İlk 24 saat neden bu kadar kritiktir?
Bir siber olayın gerçek etkisi yalnızca saldırının türüne bağlı değildir. Olay sonrasındaki ilk refleksler, hem zararın büyüklüğünü hem de sonradan yapılacak teknik incelemenin kalitesini belirler. Bazı kurumlar saldırının kendisinden çok, olay sonrasında yapılan plansız müdahaleler yüzünden daha büyük kayıp yaşar.
Sistemi hemen kapatmak, log toplamadan temizlik yapmak, şüpheli cihazı normal kullanıcı gibi kullanmak ya da hiçbir kayıt koruma planı olmadan acele karar vermek teknik görünürlüğü azaltabilir. Bu yüzden ilk 24 saat, yalnızca kriz anı değil; teknik gerçeğin korunabildiği zaman penceresidir.
İlk amaç ne olmalıdır?
Bir siber olay sonrası ilk amaç fail bulmak değildir. İlk amaç durumu stabilize etmek, etkinin yayılmasını sınırlandırmak ve olayın izlerini korumaktır. Bu aşamada kurumun dört hedefi birlikte düşünmesi gerekir:
- etkiyi sınırlandırmak
- kritik sistemleri korumak
- teknik kayıtları muhafaza etmek
- olayın kapsamını anlamaya yetecek görünürlüğü sağlamak
Bu hedefler arasında denge kurulmadığında ya gereğinden yavaş kalınır ya da aşırı agresif müdahaleyle delil değeri taşıyan veriler bozulur.
Kurumların en sık yaptığı ilk hatalar
Olay anında en sık görülen hata paniktir. Şüpheli bir davranış fark edilir edilmez bazı kurumlar bütün cihazları kapatır, bazıları ağ bağlantısını plansız keser, bazıları kullanıcı hesaplarını topluca sıfırlar. Oysa her olay için tek tip refleks doğru değildir.
Yaygın hatalar
- log toplamadan sistemi güncellemek
- olayla ilişkili cihazları normal şekilde kullanmak
- yalnızca görünür semptoma odaklanmak
- saldırının nasıl başladığını anlamadan temizlik yapmak
- olayın ciddiyetini küçümsemek
- ya da tam tersine gereksiz ölçekte büyütmek
Örneğin bazı olaylarda sistemi kapatmak bellek artefaktlarını kaybettirebilir. Bazılarında ise sistem açık kaldıkça zarar büyür. Bu nedenle doğru karar, olay türüne göre verilmelidir.
İlk teknik sınıflandırma neden önemlidir?
Sağlıklı müdahale için önce olayın yaklaşık türü belirlenmelidir. Bu kusursuz olmak zorunda değildir; fakat yön verici olmalıdır.
Olası sınıflandırmalar
- yetkisiz erişim
- hesap ele geçirilmesi
- veri sızıntısı şüphesi
- fidye yazılımı
- içeriden kötüye kullanım
- uygulama istismarı
- hizmet kesintisi
- şüpheli dosya çalışması
Bu ayrım önemlidir, çünkü ilk bakılacak veri kaynakları buna göre değişir. Hesap ele geçirilmesinde oturum logları ve MFA kayıtları öne çıkarken, fidye yazılımında uç nokta davranışı ve ağ yayılımı daha kritik olur.
Hangi kayıtlar öncelikle korunmalıdır?
İlk saatlerde en önemli meselelerden biri kayıtların kaybedilmemesidir. Çünkü birçok sistem logu sınırlı süre tutulur ve yoğun olay anlarında kritik kayıtlar hızla dönebilir.
Öncelikli veri kaynakları
- kimlik doğrulama ve oturum logları
- ağ ve güvenlik cihazı kayıtları
- uç nokta uyarıları
- sunucu ve uygulama logları
- e-posta erişim ve kural logları
- bulut olay kayıtları
- dosya hareketleri ve export izleri
- gerekiyorsa bellek ve çalışan süreç bilgileri
Burada amaç yalnızca veri almak değildir. Hangi kaynağın hangi zaman aralığında korunduğu ve bunu kimin yaptığı da kayıt altına alınmalıdır.
Organizasyonel dağınıklık neden teknik süreci bozar?
Birçok siber olayda sorun yalnızca teknik değildir. Yönetim hızlı yanıt ister, operasyon hizmet sürekliliğini korumaya çalışır, teknik ekip veri korumak ister, hukuk birimi farklı kaygılar taşır. Eğer rol dağılımı net değilse, herkes aynı anda bir şey yapar ama doğru akış kurulamaz.
Bu nedenle ilk saatlerde şu sorular net olmalıdır:
- kim karar verecek?
- kim teknik veriyi toplayacak?
- kim yönetimi bilgilendirecek?
- kim dış paydaşlarla konuşacak?
- kim olay zaman çizelgesini tutacak?
Bu netlik, müdahaleyi olduğu kadar sonradan yapılacak teknik raporlamayı da güçlendirir.
İlk 24 saatin sonunda kurumun elinde ne olmalıdır?
İlk gün sonunda kusursuz soruşturma dosyası beklenmez. Ancak aşağıdaki asgari yapı oluşmuş olmalıdır:
- olayın ilk fark edildiği zaman
- ilk belirtilerin ne olduğu
- hangi sistemlerin etkilenmiş olabileceği
- hangi hesapların veya kullanıcıların ön plana çıktığı
- hangi kayıtların korunduğu
- hangi müdahalelerin yapıldığı
- yaklaşık olay zaman çizelgesi
Bu yapı, daha sonra derinleşecek inceleme için temel zemin oluşturur. Özellikle veri ihlali şüphesi gibi olaylarda bu erken dönem notları son derece değerlidir.
Sık sorulan sorular
Siber olay sonrası ilk yapılması gereken nedir?
Panik üretmeden durumu sınıflandırmak, etkiyi sınırlandırmak ve kayıtları korumaktır.
Sistem hemen kapatılmalı mı?
Her zaman değil. Olayın türüne göre karar verilmelidir.
İlk saatlerde en büyük hata nedir?
Plansız temizlik ve kayıt koruma disiplininin ihmal edilmesidir.
Siber olay sonrası ilk 24 saat, yalnızca kriz yönetimi değil; teknik gerçeğin korunması sürecidir. Bu sürede verilen kararlar hem zararın yönünü hem de sonradan ne kadar sağlıklı sonuca ulaşılabileceğini belirler. İyi müdahale, en hızlı bağıran müdahale değil; kontrollü, kayıt odaklı ve amaçlı müdahaledir.