Bu hafta iki saatlik bir olay müdahalesi masa başı tatbikatı yapın

Bir tabletop (masa başı) tatbikatı için bir oda, bir senaryo, iki saat ve ters giden şeyleri not alacak bir kişi yeterlidir. Tedarikçiye, bütçeye ya da tamamlanmış bir olay müdahale planına ihtiyacınız yok. Amaç, henüz hiçbir şey yanmıyorken bir sunucunun ağdan çekilmesine gerçekte kimin karar verdiğini ve telefon numaralarının nerede tutulduğunu öğrenmektir.

Tek bir senaryo ve doğru kişileri seçin

Tek bir senaryo seçin. Küçük bir ekip için en yararlı iki senaryo, bir dosya sunucusunda fidye yazılımı ve bir finans posta kutusunun ele geçirilmesidir. İkisi de izolasyon, iletişim ve geri dönüş konusunda karar almayı zorunlu kılar. Her ikisini aynı oturumda işlemeye çalışmayın.

Senaryoyu sıfırdan yazmanız gerekmez. NCSC'nin Exercise in a Box aracı ücretsizdir. Fidye yazılımı ve phishing gibi konuları kapsayan tabletop tatbikatları içerir; tatbikatı kurmak, planlamak, yürütmek ve tatbikat sonrası aksiyonları belirlemek için materyal sunar. CISA'nın Tabletop Exercise Packages paketleri ise örnek hedefler, tartışma soruları, bir geri bildirim formu ve bir After Action Report sağlar; fidye yazılımı ve yerel yönetim senaryoları da bunların arasındadır. Bunları iskelet olarak kullanın ve ayrıntıları kendi sistemlerinize göre uyarlayın.

Görüşmede gerçekten yer alacak kişileri davet edin:

• dizin hizmetini ve yedekleri yöneten kişi
• kesinti onayı verebilecek kişi (yalnızca BT değil, bir yönetici)
• dış iletişimi yürüten biri, bu kişi ofis yöneticisi bile olsa
• oynamayan ve soru yanıtlamayan bir facilitator (oturum yürütücüsü)

Facilitator önemlidir. Senaryoyu yöneten kişi aynı zamanda kendi kurduğu altyapıyı savunursa tatbikat bir demoya dönüşür.

İki saatlik gündem

Başlangıçta tek bir kural koyun: yanıtlar politikada yazanı değil, bugün elinizdeki erişim ve araçlarla gerçekte yapacağınız şeyi yansıtmalıdır. Biri "logları kontrol ederiz" derse facilitator şunu sorar: hangi loglar, nerede ve Pazartesi günü saat 07:40'ta bunlara kimin erişimi var?

Fidye yazılımı senaryosu için inject'ler

Senaryoyu tek seferde değil, adım adım verin. İşe yarayan bir sıra şöyle:

1. Bir kullanıcı, ortak sürücüdeki belgelerin uzantısının değiştiğini ve her klasörde fidye notu içeren bir metin dosyası bulunduğunu bildirir.
2. Iki kullanıcı daha aynı durumu bildirir. Dosya sunucusu yavaşlamıştır.
3. Yedekleme konsolu son işin tamamlandığını gösterir, ancak yedekleme sunucusu domain'e dahildir.
4. Saldırganın notu, verileri 72 saat içinde yayımlamakla tehdit eder.
5. E-posta çalışmıyordur, çünkü mail connector etkilenen bir sunucuda çalışmaktadır.

Her adımın bir sorusu vardır. Sunucuyu kim izole edebilir ve bunun için onay gerekir mi? Yedeklere, saldırganın da elinde bulundurabileceği aynı yönetici kimlik bilgileriyle erişilebiliyor mu? Dizin hizmeti ve e-posta kullanılamıyorsa iletişim listesi nerede? Polise ya da düzenleyici kuruma başvurulup başvurulmayacağına kim karar verir, sigortacınızla kim iletişime geçer?

Hesap ele geçirme senaryosu için inject'ler

Bir finans çalışanının kendisinin başlatmadığı tekrarlı MFA istekleri bildirmesiyle başlayın. Ardından alışılmadık bir ülkeden yapılan oturum açma girişimini ekleyin; sonra postaları harici bir adrese yönlendiren bir gelen kutusu kuralının bulunmasını, en sonunda da bir müşteriye gönderilmiş, banka bilgileri değiştirilmiş bir faturayı ekleyin. Yalnızca parolayı sıfırlamayı değil, oturumları ve token'ları nasıl iptal ettiğinizi sorun. Oturum açma loglarınızın ne kadar geriye gittiğini ve posta kutusundaki kuralları ile delege edilmiş erişimleri kimin kontrol ettiğini sorun. Çalışan kimlik bilgilerinin kamuya açık veri ihlallerinde zaten yer alıp almadığını hızlıca kontrol etmek isterseniz sızan parola kontrol aracımız tatbikat öncesi için makul bir adımdır.

Açıkları taze durumdayken kaydedin

Not tutan kişi sade bir kayıt tutar. Oturum sırasında kaydı düzenlemeyin. Bir satır şöyle görünür:

Inject 3 | Backups reachable with domain admin | Gap: backup server domain-joined,
no offline copy confirmed | Owner: infra lead | Fix by: 30 days | Severity: high

Her açığın bir sahibi ve bir tarihi olmalıdır, yoksa o bir dilekten ibarettir. Açıkları ne kadar utanç verici olduklarına göre değil, çalışmanızı neyin durduracağına göre sıralayın. Tipik bulgular sıradandır: kimse alan adı kayıt firmasının giriş bilgisini bilmiyordu, nöbetçi numarası eskiydi, üretimi kapatma yetkisi olan kişi izindeydi ve vekili yoktu.

Katılımcılardan ayrılmadan önce yazılı geri bildirim isteyin. CISA paketi bir geri bildirim formu şablonu ve bir After Action Report içerir; böylece ikisini de sıfırdan tasarlamanız gerekmez.

Kaydı bir runbook'a dönüştürün

Bir hafta içinde kaydı kısa bir runbook'a çevirin. Senaryo başına bir ila iki sayfa yeterlidir. Bir olay sırasında kimsenin okumadığı bir runbook, hiç olmamasından daha kötüdür.

Şunları ekleyin:

• İlk saat: numaralandırılmış aksiyonlar; her biri bir kişinin adı yerine adlandırılmış bir role bağlı olsun.
• Karar yetkileri: sistemleri kim izole edebilir, dış destek için ödemeyi kim onaylayabilir, müşterilerle kim konuşur.
• İletişim bilgileri: çalışanlar, tedarikçiler, internet servis sağlayıcınız, sigortacınız ve dış müdahale ekipleri için; basılı veya çevrimdışı saklanan.
• Delil yönetimi: imajlar ve loglar alınmadan önce nelerin silinmemesi ya da yeniden başlatılmaması gerektiği.
• Geri dönüş sırası: hangi sistemlerin önce devreye alınacağı ve temiz olduklarını neyin kanıtlayacağı.

Daha geniş bir yapı için NIST'in Computer Security Incident Handling Guide dokümanı, SP 800-61 Rev. 2, yaygın biçimde referans alınır. Ancak NIST bu dokümanı 3 Nisan 2025'te geri çekti ve yerine Rev. 3'ü yayımladı; bu nedenle referans olarak güncel revizyonu kullanın. Runbook'unuz için dışarıdan bir bakış ya da oturumu yürütmek için destek isterseniz olay müdahalesi ve danışmanlık hizmetlerimize göz atın.

Ardından tekrarı planlayın. Diğer senaryoyu üç ila altı ay içinde çalıştırın ve ilk açık kaydındaki düzeltmeleri yeniden test edin.

Nereden başlamalı

1. Bu hafta için iki saat ayırın ve görüşmede yer alacak dört beş kişinin takvimini bloke edin.
2. Exercise in a Box'tan ya da bir CISA paketinden bir fidye yazılımı veya phishing senaryosu indirin ve gerçek sistemlerinize uyacak şekilde düzenleyin.
3. Oynamayacak bir facilitator ve açık kaydını tutacak bir not alıcı belirleyin.
4. Oturumu gerçek araçlar açıkken yürütün: yedekleme konsolu, dizin hizmeti, oturum açma logları, iletişim listesi.
5. Oda boşalmadan önce her açığa bir sahip ve bir tarih atayın.
6. Tek sayfalık runbook'u yedi gün içinde yazın ve bir kopyasını, ağınız çalışmadığında da erişilebilecek bir yerde saklayın.