Olay yanıtına genel bakış

Olay yanıtı, kuruluşunuzdaki etkin saldırı kampanyalarını araştırma ve düzeltme uygulamasıdır. Olay yanıtı, güvenlik operasyonları (SecOps) uzmanlık alanının bir parçasıdır ve temelde doğası gereği reaktiftir.

Olay yanıtı, güvenlik operasyonlarının kuruluş riskini ne kadar iyi azalttığını ölçen genel ortalama onay süresi (MTTA) ve ortalama düzeltme süresi (MTTR) üzerinde en büyük doğrudan etkiye sahiptir. Olay yanıtı ekipleri, gerçekten riski azaltmak için tehdit avcılığı, zeka ve olay yönetimi ekipleri (varsa) arasında iyi çalışan ilişkilere yoğun bir şekilde güvenir. Daha fazla bilgi için bkz . SecOps ölçümleri.

Güvenlik operasyonları rolleri ve sorumlulukları hakkında daha fazla bilgi için bkz . Bulut SOC işlevleri.

Olay yanıtı işlemi

İlk adım, siber güvenlik olaylarına yanıt vermek için hem iç hem de dış süreçleri kapsayan bir olay yanıt planına sahip olmaktır. Plan, kuruluşunuzun aşağıdakileri nasıl yapması gerektiğini ayrıntılı olarak göstermelidir:

• İş riskine ve olayın etkisine göre değişiklik gösteren ve artık yönetici düzeyinde kimlik bilgilerinin güvenliğinin aşılmasına neden olmayan yalıtılmış bir web sitesinden farklılık gösterebilen saldırıları ele alın.
• Hizmete dönüş veya saldırının yasal veya halkla ilişkiler açısından ele alma gibi yanıtın amacını tanımlayın.
• Olay ve görevleri üzerinde kaç kişinin çalışması gerektiği açısından yapılması gereken işin önceliğini belirleyin.

Olay yanıtı planınıza dahil etmeyi göz önünde bulundurmanız gereken etkinliklerin denetim listesi için olay yanıtı planlama makalesine bakın. Olay yanıtı planınız hazır olduktan sonra, kuruluşunuzun hızlı ve verimli bir şekilde yanıt vermesini sağlamak için en ciddi siber saldırı türleri için düzenli olarak test edin.

Her kuruluşun olay yanıt süreci, kuruluş yapısına ve yeteneklerine ve geçmiş deneyimine göre farklı olsa da, güvenlik olaylarına yanıt vermek için bu makaledeki öneriler ve en iyi yöntemler kümesini göz önünde bulundurun.

Bir olay sırasında şu durumlar kritik önem taşır:

• Sakin olun

  Olaylar son derece yıkıcıdır ve duygusal olarak ücretlendirilebilir. Sakin olun ve öncelikle en etkili eylemlerde çabalarınızın önceliğini belirlemeye odaklanın.

• Zarar verme

  Yanıtınızın veri kaybını, iş açısından kritik işlevlerin kaybını ve kanıt kaybını önleyen bir şekilde tasarlandığını ve yürütüldüğünü onaylayın. Adli zaman çizelgeleri oluşturma, kök nedeni belirleme ve kritik dersler öğrenme yeteneğinize zarar veren kararlardan kaçının.

• Hukuk departmanınızı dahil edin

  Araştırma ve kurtarma yordamlarınızı uygun şekilde planlamak için kolluk kuvvetlerini dahil etmeyi planlayıp planlamadıklarını belirleyin.

• Olayla ilgili bilgileri herkese açık olarak paylaşırken dikkatli olun

  Müşterilerinizle ve halkla paylaştığınız her şeyin hukuk departmanınızın tavsiyelerine dayandığını onaylayın.

• Gerektiğinde yardım alın

  Gelişmiş saldırganların saldırılarını araştırırken ve bu saldırılara yanıt verirken derin uzmanlık ve deneyime dokunun.

Tıbbi bir hastalığı tanılamak ve tedavi etmek gibi, büyük bir olay için siber güvenlik araştırması ve yanıtı, her ikisi de olan bir sistemi savunmayı gerektirir:

• Kritik öneme sahiptir (üzerinde çalışmak için kapatılamaz).
• Karmaşık (genellikle herhangi bir kişinin anlaması dışında).

Bir olay sırasında şu kritik dengeleri kullanmanız gerekir:

• Hız

  Hızlı kararlar alma riskiyle paydaşları memnun etmek için hızlı hareket etme gereksinimini dengeleyin.

• Bilgileri paylaşma

  Sorumluluğu sınırlamak ve gerçekçi olmayan beklentileri belirlemekten kaçınmak için hukuk departmanınızın tavsiyelerine dayanarak araştırmacıları, paydaşları ve müşterileri bilgilendirin.

Bu makale, kaçınılması gereken yaygın hataları belirleyerek ve hem riski azaltan hem de paydaş gereksinimlerini karşılayan hangi eylemleri hızla gerçekleştirebileceğiniz konusunda rehberlik sağlayarak bir siber güvenlik olayı riskini azaltmak için tasarlanmıştır.

Yanıt en iyi yöntemleri

Olaylara yanıt vermek, bu önerilerle hem teknik hem de operasyon perspektifinden etkili bir şekilde yapılabilir.

Teknik yanıt en iyi yöntemleri

Olay yanıtının teknik yönleri için dikkate alınması gereken bazı hedefler şunlardır:

• Saldırı işleminin kapsamını belirlemeye çalışın.

  Çoğu saldırgan birden çok kalıcılık mekanizması kullanır.

• Mümkünse saldırının amacını belirleyin.

  Kalıcı saldırganlar, gelecekteki bir saldırıda hedeflerine (veri/sistemler) sık sık geri dönecektir.

İşte bazı yararlı ipuçları:

• Çevrimiçi tarayıcılara dosya yükleme

  Birçok saldırgan, hedeflenen kötü amaçlı yazılımları bulmak için VirusTotal gibi hizmetlere yönelik örnek sayısını izler.

• Değişiklikleri dikkatle göz önünde bulundurun

  Silme, şifreleme ve sızdırma gibi iş açısından kritik verileri kaybetme tehdidiyle karşılaşmadığınız sürece, öngörülen iş etkisiyle değişiklik yapmama riskini dengeleyin. Örneğin, etkin bir saldırı sırasında iş açısından kritik varlıkları korumak için kuruluşunuzun İnternet erişimini geçici olarak kapatmak gerekebilir.

  Eylem yapmama riskinin bunu yapma riskinden daha yüksek olduğu değişiklikler gerekiyorsa, eylemi bir değişiklik günlüğünde belgeleyin. Olay yanıtı sırasında yapılan değişiklikler saldırganı kesintiye uğratmaya odaklanır ve işletmeyi olumsuz etkileyebilir. Kurtarma işleminden sonra bu değişiklikleri geri almanız gerekir.

• Sonsuza kadar araştırma

  Araştırma çabalarınızı acımasızca önceliklendirmeniz gerekir. Örneğin, yalnızca saldırganların kullandığı veya değiştirildiği uç noktalarda adli analiz gerçekleştirin. Örneğin, bir saldırganın yönetim ayrıcalıklarına sahip olduğu büyük bir olayda, güvenliği aşılmış olabilecek tüm kaynakları (tüm kuruluş kaynaklarını içerebilir) araştırmak neredeyse imkansızdır.

• Bilgileri paylaşma

  Tüm iç ekipler ve dış müfettişler veya sigorta sağlayıcıları dahil olmak üzere tüm araştırma ekiplerinin hukuk departmanınızın tavsiyelerine dayanarak verilerini birbirleriyle paylaştıklarından emin olun.

• Doğru uzmanlığa erişme

  Yalnızca güvenlik generalleri değil, iç personel veya satıcılar gibi dış varlıklar gibi, sistemlerle ilgili derin bilgiye sahip kişileri araştırmayla tümleştirdiğinizden emin olun.

• Azaltılmış yanıt özelliğini tahmin etmek

  Durumsal stres nedeniyle normal kapasitenin %50'sinde çalışan personelinizin %50'sini planlayın.

Proje katılımcılarıyla birlikte yönetilmesi gereken temel beklentilerden biri, kimlik belirleme için gereken veriler araştırma başlamadan önce silindiğinden (örneğin, bir saldırganın günlük kaydıyla izlerini kapatması gibi) ilk saldırıyı asla belirleyemeyeceğinizdir.

İşlem yanıtı en iyi yöntemleri

Olay yanıtının güvenlik operasyonları (SecOps) yönleri için dikkate alınması gereken bazı hedefler şunlardır:

• Odaklanmaya devam etme

  İş açısından kritik verilere, müşteri etkisine odaklanmaya ve düzeltmeye hazır olduğunuzdan emin olun.

• Koordinasyon ve rol netliği sağlama

  Kriz ekibini desteklemek için operasyonlar için farklı roller oluşturun ve teknik, yasal ve iletişim ekiplerinin birbirini bilgilendirdiğini onaylayın.

• İş perspektifinizi koruma

  İş operasyonları üzerindeki etkiyi her zaman hem saldırgan eylemler hem de kendi yanıt eylemleriniz dikkate almanız gerekir.

İşte bazı yararlı ipuçları:

• Kriz yönetimi için Olay Komut Sistemi'ni (ICS) göz önünde bulundurun

  Güvenlik olaylarını yöneten kalıcı bir kuruluşunuz yoksa, krizi yönetmek için geçici bir kuruluş yapısı olarak ICS'yi kullanmanızı öneririz.

• Devam eden günlük işlemleri olduğu gibi tutun

  Olay araştırmalarını desteklemek için normal SecOps'un tamamen kenardan ayrılmadığından emin olun. Bu işin yine de yapılması gerekiyor.

• Boşa harcama yapmaktan kaçının

  Birçok önemli olay, hiçbir zaman dağıtılmaması veya kullanılmaması baskısı altında pahalı güvenlik araçlarının satın alınmasıyla sonuçlanır. Araştırma sırasında aracı dağıtamıyor ve kullanamıyorsanız ve aracı çalıştırmak için gereken beceri kümelerine sahip daha fazla personel için işe alma ve eğitim dahil olmak üzere bir araç kullanamıyorsanız, araştırmayı bitirene kadar alımı erteleyebilirsiniz.

• Derin uzmanlığa erişme

  Soru ve sorunları kritik platformlardaki derin uzmanlara aktarabileceğinizi onaylayın. Bu özellik, iş açısından kritik sistemler ve masaüstleri ve sunucular gibi kuruluş genelindeki bileşenler için işletim sistemi ve uygulama satıcısına erişim gerektirebilir.

• Bilgi akışları oluşturma

  Üst düzey olay yanıtı liderleri ve kuruluş paydaşları arasındaki bilgi akışı için net rehberlik ve beklentiler belirleyin. Daha fazla bilgi için bkz . Olay yanıtı planlaması.

En iyi kurtarma yöntemleri

Olaylardan kurtarma, bu önerilerle hem teknik hem de operasyon perspektifinden etkili bir şekilde yapılabilir.

Teknik kurtarma en iyi yöntemleri

Bir olaydan kurtarmanın teknik yönleri için dikkate alınması gereken bazı hedefler şunlardır:

• Okyanusu kaynatma

  Kurtarma işleminin 24 saat veya daha kısa bir sürede yürütülebilmesi için yanıt kapsamınızı sınırlayın. Olasılıkları ve düzeltici eylemleri hesaba eklemek için bir hafta sonu planlayın.

• Dikkat dağıtıcı şeylerden kaçının

  Büyük ve karmaşık yeni güvenlik sistemleri uygulama veya kötü amaçlı yazılımdan koruma çözümlerini değiştirme gibi uzun vadeli güvenlik yatırımlarını kurtarma işlemine kadar erteleyebilirsiniz. Geçerli kurtarma işlemi üzerinde doğrudan ve hemen etkisi olmayan her şey dikkat dağıtıcıdır.

İşte bazı yararlı ipuçları:

• Tüm parolaları bir kerede sıfırlama

  Parola sıfırlamaları, araştırmanıza göre önce bilinen güvenliği aşılmış hesaplara odaklanmalıdır ve potansiyel olarak yönetici veya hizmet hesaplarıdır. Garanti edilirse, kullanıcı parolaları yalnızca aşamalı ve denetimli bir şekilde sıfırlanmalıdır.

• Kurtarma görevlerinin yürütülmesini birleştirme

  İş açısından kritik verileri kaybetme tehdidiyle karşılaşmadığınız sürece, güvenliği aşılmış tüm kaynakları (konaklar ve hesaplar gibi) hızlı bir şekilde düzeltmek ve riskli kaynakları bulduklarında düzeltmek için birleştirilmiş bir işlem planlamanız gerekir. Bu zaman penceresinin sıkıştırılması, saldırı operatörlerinin uyum sağlamasını ve kalıcılığı sürdürmesini zorlaştırır.

• Mevcut araçları kullanma

  Kurtarma sırasında yeni bir araç dağıtmaya ve öğrenmeye çalışmadan önce dağıttığınız araçların özelliklerini araştırın ve kullanın.

• Saldırganınızı not almaktan kaçının

  Pratik olarak, kurtarma işlemiyle ilgili saldırganların kullanabileceği bilgileri sınırlamak için adımlar atmalısınız. Saldırganlar genellikle büyük bir siber güvenlik olayındaki tüm üretim verilerine ve e-postalarına erişebilir. Ancak gerçekte, çoğu saldırgan tüm iletişimlerinizi izlemek için zamanları yoktur.

  Microsoft'un Güvenlik İşlemleri Merkezi (SOC), olay yanıtı ekibinin üyeleri için güvenli iletişim ve işbirliği için üretim dışı bir Microsoft 365 kiracısı kullanır.

İşlem kurtarma en iyi yöntemleri

Bir olaydan kurtarmanın operasyon açısından dikkate alınması gereken bazı hedefler şunlardır:

• Net bir plana ve sınırlı kapsama sahip olmak

  Sınırlı kapsamlı net bir plan oluşturmak için teknik ekiplerinizle yakından çalışın. Planlar saldırgan etkinliklere veya yeni bilgilere göre değişebilir, ancak kapsam genişletmeyi sınırlamak ve daha fazla görev üstlenmek için özenle çalışmanız gerekir.

• Net plan sahipliğine sahip olma

  Kurtarma operasyonları birçok kişinin aynı anda birçok farklı görev gerçekleştirmesini içerir, bu nedenle kriz ekibi arasında net karar alma ve kesin bilgi akışı için operasyon için bir proje lideri belirleyin.

• Paydaş iletişimlerini koruma

  Kurumsal paydaşlar için zamanında güncelleştirmeler ve etkin beklenti yönetimi sağlamak için iletişim ekipleriyle birlikte çalışın.

İşte bazı yararlı ipuçları:

• Yeteneklerinizi ve sınırlarınızı öğrenme

  Büyük güvenlik olaylarını yönetmek sektördeki birçok profesyonel için çok zorlu, çok karmaşık ve yeni bir süreçtir. Ekipleriniz bunaldıysa veya bundan sonra ne yapacağınızdan emin değilseniz, dış kuruluşlardan veya profesyonel hizmetlerden uzmanlık almayı göz önünde bulundurmalısınız.

• Öğrenilen dersleri yakalama

  Herhangi bir yazılı yordam olmadan ilk olayınız olsa bile SecOps için role özgü el kitaplarını derleyin ve sürekli geliştirin.

Olay yanıtı için yönetici ve yönetim kurulu düzeyinde iletişimler, uygulanmadıysa veya beklenmiyorsa zor olabilir. İlerleme raporlamasını ve kurtarma beklentilerini yönetmek için bir iletişim planınız olduğundan emin olun.

SecOps için olay yanıt işlemi

SecOps ve personeliniz için olay yanıt süreciyle ilgili bu genel kılavuzu göz önünde bulundurun.

1. Karar ver ve harekete geç

Microsoft Sentinel veya Microsoft Defender XDR gibi bir tehdit algılama aracı olası bir saldırı algıladıktan sonra bir olay oluşturur. SOC yanıt hızının Ortalama Kabul Süresi (MTTA) ölçümü, güvenlik personelinizin saldırıyı fark etme zamanıyla başlar.

Vardiyadaki bir analist temsilci olarak görevlendirilir veya olayın sahipliğini alır ve bir ilk analiz gerçekleştirir. Bunun zaman damgası, MTTA yanıt hızı ölçümünün sonudur ve Ortalama Düzeltme Süresi (MTTR) ölçümünün başlangıcıdır.

Olayın sahibi analist, saldırının hikayesini ve kapsamını anladığına dair yeterince yüksek bir güven düzeyi geliştirirken, temizleme eylemlerini planlamaya ve yürütmeye hızla geçiş yapabilir.

Saldırının doğasına ve kapsamına bağlı olarak, analistleriniz saldırı yapıtlarını (e-postalar, uç noktalar ve kimlikler gibi) temizleyebileceği gibi, bir kerede temizlemek için güvenliği aşılmış kaynakların bir listesini oluşturabilir (Büyük Patlama olarak bilinir)

• Kullandıkça temizle

  Saldırı işleminin erken aşamalarında algılanan tipik olayların çoğu için analistler yapıtları bulduklarında hızla temizleyebilir. Bu uygulama saldırganı bir dezavantaja sokar ve saldırılarının bir sonraki aşamasına geçmelerini önler.

• Big Bang'e hazırlanma

  Bu yaklaşım, bir saldırganın ortamınıza zaten yerleştiği ve ortamınıza yedekli erişim mekanizmaları oluşturduğu bir senaryo için uygundur. Bu uygulama, Microsofts Olay Yanıtı Ekibi tarafından araştırılan müşteri olaylarında sıklıkla görülür. Bu yaklaşımda, analistler saldırganın varlığını tam olarak bulana kadar saldırgana bahşiş bırakmaktan kaçınmalıdır, çünkü sürpriz yapmak, operasyonlarını tamamen kesintiye uğratmaya yardımcı olabilir.

  Microsoft, kısmi düzeltmenin genellikle bir saldırgana yönelik ipuçları verdiğini ve bu da onlara tepki verme ve olayı hızla kötüleştirme şansı verdiğini öğrendi. Örneğin, saldırgan saldırıyı daha fazla yayabilir, algılamadan kaçmak, izlerini kapatmak ve intikam için veri ve sistem hasarı ve imhası uygulamak için erişim yöntemlerini değiştirebilir.

  Kimlik avı ve kötü amaçlı e-postaları temizlemek genellikle saldırgana bahşiş vermeden yapılabilir, ancak konak kötü amaçlı yazılımlarını temizleme ve hesapların denetimini geri kazanmanın bulma şansı yüksektir.

Bunlar kolay kararlar almak değildir ve bu karar çağrılarını yapma deneyiminin yerini tutmaz. SOC'nizdeki işbirliğine dayalı bir çalışma ortamı ve kültürü, analistlerin birbirlerinin deneyimine erişmelerini sağlamaya yardımcı olur.

Belirli yanıt adımları saldırının doğasına bağlıdır, ancak analistler tarafından kullanılan en yaygın yordamlar şunlar olabilir:

• İstemci uç noktaları (cihazlar)

  Yeniden yükleme yordamını başlatmak için uç noktayı yalıtın ve kullanıcıyla veya BT işlemleriyle/yardım masasıyla iletişime geçin.

• Sunucu veya uygulamalar

  Bu kaynakların hızlı bir şekilde düzeltilmesi için BT işlemleri ve uygulama sahipleriyle birlikte çalışın.

• Kullanıcı hesapları

  Hesabı devre dışı bırakarak ve güvenliği aşılmış hesaplar için parolayı sıfırlayarak denetimi geri kazanabilirsiniz. Kullanıcılarınız Windows Hello'yu veya başka bir çok faktörlü kimlik doğrulaması (MFA) biçimini kullanarak parolasız kimlik doğrulamasına geçerken bu yordamlar gelişebilir. Ayrı bir adım, Bulut için Microsoft Defender Uygulamaları ile hesap için tüm kimlik doğrulama belirteçlerinin süresinin dolmasıdır.

  Analistleriniz ayrıca MFA yöntemi telefon numarasını ve cihaz kaydını gözden geçirerek kullanıcıyla iletişim kurarak ele geçirilmediğinden emin olabilir ve gerektiğinde bu bilgileri sıfırlayabilir.

• Hizmet Hesapları

  Yüksek hizmet veya iş etkisi riski nedeniyle analistleriniz, bu kaynakların hızlı bir şekilde düzeltilmesi için bt işlemlerine geri dönerek kaydın hizmet hesabı sahibiyle birlikte çalışmalıdır.

• E-postalar

  Saldırıyı veya kimlik avı e-postasını silin ve bazen kullanıcıların silinen e-postaları kurtarmasını önlemek için bu e-postaları temizleyin. Daha sonra üst bilgiler, içerik ve betikler veya ekler gibi saldırı sonrası analiz araması için her zaman özgün e-postanın bir kopyasını kaydedin.

• Diğer

  Uygulama belirteçlerini iptal etme ve sunucuları ve hizmetleri yeniden yapılandırma gibi saldırının niteliğine göre özel eylemler yürütebilirsiniz.

2. Olay sonrası temizleme

Gelecekteki eylemleri değiştirene kadar öğrenilen derslerden yararlanamadığınızdan, araştırmadan elde edilen yararlı bilgileri her zaman SecOps'unuzla tümleştirin.

Aynı tehdit aktörleri veya yöntemleri tarafından geçmiş ve gelecekteki olaylar arasındaki bağlantıları belirleyin ve gelecekte el ile çalışma ve analiz gecikmelerinin tekrarlanmaması için bu öğrenmeleri yakalayın.

Bu öğrenmeler birçok biçim alabilir, ancak yaygın olarak kullanılan yöntemler şunlardır:

• Güvenliğin Aşılmasına (ICS) ilişkin göstergeler.

  Dosya karmaları, kötü amaçlı IP adresleri ve e-posta öznitelikleri gibi uygulanabilir ICS'leri SOC tehdit bilgileri sistemlerinize kaydedin.

• Bilinmeyen veya eşleşmeyen güvenlik açıkları.

  Analistleriniz eksik güvenlik düzeltme eklerinin uygulanmasını, yanlış yapılandırmaların düzeltilmesini ve satıcıların (Microsoft dahil) güvenlik düzeltme ekleri oluşturabilmeleri ve dağıtabilmeleri için "sıfır gün" güvenlik açıklarından haberdar olmasını sağlamak için işlemler başlatabilir.

• Bulut tabanlı ve şirket içi kaynaklarınızı kapsayan varlıklarda günlüğe kaydetmeyi etkinleştirme gibi iç eylemler.

  Mevcut güvenlik temellerinizi gözden geçirin ve güvenlik denetimleri eklemeyi veya değiştirmeyi göz önünde bulundurun. Örneğin, sonraki olay gerçekleşmeden önce dizinde uygun denetim düzeyini etkinleştirme hakkında bilgi için Microsoft Entra güvenlik işlemleri kılavuzuna bakın.

Olay sırasında bulunan boşlukları belirlemek ve çözmek için yanıt süreçlerinizi gözden geçirin.

Olay yanıtı kaynakları

• SOC'niz için planlama
• Yaygın saldırı yöntemlerine yanıt verme konusunda ayrıntılı rehberlik için playbook'lar
• Microsoft Defender XDR olay yanıtı
• Bulut için Microsoft Defender (Azure)
• Microsoft Sentinel olay yanıtı
• Microsoft Olay Yanıtı ekip kılavuzu, güvenlik ekipleri ve liderleri için en iyi yöntemleri paylaşıyor
• Microsoft Olay Yanıtı kılavuzları, güvenlik ekiplerinin şüpheli etkinlikleri analiz etmelerine yardımcı olur

Önemli Microsoft güvenlik kaynakları