Şirketiniz ele geçirildi mi? 10 işaret ve ilk 24 saat
CyberLord Güvenlik Ekibi Yazar profili
Kötü bir his çoğu zaman ilk bulgudur. Sunucu gece yarısı kendiliğinden yeniden başlar, muhasebe hiç yazılmamış bir faturayı sorar, ağ haftalardır olmadığı kadar yavaştır. Bu ayrıntıların hiçbiri tek başına kanıt değildir; üçü bir arada görüldüğünde ise tablo netleşir.
İhlal tespiti çoğu kurumda haftalar, hatta aylar alıyor. Saldırgan bu sürede ağı haritalıyor, erişimini kalıcılaştırıyor ve fidye yazılımını bekletiyor. Aşağıdaki on işaret, olay müdahalesi dosyalarında en sık gördüğümüz göstergelerdir.
Kısa cevap: hangi işaret acil sayılır
- Dosya uzantıları değiştiyse olay fidye yazılımı aşamasına geçmiştir; saatler değil dakikalar konuşulur.
- Envanterde olmayan yönetici hesabı veya yeni bir kalıcılık izi varsa saldırganın erişimi hâlâ canlıdır.
- Kendi alan adınızdan çıkan tanımadığınız e-postalar müşteri güvenini ve sözleşmeleri doğrudan tehdit eder.
- Tek uyarı için tüm sistemi kapatmayın; üç ve daha fazla işaret birlikteyse ihlal varsayımıyla hareket edin.
En yaygın on ihlal işareti
1. Envanterde olmayan yönetici hesabı
Ne görürsünüz: Kimsenin oluşturmadığı admin_temp, destek_kullanici ya da test_sys benzeri bir hesap.
Ne anlama gelir: Saldırgan kalıcılık kurmuştur. İlk açığı kapatsanız bile bu hesap geri dönüş kapısı olarak kalır.
2. Gece saatlerinde dışa akan veri
Ne görürsünüz: Mesai dışında, normalde o saatte çalışmayan bir sunucudan çıkan gigabaytlarca trafik. Ne anlama gelir: Veri sızdırma aşaması. Fidye yazılımı devreye girmeden önce müşteri kayıtları, kaynak kodu veya posta arşivi dışarı taşınır.
3. Yanlış makinelerde çalışan yönetim araçları
Ne görürsünüz: PowerShell, PsExec veya uzak masaüstü araçlarının, işi olmayan bir bilgisayarda, örneğin insan kaynakları dizüstünde çalışması. Ne anlama gelir: Saldırgan sistemin kendi araçlarını kullanır. Antivirüs imzaları bu araçları meşru gördüğü için hareket uzun süre görünmez kalır.
4. Kendiliğinden kapanan uç nokta koruması
Ne görürsünüz: Uç nokta güvenliği durmadan kapanıyor, uyarılar açıklamasız biçimde temizleniyor. Ne anlama gelir: Saldırgan yüksek yetkiye ulaşmış ve asıl hamlesinden önce savunmayı körleştiriyor. Bu, en güçlü erken uyarılardan biridir.
5. Art arda kilitlenen hesaplar
Ne görürsünüz: Onlarca çalışan aynı gün birden fazla kez hesabından atıldığını bildiriyor. Ne anlama gelir: Dizin servisine karşı yoğun parola denemesi yapılıyor olabilir. Kilitlenme sayısı, deneme hacminin yalnızca görünen kısmıdır.
6. Tarayıcıda izinsiz eklenti ve yönlendirme
Ne görürsünüz: Kimsenin kurmadığı araç çubukları, değişen ana sayfalar, alışılmadık arama sonuçları. Ne anlama gelir: Genellikle reklam yazılımı sanılıp ertelenir; kurumsal ağda ise oturum çerezlerinin çalınmasına zemin hazırlar.
7. Açıklanamayan bant genişliği tüketimi
Ne görürsünüz: Ağ sürünüyor, hizmet sağlayıcı ise hatta sorun görmüyor. Ne anlama gelir: Cihazlarınız bir botnetin parçası olabilir ya da saldırgan kendi dosyalarını sizin bağlantınız üzerinden taşıyordur. Aynı kapasite bir sonraki aşamada size yönelir.
8. Dosya uzantılarının değişmesi
Ne görürsünüz: Ortak sürücüde maliyet.xlsx.locked, tatil.jpg.enc gibi adlar beliriyor.
Ne anlama gelir: Şifreleme başlamıştır. İlk iş, etkilenen makinelerin ağ bağlantısını kesip yayılmayı durdurmaktır.
9. Plansız yeniden başlatmalar ve boşalan günlükler
Ne görürsünüz: Sunucular bakım penceresi dışında yeniden başlıyor, olay kayıtlarında beklenmedik boşluklar oluşuyor. Ne anlama gelir: Kalıcı bir bileşen yüklenmiş veya iz bırakan kayıtlar silinmiş olabilir. Günlük boşluğu tek başına bile soruşturma gerekçesidir.
10. Kendi alan adınızdan çıkan e-postalar
Ne görürsünüz: Müşteriler hiç göndermediğiniz bir faturayı yanıtlıyor, tedarikçiler ödeme hesabı değişikliğini teyit ediyor. Ne anlama gelir: Posta altyapısı ele geçirilmiştir. Saldırgan güvenilir alan adınızı kullanarak iş e-postası dolandırıcılığı yürütür; zarar çoğu zaman sizin sisteminizde değil, iş ortağınızın kasasında oluşur.
İşaretleri doğrularken hangi kanıtı saklamalı
Şüpheli bulguda ilk tepki temizlik olmamalı. Hangi kaydın okunduğunu ve hangi parolanın güvenilir olduğunu yalnızca şu kayıtlar yanıtlar:
- Kimlik kayıtları: oturum açma geçmişi, yeni oluşturulan hesaplar, grup üyeliği ve yetki değişiklikleri.
- Uç nokta telemetrisi: çalışan süreçler, ağ bağlantıları ve açık oturumların anlık görüntüsü.
- Kalıcılık izleri: zamanlanmış görevler, servis kayıtları, başlangıç girdileri ve değişiklik talebi olmayan uzak erişim yazılımları.
- Posta kutusu verisi: yönlendirme kuralları, otomatik iletim adresleri ve gönderilmiş öğeler.
- Ağ akışı: mesai dışı çıkış trafiği ve alışılmadık hedef adresler.
Bu kayıtların kopyasını, üzerinde çalışan herkesin adını ve saatini yazarak alın; sonraki raporların omurgası bu zincir olur.
İlk 24 saat: sıra hızdan önemlidir
İlk saatte her şeyi yeniden kurmak ilerleme gibi görünür, çoğu zaman değildir; saldırganın nereye kadar gittiğini gösteren kayıtlar tam o sırada silinir.
Üç rolü kabloyu çekmeden önce atayın
- Olay lideri: zaman çizelgesini tutar, her kesintili kararı onaylar ve şirket adına konuşur.
- Kanıt sorumlusu: hangi cihaza kimin dokunduğunu yönetir, her disk görüntüsü ve bellek kaydı için tutanak tutar.
- İş sorumlusu: bir hizmeti kapatmanın ticari bedelini kabul eder ve bunu yazılı olarak onaylar.
0-2 saat: kanamayı durdurun
Etkilenen makineleri ağdan çıkarın; fişi çekmek yerine portu kapatın veya karantina ağına alın, çünkü bellek içeriği kaybolmaz. Şüpheli hesapların açık oturumlarını ve kimlik jetonlarını iptal edin; yalnızca parola değiştirmek çalınmış oturumu geçersiz kılmaz. Toplu silme ve temizlik betiklerini durdurun. Çalışanlara tek talimat verin: şüpheli e-postayı silmek yerine bildirin.
2-12 saat: yeniden kurmadan önce kanıt toplayın
Bellek görüntüsü, kimlik kayıtları ve posta kuralları bu saatlerde alınır. Kapsamı daraltmak için acele ederseniz, soruşturmanın tek gerçek sorusu olan hangi kayıtların okunduğu sorusu yanıtsız kalır.
12-24 saat: kapsamı daraltın ve iletişimi yönetin
İlk erişim noktasını kapatın, ayrıcalıklı hesapları temiz bir cihazdan yenileyin, çok faktörlü doğrulamayı zorunlu kılın. Müşteri, sigortacı ve hukuk ekibi için tek bir bilgi notu hazırlayın; her muhataba farklı açıklama yapmak sonradan tutarsızlık üretir.
Saldırganın izlediği yöntemler ve kullandığı araçlar hakkında daha geniş bir çerçeve için siber güvenlikte TTP yazımız iyi bir başlangıçtır.
Hedefli saldırı mı, fırsatçı zararlı yazılım mı
Ayrım bütçeyi ve takvimi değiştirir; erken tahmin yapıp kanıt geldikçe düzeltin.
- Fırsatçı zararlı yazılım gürültülüdür: aynı kötü amaçlı dosya birçok cihazda görülür, fidye notu geneldir, denemeler dizindeki tüm hesaplara yayılır.
- İnsan yönetimindeki saldırı sessizdir: az sayıda makineye sırayla dokunulur, mesai dışı keşif yapılır, meşru yönetim araçlarıyla yatay hareket edilir, faturaları sessizce ileten posta kuralları kurulur ve soruşturmayı zorlaştıracak kayıtlar silinir.
İkinci gruptaki özelliklerden üç veya daha fazlası bir aradaysa olayı hedefli kabul edin: daha uzun bir inceleme, daha geniş bir parola yenileme ve daha temkinli bir yeniden kurulum gerekir.
Bildirim saati ne zaman başlar
Yükümlülük temizlik bittiğinde değil, ihlalin doğrulandığı anda başlar. Kişisel veri içeren bir ihlalde KVKK ve GDPR kapsamında genellikle 72 saat içinde bildirim beklenir. Sözleşmeler kanundan daha katı olabilir: müşteri sözleşmeleri, ödeme sağlayıcı şartları ve siber sigorta poliçeleri saat bazında haber vermenizi isteyebilir. Kararları, dayandıkları hukuki görüşle yazıya geçirin.
Müdahale bütçesi nasıl okunur
- Ön anlaşma: küçük kurumlar yıllık ücretle öncelikli erişim satın alır; satın alınan şey saat bloğu değil, sözleşmede tanımlı müdahale taahhüdüdür.
- Acil müdahale: danışman gün ücretleri genellikle dört haneli rakamlardan başlar; tek cihazlı olay günler içinde kapanabilir.
- Tam soruşturma ve yeniden kurulum: veri kaybı olan çok sunuculu bir olay orta ölçekli bir ortamda on binlerle ifade edilir; hukuk, bildirim ve kesinti eklendiğinde altı haneye çıkabilir.
- Fidye talepleri: tutar ne olursa olsun, şifre çözme aracının çalışacağına veya çalınan verinin silineceğine dair garanti yoktur. Ödeme bir teknik değil, hukuki ve ticari karardır.
Sık sorulan sorular
Şüpheli bir işaret gördüm, hemen her şeyi kapatmalı mıyım? Hayır. Önce işaretin hangi sistemde görüldüğünü ve kaç cihaza yayıldığını belirleyin. Yalnızca fidye yazılımı yayılıyorsa etkilenen segmenti derhal ağdan çıkarın; geri kalanı çalışır tutun, çünkü kesinti de bir maliyettir.
Makineyi kapatmak kanıtı korur mu? Tam tersi. Kapatmak bellekteki oturumları, çalışan süreçleri ve ağ bağlantılarını siler. Fişi çekmek yerine ağ bağlantısını kesin ve cihazı çalışır durumda bırakın.
Saldırganı geri hacklemek çözüm olur mu? Hayır. Yetkiniz olmayan sistemlere müdahale etmek suçtur ve delil değeri taşıyan kayıtları riske atar. Yasal yol, kolluk birimine başvuru ve kayıtlı bir olay müdahalesidir.
Küçük bir şirketim, olay müdahale ekibi tutmak şart mı? Şart değil ama hazırlık şart. En azından bir iletişim listesi, kanıt toplama talimatı ve kimin karar vereceğini yazdığınız kısa bir plan, olay anında saatler kazandırır.
İhlal ortaya çıkarsa müşterilere kim söyler? Bildirim yükümlülüğü hukuk ve veri koruma sorumlusunun kararıdır; teknik ekip yalnızca etkilenen veriyi kanıtlar. Mesaj tek elden çıkmalıdır.
Sonuç
İşaretleri tanımak, saldırıyı durdurmaktan daha kolay. Bu yüzden ilk 24 saat planını olay anında değil, sakin bir günde yazın: rolleri atayın, kanıt toplama adımlarını belirleyin ve bildirim sorumlusunu netleştirin. Geri kalanı, hazırlıklı bir ekibin işidir.
Şüpheli bir bulgu varsa ve nereden başlayacağınızdan emin değilseniz ekiple görüşün.