Raporlama ve alınan dersler

Olay raporu, teknik ekibin dışındaki insanların okuyacağı tek belgedir. Yönetim bütçe ve öncelik kararını ondan verir. Sistem sahibi değişikliği ondan planlar.

Hukuk bildirim yükümlülüğünü ondan değerlendirir. Tespit ekibi yeni kuralları ondan yazar. NIST SP 800-61 Rev. 3 de kurtarmanın bitişini ilan ederken (RC.RP-06) olayı, yapılan müdahale ve kurtarma adımlarını ve alınan dersleri anlatan bir olay sonrası rapor hazırlamayı önerir.

web01 olayının raporunu kuracaksın: önce katmanlı yapıyı, sonra yönetici özetini ve kanıt dilini, ardından teknik bölümü göreceksin. En sonda suçlamasız bir ders toplantısı yürüteceksin.

Rapor iki ayrı kitleye yazılır. Yönetici ne oldu, ne kadar etkilendik, ne yaptık diye sorar. Teknik ekip ise hangi komut, hangi dosya, hangi adres diye sorar. İkisini tek metne sıkıştırırsan ikisini de kaybedersin.

Çözüm katmanlı yapıdır. İlk sayfa yönetici özetidir ve teknik terim kullanmaz. Sonra zaman çizelgesi, teknik bulgular ve müdahale gelir. En sonda ham log ve delil listesi ek olarak durur.

Katmanlaşma okuma hızına göre kurulur. Yönetici otuz saniyede karar vermek zorundadır ve ilk sayfanın ötesine nadiren geçer. Teknik okuyucu aynı belgeyi uzun süre inceler ve her iddianın kanıtını arar. Her cümleyi yazmadan önce hangi katmana ait olduğunu sor.

OLAY RAPORU                                                  TLP:AMBER
 1. Yönetici özeti     dört cümle: ne oldu, neden, etki, son durum
 2. Olay künyesi       OLY-2026-0914 | önem P2 | sınıf: web kabuğu | durum: kapandı
 3. Zaman çizelgesi    saat (TSİ) | kaynak | olay | kanıt no
 4. Kapsam ve etki     etkilenen makineler, hesaplar, veri
 5. Kök neden          teknik katman + süreç katmanı
 6. Yapılan müdahale   sınırlama, temizleme, kurtarma adımları
 7. IOC listesi        tip | değer | ilk ve son görülme | kaynak | güven
 8. ATT&CK eşlemesi    teknik kimlikleri; sürüm: ATT&CK v19
 9. Kalan riskler      kapatılamayanlar ve kabul edilenler
10. Öneriler           sahip | tarih | başarı ölçütü
Ekler                  delil listesi ve özet değerleri, ham log parçaları

Şablonu okurken her bölümün kime hizmet ettiğini sor. Başlıktaki TLP:AMBER etiketi raporun kimlerle paylaşılabileceğini söyler. Künye, olayı kurumun kayıt sisteminde tek satırda tanımlar: kimlik, önem, sınıf ve durum.

Kapsam ve etki bölümü hukukun bildirim kararını besler. IOC listesi ve ATT&CK eşlemesi tespit ekibinin yeni kural yazmasını kolaylaştırır. Kalan riskler ayrı başlıktır.

Her olaydan sonra kapatılamayan şeyler kalır: eski sistem, bütçe bekleyen değişiklik, kabul edilen risk. Bunları yazmak ekibi korur ve bir sonraki olayda tartışmayı kısaltır. Öneriler sahipsiz kalırsa rapor dosyada ölür. Bir bölüm hiçbir kararı beslemiyorsa rapordan çıkar.

Yönetici özeti dört cümleyi geçmesin. Ne oldu, neden oldu, etki neydi, şu an durum ne? Tahmin yazma. Bilmediğin şeyi bilmiyorum diye yaz.

Rapordaki tek bir abartı, bütün belgenin güvenilirliğini düşürür. Sayılar da kaynağını göstersin.

Dört saat kesinti yazıyorsan, hangi iki damga arasından çıktığını belirt. Kaynaksız sayı tartışma açar; kaynaklı sayı tartışmayı kapatır ve raporun geri kalanına güven kazandırır. Aşağıdaki özet bu dört soruyu sırayla yanıtlar.

YÖNETİCİ ÖZETİ                                                         TLP:AMBER
14 Eylül 2026 gecesi web01 sunucusuna web kabuğu yüklendi.
Giriş, yükleme ucundaki uzantı denetimi eksikliğinden oldu.
Müşteri verisine erişim izine rastlanmadı; kargo takip sayfası 4 saat kapalı kaldı.
Sunucu yeniden kuruldu, yükleme denetimi geri getirildi, izleme 30 gün sürdürülecek.

Kanıt düzeyini üç ifadeyle ayır. Doğrulandı, iki bağımsız kaynağın aynı olguyu gösterdiği durumdur. İzine rastlanmadı, ilgili kaynaklara baktığın ve iz bulamadığın durumdur; o kaynakların olay dönemini kapsadığını da yazarsın. Değerlendirilemedi ise kaynağın olmadığı ya da saklama süresinin dolduğu durumdur.

Üçü farklı cümledir. Erişim olmadı demek üçünden de güçlü bir iddiadır ve çoğu zaman kanıtlanamaz. Bu cümle sonradan yanlış çıkarsa kurumun güvenilirliğini yakar; izine rastlanmadı ise bulguyu olduğu gibi anlatır. web01 özetinde bu yüzden erişim izine rastlanmadı yazıyor: veritabanı sorgu kayıtları olay dönemini kapsıyordu ve incelendi.

Teknik bölüm iddianın kanıtını verir. İlk parçası IOC tablosudur. Her satırda tip, değer, ilk ve son görülme, kaynak ve güven düzeyi durur.

İlk ve son görülme, başka ekiplerin kendi loglarında hangi aralığa bakacağını söyler. Güven düzeyi ise değerin ne kadar ayırt edici olduğunu anlatır. Bir dosya özeti (hash) yüksek güvenlidir.

Saldırganın dakikalar içinde değiştirebileceği bir adres orta, herkesin yazabildiği bir kullanıcı ajanı düşük güvenlidir. Paylaşımlı bir bulut adresi ise yanlış engelleme riski taşır ve ayrıca işaretlenir. Tabloyu makinenin okuyabileceği biçimde de paylaş. CSV ya da STIX gibi yapılandırılmış bir biçim, alıcı ekibin değerleri elle kopyalamadan kendi araçlarına yüklemesini kolaylaştırır.

Tip         Değer                               İlk görülme     Son görülme     Kaynak           Güven
----------  ----------------------------------  --------------  --------------  ---------------  ------
IPv4        198.51.100.77                       14.09 03:02:11  14.09 03:46:02  güvenlik duvarı  orta
Dosya yolu  /var/www/altaykargo/uploads/up.php  14.09 03:04:52  14.09 03:46:00  stat, nginx      yüksek
SHA-256     9f2c4d8b1e... (up.php)              14.09 03:04:52  14.09 03:46:00  EDR              yüksek
Hesap       svc_update (UID 0)                  14.09 03:15:02  14.09 03:58:00  auth.log         yüksek
UA          gobuster/3.6                        14.09 03:02:11  14.09 03:02:14  nginx            düşük

İkinci parça ATT&CK eşlemesidir. Saldırının her adımını bir teknik kimliğine bağlarsın. web01 zinciri şöyle okunur.

T1595.003 kelime listesiyle taramadır: gobuster ile /uploads dizini bulundu. T1190 internete açık uygulamanın istismarıdır: yükleme ucu kötüye kullanıldı. T1505.003 web kabuğudur: up.php bırakıldı.

T1110 kaba kuvvettir ve T1078 geçerli hesap kullanımıdır: SSH'ta parola denendi, sonra mkaya ile girildi. T1136.001 yerel hesap oluşturmadır: UID 0 taşıyan svc_update açıldı. Raporda ATT&CK sürümünü de yaz; web01 raporu Nisan 2026'da yayımlanan v19'u kullanır. Teknikler sürümden sürüme bölünebilir, taşınabilir ya da kaldırılabilir.

Üçüncü parça süre metrikleridir. Her süre iki damganın farkıdır ve damgalar zaman çizelgesinden gelir. Aşağıda web01 olayının damgaları ve hesabı var.

Damga  Olay                                     Saat (TSİ)
-----  ---------------------------------------  ----------
T0     İlk kötücül olay: dizin taraması         03:02
T1     EDR alarmı                               03:15
T2     Olay doğrulandı ve açıldı                03:34
T3     Sınırlama tamamlandı (ağ ve kimlik)      03:58
T4     Hizmet güvenle yayına döndü              07:46

Tespit süresi     T0 -> T2   32 dk
Sınırlama süresi  T2 -> T3   24 dk
Kurtarma süresi   T3 -> T4   3 sa 48 dk
Kesinti           ağdan koparma 03:46 -> yayına dönüş 07:46   4 sa

Tespit süresi, ilk kötücül olaydan olayın doğrulandığı ana kadar geçen zamandır. Sınırlama süresi doğrulamadan sınırlamanın tamamlandığı ana, kurtarma süresi de hizmetin güvenle döndüğü ana kadar sürer. Hesabı oku. Tespit süresi 32 dakikadır, ama alarm 03:15'te geldiği hâlde doğrulama 19 dakika sürmüştür; bu fark ayrı bir iyileştirme konusudur.

Kurtarma en uzun kalemdir, çünkü sunucu temiz imajdan yeniden kuruldu. Özetteki dört saatlik kesinti, 03:46'daki ağdan koparma ile 07:46'daki yayına dönüş arasından çıkar. Olaylar üzerindeki ortalamalara MTTD (ortalama tespit süresi) ve MTTR denir. MTTR kurumdan kuruma müdahale, onarım ya da kurtarma anlamına gelir; hangisini kastettiğini açıkça yaz.

Rapordan sonra alınan dersler toplantısı gelir. Kuralı basittir: kişi arama, süreç ara. Suçlanacağını bilen insan bilgi saklar.

Sakladığı bilgi kök nedeni bulanıklaştırır ve bir sonraki olayı daha pahalı yapar. Rev. 3 dersleri olayın sonuna sıkıştırmaz. Dersler çoğu zaman bulundukları anda paylaşılmalıdır, kurtarmanın bitmesi beklenmeden.

Yeni bir tehdidin davranışını gördüğün an bir derstir ve tespit ekibine hemen gider. Bu dersler CSF 2.0'ın Tanımla işlevindeki İyileştirme kategorisine akar ve oradan bütün işlevlere döner. Resmî toplantı yine yapılır; özellikle büyük olaylarda, kurtarma biterken bütün tarafların sesini duymak için.

Toplantının ürünü eylem kalemidir. Her kalem üç şey taşır: sahip, tarih ve başarı ölçütü. Ölçüt, işin bittiğini kimin nasıl göreceğini söyler.

Yükleme güvenliği iyileştirilecek cümlesi bir niyettir, eylem değildir. Aynı niyet ölçülebilir hâle gelince şöyle yazılır: PHP uzantılı yükleme denemesi reddedilir ve bu davranış otomatik bir testle her yayında sınanır. Ölçütsüz kalem, kimsenin kapatamadığı bir yapılacaklar maddesine dönüşür ve bir sonraki olayda aynı cümleyle geri gelir. Aşağıda web01 olayının eylem listesi var.

No   Eylem                                        Sahip            Tarih       Başarı ölçütü
---  -------------------------------------------  ---------------  ----------  ------------------------------------------------
E-1  Yükleme ucuna uzantı izin listesi            Yazılım ekibi    30.09.2026  .php yüklemesi reddedilir; test her yayında koşar
E-2  Yayın hattına zorunlu güvenlik onayı         Platform lideri  15.10.2026  Onaysız birleştirme teknik olarak engellenir
E-3  Web dizinlerinde dosya bütünlüğü izleme      SOC              07.10.2026  Yeni .php dosyası 5 dakika içinde alarm üretir
E-4  SSH yalnız anahtarla ve VPN arkasından       Sistem ekibi     30.09.2026  İnternetten 22 numaralı porta bağlantı kurulamaz
E-5  Web kabuğu oyun kitabına kapsam sorgusu ekle  SOC lideri       14.10.2026  Kitap sürüm 1.3, tatbikatta denendi

Listeyi oku. E-1 teknik kök nedeni, E-2 süreç kök nedenini kapatır. E-3 ve E-4 katkıda bulunan etkenlere gider. E-5 ise müdahale planına döner: kitap güncellenir, sürüm numarası artar ve bir sonraki tatbikat o sürümle yapılır.

Kalemleri olay kaydına bağla. Tarih geçince toplantıyı yürüten kişi takip etsin. Kapanmayan kalem, bir sonraki raporda kalan risk olarak yeniden görünür ve neden kapanmadığı orada yazılır.

Raporu olay tazeyken yaz. Bir hafta sonra ayrıntılar bulanıklaşır, kimse notlarını bulamaz. En iyi yol, olay sırasında tutulan kaydın rapora dönüşmesidir; her adımı yazarken zamanı da yaz.

Gövdede yalnız kararı destekleyen birkaç log satırını alıntıla; ham logun tamamı eklerde durur. Sonra raporu bir hafta sonra bir kez daha oku. Olay gecesinin gerginliği metne sinmiş olur.

Gereksiz sertlik, kişi ima eden cümleler ve abartılı ifadeler ikinci okumada kolayca görünür. Zaman çizelgesini de sade tut: saat, olay ve kaynak sütunlarından oluşan bir tablo, uzun paragraftan çok daha hızlı okunur.

Raporun dolaşımını da planla. Kim okuyacak, nerede saklanacak, ne kadar süre duracak? Olay raporu hassas bilgi taşır: istismar edilen zafiyet, ağ yapısı, hesap adları.

Herkese açık bir kanalda duran rapor, saldırgana ortamın haritasını verir. Bu yüzden raporun başına bir paylaşım etiketi koyarsın. FIRST'ün Trafik Işığı Protokolü (TLP) raporun kimle paylaşılabileceğini söyler.

TLP:AMBER, bilginin alıcının kendi kurumu ve müşterileri içinde, yalnız bilmesi gerekenlerle paylaşılabileceği anlamına gelir. Etiket tek başına erişimi kısıtlamaz; raporu yalnız yetkili kişilerin açabildiği bir yerde tut. Dış paylaşım için ayrı ve temizlenmiş bir sürüm hazırla.

Olaydan geriye kalan tek kalıcı ürün rapordur. Ekip altı ay sonra ayrıntıyı unutur, insanlar ayrılır. İyi yazılmış rapor bütçe kararını, yeni kuralı ve sonraki tatbikat senaryosunu besler.

Raporlamada dört hata sık görülür. Birincisi tahmin yazmaktır; büyük olasılıkla dışarıdan bir grup cümlesi kanıt taşımıyorsa rapora girmez.

İkincisi kaynaksız sayıdır. Üçüncüsü kişiyi suçlamaktır. Rapor da toplantı gibi süreci anlatır; suçlanacağını bilen kişi bir sonraki olayda ayrıntıyı saklar.

Dördüncüsü raporu herkese açık kanalda paylaşmaktır. Her birinin karşılığı var: kanıt dili, damgalı sayı, suçlamasız çerçeve ve paylaşım etiketi. Bu dört alışkanlık, raporu tek seferlik bir belge olmaktan çıkarıp kurum hafızasına dönüştürür.