Olaya ilk müdahale

Alarm çaldı. Bir sunucuda tanımadığın bir süreç koşuyor ve dışarıya bağlantı açıyor. İlk refleks çoğu kişide aynıdır: makineyi kapat, diski biçimlendir, işi bitir. Bu refleks olayı çözmez.

Kanıtı yok eder ve saldırganın nereden girdiğini öğrenme şansını götürür. Giriş noktası açık kaldıkça saldırgan geri döner. Olay anında ekipler çoğu zaman bilgisizlikten değil, panikten hata yapar. Bu yüzden müdahale, gece yarısı düşünmeye gerek kalmasın diye önceden yazılmış bir sırayla yürür.

Olay müdahalesinde (incident response) en çok bilinen rehberlerden biri NIST'in SP 800-61 belgesidir. 2012 tarihli r2 sürümü döngüyü dört evrede anlatırdı: hazırlık; tespit ve analiz; sınırlama, temizleme ve kurtarma; olay sonrası etkinlik.

Nisan 2025'te yayımlanan r3 sürümü bu dört evreli modelin yerine geçti. Aynı işleri NIST Siber Güvenlik Çerçevesi 2.0'ın altı işlevine bağladı: Yönet, Tanı, Koru, Tespit Et, Yanıtla, Kurtar. Adlandırma değişti ama mantık aynı kaldı: önce yayılmayı durdur, sonra kanıtı koru, en son temizle.

r3 bu değişikliği bir gözleme dayandırır. 2012'de olaylar görece seyrekti, çoğunun kapsamı dar ve belirgindi, müdahale ile kurtarma çoğu zaman bir iki günde biterdi. Bu yüzden müdahaleyi ayrı bir ekibin ara sıra yürüttüğü kapalı bir döngü saymak gerçekçiydi.

Bugün olaylar sık yaşanıyor ve çok daha fazla zarar veriyor, kurtarma çoğu zaman haftalar hatta aylar sürüyor. r3 bu yüzden müdahaleyi kurumun sürekli risk yönetiminin bir parçası sayar. Çıkarılan dersin de kurtarmanın bitmesi beklenmeden, bulunduğu anda paylaşılmasını ister.

Altı işlevi kısaca ayır. Yönet, kurumun risk stratejisini ve rollerini belirler; müdahale planı da buradan doğar. Tanı, kurumun güncel risklerini anlamaktır: neyin korunduğu, zayıf noktanın nerede olduğu.

Koru, olayı baştan engelleyen kontrolleri kurar. Bu üçü hazırlık tarafıdır ve olaydan önce iş görür. Tespit Et, Yanıtla ve Kurtar ise olay sırasında çalışır: saldırıyı görür, durdurur ve sistemi geri getirir. r3'ün ayrımı nettir: ilk üç işlev müdahaleyi hazırlar, son üçü müdahaleyi yürütür.

Hazırlık olaydan önce başlar. Plan yazılır, roller belirlenir, bellek ve disk imajı alacak araçlar ve iletişim listesi hazır tutulur. Logların merkeze aktığı ve sunucu saatlerinin eşit olduğu da bu aşamada sınanır.

Tespit ve analizde alarmı doğrular, kapsamı çıkarırsın: kaç makine etkilendi, hangi hesaplar kullanıldı, saldırgan ne zamandan beri içeride? Yanlış alarmı olay ilan etmek ekibin gücünü boşa harcar; gerçek olayı yanlış alarm sanmak ise çok daha pahalıdır. Bu yüzden ilk dakikada kısa bir not defteri açar, her gözlemi saatiyle yazarsın.

Şemada sınırlama (containment) temizlemeden önce gelir, ekipler buna kontrol altına alma da der. Sınırlamanın amacı yayılmayı durdurmaktır, sorunu kökünden sökmek değil. Ardından bellek ve disk imajı alarak kanıtı dondurursun. Temizleme ancak giriş noktası ve zaman çizelgesi çıktıktan sonra gelir, sistem çoğu zaman temiz imajdan yeniden kurulur.

Kurtarma sistemi güvenle üretime döndürür ve bir süre yakın izlemede tutar. Çıkarılan ders de bir sonraki hazırlığı besler. Sıranın mantığı tek cümleye sığar: her adım, bir sonrakinin ihtiyaç duyduğu veriyi korur.

Sınırlamada en sık hata makineyi kapatmaktır. Kapatma yayılmayı durdurur ama belleği siler. Bellekte neler duruyordu? Çalışan süreçler, açık ağ bağlantıları, çözülmüş anahtarlar, diske hiç yazılmamış zararlı kod.

RFC 3227 açık konuşur: kanıt toplama bitmeden sistemi kapatma. Dahası, saldırgan kapanış betiklerini kanıtı silecek biçimde değiştirmiş olabilir. Disk şifreliyse kapatma, bellekte açık duran anahtarı da götürür ve diski okunmaz bırakabilir. Aşağıdaki çıktılar, gece alarm veren web-02 sunucusunda nöbetçi analistin ilk iki dakikada gördüklerini gösterir.

# Araçlar korumalı USB'den çalışır: /mnt/ir
$ sudo /mnt/ir/ss -tnp state established
Recv-Q Send-Q  Local Address:Port   Peer Address:Port   Process
0      0           10.0.0.21:44812  203.0.113.77:4444   users:(("kworkerd",pid=3121,fd=5))

# Süreci başlatan dosya nerede?
$ sudo /mnt/ir/readlink /proc/3121/exe
/tmp/.x/kworkerd (deleted)

# Bellek imajı dış diske alındı, özeti kaydediliyor
$ sha256sum /mnt/kanit/web-02-bellek.lime
7d18d52cf602420040ded69da6c9996df45203ee206c7df91c10dbf795bec6e1  /mnt/kanit/web-02-bellek.lime

Çıktıyı satır satır oku. ss komutu kurulu bağlantıları ve onları açan süreci gösterir. 10.0.0.21 sunucunun kendi adresidir.

Karşı uçtaki 203.0.113.77 adresinin 4444 portu, kurumun tanıdığı hiçbir servise ait değildir. Sürecin adı kworkerd, yani çekirdeğin kworker iş parçacıklarını taklit eden bir ad. readlink çıktısındaki (deleted) ifadesi çok şey söyler: süreci başlatan dosya diskten silinmiş, kod yalnız bellekte yaşıyor.

Süreç ayakta kaldıkça dosyayı /proc/3121/exe üzerinden kopyalayabilirsin; makineyi kapatırsan bu tek kopya da gider. Son satır bellek imajının SHA-256 özetidir. Özet, imajın sonradan değişmediğini kanıtlamanın yoludur. Araçlar USB'den çalışır, çünkü ele geçmiş sistemdeki ss de değiştirilmiş olabilir.

Doğru hamle ağdan yalıtmaktır. Kabloyu çekersin, uç nokta güvenlik aracıyla makineyi karantinaya alırsın ya da güvenlik duvarında makineyi ayırırsın. Makine ayakta kalır, saldırgan bağlantısını kaybeder, bellek elinde durur. Aynı anda sızan hesapların oturumlarını kapatır, parolalarını döndürürsün.

Sınırlama her zaman tek hamlede bitmez. Bazen saldırganı hemen koparmak yerine kısa süre izlemek daha çok bilgi verir; hangi sistemlere uzandığını, hangi hesapları kullandığını görürsün. Ama bu kararı bilinçli verirsin ve riski tartarsın: izlerken saldırgan veri sızdırmaya ya da zarar vermeye devam edebilir. Çoğu olayda doğru seçim hızlı yalıtımdır; uzun izleme yalnız olgun bir ekibin, net bir planla aldığı bir karardır.

Kanıtı uçucudan kalıcıya doğru toplarsın. RFC 3227 bu sırayı net koyar: önce yazmaçlar ve önbellek; sonra yönlendirme tablosu, ARP önbelleği, süreç tablosu, çekirdek istatistikleri ve bellek gelir. Ardından geçici dosya sistemleri, disk, uzak log kayıtları, fiziksel yapılandırma ve ağ topolojisi toplanır, arşiv ortamları en sona kalır.

Mantık basittir: en çabuk kaybolan kanıtı en önce alırsın. Belleği kapatma siler, diskteki dosya ise biraz daha dayanır.

Uçuculuk sırasını bir örnekle gör. Bellekte, saldırganın az önce çözdüğü bir şifreleme anahtarı duruyor olabilir; makineyi kapatırsan o anahtar sonsuza dek gider. Aynı anahtarın diskte şifreli hâli kalsa bile, onu açacak değer bellekteydi.

ARP önbelleği ve açık bağlantılar da saniyeler içinde değişir. Disk ise kapatsan bile çoğu veriyi korur. Bu yüzden önce belleği, sonra uçucu tabloları, en son diski alırsın.

Kök neden aşamasında zaman çizelgesi çıkarırsın. İlk erişim ne zaman oldu? Hangi hesap kullanıldı? Saldırgan hangi komutları çalıştırdı?

Müdahale boyunca saat saat tuttuğun kısa notlar bu çizelgenin ham verisidir. Merkezi loglar, bellek imajı ve disk imajı aynı çizelgeye yerleşir; saatler UTC olduğunda üç kaynak birbirine kolayca oturur. Örnekteki süreç www-data kullanıcısıyla çalışıyorsa giriş noktası büyük olasılıkla web uygulamasıdır. Çizelge giriş noktasını gösterir, giriş noktası kapanmadan yapılan temizlik ise saldırgana aynı kapıyı açık bırakır.

Temizleme adımında kalıcılığı sökmek şarttır. Saldırgan genelde geri dönüş yolu bırakır: yeni kullanıcı, zamanlanmış görev (cron), authorized_keys dosyasına eklenmiş SSH anahtarı, değiştirilmiş servis dosyası. MITRE ATT&CK bu yolları kalıcılık (persistence) taktiği altında toplar; izini örtmek için yerel logları silmeyi de T1070 numarasıyla ayrıca anar. Ele geçen sistemi yamalayarak temizlemek riskli kalır, çünkü gözden kaçan tek bir arka kapı yeter.

En güvenli yol temiz imajdan kurmaktır. Kurduktan sonra yeni sistemi izlemeye alır, sızan bütün kimlik bilgilerini döndürür ve kapattığın açığın gerçekten kapandığını sınarsın. Bu doğrulama atlanırsa 'temizledik' demek bir varsayımdan ibaret kalır.

İletişim de müdahalenin parçasıdır. Kim karar verecek, kim yazacak, kim dışarıyla konuşacak? Rolleri olay başında belirle. Bilgi boşluğunu söylentiler doldurur; bu yüzden kimin, kime, hangi aralıkla bilgi vereceğini önceden yaz.

Kişisel veri sızdıysa hukuk ekibini ilk saatlerde masaya al. Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir; bu yükümlülük Kanun'un 12. maddesinin 5. fıkrasına dayanır.

İhlalden etkilenen kişilere de makul olan en kısa sürede haber verilir. İhlal, etkileri ve alınan önlemler kayıt altına alınır.

Son adım ders çıkarmaktır. Kişiyi değil süreci sorgula: hangi kontrol olsaydı olay durur ya da erken görünürdü? Yanıtı somut bir işe çevir, bir sahip ve bir tarih ata.

Örneğin yamasız panel için yama takvimi, geç gelen uyarı için yeni bir tespit kuralı yazılır. r3'ün vurgusu da burada: ders, kurtarmanın bitmesini beklemeden paylaşılır ve bütün işlevleri besler. Sabah gelen ekip için yazılan kısa müdahale notu bu dersin ilk taslağıdır.

Aynı sıra buluta da taşınır, yalnız araçlar değişir. Fiziksel kablo yerine ağ kuralları, fiziksel disk yerine anlık görüntü gelir. Bulutta hız bir avantajdır: tek bir ağ kuralı değişikliğiyle makineyi kısa sürede yalıtır, konsoldan birkaç tıkla disk görüntüsü alırsın.

Sanal makineyi silmek ya da durdurmak ise belleği götürür; faturayı hemen kesme isteği bu hatanın en sık nedenidir. İlke yine aynı kalır: önce bağlantıyı kes, belleği ve diski koru, sonra kök nedeni bul.