Barındırma firması «hacklendiniz» dedi — ilk saatte siber olaya müdahale adımları neler?

Yazılımcınızın elini klavyeden çektirin. 'Şüpheli dosyaları temizleyelim' yaklaşımı acemi refleksidir ve adli bilişim kanıtlarını tamamen çöp eder. Saldırganın arka kapıyı nereye bıraktığını bulmadan yapacağınız her temizlik sahte bi güvenden ibarettir.

Ağ kablosunu panelden sanal olarak çekin ama makine çalışmaya devam etsin. Konsol üzerinden network soket durumunu, çalışan süreç ağacını ve açık dosya tanıtıcılarını harici bir hedefe aktarın. Saldırganın bellekte çalışan işlemleri makine yeniden başladığında kaybolur.

Tüm harici servis şifrelerini veritabanı parolalarını ve sunucu erişim anahtarlarını güvenli bir cihazdan hemen sıfırlayın. Fakat bunu sunucunun kendi içinden değil, tamamen bağımsız başka bir bilgisayar üzerinden yapın.

Geçen yıl benzer bir uyarı aldığımızda panikle makineyi sıfırlayıp yedekten döndük. Giriş noktasını bulamadığımız için iki gün sonra 45.000 SAR fidye notuyla karşılaştık ve adli analiz için 60.000 SAR ekstra harcamak zorunda kaldık. Kanıt olmadan hareket etmeyin.

Barındırma firmasının 'hacklendiniz' demesi her zaman içeride saldırgan olduğu anlamına gelmez. Bazen sunucudaki hatalı yapılandırılmış bir DNS servisi veya dışa açık bir SMTP kuyruğu da bu alarmları tetikler. Ağ bağlantısını kesin ama sistemi hemen suçlu ilan etmeyin.

İlk 60 dakikanın sırası şudur: 1) Sunucunun dış internet erişimini kes. 2) RAM dökümü ve disk snapshot al. 3) Yönetim parolalarını bağımsız cihazdan değiştir. 4) Barındırma firmasından anormal trafik kayıtlarını yazılı iste. 5) Şirket yönetimi ve hukuk danışmanına resmi bilgi ver.

Siber olay anında yapılacak teknik müdahaleler ile eşzamanlı olarak yasal yükümlülükler devreye girer. Kişisel veri ihlali şüphesi durumunda ilgili ulusal düzenleyici kurumlara ve etkilenen kullanıcılara bildirim yükümlülükleri doğabileceğinden, teknik adımların tutanak altına alınarak yürütülmesi esastır.

çok geçmiş olsun, böyle anlarda ofisteki gerginliği tahmin edebiliyorum... sakin olun ve birbirinizi suçlamayı bırakın... önemli olan sistemi alelacele açmak değl, saldırınnı kaynağını anlayıp kalıcı olarak kapatmak

anlamadığım bir yer var. ilk kez yapıorsanız küüçük başlayın ölçek snra gelir

sonucu buaya yaaazarsaniz baskalarina da faydasi olur

Peki şunu nsl çözdünüz? neyse unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.

Not olarak bırakayım lazım olur.

Küçük bir işletmeyim, benim tarafımdan anlatayım. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Tecrübeyle sabit.

Haklısınız, ben de aynı yoldan geçtim. Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

Buradan gidecekseniz şunu baştan halledin. olay müdahale adımları tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek. Umarım işinize yarar.

Aynısını yaşadım. olay müdahale adımları konusunda acele eden herkes aynı yerde takılıyor.

Yanlışım varsa düzeltin.

bizde şöyle oldu ve kaarar verirken en kötü senaryoyu da yazın sadece iyisini değl

katılıyorum ve yani yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor.

kolay gelsin.

olay müdahale adımları konusunda en çok atlanan nokta şu: Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor. Tecrübeyle sabit.