Olay Müdahale ve Adli Bilişim
Zaman Çizelgesi ve Kök Neden Analizi
Olaya ait tüm kanıtı tek bir zaman çizelgesinde birleştiriyor, olayın neden mümkün olduğunu gösteriyoruz. Kanıtın desteklemediği noktaları açıkça işaretliyoruz.
Nedir?
Bir olayın kanıtı farklı sistemlere ve saat dilimlerine dağılmıştır. Zaman çizelgesi bu kayıtları UTC'ye çevirir, sistem saatleri arasındaki kaymaları düzeltir ve tek sırada birleştirir. Kök neden analizi, saldırıyı mümkün kılan zafiyeti veya süreç eksikliğini gösterir. Örneğin kök neden, çok faktörlü kimlik doğrulaması olmayan bir VPN hesabı olabilir.
Kapsam
- Uç nokta, ağ, kimlik ve bulut kayıtlarının tek çizelgede birleştirilmesi
- Saat dilimi farklarının ve sistem saati kaymalarının düzeltilmesi
- Her adımın kanıtlı, çıkarıma dayalı veya belirsiz olarak işaretlenmesi
- Saldırgan adımlarının MITRE ATT&CK tekniklerine eşlenmesi
- İlk erişim, fark edilme ve kontrol altına alma zamanlarının belirlenmesi
- Kök nedenin ve tespiti geciktiren kontrol eksiklerinin raporlanması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bildirimlerde ihlalin ne zaman başladığını ve ne zaman fark edildiğini kanıta dayanarak yazmanız gerektiğinde.
- Yönetim kurulu, olayın neden önlenemediğini ve tekrarlanmaması için ne yapılacağını sorduğunda.
- Siber sigorta talebiniz için olayın belgelenmiş bir teknik açıklaması gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Kaynakları toplama
Olaya ait tüm kanıtı ve logları, kaynağı ve saat dilimiyle birlikte listeleriz.
-
Birleştirme
Kayıtları UTC'ye çevirir, saat kaymalarını düzeltir ve tek çizelgede birleştiririz.
-
Doğrulama
Her adımı en az bir kanıta bağlarız. Dayanağı olmayan adımı çıkarım olarak işaretleriz.
-
Kök neden
Saldırıyı mümkün kılan zafiyeti ve fark edilmesini engelleyen kontrol eksiğini ayrı ayrı yazarız.
Sonuç
Çalışmanın sonunda elinizde olan
Olayı başından sonuna, her adımı dayandığı kanıtla gösteren tek bir çizelge elinizdedir. Saldırıyı mümkün kılan neden ve tekrarını önleyecek düzeltmeler bellidir.
Sık sorulan sorular
Kanıt bir adımı göstermiyorsa ne yazıyorsunuz?
O adımı çıkarım veya belirsiz olarak işaretleriz. Log eksikliği de bir bulgudur ve raporda nedeniyle birlikte yer alır.
Kanıtı kendi ekibimiz topladıysa bu analizi yapabilir misiniz?
Evet. Önce kanıtın nasıl toplandığını ve bütünlüğünü değerlendiririz. Eksik bir kaynak hâlâ alınabiliyorsa toplanmasını öneririz.
Olay Müdahale ve Adli Bilişim
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın