Olay müdahalesi: hazırlıktan ders çıkarmaya
NIST SP 800-61 yaklaşımıyla olayı tespit eder, sınırlar, temizler ve kurtarırsın; kanıt zincirini, iletişimi ve ders çıkarmayı yönetirsin.
Seviye 301 · 20 ders · 18 pratik lab
Dersler
Hazırlık
- NIST SP 800-61 ve olay müdahale yaşam döngüsü: Hazırlık, tespit ve analiz, sınırlama, temizleme, kurtarma ve ders çıkarma aşamalarını NIST CSF 2.0 ile ilişkilendirebilirsin.
- Olay müdahale planı ve ekip (CSIRT): Ekipteki rolleri, karar yetkilerini ve iletişim zincirini tanımlayan bir olay müdahale planı hazırlayabilirsin.
- Sıradan kayıt mı, güvenlik olayı mı: sınıflandırma ve önem: Bir bulgunun olay sayılıp sayılmayacağına karar verir, etkisine göre önem derecesini belirleyebilirsin.
- Hazırlık: iletişim listesi, erişimler, müdahale çantası: Olay anında aranmayacak hiçbir şey kalmaması için iletişim listesi, acil erişim ve araç çantasını önceden hazırlarsın.
- Kısa görev: küçük bir şirket için müdahale çantası listesi hazırla
Tespit ve analiz
- İlk müdahale: ilk saatte neler yapılır: İlk saatte bilgi toplama, kayıt açma, delili koruma ve ekibi çağırma adımlarını sırasıyla uygulayabilirsin.
- Olayın kapsamını belirlemek: etkilenen sistemler ve hesaplar: Göstergeleri tüm ortamda arayarak hangi sistem, hesap ve verinin etkilendiğini çıkarabilirsin.
- Uçucu delil sırası ve canlı sistemden veri toplamak: Bellek, ağ bağlantıları ve süreç listesi gibi kaybolabilecek verileri doğru sırayla ve iz bırakmadan toplayabilirsin.
- Kanıt zinciri formu ve delil kaydı: Her delilin kim tarafından, ne zaman alındığını ve kimlere geçtiğini gösteren kayıtları eksiksiz tutabilirsin.
- Kayıtlardan olay zaman çizelgesi kurmak: Farklı kaynaklardaki kayıtları saat dilimine dikkat ederek birleştirip olayın akışını gösteren bir zaman çizelgesi kurabilirsin.
- Kısa görev: bir uyarıdan kapsamı çıkar ve etkilenenleri listele
Sınırlama, temizleme, kurtarma
- Sınırlama stratejileri: yalıtmak, hesap kapatmak, engellemek: Delili bozmadan ve işi gereksiz durdurmadan yayılmayı kesecek sınırlama seçeneğini seçebilirsin.
- Temizleme: kök nedeni kaldırmak ve kalıcılığı kapatmak: Giriş yolunu, bırakılan hesapları ve kalıcılık mekanizmalarını bulup tamamen temizlendiklerini doğrulayabilirsin.
- Kurtarma ve yakından izleme: Sistemleri temiz yedekten ya da yeniden kurulumla geri getirir, bir süre artırılmış izlemeyle tekrarlamayı yakalarsın.
- Kısa görev: ele geçirilmiş bir sunucu için sınırlama kararını gerekçelendir
İletişim ve kapanış
- Olay iletişimi: iç paydaşlar, müşteri, düzenleyici: Kimin neyi, ne zaman ve hangi kanaldan öğreneceğini belirleyip doğru ve tutarlı mesajlar hazırlayabilirsin.
- Yasal bildirim süreleri ve hukukla çalışmak: GDPR, NIS2 ve sektör kurallarındaki bildirim sürelerini takvime döker, hukuk birimiyle birlikte karar verirsin.
- Olay raporu yazmak: Yönetici özeti, zaman çizelgesi, kök neden, etki ve önerileri içeren açık bir olay raporu yazabilirsin.
- Ders çıkarma toplantısı ve iyileştirme takibi: Suçlamadan uzak bir değerlendirme toplantısı yönetir, çıkan eylemleri sahipli ve tarihli olarak izlersin.
- Bitirme görevi: ele geçirilmiş bir e-posta hesabı olayını baştan sona yönet: Kurgusal bir şirkette ele geçirilmiş e-posta hesabını tespit eder, sınırlar, kanıtı korur, bildirimleri planlar ve olay raporunu yazarsın.
Pratik lablar
- Olay müdahale yaşam döngüsünü sırala: On eylemi NIST SP 800-61 aşamalarına yerleştir.
- Müdahale çantası listesi hazırla: Küçük bir şirket için iletişim listesi, erişimler ve araçları içeren müdahale çantası listesi yaz.
- Müdahale planındaki boşlukları bul: Kurgusal bir müdahale planını incele, eksik rolleri, erişimleri ve karar noktalarını raporla.
- Sıradan kayıt mı güvenlik olayı mı: Sekiz bildirimi olay ya da olay değil diye sınıflandır ve önem düzeyi ver.
- İlk saatte yapılacakları sırala: Bir oltalama bildiriminde ilk saatin eylemlerini önceliğe göre sırala ve her birinin sahibini yaz.
- Uyarıdan kapsamı çıkar: Tek bir uç nokta uyarısından başlayıp hazır kayıtlarla etkilenen sistem ve hesapları listele.
- Kanıt zinciri formunu başlat: Toplanan üç delil için formu özet, zaman ve teslim alan bilgisiyle doldur.
- Canlı sistemden uçucu veriyi topla: Lab sunucusundan süreç, bağlantı ve oturum verisini uçuculuk sırasına göre topla ve özetle.
- Kayıtlardan olay zaman çizelgesi kur: Üç kayıt kaynağını birleştirerek ilk erişimden tespite kadar zaman çizelgesi çıkar.
- Sınırlama seçeneklerini eşleştir: Yalıtma, hesap kapatma ve engelleme seçeneklerini altı durumla eşleştir.
- Sınırlama kararını gerekçelendir: Ele geçirilmiş bir sunucu için kapatma ile ağdan yalıtma arasında seç ve delil ile iş etkisini tart.
- Lab sunucusunu yalıt ve doğrula: Güvenlik duvarı kurallarıyla sunucuyu yalıt, yalnızca müdahale erişiminin açık kaldığını sınayarak kanıtla.
- Kalıcılık noktalarını listele: Hazır lab sunucusunda eklenmiş hesap, anahtar ve zamanlanmış görevi bul.
- Kök nedeni kaldır: Giriş yolunu kapat, kalıcılığı temizle ve her adımı doğrulama komutuyla kanıtla.
- Kurtarma ve yakın izleme planı: Sunucuyu hizmete alma sırasını, izlenecek göstergeleri ve geri dönüş koşulunu içeren plan yaz.
- Paydaşa durum güncellemesi yaz: Teknik olmayan bir yöneticiye beş cümlelik durum güncellemesi yaz.
- Bildirim sürelerini hesapla: Bir kişisel veri ihlalinde farklı ülke kurallarına göre bildirim son tarihlerini çıkar.
- E-posta hesabı olayını baştan sona yönet: Mercanköşk Otelcilik'te ele geçirilmiş e-posta hesabı senaryosunu tespitten ders çıkarma toplantısına kadar belgeleyerek yönet.
Kurs hakkında
NIST SP 800-61 yaklaşımıyla olayı tespit eder, sınırlar, temizler ve kurtarırsın; kanıt zincirini, iletişimi ve ders çıkarmayı yönetirsin.
Ne öğreneceksin
- Hazırlık
- Tespit ve analiz
- Sınırlama, temizleme, kurtarma
- İletişim ve kapanış
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.