Olay Müdahale ve Adli Bilişim
Tehdidin Ortadan Kaldırılması ve Kurtarma
Saldırganın bıraktığı tüm kalıcı erişim noktalarını tek seferde kaldırıyoruz. Sistemleri bağımlılık sırasına göre ve izleyerek yeniden devreye alıyoruz.
Nedir?
Tehdidin ortadan kaldırılması, saldırganın geri dönmesini sağlayacak her şeyin temizlenmesidir. Yeni açılmış hesaplar, zamanlanmış görevler, web shell'ler ve çalınan parolalar buna dahildir. Temizlik parça parça yapılırsa saldırgan uyarılır ve başka bir yoldan devam edebilir. Güvenli kurtarma ise sistemlerin, kimlik altyapısından başlayarak doğru sırayla açılmasıdır.
Kapsam
- Kalıcı erişim noktalarının tam listesinin kanıttan çıkarılması
- krbtgt dâhil ayrıcalıklı hesap parolalarının planlı sıfırlanması
- Hangi kritik sistemlerin temiz kaynaktan yeniden kurulacağının belirlenmesi
- Giriş noktasının, sistemler açılmadan önce kapatılması
- Sistemlerin bağımlılık sırasına göre devreye alınması
- Dönüş sonrasında yoğunlaştırılmış izleme
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Saldırgan çıkarıldı sanıldıktan birkaç gün sonra aynı belirtiler yeniden görüldüğünde.
- Fidye yazılımı saldırısından sonra Active Directory'ye güvenilip güvenilemeyeceği bilinmediğinde.
- İş birimleri sistemlerin hemen açılmasını isterken güvenli sıranın belirlenmesi gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Saldırganın her kalıcı erişim noktasını ve ele geçirdiği her kimliği kanıttan listeleriz.
-
Plan
Temizliği tek bir zaman aralığında yapılacak şekilde planlar, yeniden kurulacak sistemleri belirleriz.
-
Uygulama
Erişimleri aynı anda kaldırır, giriş noktasını kapatır ve parolaları planlı sırayla sıfırlarız.
-
İzleyerek dönüş
Sistemleri bağımlılık sırasına göre açar, yeniden giriş belirtilerini yakından izleriz.
Sonuç
Çalışmanın sonunda elinizde olan
Saldırganın bilinen tüm erişimleri kaldırılmış ve giriş yolu kapatılmıştır. Sistemler doğru sırayla açılır ve yeniden giriş denemesi izlenir.
Sık sorulan sorular
Sistemleri temizlemek mi, yeniden kurmak mı daha doğru?
Saldırganın yönetici yetkisiyle çalıştığı kritik sistemlerde yeniden kurmak daha güvenlidir. Kanıtın tüm değişiklikleri gösterdiği sistemlerde temizlik yeterli olabilir. Kararı sistem bazında birlikte veririz.
Temizliğe neden hemen başlanmıyor?
Erken ve kısmi temizlik saldırganı uyarır. Saldırgan bilinmeyen bir yoldan devam edebilir veya fidye yazılımını erkenden çalıştırabilir. Etkin bir zarar sürüyorsa kontrol altına alma beklemeden yapılır.
Olay Müdahale ve Adli Bilişim
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın