Ders 4.4: Olay müdahalesi: hazırlık, tespit, sınırlama, temizleme, kurtarma, ders çıkarma

Olayın ne olduğu, olay müdahale yaşam döngüsü (NIST SP 800-61: hazırlık; tespit ve analiz; sınırlama, temizleme ve kurtarma; olay sonrası etkinlikler) ve sıranın neden önemli olduğu. Laboratuvarda gerçeğe benzeyen bir vakayı baştan sona yönetiyorsun: dışarıdaki bir adrese bilinmeyen bir bağlantı, arkasındaki süreç, yeniden başlatmalardan nasıl sağ çıktığı, onu kesmek, bir şey silmeden önce kanıt saklamak, temizlemek, gittiğini kontrol etmek ve raporun ilk satırını yazmak.

20 dk

Bu derste öğreneceklerin

Olayı (incident) sıradan bir olaydan (event) ayırt etmek
Olay müdahalesinin aşamalarını sırasıyla saymak
Şüpheli bir bağlantıyı bir sürece ve kalıcılık yöntemine kadar izlemek
Temizlemeden önce sınırlamak ve önce kanıtı korumak
Temizliği doğrulamak ve olanı kayda geçirmek

Temel terimler

Olay (event) ve güvenlik olayı (incident): Olay (event), bir sistemde olan her şeydir (bir giriş, bir bağlantı). Güvenlik olayı (incident), gizliliğe, bütünlüğe ya da erişilebilirliğe zarar veren ya da onu tehdit eden olaydır.
Olay müdahalesi: Bir kurumun bir güvenlik olayını ilk uyarıdan ders çıkarmaya kadar ele alış biçimi; önceden planlanmış.
Sınırlama: Olayın yayılmasını ya da daha fazla zarar vermesini, kanıtı yok etmeden durdurmak.
Temizleme ve kurtarma: Nedeni (zararlı yazılım, hesaplar, açıklar) ortadan kaldırmak, ardından sistemleri normale döndürüp izlemek.
Kalıcılık: Zararlı yazılımın ya da saldırganın yeniden başlatma ya da sonlandırma sonrası geri gelmeyi garantilemesi.
İhlal göstergesi (IoC): Bir sisteme saldırıldığını gösteren ve başka yerlerde aranabilen ipucu.
Kanıt (delil): Ne olduğunu gösteren, değiştirilmeden saklanan kopyalar, özetler ve notlar.

← Metne bakmanın başka yolları: head, tail, wc, sort ve uniq · Tüm dersler · Sabit ve sembolik bağlantılar →