Olay müdahale (incident response)

Olay müdahale nedir?

Olay müdahale (incident response), bir güvenlik olayının (ele geçirilmiş sunucu, fidye yazılımı, veri sızıntısı, hizmet engelleme) fark edilmesinden normale dönüşe kadar uygulanan planlı ve rollere bölünmüş süreçtir. Amaç zararı sınırlamak, hizmeti geri getirmek ve tekrarını önlemektir.

Olay anında panikle karar vermek hem hata hem delil kaybı yaratır. Önceden yazılmış bir plan, kimin ne yapacağını netleştirir.

Nasıl çalışır?

Yaygın çerçeveler süreci şu aşamalara böler:

• Hazırlık: plan, iletişim listesi, araçlar, günlükler, yedekler
• Tespit ve analiz: olayın gerçek olduğunu doğrulama, kapsamı ve önemini belirleme
• Sınırlama: yayılmayı durdurma, etkilenen sistemi ayırma
• Ortadan kaldırma: zararlıyı, açığı ve kalıcılık mekanizmalarını temizleme
• Kurtarma: temiz yedekten geri dönüş, izlemeyi artırma
• Olay sonrası inceleme: neyin yanlış gittiğini ve ne öğrenildiğini yazma

Sınırlama aşamasında hız önemlidir ama delili silmemek de önemlidir; bellek ve disk görüntüsü alınması gerekebilir.

Sunucu ve hosting ortamında

Bir web sunucusunda şüpheli webshell bulunduğunda tipik adımlar: sunucuyu ağdan ayırmak ya da trafiği kısıtlamak, günlükleri ve dosya zaman damgalarını korumak, giriş noktasını bulmak, kimlik bilgilerini (panel, FTP, SSH, veritabanı) yenilemek, temiz yedekten geri dönmek. Hosting sağlayıcınızla iletişim kanalını önceden bilmek zaman kazandırır.

Kişisel veri ihlali söz konusuysa mevzuattaki bildirim yükümlülükleri için hukuk danışmanından destek alınmalıdır.

Nasıl uygulanır?

• Yazılı bir olay müdahale planı hazırlayın: roller, önem seviyeleri, iletişim kanalları.
• Merkezi günlük ve izleme kurun; olayı fark edemezseniz müdahale edemezsiniz.
• Düzenli ve test edilmiş, ayrı tutulan yedekler bulundurun.
• Yılda en az bir kez masa başı tatbikat yapın.
• Olay sırasında yapılan her adımı zaman damgasıyla not edin.
• Olaydan sonra köken analizi yapıp eylem maddelerini kapatın.

Sık yapılan hatalar

• Sunucuyu hemen yeniden başlatıp bellekteki kanıtı yok etmek.
• Yalnızca belirtiyi temizleyip giriş yolunu kapatmamak.
• Parolaları değiştirmeyi unutmak ya da ele geçirilmiş makineden değiştirmek.
• Olay sonrası incelemeyi atlamak.