01Sorun ve çözüm
Siber olay müdahale desteği hizmetinde olayın kapsamını belirliyor, yayılmayı durduruyor, delilleri bozmadan topluyor ve sistemlerinizi saldırganın erişimi temizlenmiş biçimde ayağa kaldırıyoruz. Teknik çalışmanın yanında yönetime, hukuk danışmanınıza ve gerekirse sigortacınıza verilecek bilgiyi de düzenli tutuyoruz. Olay kapandığında neyin, nereden ve nasıl yaşandığını gösteren bir rapor ve tekrarını önleyecek somut önlemler listesi teslim ediyoruz.
02Kimler için
Siber olay müdahale desteği hangi durumlarda gerekir
Kendi BT ekibiniz olsa bile, olay anında bağımsız ve deneyimli bir gözün katkısı belirleyici olabilir.
- Sunucularında ya da paylaşılan klasörlerinde dosyaları şifrelenmiş ve fidye notu bulmuş işletmeler
- Bir çalışanın e-posta hesabından müşterilere ya da tedarikçilere sahte fatura ve IBAN değişikliği gönderilmiş şirketler
- Web sitesine ya da e-ticaret altyapısına yetkisiz kod eklendiğinden şüphelenen site sahipleri
- Müşteri verilerinin satışa çıkarıldığı ya da internette yayımlandığı bildirilen kurumlar
- Olay anında kime ulaşacağını önceden belirlemek ve bunu bir hizmet anlaşmasına bağlamak isteyen işletmeler
03İhtiyaçlar
Olay anında en sık yapılan hatalar
İyi niyetli ama aceleyle atılan adımlar, sonradan neyin yaşandığını anlamayı imkânsız hâle getirebilir.
- 01
Delilin farkında olmadan silinmesi
Bilgisayarları yeniden kurmak, logları temizlemek ya da şüpheli dosyaları silmek ilk refleks olur. Oysa giriş noktasını ve sızan veriyi belirlemek için bu izlere ihtiyaç vardır.
- 02
Kalıcılığın gözden kaçması
Saldırgan çoğu zaman yeni bir yönetici hesabı, zamanlanmış görev ya da uzaktan erişim aracı bırakır. Bunlar temizlenmeden yapılan geri dönüş, olayın birkaç gün sonra tekrarlanmasıyla sonuçlanabilir.
- 03
Yedeğin sağlamlığının sınanmaması
Ağdaki yedekler de şifrelenmiş ya da silinmiş olabilir. Geri dönüşten önce hangi yedeğin temiz ve eksiksiz olduğu doğrulanmalıdır.
- 04
Dağınık iletişim
Kimin neye karar verdiği belirsizse ekipler birbirinin adımlarını bozar. Saldırganın izleyebileceği şirket e-postası yerine ayrı bir iletişim kanalının kullanılması da gerekir.
04Özellikler
Siber olay müdahale desteği hizmetinin aşamaları
Her olay farklıdır; ancak çalışma, kabul görmüş müdahale yaşam döngüsünü izler.
- 01
İlk değerlendirme ve sınırlama
Etkilenen sistemler ağdan ayrılır ama kapatılmaz, şüpheli hesapların oturumları sonlandırılır ve parolaları değiştirilir. Olayın türü ve yayılma ihtimali kısa sürede netleştirilir.
- 02
Delil toplama ve inceleme
Bellek ve disk görüntüleri, sistem ve güvenlik duvarı kayıtları, e-posta oturum geçmişi toplanır. Giriş noktası, saldırganın eriştiği sistemler ve olası veri çıkışı zaman çizelgesine dökülür.
- 03
Temizlik ve geri dönüş
Kalıcılık mekanizmaları kaldırılır, istismar edilen açık kapatılır ve sistemler doğrulanmış yedeklerden ya da temiz kurulumdan geri getirilir. Geri dönüş sonrası bir süre ek izleme yapılır.
- 04
Olay raporu ve önlem planı
Yönetim için kısa bir özet, teknik ekip için ayrıntılı bulgular ve önceliklendirilmiş önlem listesi hazırlanır. Kişisel veri etkilendiyse bildirim değerlendirmesine girdi olacak teknik bilgiler ayrıca derlenir.
05Entegrasyonlar
Müdahalede başvurulan kaynaklar ve sistemler
İnceleme, altyapınızda zaten var olan kayıtlarla başlar; eksikler geçici araçlarla tamamlanır.
- 01
E-posta ve kimlik platformları
Microsoft 365 ve Google Workspace denetim kayıtları, oturum açma geçmişi ve posta kutusu kuralları incelenir; yönlendirme kuralları ve yetkisiz uygulama izinleri kaldırılır.
- 02
Uç nokta koruma ve log altyapısı
Kullandığınız antivirüs ya da EDR ürününün kayıtları, merkezi log sisteminiz veya SIEM varsa zaman çizelgesinin ana kaynağı olur. Yoksa etkilenen sistemlere geçici toplama araçları kurulur.
- 03
Yedekleme sistemleri
Yedekleme yazılımınızın kayıtları ve depolama alanları, temiz geri dönüş noktasını bulmak için incelenir.
- 04
Web barındırma ve bulut hesapları
Hosting paneli, bulut sağlayıcının denetim kayıtları ve erişim anahtarları gözden geçirilir; şüpheli anahtarlar iptal edilir.
06Süreç
Çalışma süreci
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Delil bütünlüğü ve yasal süreçlere hazırlık
Toplanan her delil için kimin, ne zaman ve hangi yöntemle aldığı kaydedilir, görüntülerin özet değerleri hesaplanır. Böylece bulgular gerektiğinde savcılığa, sigorta şirketine ya da mahkemeye sunulabilecek biçimde korunur. Çalışma, NIST'in olay müdahale rehberinde tanımlanan hazırlık, tespit, sınırlama, temizlik ve geri dönüş aşamalarına dayanır.
Devamını okuDaha az göster
Kişisel veri ihlali söz konusuysa KVKK kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim gündeme gelir. Bildirimin yapılıp yapılmayacağı ve içeriği hukuki bir karardır; biz bu karar için gereken teknik bilgiyi, yani etkilenen veri türlerini, kişi kapsamını ve olayın zaman çizelgesini hazırlıyoruz. Fidye ödenmesi konusunda karar sizindir; teknik açıdan ödemenin verinin geri geleceğini ya da yayımlanmayacağını güvence altına almadığını açıkça belirtiyoruz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Bakım ve destek
Aylık sözleşmeli, SLA'lı bakım, destek ve geliştirme saati
Yayındaki bir sistemin sürekliliği için.
- Aylık sözleşme ve SLA
- İzleme, güncelleme ve hata düzeltme
- Aylık geliştirme saati
09Sık sorulan sorular
Siber olay müdahale desteği hakkında sık sorulan sorular
Bir olay şüphesi varsa ilk ne yapmalıyım?
Etkilenen bilgisayarı kapatmayın, ağ kablosunu çekin ya da Wi-Fi bağlantısını kesin. Şüpheli hesapların parolasını başka bir cihazdan değiştirin, ne zaman neyi fark ettiğinizi not edin ve hiçbir dosyayı silmeden destek isteyin.
Siber olay müdahale desteği fiyatları nasıl oluşur?
Etkilenen sistem sayısı, olayın türü, gereken adli inceleme derinliği, yerinde çalışma ihtiyacı ve geri dönüş sürecine ne kadar dahil olacağımız belirleyicidir. Önceden yapılan bir destek anlaşması, olay anında kapsam görüşmesine zaman kaybetmeden başlamayı sağlar.
Önceden bir anlaşma yapmak ne kazandırır?
Bakım ve destek modeliyle yapılan anlaşmada altyapınızı olay yaşanmadan tanırız, iletişim kişileri ve erişim yöntemleri belirlenmiş olur. Ulaşma kanalı ve müdahaleye başlama biçimi sözleşmede yazılıdır; olay anında kim olduğumuzu anlatmakla vakit geçmez.
Bir siber olay müdahale desteği firması olarak yerinde mi çalışıyorsunuz?
İnceleme ve sınırlamanın büyük kısmı uzaktan yürütülebilir. Fiziksel erişim gereken durumlarda, örneğin disk görüntüsü alınacaksa ya da ağ bağlantısı olmayan sistemler varsa, Türkiye genelinde yerinde çalışma planlanır.
Şifrelenmiş dosyalarımızı geri getirebilir misiniz?
Bu, kullanılan fidye yazılımına ve yedeklerinizin durumuna bağlıdır. Bazı eski türler için yayımlanmış çözücüler bulunur, ancak çoğu durumda yol temiz bir yedekten geri dönüştür. Ön incelemede gerçekçi seçenekleri açıkça paylaşırız.
Olaydan sonra tekrar yaşanmaması için ne yapılmalı?
Raporda giriş noktasına özgü önlemler önceliklendirilir: genellikle MFA'nın yaygınlaştırılması, internete açık servislerin kapatılması, yedeklerin ağdan yalıtılması ve kayıt altyapısının güçlendirilmesi öne çıkar. İsterseniz bu adımların uygulanmasında da destek veririz.
10İlgili hizmetler