Olay müdahalesi ve NIST yaşam döngüsü — Olay Müdahalesi Temelleri

Olay ve olay müdahalesi

Bilgi güvenliğinde olay (event), bir sistemde gözlemlenebilen herhangi bir gerçekleşmedir: bir kullanıcının oturum açması, bir dosyanın değiştirilmesi, bir güvenlik duvarının bağlantıyı engellemesi gibi. Güvenlik olayı (incident) ise güvenlik politikalarının ihlali veya bilgi varlıklarının gizliliğini, bütünlüğünü ya da erişilebilirliğini tehdit eden durumdur.

Her olay bir güvenlik olayı değildir; olay müdahalesinin ilk becerisi de bu ayrımı doğru yapmaktır. Bu eğitimde "olay" kelimesini çoğunlukla güvenlik olayı anlamında kullanacağız.

Olay müdahalesi, güvenlik olaylarını tespit etmek, etkisini sınırlamak, kök nedeni ortadan kaldırmak, hizmetleri güvenli biçimde geri getirmek ve ders çıkarmak için yürütülen planlı süreçtir.

NIST SP 800-61 yaşam döngüsü

ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) SP 800-61 yayını, olay müdahalesi için yaygın kabul gören bir çerçeve sunar. Rev. 2'de tanımlanan dört aşamalı yaşam döngüsü şöyledir:

Aşama	Amaç	Örnek faaliyetler
1. Hazırlık	Olaya hazır olmak ve olayları önlemek	Plan, ekip, araçlar, eğitim, günlükleme
2. Tespit ve analiz	Olayı fark etmek, doğrulamak, kapsamını ve önemini belirlemek	Alarm inceleme, günlük analizi, önceliklendirme
3. Sınırlama, temizleme ve kurtarma	Etkiyi durdurmak, tehdidi kaldırmak, hizmetleri geri getirmek	İzolasyon, hesap kapatma, yeniden kurulum, geri yükleme
4. Olay sonrası faaliyetler	Ders çıkarmak ve süreci iyileştirmek	Değerlendirme toplantısı, rapor, aksiyon planı

Bu aşamalar doğrusal değil, döngüseldir. Analiz sırasında yeni etkilenen sistemler bulunursa sınırlamadan tekrar analize dönülür; olay sonrası çıkarılan dersler hazırlık aşamasını besler.

NIST, Nisan 2025'te SP 800-61'in 3. revizyonunu yayımlamıştır. Rev. 3, olay müdahalesini NIST Siber Güvenlik Çerçevesi (CSF) 2.0 fonksiyonlarıyla ilişkilendirir. Bu eğitimde, sektörde yaygın olarak bilinen ve uygulamada hâlâ sıkça başvurulan Rev. 2 aşamalarını temel alıyoruz; ilkeler her iki sürümde de geçerlidir.

Hazırlık neden en önemli aşamadır?

Olay anında yeni bir prosedür yazmak, araç satın almak veya kimin karar vereceğini tartışmak için zaman yoktur. Hazırlık aşamasında şunlar tamamlanmış olmalıdır:

Olay müdahale politikası ve planı: Kapsam, tanımlar, roller, yetkiler, önem dereceleri.
Ekip ve iletişim listeleri: İç ve dış irtibat kişileri, alternatifleriyle birlikte.
Araçlar: Günlük toplama, uç nokta tespiti, delil toplama araçları, temiz bir analiz bilgisayarı.
Görünürlük: Kritik sistemlerde yeterli günlük kaydı ve saat senkronizasyonu.
Playbook'lar: Sık karşılaşılan olay türleri için adım adım rehberler.
Yedekler: Test edilmiş, saldırgandan korunan yedekler.
Eğitim ve tatbikat: Ekibin planı gerçekten uygulayabildiğinin doğrulanması.

Önleme de hazırlığın parçasıdır

NIST yaklaşımında hazırlık yalnızca müdahaleye hazırlanmak değil, olay sayısını azaltmaktır. Risk değerlendirmesi, yama yönetimi, MFA, ağ bölütleme ve kullanıcı farkındalığı, müdahale ekibinin yükünü doğrudan azaltır.

Hazırlık kontrol listesi

[ ] Yazılı ve yönetim tarafından onaylanmış bir olay müdahale planı var.
[ ] Olay müdahale ekibi ve yedekleri belirlenmiş.
[ ] İletişim listesi güncel ve çevrimdışı bir kopyası mevcut.
[ ] Kritik sistemlerin günlükleri merkezi olarak toplanıyor.
[ ] En az üç olay türü için playbook hazırlanmış.
[ ] Yılda en az bir kez tatbikat yapılıyor.

Olay müdahale planınızı oluştururken olayları ve aksiyonları kayıt altına almak için olay kaydı aracından yararlanabilirsiniz.

Kaynaklar

NIST SP 800-61r2: https://csrc.nist.gov/pubs/sp/800/61/r2/final
NIST SP 800-61r3: https://csrc.nist.gov/pubs/sp/800/61/r3/final

Devam etmek için kaydolun