Olay Müdahale ve Adli Bilişim
Bulut ve Kimlik Olayı İncelemesi
Bulut denetim ve oturum açma loglarından hangi kimliğin neye, ne zaman eriştiğini belirliyoruz. Saldırganın elinde kalan tüm erişimleri kapatıyoruz.
Nedir?
Bulut ve SaaS uygulamalarında saldırgan genellikle bir sunucuyu değil, bir kimliği ele geçirir. Kötü niyetli bir uygulamaya verilen izin, kullanıcı parolası değişse de geçerli kalır. Kanıt, Microsoft Entra ID, AWS CloudTrail veya Google Workspace gibi servislerin denetim loglarında bulunur. Bu loglar lisans ve ayara göre sınırlı süre tutulur, bu nedenle ilk adım logları dışa aktarmaktır.
Kapsam
- Oturum açma, denetim ve yönetim loglarının dışa aktarılması ve korunması
- Olağan dışı oturumların ve çalınmış oturum belirteçlerinin tespiti
- Uygulama izinlerinin, yeni erişim anahtarlarının ve rol atamalarının incelenmesi
- Çok faktörlü kimlik doğrulamaya eklenen yeni yöntemlerin kontrolü
- Kimlik federasyonu ve güven ayarlarında yapılan değişikliklerin kontrolü
- Oturumların iptali ve saldırganın eklediği erişimlerin kaldırılması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bir yönetici hesabında, kimsenin bulunmadığı bir ülkeden başarılı oturum açma görüldüğünde.
- Bulut faturasında kimsenin başlatmadığı sunucular ortaya çıktığında.
- Bir çalışan, kendisinin başlatmadığı bir çok faktörlü kimlik doğrulama isteği aldığını bildirdiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Logları koruma
Saklama süresi dolmadan ilgili tüm denetim loglarını dışa aktarır ve bütünlüğünü kaydederiz.
-
Kimlik haritası
Ele geçirilen kimliğin hangi kaynaklara, hangi yetkilerle ve ne zaman eriştiğini belirleriz.
-
Kalıcılık araması
Saldırganın eklediği uygulama izinlerini, anahtarları ve kimlik doğrulama yöntemlerini tespit ederiz.
-
Kapatma
Oturumları iptal eder, eklenen erişimleri kaldırırız. Yeniden giriş denemelerini gösterecek uyarıları tanımlarız.
Sonuç
Çalışmanın sonunda elinizde olan
Ele geçirilen kimliğin nereye eriştiğini ve neyi değiştirdiğini loglarda görürsünüz. Saldırganın eklediği erişimler kaldırılır ve yeniden giriş izlenir.
Sık sorulan sorular
Parolayı değiştirmek yeterli değil mi?
Çoğu zaman değil. Kötü niyetli uygulamalara verilen izinler ve saldırganın eklediği doğrulama yöntemleri parola değişikliğinden etkilenmez. Aktif oturumlar da ayrıca iptal edilmelidir.
Loglar ne kadar geriye gider?
Servise, lisansa ve ayarlara göre değişir. Bazı loglar yalnızca birkaç gün veya hafta tutulur. Bu nedenle olay fark edildiğinde ilk iş logları dışa aktarmaktır.
Olay Müdahale ve Adli Bilişim
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın