.
• İtibar koruması: Hızlı ve şeffaf müdahale, müşteri güvenini korur. Aksine, geciken veya kötü yönetilen müdahale süreçleri, teknik hasarın çok ötesinde itibar kaybına yol açar.
• İş sürekliliği: Profesyonel IR, kritik iş süreçlerinin mümkün olan en kısa sürede yeniden çalışır duruma getirilmesini sağlar. Ortalama iş kesintisi maliyeti büyük kuruluşlar için saatte 300.000 doları aşabilir.
• Tehdit istihbaratı üretimi: Her olay, saldırganların taktik, teknik ve prosedürlerini (TTP) anlama fırsatı sunar. Bu istihbarat, gelecekteki saldırılara karşı savunmayı güçlendirir.

Profesyonel bir IR programına yatırım yapmayan kuruluşlar, ihlaller karşısında reaktif ve plansız hareket etmek zorunda kalır; bu da hem maliyeti artırır hem de kurtarma süresini uzatır.

IR Yaşam Döngüsü (NIST SP 800-61)

NIST SP 800-61 (Computer Security Incident Handling Guide), dünya genelinde en yaygın kabul gören olay müdahalesi çerçevesidir. Bu standart, IR yaşam döngüsünü dört temel aşamada tanımlar ve her aşamada yapılması gerekenleri detaylı biçimde açıklar.

1. Hazırlık (Preparation): IR ekiplerinin oluşturulması, planların yazılması, araçların yapılandırılması, eğitimlerin verilmesi ve tatbikatların gerçekleştirilmesi. Bu aşama, bir olay meydana gelmeden önce yapılan tüm proaktif çalışmaları kapsar.
2. Tespit ve Analiz (Detection & Analysis): Güvenlik olaylarının belirlenmesi, doğrulanması, sınıflandırılması ve önceliklendirilmesi aşamasıdır. SIEM, EDR, IDS/IPS ve log analizleri burada kritik rol oynar.
3. Sınırlandırma, Temizleme ve Kurtarma (Containment, Eradication & Recovery): Olayın yayılmasının durdurulması, kök nedenin ortadan kaldırılması ve etkilenen sistemlerin güvenli bir şekilde yeniden devreye alınması.
4. Çıkarılan Dersler (Lessons Learned): Olay sonrası analiz, dokümantasyon, süreç iyileştirmeleri ve gelecekteki olaylara hazırlığın artırılması. Post-mortem toplantıları burada merkezi önem taşır.

Bu döngü süreklidir; çıkarılan dersler, hazırlık aşamasına geri besleme yaparak programın olgunluğunu artırır. SANS Institute'un altı aşamalı modeli (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned) de benzer bir yapı sunar ve NIST çerçevesiyle uyumlu biçimde kullanılabilir.

1 – Hazırlık Aşaması

Hazırlık, etkili olay müdahalesinin temel taşıdır. Bir olay meydana geldiğinde, plansız hareket etmek kaçınılmaz olarak hatalara ve gecikmelere yol açar. Hazırlık aşamasında gerçekleştirilmesi gereken kritik faaliyetler şunlardır:

• IR Politikası ve Planının Oluşturulması: Olayın tanımı, sınıflandırma kriterleri, eskalasyon prosedürleri, iletişim planı, roller ve sorumluluklar yazılı olarak belgelenmeli ve üst yönetim tarafından onaylanmalıdır.
• CSIRT Ekibinin Kurulması: Olay müdahale ekibi oluşturulmalı, her üyenin rolü ve yetki alanı netleştirilmelidir. Ekip; teknik analistler, forensic uzmanları, iletişim sorumlusu, hukuk danışmanı ve yönetici sponsoru içermelidir.
• Araç ve Altyapı Hazırlığı: SIEM, EDR/XDR, SOAR, forensic araçları, güvenli iletişim kanalları, izole analiz ortamı (sandbox) ve yedekleme/geri yükleme mekanizmaları yapılandırılmalıdır.
• İletişim Planı: İç paydaşlar (BT, yönetim, hukuk), dış paydaşlar (müşteriler, regülatörler, siber sigorta, kolluk kuvvetleri) ve medya için ayrı iletişim prosedürleri hazırlanmalıdır.
• Eğitim ve Tatbikatlar: CSIRT üyelerine düzenli teknik eğitim verilmeli, masa başı egzersizleri (tabletop exercises) ve canlı simülasyonlar yılda en az iki kez gerçekleştirilmelidir.
• Zafiyet Yönetimi Entegrasyonu: Proaktif zafiyet yönetimi, saldırı yüzeyini daraltarak olay olasılığını azaltır. SİTEY platformu, en kritik zafiyetlerin önceliklendirilmesinde IR ekiplerine yol gösterir.

Hazırlık aşamasının olgunluğu, organizasyonun bir olay karşısındaki başarısını doğrudan belirler. Olgunluk seviyenizi ölçmek için CMM (Capability Maturity Model) gibi çerçevelerden yararlanabilir ve düzenli öz değerlendirmeler yapabilirsiniz.

2 – Tespit ve Analiz

Tespit ve analiz aşaması, güvenlik olaylarının hızlı ve doğru biçimde belirlenmesini sağlar. Bu aşamada temel hedef, "gürültü" içinden gerçek tehditleri ayırt etmektir - çünkü bir SOC ekibi günde binlerce uyarı alabilir ve bunların büyük çoğunluğu yanlış pozitiftir.

Tespit Kaynakları

• SIEM (Security Information and Event Management): Log korelasyonu ve anomali tespiti. Tüm güvenlik cihazları, sunucular ve uygulamalardan toplanan loglar merkezi olarak analiz edilir.
• EDR/XDR (Endpoint/Extended Detection and Response): Uç nokta davranış analitiği, proses ağacı izleme, dosya bütünlüğü kontrolü ve otomatik yanıt.
• IDS/IPS (Intrusion Detection/Prevention System): Ağ trafiği üzerinde imza tabanlı ve anomali tabanlı saldırı tespiti.
• Tehdit İstihbaratı Feed'leri: IoC (Indicator of Compromise) eşleştirmesi - bilinen kötü amaçlı IP adresleri, domain'ler, dosya hash'leri ve YARA kuralları.
• Kullanıcı Raporları: Son kullanıcılardan gelen şüpheli aktivite bildirimleri (phishing e-postası, olağandışı hesap davranışı vb.).

Analiz Süreci

Bir uyarı doğrulandığında, sınıflandırma ve önceliklendirme yapılır. NIST; olayları fonksiyonel etkiye (bilgi etkisi, hizmet etkisi) ve kurtarılabilirliğe (regular, supplemented, extended, not recoverable) göre sınıflandırmayı önerir. Her olay için:

1. Olayın kapsamı belirlenir - hangi sistemler, kullanıcılar ve veriler etkilenmiştir?
2. Saldırgan TTP'leri (MITRE ATT&CK matrisi) eşleştirilir.
3. IoC'ler toplanır ve dokümante edilir - IP'ler, hash'ler, domain'ler, komut-kontrol (C2) trafiği.
4. Kanıt bütünlüğü korunur - forensic imajlar alınır, zaman damgaları korunur, delil zinciri (chain of custody) başlatılır.

SİTEY platformu bu aşamada, etkilenen sistemlerdeki bilinen zafiyetleri anlık olarak raporlayarak analistlerin "saldırgan bu zafiyet üzerinden mi girdi?" sorusuna hızlı yanıt bulmasını sağlar.

3 – Sınırlandırma ve Yalıtma

Sınırlandırma (containment), olayın kontrol altına alınarak daha fazla sisteme yayılmasının engellenmesi aşamasıdır. Bu aşama, hız ile doğruluk arasında kritik bir denge gerektirir; çok erken müdahale saldırganı uyarabilir, çok geç müdahale ise hasarı artırır.

Kısa Vadeli Sınırlandırma

• Ele geçirilmiş sistemlerin ağdan izolasyonu (VLAN değişikliği, firewall kuralı, EDR ağ yalıtımı)
• Kompromize olmuş hesapların devre dışı bırakılması veya parola sıfırlama
• C2 (Command & Control) iletişiminin DNS/firewall seviyesinde engellenmesi
• VPN veya uzak erişim kanallarının geçici olarak kapatılması

Uzun Vadeli Sınırlandırma

• Etkilenen sistemlerin temiz kopyalarla değiştirilirken forensic imajlarının alınması
• Ağ segmentasyonunun güçlendirilmesi - mikro-segmentasyon kurallarının uygulanması
• Yanal hareket için kullanılan yolların (örneğin SMB, WMI, PsExec) sıkılaştırılması
• Kritik varlıkların izleme seviyesinin artırılması

Sınırlandırma stratejisi, olay türüne göre önceden planlanmış olmalıdır. Ransomware olayı, veri sızdırma olayı veya DDoS saldırısı için farklı sınırlandırma playbook'ları hazırlamak, tepki süresini kısaltır ve tutarlılığı artırır. IR otomasyonu (SOAR) bu aşamada, tekrarlayan görevleri saniyeler içinde yürüterek analistlerin stratejik kararlara odaklanmasını sağlar.

4 – Temizleme ve Kurtarma

Temizleme (Eradication), saldırganın erişim mekanizmalarının ve bıraktığı tüm izlerin sistemlerden kaldırılması sürecidir. Kurtarma (Recovery) ise temizlenen sistemlerin güvenli bir şekilde üretim ortamına geri alınmasıdır.

Temizleme Faaliyetleri

• Zararlı yazılımın tüm bileşenlerinin (dropper, payload, persistence mekanizması) kaldırılması
• Saldırgan tarafından oluşturulan hesapların, scheduled task'ların ve registry key'lerinin temizlenmesi
• Backdoor ve web shell'lerin tespiti ve kaldırılması
• İstismar edilen zafiyetin yamalanması - bu noktada zafiyet yönetimi platformu kritik önem taşır
• Tüm kompromize olmuş kimlik bilgilerinin sıfırlanması (domain-wide parola sıfırlama gerekebilir)

Kurtarma Faaliyetleri

• Temiz yedeklerden veya golden image'lerden sistem geri yükleme
• Kurtarılan sistemlerin güvenlik kontrollerinin doğrulanması
• Aşamalı devreye alma - önce kritik olmayan sistemler, ardından üretim sistemleri
• Artırılmış izleme süresi - saldırganın geri dönüş girişimlerini tespit etmek için en az 30 gün yoğun izleme

Kurtarma aşamasında en sık yapılan hata, saldırganın tüm erişim noktalarını temizlemeden sistemleri geri devreye almaktır. Bu durum, saldırganın saat veya gün içinde yeniden erişim sağlamasına yol açar. Kapsamlı bir forensic analiz ve threat hunting çalışması, temizlemenin eksiksiz olduğunu doğrulamalıdır.

5 – Çıkarılan Dersler

Çıkarılan dersler (Lessons Learned) aşaması, birçok organizasyon tarafından atlanan ancak IR programının sürekli iyileştirilmesi için en kritik aşamadır. Olayın kapanmasından sonraki iki hafta içinde tüm paydaşların katılımıyla post-mortem toplantısı düzenlenmelidir.

Post-mortem toplantısında yanıtlanması gereken temel sorular:

1. Olay nasıl ve ne zaman tespit edildi? Tespit süresini kısaltmak için ne yapılabilir?
2. Kök neden neydi? Bu kök neden daha önce tespit edilip giderilebilir miydi?
3. Sınırlandırma ve kurtarma sürecinde hangi gecikmeler yaşandı? Bunlar nasıl azaltılabilir?
4. İletişim planı etkili çalıştı mı? İç ve dış paydaşlarla iletişimde aksaklık yaşandı mı?
5. IR planında, araçlarda veya prosedürlerde hangi eksiklikler tespit edildi?
6. Hangi ek güvenlik kontrolleri veya araçlar, olayın önlenmesini veya etkisinin azaltılmasını sağlayabilirdi?

Toplantı çıktıları, somut aksiyonlara dönüştürülmeli ve sorumlu kişiler ile tamamlanma tarihleri atanmalıdır. Bu aksiyonlar arasında zafiyet yönetimi sürecinin güncellenmesi, yeni SIEM korelasyon kurallarının eklenmesi, eğitim içeriklerinin yenilenmesi veya ağ segmentasyonunun güçlendirilmesi yer alabilir. Her olay, organizasyonun güvenlik duruşunu iyileştirmek için bir öğrenme fırsatıdır.

CSIRT Ekip Yapısı ve Roller

CSIRT (Computer Security Incident Response Team), olay müdahalesinin operasyonel kalbidir. Etkili bir CSIRT, teknik becerilerin yanı sıra iletişim, koordinasyon ve karar alma yetkinliklerini de bünyesinde barındırmalıdır.

• IR Yöneticisi (Incident Commander): Olayın tüm aşamalarını koordine eder, eskalasyon kararlarını verir, dış paydaşlarla üst düzey iletişimi yönetir. Teknik ve yönetimsel yetkinliklere sahip olmalıdır.
• SOC Analistleri (Tier 1-3): Uyarıları izler, ilk triajı yapar (Tier 1), derinlemesine analiz gerçekleştirir (Tier 2) ve gelişmiş tehdit avcılığı (threat hunting) yürütür (Tier 3).
• Dijital Forensic Uzmanı: Kanıt toplama, disk/memory forensic, zaman çizelgesi oluşturma ve delil bütünlüğü koruma. Hukuki süreçlerde kullanılabilecek kalitede forensic rapor üretir.
• Zararlı Yazılım Analisti: Malware reverse engineering, statik/dinamik analiz, IoC çıkarımı ve YARA kuralı yazımı.
• Ağ Güvenlik Uzmanı: Ağ trafiği analizi, PCAP incelemesi, firewall/IDS kural optimizasyonu ve ağ forensic çalışmaları.
• İletişim Sorumlusu: İç ve dış iletişimi yönetir, düzenleyici bildirimleri koordine eder, basın açıklamalarını hazırlar.
• Hukuk Danışmanı: Yasal yükümlülükler, kanıt koruma, kolluk kuvvetleri ile koordinasyon ve siber sigorta süreçleri.

Küçük ve orta ölçekli organizasyonlarda bu rollerin tamamı ayrı kişilere atanamayabilir. Bu durumda, hibrit model (iç ekip + dış MSSP/MDR hizmeti) en uygun çözümdür. Kritik IR fonksiyonları retainer anlaşmalarıyla dışarıdan temin edilebilir.

IR Araçları ve Teknolojileri

Etkili olay müdahalesi, doğru araç setine sahip olmakla başlar. Araçlar, IR yaşam döngüsünün farklı aşamalarında kritik işlevler üstlenir:

• SIEM Platformları: Splunk, Microsoft Sentinel, Elastic SIEM, IBM QRadar - merkezi log toplama, korelasyon ve uyarı üretimi.
• EDR/XDR: CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne - uç nokta görünürlüğü, davranış analitiği ve otomatik yanıt.
• SOAR (Security Orchestration, Automation and Response): Palo Alto XSOAR, Splunk SOAR, Swimlane - playbook otomasyonu, araç entegrasyonu ve case management.
• Forensic Araçları: Volatility (memory forensic), Autopsy/EnCase (disk forensic), Wireshark (ağ analizi), KAPE (artifact toplama).
• Threat Intelligence Platformları: MISP, OpenCTI, Anomali - IoC yönetimi, TTP eşleştirmesi ve istihbarat paylaşımı.
• Zafiyet Yönetimi: SİTEY - istismar edilebilir zafiyetlerin önceliklendirilmesi, varlık-zafiyet eşleştirmesi ve IR bağlam bilgisi sağlama.

Araçların entegrasyonu, silolarda çalışan çözümlerden çok daha fazla değer üretir. API tabanlı entegrasyonlar, SIEM uyarısından SOAR playbook tetiklemesine, oradan EDR izolasyonuna ve SİTEY zafiyet bağlam sorgusuna kadar uçtan uca otomatize bir iş akışı oluşturur. Bu otomasyon, ortalama tepki süresini (MTTR) saatlerden dakikalara indirir.

Zafiyet Yönetimi ile IR İlişkisi

Zafiyet yönetimi ve olay müdahalesi, siber güvenlik programının birbirini tamamlayan iki kritik bileşenidir. Zafiyet yönetimi proaktif savunmayı temsil ederken, olay müdahalesi reaktif yanıt kapasitesini oluşturur. Bu iki disiplinin entegrasyonu, güvenlik duruşunu katlanarak güçlendirir.

• Önleme: Etkili zafiyet yönetimi, bilinen zafiyetlerin zamanında kapatılmasını sağlayarak olayların oluşma olasılığını kökten azaltır. Saldırıların büyük çoğunluğu bilinen ve yamalanmamış zafiyetleri istismar eder.
• Bağlam sağlama: Bir olay meydana geldiğinde, IR ekibinin ilk sorularından biri "saldırgan hangi zafiyetten yararlandı?" olur. Zafiyet yönetimi platformu, etkilenen varlıklardaki açık zafiyetleri anlık olarak raporlayarak root cause analizini hızlandırır.
• Önceliklendirme: Olay sonrası kurtarma aşamasında, yamalanması gereken zafiyetlerin doğru sırayla ele alınması kritiktir. SİTEY'in EPSS ve CVSS tabanlı önceliklendirmesi, en riskli zafiyetlerin önce kapatılmasını sağlar.
• Geri besleme döngüsü: Her olay, zafiyet yönetimi politikalarının güncellenmesi için girdi sağlar. Örneğin, bir olay belirli bir yazılım kategorisindeki zafiyetlerin istismar edilmesiyle başlamışsa, bu kategoriye yönelik yama SLA'ları sıkılaştırılabilir.

SİTEY platformu, SIEM ve SOAR araçlarıyla API tabanlı entegrasyon sunarak IR playbook'larına zafiyet bağlam bilgisini otomatik olarak enjekte eder. Bu entegrasyon, analistlerin olay sırasında farklı konsollar arasında geçiş yapma ihtiyacını ortadan kaldırır.

SİTEY ile Entegrasyon

SİTEY'in AI destekli zafiyet yönetimi platformu, olay müdahalesi süreçlerinize doğrudan değer katan çeşitli entegrasyon noktaları sunar:

• SIEM Entegrasyonu: SİTEY, zafiyet bulgularını SIEM'inize otomatik olarak besler. Bir güvenlik olayı gerçekleştiğinde, etkilenen varlıktaki açık zafiyet bilgisi olay kaydına otomatik eklenir.
• SOAR Playbook Entegrasyonu: IR otomasyonu kapsamında, SİTEY API'si SOAR playbook'larına entegre edilir. Belirli bir CVE istismarı tespit edildiğinde, SİTEY otomatik olarak bu CVE'den etkilenen tüm varlıkların listesini döner.
• Anlık Zafiyet Sorgusu: IR ekipleri, bir IP adresi veya hostname üzerinden anlık zafiyet sorgusu yaparak ilgili varlıktaki güncel risk profilini görüntüleyebilir.
• Post-Incident Raporu: Olay sonrasında, istismar edilen zafiyetin hangi tarihte tespit edildiği, neden yamalanmadığı ve benzer zafiyetlerin diğer varlıklardaki durumu otomatik olarak raporlanır.
• Tehdit İstihbaratı Zenginleştirme: SİTEY'in CTI feed'i, aktif olarak istismar edilen CVE'ler ve saldırı kampanya bilgilerini IR ekibine sunar.

Bu entegrasyon, ortalama kök neden analizi süresini %60'a kadar kısaltırken, tekrarlayan olayların önlenmesinde de doğrudan katkı sağlar.

Hukuki Yükümlülükler

Bir siber güvenlik olayı sonrasında, organizasyonların yerine getirmesi gereken çeşitli hukuki yükümlülükler bulunmaktadır:

• KVKK (Kişisel Verilerin Korunması Kanunu): Kişisel veri ihlallerinin en kısa sürede (uygulamada 72 saat) Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirilmesi zorunludur. Bildirimin içeriği, ihlalin niteliği, etkilenen veri kategorileri, muhtemel sonuçları ve alınan tedbirleri kapsamalıdır.
• GDPR: AB vatandaşlarının verileri etkilenmişse, 72 saat içinde ilgili Veri Koruma Otoritesine (DPA) bildirim yapılmalıdır. Yüksek riskli ihlallerde bireysel bildirim de zorunludur.
• BDDK/SPK Düzenlemeleri: Finans sektöründeki organizasyonlar, siber güvenlik olaylarını düzenleyici kuruma belirli süre içinde raporlamalıdır.
• Delil Koruma: Forensic kanıtların hukuki süreçlerde kullanılabilmesi için delil zincirinin (chain of custody) dikkatle korunması gerekir. Yetkisiz müdahale, kanıtları geçersiz kılabilir.
• Siber Sigorta: Poliçe koşullarına uygun bildirim süreleri ve müdahale prosedürleri yerine getirilmezse, tazminat talebi reddedilebilir.

Hukuki yükümlülüklerin zamanında yerine getirilmemesi, olayın teknik maliyetinin çok üzerinde idari para cezalarına ve itibar kaybına yol açabilir. IR planınızda hukuk danışmanının rolü ve bildirim prosedürleri açıkça tanımlanmış olmalıdır.

Sık Yapılan Hatalar

Olay müdahalesinde sıklıkla karşılaşılan hatalar ve bunlardan kaçınma yolları:

• Plansız müdahale: Önceden hazırlanmış IR planı olmadan reaktif hareket etmek, koordinasyonsuzluğa ve kritik adımların atlanmasına yol açar. Çözüm: Yazılı IR planı ve düzenli tatbikatlar.
• Kanıt bütünlüğünü bozmak: Etkilenen sistemlerde acil müdahale sırasında forensic imaj almadan değişiklik yapmak, değerli kanıtların kaybına neden olur. Çözüm: "Önce imaj, sonra müdahale" prensibi.
• Yetersiz sınırlandırma: Saldırganın tüm erişim noktalarını kapatmadan kurtarma işlemine geçmek, saldırganın geri dönmesine imkân tanır. Çözüm: Kapsamlı threat hunting ve forensic analiz.
• İletişim eksikliği: İç ve dış paydaşlara zamanında ve doğru bilgi aktarılmaması, güven kaybına ve hukuki sorunlara yol açar. Çözüm: Önceden hazırlanmış iletişim şablonları ve sorumluluk matrisi.
• Post-mortem atlama: Olayın kapanmasının ardından çıkarılan dersler aşamasını atlayarak aynı hataların tekrarlanmasına zemin hazırlamak. Çözüm: Zorunlu post-mortem toplantısı ve aksiyon takibi.
• Zafiyet yönetimini ihmal etmek: Olayda istismar edilen zafiyetin diğer sistemlerdeki varlığını kontrol etmemek. Çözüm: SİTEY ile tüm varlıklarda aynı CVE'nin taranması ve acil yama uygulanması.

Sıkça Sorulan Sorular (SSS)

İlgili Yazılar

• Ransomware Saldırıları ve Korunma Stratejileri - Fidye yazılımı müdahale ve önleme rehberi.
• Tehdit İstihbaratı (Threat Intelligence) Rehberi - IR süreçlerinde istihbarat kullanımı.
• SIEM ve Log Korelasyonu - Tespit ve analiz aşamasında SIEM'in rolü.