Olay Müdahalesi ve Dijital Adli Analiz (DFIR)

Dijital adli analiz ve olay müdahalesi (DFIR), bir siber olayı teknik olarak ele alıp kanıta dayalı biçimde çözmektir. İyi bir müdahale, paniğe değil sürece dayanır. Yaygın çerçeveler (örneğin NIST 800-61 ya da SANS PICERL) benzer aşamaları tanımlar: Hazırlık → Tespit ve Analiz → Sınırlama → Temizleme → Kurtarma → Ders Çıkarma.

Önceliklendirme (triage)

İlk hedef, paniğe kapılmadan kapsamı anlamaktır: Hangi sistemler etkilendi? Saldırı hangi aşamada (initial access mı, yoksa exfiltration mı)? Yanlış bir hamle (örneğin sistemi aceleyle kapatmak) uçucu kanıtı yok edebilir. Önce gözlemle, sonra harekete geç.

Uçuculuk sırasına göre kanıt toplama

Kanıtlar, kaybolma hızlarına göre (order of volatility) toplanmalıdır, en uçucudan en kalıcıya:

1. Bellek (RAM): Çalışan süreçler, ağ bağlantıları, şifre çözülmüş veriler, dosyasız zararlılar yalnızca burada görünebilir.
2. Ağ durumu: Aktif bağlantılar, ARP/DNS önbelleği.
3. Disk: Dosya sistemi, kayıtlar, artefaktlar.
4. Loglar ve yedekler: Daha kalıcı kaynaklar.

Her adımda kanıt bütünlüğü korunmalıdır: imaj alın, hash ile bütünlüğü doğrulayın ve delil zinciri (chain of custody) kaydını tutun. Mümkünse canlı sistemde değil, kopya üzerinde çalışın.

Analiz: ne oldu, nasıl oldu?

• Bellek analizi: Volatility gibi araçlarla şüpheli süreçleri, enjeksiyonu ve C2↗ bağlantılarını arayın.
• Disk/artefakt analizi: Çalıştırma kanıtları (prefetch, shimcache), kalıcılık mekanizmaları (servisler, zamanlanmış görevler, çalıştırma anahtarları).
• Zaman çizelgesi (timeline): Olayları kronolojik birleştirerek saldırının hikâyesini kurun; “hasta sıfır”ı ve yanal hareketi belirleyin.

Sınırlama, temizleme ve kurtarma

Kök nedeni ve kapsamı anlamadan temizlemeye geçmeyin; aksi hâlde saldırganın arka kapısını kaçırır ve yeniden girmesine izin verirsiniz. Etkilenen varlıkları izole edin, kalıcılığı kaldırın, kimlik bilgilerini sıfırlayın (saldırgan büyük olasılıkla ele geçirdi) ve sistemleri doğrulanmış temiz bir duruma getirin.

Rehber 2 dk okuma

Kurumsal Olay Yönetimi ve Siber Dayanıklılık

Soru “saldırıya uğrar mıyız” değil, “ne zaman ve ne kadar hazırız”. Olgun bir olay müdahale yeteneği ve tatbikatlarla kurumsal dayanıklılık.

Raporlama ve ders çıkarma

Her olay, savunmayı güçlendiren bir geri bildirim döngüsüdür. Kök neden analizini, zaman çizelgesini ve alınan dersleri raporlayın; tespit boşluklarını kapatın. Kamu ve kritik altyapı kuruluşlarında bu süreç, ulusal bildirim yükümlülükleriyle (Kurumsal SOME) de bütünleşir.

Rehber 2 dk okuma

Kurumsal SOME ve Sektörel SOME: Siber Olaylara Müdahale Yapısı

Türkiye’de siber olaylara müdahale üç katmanlı bir yapıyla yürütülür: ulusal düzeyde USOM, sektör düzeyinde Sektörel SOME ve kurum düzeyinde Kurumsal SOME. Büyük kuruluşların bu yapıdaki yeri ve sorumlulukları.