Ders 6.3: Bir olayı yürütmek
Olay müdahalesi sıranın önemli olduğu bir dizidir: önce kaybolanı topla, kanıtı yok etmeden sınırla, koru, sonra temizle, kurtar ve ders çıkar. NIST SP 800-61 (2025'te Siber Güvenlik Çerçevesi 2.0'ı izleyecek şekilde güncellendi) ve RFC 3227'nin uçuculuk sırası başvuru noktalarıdır. Laboratuvarda Zeek'in açığa çıkardığı app02'deki uzaktan erişim implantına müdahale ediyorsun: canlı bağlantıyı ve süreci kaydediyor, saldırganı güvenlik duvarında kesiyor, implantı kaydedip özetini alıyor, onu ve hizmetini kaldırıyor ve olay sonrası incelemenin eylem maddelerini okuyorsun.
18 dk
Bu derste öğreneceklerin
- Olay müdahalesi yaşam döngüsünü anlatmak
- Uçuculuk sırasını uygulamak
- Kanıtı yok etmeden sınırlamak
- Temizlemeden önce izleri korumak ve özetlerini almak
- Bir olay sonrası incelemeyi eylemlere dönüştürmek
Temel terimler
- Olay müdahalesi yaşam döngüsü
- Hazırlık; tespit ve analiz; sınırlama, temizleme ve kurtarma; olay sonrası etkinlik.
- Uçuculuk sırası
- En kısa ömürlü kanıtı önce topla: bellek ve ağ durumu, sonra süreçler, sonra disk, sonra günlükler ve yedekler.
- Sınırlama
- Kanıtı korurken saldırganın hareket etme yeteneğini durdurmak.
- Temizleme ve kurtarma
- Saldırganın bıraktığı her şeyi kaldırmak, sonra normal işleyişi güvenle geri getirmek.
- Olay sonrası inceleme
- Suçlamasız bir toplantı ve belge: ne oldu, ne iyi gitti, ne gitmedi ve sahipleri ile tarihleri olan eylemler.
← Güvenlik yanlış yapılandırması ve açıkta kalan sırlar · Tüm dersler · Kapanış: bir kriptografi sağlık kontrolü →