Güvenlik Operasyonlarına Hazırlık

Hazırlık, genel bir olgunluk puanıyla değil, iş üzerindeki sonuçla başlar. Ele geçirilmesi, bozulması veya kaybedilmesi hâlinde en ağır operasyonel, mali, hukuki ya da güvenlik etkisini doğuracak hizmetleri, kimlikleri, verileri, tesisleri ve tedarikçileri belirleriz. Hangi senaryonun öncelikli olduğu, hangi kanıtın erişilebilir tutulacağı ve hangi kararın kurul bekleyemeyeceği buradan çıkar. Fidye yazılımı, ayrıcalıklı hesap ele geçirme, bulut yönetim düzlemi ihlali ve tedarikçi kaynaklı olay aynı insanları, kayıtları ve izolasyon kararlarını gerektirmez.

Mevcut durum kaydı; doğrulanmış kabiliyeti, politika metnini, varsayımı ve bilinmeyeni birbirinden ayırır. Planda olay yöneticisi yazabilir ama vekili olmayabilir. Bir uyarı, mesai dışında kimsenin izlemediği ortak posta kutusuna düşebilir. Adli inceleme lisansı bulunabilir fakat tek yönetici, hesabı soruşturulan kişi olabilir. Kurumu ‘hazır’ diye nitelemeden önce bu çalışma gerçeklerini sınarız.

Yazılı kapsam; incelenecek ortamları, lokasyonları, dilleri, hizmet saatlerini, tedarikçi yükümlülüklerini, kanıt kaynaklarını ve tatbikat derinliğini sabitler. Neyin kapsam dışında olduğu da aynı açıklıkla yazılır. Hazırlık çalışması eksikleri görünür kılar ve kararları prova eder; kendiliğinden sürekli izleme, acil müdahale, sızma testi, red team, uygunluk belgesi ya da müşterinin güvenlik araçlarını süresiz işletme yükümlülüğüne dönüşmez.

Bir kayıt kaynağı, neyi yanıtladığı bilinmeden hazırlık tasarımına alınmamalıdır. Her öncelikli senaryo için hangi davranışın görülebilmesi gerektiğini, bunu hangi kaynağın göstereceğini, kaynağın kimde olduğunu, verinin ne kadar gecikmeyle geldiğini ve ne kadar süre kullanılabilir kaldığını sorarız. Kimlik, uç nokta, e-posta, güvenlik duvarı, DNS, bulut, uygulama, veri tabanı, yedekleme ve fiziksel erişim kayıtlarının hepsi değerli olabilir; fakat bir soruya, saklama dayanağına ve işletme sahibine bağlanmadan her şeyi toplamak yalnız maliyet ve gürültü yaratır.

Kayıtların varlığı ekrandaki yeşil işaretten anlaşılmaz; erişim sınamasıyla doğrulanır. Yetkili bir müdahale personeli gerekli tarih aralığını çekebiliyor mu, zaman çizelgesi için gereken alanlarda arama yapabiliyor mu, kayıtları ortak saat üzerinden ilişkilendirebiliyor mu ve başka bir inceleme ekibinin kullanacağı biçimde dışa aktarabiliyor mu? Bütünlük, saklama süresi, kişisel veri, bölgesel konum, ayrıcalıklı erişim ve ana güvenlik platformı güvenilmez olduğunda kullanılacak alternatif yol da aynı testin parçasıdır.

Tespit kapsamı, belirlenen tehdit senaryoları ve iş varlıklarıyla ilişkilendirilir. Kaynak olaydan kurala, zenginleştirmeye, uyarıya, kuyruğa, insan kararına ve kapanış kaydına kadar zinciri izleriz. Böylece sahibi olmayan uyarılar, kopmuş bağlantılar, kayıtsız bastırmalar, sınanamayan kurallar ve önemli sinyali örten yüksek hacimli gürültü ortaya çıkar. Güvenli doğrulama yalnız üzerinde anlaşılan sentetik veya geçmiş kanıtla yapılır; saldırı gerçekleştirme yetkisi vermez.

Güvenlik olayları kurum içindeki sınırları hızla aşar. Teknik ekip, gelir üreten bir sistemi ayırmak için onay bekleyebilir. Hukuk ekibinin savunulabilir bir zaman çizelgesine ihtiyacı olabilir. Tek kritik kaydı bir tedarikçi tutabilir. Müşteri ekibi, olgular netleşmeden sorular almaya başlayabilir. Bu nedenle çalışma modeli; güvenlik, BT, bulut, ürün, yönetim, hukuk, mahremiyet, insan kaynakları, finans, iletişim ve ilgili tedarikçileri kapsar; fakat herkesi her görüşmeye çağıran verimsiz bir düzen kurmaz.

Ön inceleme, gözlem ile yorumu birbirinden ayırır. Kaydı neyin açtığı, hangi varlık ve kimliklerin etkilenmiş göründüğü, kanıtın güvenilirliği, acil güvenlik riski, muhtemel iş etkisi ve sıradaki kararın son zamanı yazılır. Yeni kanıt geldikçe önem derecesi artabilir veya azalabilir. Açık ilan ölçütleri, gerçek bir ihlalin sonsuz analizde bekletilmesini de doğrulanmamış bir uyarının erken kriz ilanına dönüşmesini de önler.

İletişim, sistemlerin sağlıklı olmadığı ihtimali düşünülerek tasarlanır. Kişi listelerinde vekiller ve birden fazla erişim yolu bulunur; hassas olay görüşmesi yalnız ele geçirilmiş olabilecek kurumsal hesaba dayanmaz; yönetim bilgilendirmesi olgu, çalışma varsayımı, alınan karar ve bilinmeyeni ayırır. Dış bildirim kararı müşterinin yetkili yöneticisiyle hukuk ve mevzuat sorumlularına aittir. Hazırlık hizmeti düzen kurabilir; açık yetki olmadan hukuki sonuç üretmez ve dış tarafa bildirim göndermez.

İşe yarayan bir müdahale kılavuzu, genel olay aşamalarını sıralayan şablon değildir. Müşterinin ortamında tetikleyiciyi, ön koşulu, yetkiyi, korunacak kanıtı, karar noktalarını, teknik eylemi, bağımlılıkları, güvenlik kontrollerini, iletişimi ve çıkış ölçütünü söyler. Öncelikli kılavuzlar; ayrıcalıklı kimlik ele geçirme, fidye yazılımı, kurumsal e-posta dolandırıcılığı, açığa çıkan bulut anahtarı, web uygulaması ihlali, veri kaybı, kalıcılık veya kritik tedarikçi arızasını ele alabilir. Senaryo listesi hazır katalogdan değil, risk ve sonuçtan çıkar.

Yetki ve sıra net değilse sınırlama işlemi işletmeye zarar verebilir veya kanıtı yok edebilir. Uç noktayı ayırmak, oturumları iptal etmek, anahtarları çevirmek, ağ yolunu kapatmak, kiracı entegrasyonunu durdurmak ya da kamuya açık hizmeti çevrimdışı almak farklı etki alanlarına ve geri dönüş ihtiyaçlarına sahiptir. Kararı verecek kişiyi, uygulayacak operatörü, önce toplanacak kanıtı ve müdahaleden önce gözlemin sürdürülmesi gereken koşulu belirleriz.

Kurtarma, güvenlik ekibi işi bitti dediğinde başka bir ekibe bırakılan son aşama değildir. Temiz durum ölçütünü, yedek veya yeniden kurulum kaynağını, kimlik kurtarmayı, bağımlılık sırasını, kapasiteyi, teknik doğrulamayı, iş kabulünü ve yoğunlaştırılmış izleme dönemini aynı olaya bağlar. Tedarikçi adımları gerçek sözleşme ve temas kanalları üzerinden sınanır. Bir sağlayıcı logosu veya destek paketi; kanıt, izolasyon ya da geri yüklemenin müşterinin ihtiyaç duyduğu sürede yapılacağını tek başına göstermez.

Senaryodan önce tatbikatın amacı gelir. Bir oturum yönetimin karar yetkisini ve dış iletişimi, başka bir oturum analistin kayıt çekmesini, kimliği sınırlandırmasını ve işi tedarikçiye devretmesini sınayabilir. Katılımcılar, olay akışı, paylaşılacak bilgi, zaman baskısı ve güvenlik sınırları bu amaca göre tasarlanır. Masa başı tartışması ile kontrollü teknik doğrulama farklı sınamalardır; hiçbiri canlı saldırgan simülasyonu gibi sunulmaz.

Gözlemciler alınan kararları, geçen süreyi, bulunamayan kanıtı, çalışmayan erişimi, belirsiz yetkiyi, güvenli olmayan adımı, tedarikçi gecikmesini ve geçici çözümü kaydeder. Tatbikat sonrası belge, gösterilmiş kabiliyet ile söylenen niyeti ayırır. Sorunu örten kozmetik bir puan yerine asıl soruya cevap verir: Kurum, gerçekten sınanan koşullarda görebildi mi, karar verebildi mi, harekete geçebildi mi, iletişim kurabildi mi ve geri dönebildi mi?

Bulgular; iş sonucu, kanıt, düzeltici eylem, sorumlu, tarih ve yeniden sınama koşuluyla takip listesine dönüşür. Kritik bir eksik, yalnız belge güncellendiği için kapatılmaz. Devir paketinde kapsam tabanı, kayıt ve uyarı sicili, iletişim ve yetki matrisi, onaylı kılavuzlar, tatbikat paketi, gözlem kaydı, bilinen sınırlar ve yeni incelemeyi tetikleyecek değişiklikler bulunur. Ekip, tedarikçi, sistem ve tehdit değiştikçe hazırlık da eskir; devam ritmini müşteri yazılı olarak seçer.