Hazırlık: olaydan önceki iş

Olay müdahalesi alarm çaldığında başlamaz. Asıl iş, alarmdan aylar önce yapılan hazırlıktır ve hiç bitmeyen bir bakım işidir. Olay anında elinde ne varsa onunla çalışırsın. O an yeni yetki isteyemezsin, kapanmış logu geri getiremezsin, olmayan yedeği bulamazsın.

İki kurum düşün. İkisi de aynı fidye yazılımıyla vurulur. Birincisinde iletişim listesi, yetki matrisi ve test edilmiş yedek hazırdır; sistemler iki günde döner.

İkincisinde bunlar yoktur; ilk gün kimin karar vereceği tartışılır ve kurtarma iki haftaya yayılır. Fark araçta değil, hazırlıktadır. Önce müdahale modellerini tanıyacak, sonra hazırlığın somut çıktılarını tek tek kuracaksın.

Sahada en çok duyacağın model altı aşamalıdır: hazırlık, tanımlama (tespit ve analiz), sınırlama, temizleme, kurtarma ve alınan dersler. Bu model SANS'ın 2012'de yayımladığı olay müdahalecisi el kitabından gelir ve İngilizce baş harfleriyle PICERL diye anılır. NIST'in aynı yıl yayımladığı SP 800-61 Rev. 2 rehberi işi dört aşamada toplar: hazırlık; tespit ve analiz; sınırlama, temizleme ve kurtarma; olay sonrası etkinlik.

İki model aynı işi anlatır, yalnız aşamaları farklı gruplar. Temizleme ile kurtarmayı karıştırma. Temizleme, saldırganı ve bıraktığı kalıcılık araçlarını çıkarmaktır. Kurtarma ise sistemi üretime geri almak ve bir süre yakından izlemektir.

Nisan 2025'te NIST, SP 800-61 Rev. 3'ü yayımladı ve Rev. 2'nin yerine koydu. Yeni sürüm döngü çizmez.

Olay müdahalesini Siber Güvenlik Çerçevesi (CSF) 2.0'ın altı işlevine yerleştirir: Yönet (Govern), Tanımla (Identify), Koru (Protect), Tespit Et (Detect), Müdahale Et (Respond) ve Kurtar (Recover). Rev. 3'e göre Yönet, Tanımla ve Koru hazırlık işidir, ama olay müdahalesinin kendisi değildir; daha geniş risk yönetiminin parçasıdır. Olay müdahalesinin kendisi öteki üç işlevde yürür: Tespit Et, Müdahale Et ve Kurtar.

Alınan dersler de olay bitince tek toplantıda toplanmaz. Bulundukları anda paylaşılır ve Tanımla işlevinin İyileştirme kategorisine akar. Model seçimini Rev. 3 kuruma bırakır; önemli olan ekibin aynı dili konuşmasıdır.

SANS (PICERL)      NIST SP 800-61r2            NIST SP 800-61r3 (CSF 2.0)
-----------------  --------------------------  ----------------------------------
Hazırlık           Hazırlık                    Yönet, Tanımla, Koru
Tanımlama          Tespit ve analiz            Tespit Et + İyileştirme
Sınırlama          Sınırlama, temizleme        Müdahale Et, Kurtar
Temizleme          ve kurtarma                 + İyileştirme
Kurtarma
Alınan dersler     Olay sonrası etkinlik       İyileştirme (ID.IM-01..04)

Hazırlığın çıktıları somuttur: politika ve plan, rol ve yetki matrisi, iletişim listesi, log saklama kararı, oyun kitapları, araç seti ve tatbikat takvimi. İlk ürün yazılı belgedir. Olay müdahale politikası yönetimin taahhüdünü, kapsamı, olay tanımlarını, rolleri ve yetkileri yazar.

Plan bu politikayı uygulamaya çevirir: kim neyi hangi sırayla yapar. Rev. 3'ün saydığı politika maddeleri içinde olay gecesi en çok aranan madde, hangi rolün bir varlığa el koyma, ağdan koparma ya da kapatma yetkisi taşıdığıdır. Rolleri de yazılı tut.

Olay yöneticisi kararı verir, teknik yürütücü işi yapar, kayıt tutan zamanı yazar, iletişim sorumlusu dışarıyla konuşur. Aynı kişi iki rol taşıyabilir, ama hiçbir rol sahipsiz kalmaz. Bunu RACI matrisiyle gösterirsin: her iş için kim yapar, kim onaylar, kime danışılır, kim bilgilendirilir.

İletişim listesi ikinci çıktıdır. Gece üçte kimi arayacaksın? Liste bir sıradır: birinci kişi açmazsa ikinciyi ararsın. Hazırlığın gözden kaçan parçası bant dışı kanaldır.

Olay kurumsal e-postayı ya da sohbet uygulamasını da etkileyebilir. Saldırganın okuduğu kanalda müdahale konuşmak en kötü senaryodur. Ayrı bir kanal belirle ve numaraları kâğıda da yaz. CISA'nın federal oyun kitapları da etkilenen kullanıcıya e-postayla değil, telefonla ulaşmayı önerir.

Dış destek sözleşmesini de önceden yap. Adli analiz, hukuk ve iletişim desteğini olay gecesi aramak pahalıdır. Sözleşme hazır değilse satın alma günler sürer ve delil o sırada eskir.

Üçüncü çıktı sınırlama yetki matrisidir. Matris her kritik sistem için üç soruyu önceden yanıtlar: kim ağdan koparabilir, kim kapatabilir, hangi durumda iş biriminin onayı gerekir? Satırlar varlık envanterinden gelir; envanterde her sistemin sahibi ve kritiklik düzeyi yazar.

Örnek bir satır şöyle okunur: web01, kritiklik yüksek, sahibi Serkan; SOC nöbetçisi P1 olayda onay beklemeden ağdan koparabilir, kapatma kararı yalnız olay yöneticisindedir. Matris yoksa karar telefon başında bekler ve her dakika saldırganın işine yarar.

Hazırlığın bir başka ayağı görünürlüktür. Hangi kaynaktan log topluyorsun? Uç noktalar kapsamda mı?

Sunucu envanterin güncel mi? Göremediğin makinede olay yaşandığında, olayı ancak başkası sana söylediğinde öğrenirsin. Bunu bir log kaynak matrisiyle yönetirsin; her satırda kaynak, toplayan sistem, saklama süresi ve sorumlu durur.

Hazırlık döngünün ilk adımıdır, çünkü sonraki her adım onun ürününü kullanır. Tespit, hazırlıkta kurduğun log ve uyarı kaynaklarına dayanır; kaynak yoksa tespit kör kalır. Temizleme de tespitin bulduğu kök nedene dayanır.

Saklama süresi neden bu kadar önemli? Çünkü saldırgan fark edilmeden önce bir süre ağda kalır. Büyük bir olay müdahale şirketinin Mart 2026'da yayımlanan yıllık raporuna göre bu sürenin 2025'teki küresel medyanı 14 gündü; bir yıl önce 11 gündü.

Siber casusluk olaylarında medyan 122 gündü. Logu yedi gün saklıyorsan olayın başlangıcını göremezsin.

Kimlik ve uç nokta kayıtlarını en az doksan gün tutmak yaygın bir tabandır; uzun süre gizli kalan bir saldırıda bu süre bile ilk girişi göstermeyebilir. Üstelik yazılı süre ile gerçek süre çoğu zaman farklıdır. Politika doksan gün der, disk kotası dört günde dolar. Gerçek süreyi hesaplaman gerekir.

C:\> wevtutil gl Security
name: Security
enabled: true
type: Admin
logging:
  logFileName: %SystemRoot%\System32\Winevt\Logs\Security.evtx
  retention: false
  autoBackup: false
  maxSize: 1073741824

$ journalctl --disk-usage
Archived and active journals take up 3.8G in the file system.

$ head -4 /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily
    missingok
    rotate 14

Çıktıyı satır satır oku. maxSize bayt cinsindendir: 1073741824 bayt 1 GB eder. retention: false satırı, dosya dolunca en eski kaydın üzerine yazılacağını söyler.

SIEM sorgun bu sunucunun günde ortalama 250 MB güvenlik olayı ürettiğini gösteriyor. Hesap basittir: 1 GB bölü 250 MB, yaklaşık dört gün. Politikan doksan gün diyorsa, bu makinede gerçekte dört günlük yerel kayıt var.

Linux tarafında journalctl --disk-usage günlüğün toplam boyutunu verir; aynı hesabı günlük hacimle yaparsın. Nginx için logrotate satırları süreyi doğrudan söyler: daily ve rotate 14, on dört günlük erişim logu demektir. Kayıtları merkezî toplayıcıya gönderiyorsan asıl saklama orada ölçülür.

Olay tanımını önceden yap. Hangi durum olaydır, hangisi yalnız bulgudur? Rev. 3 ayrımı şöyle kurar.

Bilişim varlığında gözlenebilen her oluş bir olaydır (event); kullanıcı girişi ya da güncelleme kurulumu böyledir. Bilginin gizliliğini, bütünlüğünü ya da erişilebilirliğini yetkisiz biçimde tehlikeye atan ya da güvenlik politikasını çiğneyen oluş ise güvenlik olayıdır (incident). Tek bir başarısız giriş sıradan bir kayıttır.

Beş dakikada iki yüz başarısız giriş bir bulgudur ve incelenir. Ardından başarılı giriş ve yeni bir yönetici hesabı geliyorsa elinde bir güvenlik olayı vardır. Sınır yazılı değilse her ekip farklı karar verir.

Güvenlik olayına bir önem düzeyi ver. Yaygın bir ölçek dört basamaklıdır. P1, kritik hizmetin durduğu ya da verinin sızdığı durumdur; olay yöneticisi hemen uyanır. P2, kritik sistemde doğrulanmış yetkisiz erişimdir; müdahale bir saat içinde başlar.

P3, tek bir uç noktayla sınırlı, yayılmamış olaydır. P4, mesai içinde çözülecek düşük etkili durumdur. Önem sabit değildir: P3 diye açılan olay, aynı hesap ikinci bir sunucuda görülünce P2 olur.

Her düzeyin yanına tırmandırma eşiğini yaz: hangi bulgu hukuku devreye sokar, hangisi dış bildirimi başlatır? Türkiye'de USOM'un ihbar hizmetleri, 2025'te kurulan Siber Güvenlik Başkanlığı'na geçti. Kişisel veri ihlalinin bildirim sürelerini Yönetişim, Risk, Uyum ve Mevzuat yolundaki İş sürekliliği ve olay bildirimi modülünde bulursun.

Oyun kitabı (playbook), belirli bir olay türü için adım adım yol haritasıdır. Rev. 3, en sık görülen olay türleri için yazılı prosedür tutmayı önerir ve örnek olarak CISA'nın oyun kitaplarını gösterir. Çoğu kurum için ilk üç kitap fidye yazılımı, iş e-postası dolandırıcılığı ve web kabuğudur.

İyi bir kitap kısa olur. Tetikleyiciyi, ilk on beş dakikanın kontrol listesini, karar noktalarını, sahipleri ve iletişim şablonunu taşır. Aşağıda web kabuğu kitabının iskeleti var.

OYUN KİTABI OK-03: Web kabuğu bulundu        Sürüm 1.2 | Sahip: SOC lideri
Tetikleyici : EDR ya da WAF alarmı; web dizininde yeni çalıştırılabilir dosya
Önem        : Varsayılan P2; müşteri verisine erişim izi varsa P1

İlk 15 dakika
[ ] Alarmı iki bağımsız kaynakla doğrula (web logu + güvenlik duvarı)
[ ] Olay kaydını aç, olay yöneticisini ara (iletişim ağacı, sıra 1)
[ ] Dosyanın kopyasını ve SHA-256 değerini al; dosyayı silme
[ ] Sunucuyu kapatma; yetki matrisine göre ağdan kopar

Karar noktaları
K1: Aynı kaynak adres başka sunucuda görüldü mü?  Evet -> kapsamı genişlet
K2: Web kullanıcısı dışında hesap kullanıldı mı?   Evet -> kimlik sınırlaması
K3: Müşteri verisi okundu mu?                     Evet -> hukuk ve bildirim akışı

İletişim şablonu
"[saat] itibarıyla [sistem] üzerinde doğrulanmış bir olay var. Etki: [..].
 Alınan önlem: [..]. Sonraki güncelleme: [saat]."

Kitabı satır satır oku. Tetikleyici, kitabın ne zaman açılacağını söyler; belirsiz tetikleyicili kitap hiç açılmaz. Önem satırı varsayılanı ve yükseltme koşulunu birlikte verir. İlk on beş dakika listesinde her satır tek eylemdir; liste düşünmeyi değil, yapmayı hedefler.

Karar noktaları evet ya da hayır sorusudur ve her cevabın sonraki adımı yazılıdır. İletişim şablonu, gergin bir gecede yöneticiye giden mesajın boşluk doldurma formudur. Kitaba sürüm ve sahip yaz. Sahipsiz kitap eskir ve olay gecesi yanlış telefon numarası verir.

Kitabın yanında araç hazırlığı durur. Delil toplama aracı kurulu mu, disk imajı alacak yerin var mı, temiz bir analiz makinesi hazır mı? Olay anında araç indirmek hem zaman kaybettirir hem delili kirletir. Müdahale kutusunu da hazırla: temiz disk, yazma korumalı adaptör, kayıt defteri, etiket ve kalem.

Kutuda boş bir delil zinciri formu da dursun; formu gece üçte sıfırdan yazan ekip alanları eksik doldurur. Kutuyu olay gecesi aramakla geçen kırk dakika, bellekteki delilin kaybolduğu kırk dakikadır.

Yazılı bir plan, denenmemişse plan değildir. Rev. 3, tatbikat ve testlerden çıkan iyileştirmeleri yüksek öncelikli bir sonuç olarak sayar (ID.IM-02). En ucuz yöntem masa başı tatbikattır (tabletop exercise).

Ekibi bir-iki saat topla, senaryoyu anlat, herkes ne yapacağını söylesin. Eksikler ilk yarım saatte ortaya çıkar: bir telefon numarası eskidir, matriste bir sistem yoktur, yedek kanalın parolasını kimse bilmez. CISA'nın yayımladığı hazır tatbikat paketleri iyi bir başlangıçtır. Bu paketlerde senaryo, tartışma soruları, kolaylaştırıcı ve değerlendirici rehberi, katılımcı geri bildirim formu ve tatbikat sonrası rapor şablonu bulunur.

Senaryoyu enjeksiyonlarla kur. Enjeksiyon, tatbikatın belli bir dakikasında senaryoya eklenen yeni bilgidir. Örnek akış şöyle ilerler. Dakika 0: EDR, web01'de bilinmeyen bir PHP dosyası bildirir.

Dakika 15: aynı adresin posta sunucusuna da bağlandığı görülür. Dakika 30: bir gazeteci basın birimini arar. Dakika 45: son temiz yedeğin dört günlük olduğu anlaşılır. Her enjeksiyon bir karar noktasını sınar.

Gözlemci formu kimin neye kaç dakikada karar verdiğini yazar. Çıktı raporu da eksikleri sahipli ve tarihli görevlere çevirir. Her yıl en az iki farklı senaryo çalış; fidye yazılımı, veri sızıntısı ve içeriden tehdit ayrı akışlar üretir.

Hazırlıkta dört hata sık görülür. Birincisi, yazılmış ama hiç denenmemiş plandır; roller çakışır, adımlar eksik kalır. İkincisi, müdahaleyi saldırganın okuduğu kanaldan yürütmektir. Üçüncüsü, yetki matrisinin olmamasıdır; karar saatlerce telefonda bekler.

Dördüncüsü, log saklamanın saldırganın kalma süresinden kısa olmasıdır; olayın başı karanlıkta kalır. Dördü de ucuza düzelir, ama yalnız olaydan önce. Ekip aynı senaryoyu ikinci kez çalıştığında hız gözle görülür biçimde artar.