SOC hizmeti aldığımızda olay müdahalesi de dahil mi, yoksa ayrıca mı faturalanır?

Uç nokta güvenlik yazılımınızda uzaktan aksiyon yeteneği varsa, bunu sözleşmede 'otomasyon senaryoları' (playbook) olarak tanımlatın. Analist gece sizi aramadan önce zararlı tespit edilen istemciyi tek tuşla ağdan izole edebilmeli. Bu aktif müdahale değil, standart ilk tepkidir ve ek ücrete girmemelidir.

Geçen yıl başımıza gelen bir saldırıda SOC firması gece arayıp 'sunucunuzda olağan dışı şifreleme aktivitesi var' dedi ve kapattı. Müdahale ekibi çağırmak zorunda kaldık, saatine 4.000 TL üzerinden 18 saatlik fatura çıkardılar. Mutlaka sözleşmeye dahil en az 15-20 saatlik müdahale kotası koydurun.

Hemen bir RACI matrisi hazırlayın. Alarm çıktığında kim bilgilendirilecek, makineyi kim izole edecek, yedekleri kim kontrol edecek tek tek yazın. Karşı tarafa 'bu matristeki aksiyon adımlarından hangilerini üstleniyorsunuz' diye sorun, gelen cevabı sözleşme eki yapın.

'Her şeye biz müdahale ediyoruz' diyen ucuz firmalara şüpheyle yaklaşın. Gece vardiyasında asgari ücretle çalışan stajyer analist sizin muhasebe sunucunuzu kapatırsa zarar saldırıdan beter olur. işte yetki sınırları net çizilmemiş aktif müdahaleler çok tehlikelidir.

bizde de benzeri oldu sabah 4 te mail atmislar sisteminizde supheli hreket var diye bir de sbah 8 de ise gelince gorduk ki tum doysa sunucusu kilitlenmis. sadece bildirim yapacaklarsa o parayi vermenin hic bi mantigi yok acikcasi.

Kendi bünyenizde gece alarm geldiğinde sistemlere bağlanıp sunucu kapatabilecek veya yedekten dönebilecek nöbetçi bir sistem yöneticiniz var mı? işte yoksa olay müdahalesini dışarıya devretmek zorundasınız demektir.

peki EDR yazılımı kurduğumuzda zaten sistem kendisi otomatik karantinaya almıyor mu? sOC ekibinin bunu manuel olarak yapmasııyla yazılımın yapması arasında ne fark var?

Tartışmanın özeti şu: İzleme ve bildirim temel hizmettir, derin müdahale ise ek faturaya tabidir. Masrafları öngörülebilir kılmak için ilk izolasyon aksiyonlarını standart pakete yazdırın, derin analiz için de sözleşmeye baştan sabit saatli bir müdahale paketi ekletin.

Burada bir tuzak var söylemeden geçmeyeyim. açıkçası ölçmeden karar verince hep aynı yere geliyoruz.

Karar verirken en kötü senaryoyu da yazın sadece iyisini dgl. neyse bu kadar uzattıysam kusura bakmayın.

Benim başımdan geçeni yazayım, belki işinize yarar. Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Ben olsam bu yoldan giderdim.

Dikkat edilmesi gereken bir şey var. Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

Not olarak bırakayım, lazım olur.

Yeni girenler icin kısa özet: Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Kolay gelsin.

Soracağım şey biraz acemice olacak, kusura bakmayın. Ölçmeden karar verince hep aynı yere geliyoruz.

Olayların çoğu zafiyetten değil, sızmış bir paroladan başlıyor. Umarım işinize yarar.

Kafamdaki soru işareti kalktı teşekkürler. işte soc olay müdahalesi dahil konusunda acele eden herkez aynı yerde takılıyor.

Not olarak bırakayım, lazım olur.

haklisiniz ben de ayni yooldan gectim. karari verirken eliinizde hangi veri var once ona bakin.

iki hafta boyunca not tutmak, altı aylıık tahminden iyi sonuç veriyor.

Kavramları ayıralım, karıştırılıyor. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Tecrübeyle sabit.

sonuna kdr katiliyorum.. sonra yedegin ayni agda ve ayni kimllikle erisilebilir olmasi onu hedefin pacrasi yapiyor.

guvenli olmak muulak deil; saldiriyi ugrasmaya degmmez hâle getirmek demek. sorunuz olursa yazin elimden geldigince cevaplarim

Katılıyorum. Yanlış alarmı azarlarsanız bir daha kimse bildirim yapmıyor.

Test edilmemiş bir yedek, yedek değildir. Bu kadar, uzattıysam kusura bakmayın.