- Olay kaydını ve rol dağılımını başlatma
- İzolasyon kararını iş etkisiyle dengeleme
- Güvenli iletişim ve ilk kapsam analizini yürütme
CN-A05 · OLAY MüDAHALE
Olay Müdahalede İlk Saat
Şüpheli bir güvenlik olayında koordinasyon, kanıt koruma, kapsam belirleme ve güvenli iletişim kararlarını planlayın.
İleri seviye60 dakika tahmini süre5 uygulamalı ders
KURSA BAŞLAMADAN ÖNCE
Bu eğitimde ne kazanacaksınız?
İlk saatte paniği azaltan, kanıtı koruyan ve iş etkisini yöneten bir müdahale akışı kurmak.
- Temel sistem ve hesap yönetimi bilgisi
- Kurumun kritik hizmetlerini genel olarak bilmek
EĞİTİM İÇERİĞİ
Bilgiyi doğrudan uygulamaya dönüştürün.
Her derste konuyu okuyun, kontrol listesini inceleyin ve küçük uygulamayı tamamlayın.
DERS 1 / 5
Hazırlık ilk saatten önce başlar
İletişim, rol ve erişimlerin olaydan önce tanımlanmasının önemini görün.
NIST SP 800-61 Rev. 3 olay müdahaleyi daha geniş siber risk yönetiminin parçası olarak ele alır. İletişim listesi, karar yetkisi, alternatif kanal, kayıt erişimi ve dış destek bilgileri olaydan önce hazırlanmalıdır. Plan yoksa ilk saat teknik analizden çok kişi ve erişim aramakla geçer.
Bu dersten aklınızda kalsın
- Olay koordinatörü önceden belirlenmelidir
- Alternatif iletişim kanalı hazır olmalıdır
- Kritik kayıtların nerede olduğu bilinmelidir
UYGULAMA
Kurumunuz için olay koordinatörü, teknik lider ve yönetim karar sahibini yazın.
DERS 2 / 5
Olay kaydı ve ilk doğrulama
Belirtiyi kaybetmeden olayın gerçekliğini ve zaman çizgisini oluşturun.
Fark edilme zamanı, ilk belirti, etkilenen kullanıcı veya sistem, gözlemlenen mesajlar ve atılan adımlar zaman bilgisiyle kaydedilmelidir. Rastgele dosya silmek, sistemi yeniden kurmak veya günlükleri temizlemek kanıtı yok edebilir. İlk hedef kesin kök neden değil, güvenilir bir başlangıç kaydıdır.
Bu dersten aklınızda kalsın
- Saat dilimi kayda eklenmelidir
- Gözlem ve yorum ayrı yazılmalıdır
- Her müdahale adımı kayıt altına alınmalıdır
UYGULAMA
Örnek bir olay için beş satırlık zaman çizelgesi şablonu hazırlayın.
DERS 3 / 5
Kapsam ve önem derecesi
Tek bir alarmı iş etkisi ve yayılım ihtimaliyle değerlendirin.
Etkilenen hesap, cihaz, uygulama, veri ve dış bağlantılar belirlenir. İnternete açık sistem, ayrıcalıklı hesap, müşteri verisi veya iş sürekliliği etkisi önceliği yükseltir. Alarmın yanlış pozitif olma ihtimali değerlendirilse de kanıt olmadan erken kapatma yapılmamalıdır.
Bu dersten aklınızda kalsın
- Ayrıcalıklı hesaplar yüksek önceliklidir
- Veri etkisi ayrıca değerlendirilmelidir
- Kapsam yeni kanıtla güncellenmelidir
UYGULAMA
Üç seviyeli önem tablosu oluşturun: düşük, yüksek ve kritik olay kriterleri.
DERS 4 / 5
Kontrollü sınırlama
Yayılımı durdururken kanıt ve iş sürekliliğini koruyun.
Şüpheli hesabın oturumlarını sonlandırmak, cihazı kontrollü ağ bölümüne almak veya zararlı alan adını engellemek sınırlama seçenekleridir. Her adımın operasyonel etkisi ve geri dönüşü düşünülmelidir. Sistemi kapatmak bazı durumlarda gerekli olabilir; bazı durumlarda ise uçucu kanıtı kaybettirir.
Bu dersten aklınızda kalsın
- Sınırlama kararı gerekçesiyle kaydedilmelidir
- Geri dönüş adımı bilinmelidir
- Kanıt bütünlüğü korunmalıdır
UYGULAMA
Bir kullanıcı hesabı ele geçirilmesi için ilk üç sınırlama adımını sıralayın.
DERS 5 / 5
İletişim, bildirim ve devir
Doğru kişilere, doğru ayrıntı düzeyinde güvenli bilgi aktarın.
Saldırganın erişmiş olabileceği e-posta kanalını koordinasyon için kullanmayın. Yönetim, hukuk, veri koruma ve dış hizmet sağlayıcılarının ne zaman devreye gireceği kurumun yükümlülüklerine göre belirlenmelidir. İlk saat sonunda bilinenler, bilinmeyenler, alınan kararlar, riskler ve sonraki sorumlu açıkça devredilir.
Bu dersten aklınızda kalsın
- Tek doğrulanmış durum özeti kullanılmalıdır
- Hassas ayrıntı ihtiyaç kadar paylaşılmalıdır
- Sonraki güncelleme zamanı belirlenmelidir
UYGULAMA
Bir ilk saat durum özeti yazın: ne oldu, etki, yapılanlar, bilinmeyenler ve sonraki adım.
KISA DEĞERLENDİRME
1 SORU · SINIRSIZ DENEMEŞüpheli olayın ilk saatinde kanıtı koruyan yaklaşım hangisidir?
BİRİNCİL KAYNAKLAR
İçeriğin dayandığı resmî rehberler
Bu içerik farkındalık ve beceri geliştirme amaçlıdır; resmî sertifika, akreditasyon, hukuk görüşü veya kuruma özel güvenlik danışmanlığı yerine geçmez.
CVE Önceliklendirme
CVSS skorunun ötesine geçerek aktif istismar, maruziyet, varlık kritikliği ve telafi edici kontrollerle yama sırası belirleyin.