- Dijital adli tıp, olayların yeniden oluşturulmasına, kanıtların korunmasına ve yasal gerekliliklere uyulmasına olanak tanıyarak yöneticiler ve güvenlik sorumluları için vazgeçilmez bir araç haline gelmektedir.
- NIST, DFIR, Siber Saldırı Zinciri, Elmas Modeli ve MITRE ATT&CK gibi çerçeveler, saldırıların araştırılması ve faillerinin belirlenmesi sürecini yapılandırır.
- Özel araçlar ve delil takibi teknikleri, adli ve düzenleyici bağlamlarda veri bütünlüğünü ve delil geçerliliğini sağlar.
- Dijital adli bilişim, kuruluşun siber direncini güçlendirmek için olay müdahalesi, mevzuat uyumluluğu ve iş sürekliliği ile entegre edilmiştir.
Dijital adli bilişim, olaylarla, veri ihlalleriyle veya iç soruşturmalarla ilgilenen her sistem yöneticisi veya güvenlik müdürü için önemli bir araç haline geldi . Artık sadece polis laboratuvarları veya büyük güvenlik kurumları için değil; bugün işletmelerin, kamu idarelerinin ve her ölçekteki kuruluşların günlük operasyonlarını etkiliyor.
Bu makale boyunca, dijital adli bilişimin gerçekte ne olduğunu, siber güvenlikle nasıl entegre olduğunu, kullanılan süreçleri ve araçları, yasal sonuçlarını ve yöneticilerin bu ekosistemdeki rolünü kapsamlı bir şekilde inceleyeceğiz . Ayrıca, size bütünsel ve pratik bir anlayış kazandırmak için NIST, DFIR, Siber Silme Zinciri, Elmas modeli ve MITRE ATT&CK gibi çerçevelerin yanı sıra olay müdahalesi ve iş sürekliliğini de ele alacağız.
Dijital adli bilişim nedir ve yöneticiler için neden bu kadar önemlidir?
Dijital adli tıp (veya bilgisayar adli tıpı), cihazlardan, sistemlerden ve ağlardan elde edilen dijital kanıtların teknik olarak güvenilir ve yasal olarak kabul edilebilir bir şekilde tanımlanması, toplanması, korunması, analiz edilmesi ve sunulmasıyla ilgilenen disiplindir . Sadece ceza davalarıyla sınırlı değildir: iç soruşturmalarda, hukuk davalarında, denetimlerde ve mevzuat uyumluluğunda da kullanılır.
Kökenleri 1980'lere, kişisel bilgisayarların yaygınlaşmasına kadar uzanmaktadır , ancak siber suçların artışı ve güvenlik güçlerinin merkezsizleştirilmesiyle birlikte, ABD gibi ülkeler 2000'li yılların başlarına ve 21. yüzyılın başlarına kadar prosedürleri ve politikaları standartlaştırmaya başlamamıştır.
Günümüzde, bilgisayarlar, akıllı telefonlar, tabletler, IoT sistemleri , bağlantılı araçlar, bulut altyapısı ve çevrimiçi hizmetler gibi her türlü cihazda ürettiğimiz muazzam miktardaki dijital veri nedeniyle bu alan hızla gelişti . Bu kaynakların her biri, dolandırıcılıktan büyük bir veri ihlaline kadar bir olayda neler olduğunu yeniden oluşturmak için kritik bilgiler içerebilir.
Sistem veya ağ yöneticileri için dijital adli bilişim çok önemlidir çünkü saldırı veya olayın "nasıl, ne zaman ve neden" gerçekleştiğini anlamalarına , hasarın gerçek boyutunu belirlemelerine, hangi verilerin etkilendiğini tespit etmelerine ve yasal veya disiplin süreçlerinde gerekli olabilecek kanıtları korumalarına olanak tanır.
Dijital adli bilişim uzmanının profili ve yöneticilerin rolü
Dijital adli bilişim uzmanı veya bilgisayar adli bilişim uzmanı , delil değeri taşıyan kanıtları elde etmek için cihazları, sistemleri ve ağları inceleyen bir profesyoneldir. Tipik görevleri arasında silinmiş bilgileri kurtarmak, meta verileri analiz etmek, zaman çizelgelerini yeniden oluşturmak ve delil zincirini titizlikle korumak yer alır.
Sistem, güvenlik veya ağ yöneticileri, uzman olmaları gerekmeksizin, genellikle güvenlik ihlali belirtilerini ilk tespit eden ve potansiyel kanıtlara rastlayan kişilerdir: anormal olay kayıtları, trafik yakalamaları, şüpheli dosyalar, tehlikeye atılmış sistemler vb. Bu nedenle, kanıt yönetiminin temellerini anlamaları ve istemeden yok etme veya değiştirme işlemlerinden kaçınmaları çok önemlidir.
Birçok kuruluşta, yöneticiler dijital adli analiz uzmanı, olay müdahale uzmanı, iç uzman, siber suç soruşturmacısı, güvenlik ve uyumluluk danışmanı veya güvenlik görevlisi gibi roller üstlenirler . Ayrıca, ağlar, bulut, blok zinciri ve kripto paralar veya yüksek düzeyde düzenlemeye tabi ortamlar gibi belirli ortamlarda uzmanlaşmış profiller de olabilir.
Bu alandaki iş piyasası hızla büyüyor: Siber saldırıların yaygınlaşması, uzaktan çalışma, bulut bilişim ve düzenleme ve uyumluluk gereksinimleri nedeniyle bilgisayar adli bilişimi ve siber güvenlik alanındaki iş ilanları ortalamanın çok üzerinde artış gösteriyor .
Modern siber güvenlikte dijital adli bilişimin önemi
Kurumsal siber güvenlik açısından bakıldığında, dijital adli bilişim, özellikle çok sayıda uç noktanın, uzaktan çalışmanın ve bulut hizmetlerinin yoğun kullanımının olduğu ortamlarda , herhangi bir savunma stratejisinin temel direğidir . Rolü, bir olaydan sonra "geriye bakmakla" sınırlı değildir; aksine, önleyici tedbirleri sürekli olarak bilgilendirir.
Dijital adli bilişimin başlıca katkıları arasında, bir olayın temel nedenini belirleme , saldırıların kontrol altına alınmasını ve düzeltilmesini destekleme, kontrolleri güçlendirmek için (güvenlik duvarları, EDR, MFA, segmentasyon vb.) eyleme geçirilebilir istihbarat üretme ve denetimler ve mevzuat uyumluluğu için tüm süreci belgeleme yer almaktadır.
Bu disiplin, güvenlik olaylarına müdahale ile kusursuz bir şekilde bütünleşir . Öyle ki, gelişmiş çözümler, DFIR (Dijital Adli Bilişim ve Olay Müdahalesi) olarak bilinen birleşik bir yaklaşımda her iki kavramı da birleştirir; bu yaklaşımda adli bilişim araçları kanıtları hızla analiz eder, saldırı vektörünü ve kapsamını belirler ve ardından önleme ve iyileştirme eylemlerini otomatikleştirir veya yönlendirir.
Yöneticiler için bu, mevcut güvenlik platformlarının çoğunun halihazırda DFIR (Dijital Define Olay Tespiti ve Tanıma) işlevlerini içerdiği anlamına gelir : tehdit avcılığından bellek analizine, tehdit istihbaratıyla ilişkilendirmeye ve ayrıntılı zaman çizelgeleri kullanarak saldırı yeniden yapılandırmasına kadar.
Dijital adli bilişim pazarının büyümesini yönlendiren faktörler
Dijital adli bilişim çözümleri ve hizmetleri pazarı halihazırda milyarlarca dolar değerinde ve çift haneli oranlarda büyümeye devam ediyor ; tahminler önümüzdeki on yılda ikiye katlanacağını gösteriyor. Bu büyümeye çeşitli faktörler katkıda bulunuyor.
İlk olarak, bağlantılı cihazların ve Nesnelerin İnterneti'nin (IoT) yaygınlaşmasıyla birlikte siber saldırılar ve veri ihlallerindeki sürekli artış , saldırganlar için fırsatları çoğaltmış ve olayların ardından detaylı soruşturmalara duyulan ihtiyacı artırmıştır.
İkinci olarak, veri koruma ve gizlilikle ilgili düzenleyici gereklilikler, kuruluşları bir ihlal sırasında neler olduğunu anlamaya, belgelemeye ve genellikle çok sıkı süreler içinde raporlamaya zorlamaktadır. Dijital adli tıp, kuruluşların gerekli özeni gösterdiklerini kanıtlamalarına ve yetkililere, müşterilere ve ortaklara güvenilir bilgi sağlamalarına olanak tanıyan araçtır.
Üçüncüsü, yapay zeka ve makine öğrenimi gibi teknolojiler, büyük miktarda adli verinin analiz edilme biçiminde devrim yaratıyor; anormal kalıpları belirliyor, kanıtları önem derecesine göre sınıflandırıyor, gizli kötü amaçlı yazılımları tespit ediyor ve olayları geleneksel manuel yaklaşımlara göre çok daha hızlı bir şekilde yeniden yapılandırıyor.
Son olarak, bulut bilişim , otomasyon ve hiperbağlantının yaygınlaşması, adli bilişimin özel teknikler ve araçlar gerektirdiği hibrit ortamlar, konteynerler, SaaS, çoklu bulut altyapıları gibi yeni araştırma senaryoları ortaya çıkardı.
NIST'e göre dijital adli analiz süreçleri ve aşamaları
Araştırmanın titiz olması ve sonuçlarının teknik ve yasal incelemeye dayanabilmesi için, iyi tanımlanmış bir metodolojik süreci izlemek şarttır . Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), dört temel aşamaya dayanan, yaygın olarak kabul gören bir model önermektedir.
İlk adım veri toplama veya edinimidir . Bu, potansiyel bilgi kaynaklarının (diskler, mobil cihazlar, günlükler, bellek, ağ trafiği, bulut hizmetleri) belirlenmesini, etiketlenmesini ve belgelenmesini ve içeriğin veya meta verilerinin değiştirilmesini önlemek için sıkı prosedürler izlenerek adli kopyaların elde edilmesini içerir. Öncelik, RAM gibi en uçucu verilerin, ardından diskler veya yedeklemeler gibi daha az uçucu verilerin yakalanması olmalıdır.
İkinci aşama , elde edilen kopyaların manuel ve otomatik tekniklerin bir kombinasyonu kullanılarak işlendiği inceleme aşamasıdır. Sıkıştırmayı açma, şifre çözme, ilgisiz bilgilerin filtrelenmesi ve belirli unsurların (tarama geçmişi, günlükler, geçici dosyalar, sistem günlükleri vb.) çıkarılması gibi işlemler uygulanabilir. Amaç, muazzam veri hacmini yönetilebilir, potansiyel olarak yararlı bir kanıt kümesine dönüştürmektir.
Üçüncü aşama , analiz aşamasıdır ; bu aşamada inceleme sonuçları yorumlanır, zaman dizileri yeniden oluşturulur, birden fazla kaynaktan elde edilen bilgiler ilişkilendirilir ve soruşturmayı motive eden sorulara cevap verilir: Ne oldu, ne zaman, nasıl, nereden, hangi araçlarla ve gizlilik, bütünlük ve erişilebilirlik üzerindeki etkisi ne oldu?
Dördüncü ve son aşama ise rapordur . Bu aşama, izlenen tüm süreci belgelemeyi, bulguları açık ve objektif bir şekilde açıklamayı, kullanılan araç ve yöntemleri gerekçelendirmeyi, karşılaşılan sınırlamaları belirtmeyi ve uygunsa ek eylemler (incelenecek yeni veri kaynakları, kontrollerde iyileştirmeler, yapılandırma değişiklikleri vb.) önermeyi içerir.
Dijital delil türleri ve delil zinciri
Hukuki bağlamda, kanıtlar doğrudan veya dolaylı olarak sınıflandırılabilir ve ayrıca en iyi kanıt, destekleyici kanıt veya durumsal kanıt gibi kavramlara göre de incelenebilir. Dijital alanda ise dosyalar, ağ günlükleri, bellek içeriği, uygulama günlükleri, kullanıcı eserleri ve daha birçok şeyden bahsediyoruz.
En iyi kanıt genellikle, ele geçirilen fiziksel cihaz veya bozulmamış, bit bit bir görüntü gibi, orijinal haliyle korunmuş olan kanıttır; destekleyici kanıt ise bu en iyi kanıttan türetilen hipotezleri destekler veya güçlendirir. Dolaylı veya durumsal kanıt, diğer gerçeklerle birlikte, ne olduğuna dair makul bir açıklama oluşturmaya yardımcı olan kanıttır.
Bu delillerin kabul edilebilir ve güvenilir olması için, titiz bir delil zincirinin korunması şarttır ; yani, her bir delil parçasını kimin, ne zaman, nasıl, nerede topladığı, ne tür erişime sahip olduğu ve üzerinde hangi işlemlerin yapıldığına dair ayrıntılı bir kayıt tutulmalıdır. Herhangi bir boşluk veya haksız manipülasyon, bir davayı tamamen çökertebilir.
Ayrıca, veri bütünlüğünün ve orijinalliğinin korunması çok önemlidir . Her zaman adli kopyalarla çalışmak, asla orijinaliyle çalışmamak ve kopyaların değiştirilmediğini periyodik olarak doğrulamak için kriptografik karma fonksiyonları (SHA-256 gibi) kullanmak standart bir uygulamadır. Geçici bellek söz konusu olduğunda, makine kapatılmadan önce verileri yakalamak için özel araçlar kullanılır, aksi takdirde bu bilgiler kaybolur.
Kanıt toplama sırası ve veri oynaklığı
IETF, RFC 3227'de, kanıt toplama sırasını verilerin değişkenliğine göre belirlemeyi önermektedir . RAM içeriği, çalışan işlemler, aktif ağ bağlantıları veya önbellekler gibi en değişken veriler, sistem kapatıldığında veya yeniden başlatıldığında kaybolabilecekleri için öncelikle toplanmalıdır.
Ardından, geçici dosyalar, sistem günlükleri, disk içeriği, aygıt yapılandırmaları ve son olarak kalıcı depolama ortamlarında veya yedeklemelerde saklanan bilgiler gibi daha az değişken veriler elde edilmelidir . Tüm süreç boyunca, kaynak sistem hakkında bilgilerin dikkatlice kaydedilmesi zorunludur: donanım, yazılım, sürümler, erişim yetkisine sahip kullanıcılar, ilgili yapılandırmalar vb.
İlk müdahale eden analist veya yönetici, makineyi kapatmak, biçimlendirmek, yeniden yüklemek veya sistemi "temizlemek" gibi dürtüsel eylemlerden kaçınmalıdır. Bu tür herhangi bir eylem, yeri doldurulamaz kanıtları yok edebilir ve hem soruşturmayı hem de kuruluşun yetkililer veya mahkemeler önündeki savunmasını engelleyebilir.
Dijital adli analiz için temel araçlar
Modern adli tıp çalışmaları , farklı türdeki delillerin metodik ve güvenilir bir şekilde incelenmesine olanak sağlayan bir dizi özel araca dayanmaktadır . En yaygın kullanılanlar arasında çeşitli açık kaynaklı ve ticari yazılım paketleri ve yardımcı programlar bulunmaktadır.
Örneğin, Autopsy, dosya sistemi analizini, silinmiş verilerin kurtarılmasını, meta veri incelemesini, web etkinliği analizini ve büyük veri hacimlerinin işlenmesini kolaylaştıran , Sleuth Kit tabanlı grafiksel bir platformdur . Kullanıcı bilgisayarları ve depolama ortamlarının incelenmesinde çok yaygındır.
Wireshark, ağ adli bilişimi alanında önde gelen bir araçtır ve paketleri gerçek zamanlı olarak veya pcap dosyalarından yakalayıp çözebilir. Şüpheli iletişimleri, komuta ve kontrol alanlarına yönelik trafiği, veri sızdırma modellerini ve güvenlik açıklarından yararlanma girişimlerini belirlemeye olanak tanır; bu da saldırı vektörünün yeniden oluşturulması için çok önemlidir.
Volatility, RAM analizine odaklanmaktadır . Bellek dökümlerini kullanarak, aktif süreçleri, açık bağlantıları, yüklü modülleri, diskte iz bırakmayan kötü amaçlı yazılım kalıntılarını ve geleneksel araçlar tarafından genellikle fark edilmeyen birçok diğer unsuru ortaya çıkarabilir. Gelişmiş kötü amaçlı yazılımların veya yalnızca bellekte çalışan saldırıların araştırılmasında çok önemlidir.
FTK Imager öncelikle depolama aygıtlarının doğru adli görüntülerini oluşturmak , hash'ler kullanarak bütünlüklerini doğrulamak ve silinmiş veya bozulmuş verileri kurtarmak için kullanılır . Hem iş ortamlarında hem de yasal soruşturmalarda delil toplama aşamasında çok yaygın bir araçtır.
Son olarak, Dijital Adli Bilişim Çerçevesi (DFF), grafik arayüzü ve büyük miktarda bilgiyi ve karmaşık vakaları işleme kapasitesiyle dijital verileri toplamak ve analiz etmek için genişletilebilir bir platform sunmaktadır . Açık kaynaklı olması, her kuruluşun veya vakanın özel ihtiyaçlarına göre özelleştirilmesine olanak tanır.
Dijital adli tıp, yapay zeka ve çok faktörlü kimlik doğrulama arasındaki ilişki
Dijital adli bilişim ve siber güvenlik arasındaki ilişki çift yönlüdür: güvenlik saldırıları önlemeye ve tespit etmeye odaklanırken , adli bilişim aynı savunmaları geliştirmek için neler olduğunu araştırır. Yapay zekanın (YZ) ve gelişmiş kimlik doğrulama tekniklerinin ortaya çıkmasıyla bu sinerji daha da güçlenmektedir.
Adli bilişim alanına uygulanan yapay zeka algoritmaları, büyük miktarda kayıt, dosya ve trafiği analiz etmeye , anormal kalıpları belirlemeye, kanıtları önem derecesine göre sınıflandırmaya, sürekli mutasyona uğrayan kötü amaçlı yazılımları tespit etmeye ve hatta dağınık sinyallerden olay zincirlerini çıkarmaya yardımcı olur.
Çok faktörlü kimlik doğrulama (MFA) ve biyometrik kimlik doğrulama gibi sistemlerle birlikte adli analiz, kimlik hırsızlığı girişimlerini, tehlikeye atılmış ikinci faktörlerle şüpheli erişimleri, erişim sistemlerindeki yanlış yapılandırmaları veya kimlik yönetimindeki eksiklikleri ortaya çıkarabilir.
Ayrıca, adli soruşturmalardan elde edilen bilgiler, IDS/IPS, SIEM veya XDR gibi tehdit istihbaratı platformlarını ve çerçevelerini besler; bunlar da yapay zeka ve makine öğrenimini kullanarak savunmaları güçlendirir ve olay müdahalesinin bir bölümünü otomatikleştirir.
Hukuki sonuçlar, uyumluluk ve gizlilik
Bir veri ihlali veya önemli bir olay meydana geldiğinde, dijital adli bilişim yasal ve düzenleyici yükümlülüklerin yerine getirilmesinde kilit bir rol oynar . Başlıca işlevi, ne olduğunu doğru bir şekilde yansıtan, değiştirilemez kayıtlar ve günlükler oluşturarak kanıtları güvenilir bir şekilde korumaktır.
İkinci olarak, kuruluşların veri koruma ve siber güvenlik düzenlemelerinin getirdiği raporlama yükümlülüklerine uymalarına yardımcı olur : ihlallerin bildirilmesi için son tarihler, etkilenen veri kategorilerinin belirlenmesi, etkilenen yaklaşık kişi sayısı, olayın olası nedenleri ve alınan düzeltici önlemler.
Üçüncüsü, dijital adli bilişim, çalışanların ve müşterilerin gizlilik haklarına kesinlikle saygı göstermelidir . Bir soruşturma çerçevesinde kullanıcının verilerine erişim, yasal olarak gerekçelendirilmiş, orantılı ve belgelenmiş olmalıdır. Avrupa GDPR veya Kaliforniya'daki CCPA gibi düzenlemeler, şirketlerin uyması gereken çok açık sınırlar belirlemektedir.
Yönetici için bu gerçeklik, yalnızca teknik terimlerle değil, aynı zamanda uyumluluk ve yönetişim açısından da düşünmesi gerektiği anlamına gelir : kayıt saklama, izleme politikaları, onay yönetimi, soruşturma sırasında kişisel verilere erişim prosedürleri vb.
Delillerin ele alınması, adli süreç ve saldırının failinin belirlenmesi
Çoğu durumda, üst düzey siber güvenlik analistleri, anormal davranışları ilk tespit eden ve suç faaliyetinin veya suistimalin ilk kanıtlarını ortaya çıkaran kişilerdir. Bu kanıtların nasıl ele alınacağını bilmek, kuruluşu korumak ve kanıt değerinin zarar görmesini önlemek için hayati önem taşır.
NIST yönergelerine göre adli süreç, daha önce açıklandığı gibi, dört ana adımdan oluşmaktadır : toplama, inceleme, analiz ve raporlama . Her aşama, düzenleyici gerekliliklere veya kurumsal standartlara uygun olan iç prosedürlerde belgelenmelidir.
Soruşturmanın ardından saldırının failinin belirlenmesi , yani sorumlunun tespit edilmesi gelir: memnuniyetsiz bir çalışan, bir suç örgütü, organize bir çete, bir ulus devlet veya başka herhangi bir düşman türü. Bu fail tespiti nadiren doğrudan kanıtlara dayanır; bunun yerine, taktikler, teknikler ve prosedürler (TTP'ler), altyapı modelleri, kodlama stilleri veya diğer kampanyalardan bilinen izler arasındaki korelasyonlara dayanır.
MITRE ATT&CK gibi tehdit istihbaratı kaynakları ve çerçeveleri, bir olayın bulgularını bilinen aktörlerin önceki kampanyalarıyla ilişkilendirmeye yardımcı olarak, saldırının arkasında kimin olduğu ve hangi hedefleri güttüğü konusunda makul sonuçlar çıkarılmasını sağlar; ancak spekülasyonun gerçeğe dönüşmemesine her zaman özen gösterilir.
Siber Saldırı Zinciri: Saldırıyı Aşamalar Halinde Kırmak
Lockheed Martin tarafından geliştirilen Siber Saldırı Zinciri (Cyber Kill Chain), bir saldırganın başarılı bir sızma işlemini tamamlamak için izlediği yedi tipik adımı tanımlar . Bu adımları anlamak, yöneticilerin ve analistlerin saldırıyı mümkün olan en erken aşamada tespit edip engellemelerini ve etkisini azaltmalarını sağlar.
Bu adımlar, ilk keşiften (kamu bilgilerinin toplanması, ağ taramaları, kuruluşun izinin bırakılması) başlayarak , zararlı yazılımın veya güvenlik açığının hazırlanması ve kimlik avı , ele geçirilmiş web siteleri, USB cihazları vb. yoluyla gönderilmesine, istismara, arka kapıların kurulmasına, komuta ve kontrolün (C2) kurulmasına ve hedeflere yönelik son eylemlere (veri hırsızlığı, sistemlerin şifrelenmesi, ağın diğer saldırılar için kullanılması vb.) kadar uzanır.
Savunma açısından amaç, bu bağlantılardan herhangi birinde zinciri bozmaktır . Saldırı ne kadar erken tespit edilip engellenirse, o kadar az hasar meydana gelir. Örneğin, iyi bir e-posta filtreleme politikası ve kullanıcı bilinçlendirme kampanyaları, teslimat aşamasını etkisiz hale getirebilirken, uygun segmentasyon ve sıkı yetki kontrolü, yatay hareketi ve hedefli eylemleri önleyebilir.
Adli analiz, saldırganın attığı her adımı geriye dönük olarak yeniden yapılandırarak, gelecekteki saldırı zincirlerini giderek daha erken aşamalarda kırmak için güvenlik kontrollerinin iyileştirilmesine olanak tanır ve kuruluşun genel savunma duruşunu güçlendirir.
Girişim Analizinin Elmas Modeli
Elmas Modeli, olayları anlamanın başka bir yolunu sunarak, onları dört ana unsur arasındaki etkileşim olarak tanımlar: düşman, yetenek, altyapı ve kurban . Bir saldırı olayı, düşmanın altyapı tarafından desteklenen bir yeteneği kullanarak bir kurbana saldırdığı bir durum olarak tanımlanır.
Ayrıca model, olayın gerçekleştiği zaman damgası, saldırı döngüsünün hangi aşamasında olduğu, sonuç (gizlilik, bütünlük ve kullanılabilirlik üzerindeki etkisi), olayın yönü, metodoloji (örneğin, kimlik avı, port taraması, DDoS) ve kullanılan kaynaklar gibi meta özellikler de sunmaktadır.
Yönetici bakış açısından, bu model, karmaşık bir kampanyada birden fazla olayın nasıl bağlantılı olduğunu , saldırının ilk etkilenen kurbandan kuruluş içindeki diğerlerine nasıl ilerlediğini ve aynı komuta ve kontrol altyapısının farklı hedeflere nasıl yönlendirilebileceğini görselleştirmeye olanak tanır.
Bu olayların Siber Saldırı Zinciri'ne göre haritalandırılmasıyla, düşmanın operasyonlarına dair çok kapsamlı bir görünüm elde edilir ve tespit, müdahale ve direnci geliştirme konusunda somut fırsatlar belirlenir.
NIST'e göre olay müdahalesi ve yaşam döngüsü
Olay müdahalesi, bir kuruluşun bir güvenlik olayına hazırlanmak, olayı tespit etmek, kontrol altına almak, ortadan kaldırmak ve olaydan kurtulmak için kullandığı yöntemleri, politikaları ve prosedürleri kapsar . NIST 800-61 standardı dört aşamalı bir yaşam döngüsü tanımlar.
İlk aşama hazırlıktır ; bu aşamada müdahale kapasitesi oluşturulur (CSIRT veya CSIRC), politikalar ve planlar oluşturulur, prosedürler tanımlanır, roller atanır ve ekibe araçlar, kayıtlara erişim, temiz sistem imajları, kritik varlıkların dokümantasyonu, ağ diyagramları ve genel olarak gerekli tüm kaynaklar sağlanır.
İkinci aşama ise tespit ve analizdir . Bu aşamada, altyapı sürekli olarak loglar , EDR araçları, IDS/IPS, SIEM, kullanıcı uyarıları vb. kullanılarak izlenir, potansiyel olaylar belirlenir, yanlış pozitifler gerçek sorunlardan ayırt edilir, kapsamları ve etkileri belirlenir ve iç ve dış paydaşlar bilgilendirilir.
Üçüncü aşama, sınırlama, ortadan kaldırma ve kurtarma işlemlerini birleştirir . Olayın türüne göre en iyi sınırlama stratejisi seçilir (cihazların izole edilmesi, ağların bölümlere ayrılması, alan adlarının engellenmesi, kimlik bilgilerinin iptal edilmesi vb.), kötü amaçlı yazılım veya temel nedenler ortadan kaldırılır (yamaların uygulanması, tehlikeye atılmış hesapların kaldırılması, yapılandırmaların temizlenmesi) ve hizmetler ve veriler yedeklerden veya kontrollü yeniden yapılandırma yoluyla geri yüklenir.
Dördüncü aşama, olaydan sonraki faaliyetleri içerir : yaşanan her şeyin ayrıntılı olarak incelenmesi, kapsamlı dokümantasyon, çıkarılan derslerin analizi, politikalar, araçlar, mimari, eğitim ve süreçlerde gerekli iyileştirmelerin belirlenmesi, ayrıca CSIRT'in müdahale sürelerinin ve etkinliğinin gözden geçirilmesi.
Olay verilerinin saklanması ve raporlanması gereklilikleri
Bir olaya teknik müdahale tamamlandıktan sonra, elde edilen verilerin ve kanıtların düzgün bir şekilde yönetilmesi zamanı gelir . Bu, her şeyi sonsuza dek saklamak anlamına gelmez; aksine, yasal, düzenleyici, denetim ve güvenlik iyileştirme amaçları için yararlı olanların korunması anlamına gelir.
Saklama süresi, yasal işlem olasılığı (bu durumda delillerin yıllarca saklanması gerekebilir), veri türü (örneğin, e-postalar, kayıtlar, adli kopyalar), kuruluşun iç kuralları ve belirli yasa veya yönetmeliklerin belirlediği yükümlülükler gibi faktörlere bağlıdır.
Ayrıca, kuruluşlar gizlilik ve yasal gerekliliklere her zaman saygı göstererek, olay bilgilerini uzmanlaşmış topluluklarla, sektör veri tabanlarıyla veya VERIS gibi paylaşım çerçeveleriyle paylaşmaktan fayda sağlayabilirler . Bu, küresel tehdit istihbaratını geliştirmeye yardımcı olur ve kuruluşların başkalarının deneyimlerinden ders çıkarmasına olanak tanır.
Aynı zamanda, hukuk ekibi olaya ilişkin hangi raporlama ve iletişim gerekliliklerinin geçerli olduğunu gözden geçirmeli: veri koruma yetkililerine, sektör düzenleyicilerine, etkilenen müşterilere, kilit tedarikçilere, siber sigorta şirketlerine vb. yapılacak bildirimleri belirlemeli ve mesajı adli soruşturmanın bulgularıyla tutarlı bir şekilde koordine etmelidir.
Afet kurtarma ve iş sürekliliği
Kuruluşlar, "saf" siber güvenlik olaylarının ötesinde, ister doğal kaynaklı (sel, yangın, deprem) ister insan kaynaklı (sabotaj, büyük çaplı arızalar, yıkıcı saldırılar) olsun, faaliyetlerini ciddi şekilde etkileyen felaketleri de göz önünde bulundurmalıdır .
Afet Kurtarma Planı (AAP), afet sırasında ve sonrasında etkilenen tesislerin ve varlıkların nasıl değerlendirileceğini, kurtarılacağını, onarılacağını ve eski haline getirileceğini tanımlar . Kritik sistemlerin envanterlerini, kurtarma önceliklerini, işletme prosedürlerini, sorumlu tarafları, kilit tedarikçileri ve iletişim mekanizmalarını içerir.
Kurtarma kontrolleri önleyici, tespit edici ve düzeltici kontroller olmak üzere üç kategoriye ayrılır . İlki, bir felaketin meydana gelmesini önlemeyi veya olasılığını azaltmayı amaçlar; ikincisi, anormal durumları veya artan riskleri tespit etmeyi sağlar; üçüncüsü ise olaydan sonra normal işleyişi yeniden sağlamak için devreye girer.
İş Sürekliliği Planı (BCP), Afet Kurtarma Planı'ndan (DRP) bir adım öteye giderek, ana ofis veya olağan sistemler kullanılamaz durumda olsa bile kuruluşun kritik işlevlerinin nasıl devam ettirileceğini özetler . Bu, operasyonların başka bir yere taşınmasını, alternatif altyapı kullanılmasını, harici sağlayıcılara güvenilmesini veya uzun süreli uzaktan çalışma düzenlemelerinin uygulanmasını içerebilir.
Tüm bunlar , temel süreçleri, sistem bağımlılıklarını, maksimum tolere edilebilir kesinti süresini, kabul edilebilir kayıpları ve hizmetleri kabul edilebilir seviyelerde sürdürmek veya geri yüklemek için gereken kaynakları belirleyen bir iş etkisi analizi (BIA) ile desteklenmektedir .
Bir yönetici veya teknik müdür için bu geniş vizyon, güvenlik ve dijital adli bilişimin bir olay kapatıldığında sona ermediği anlamına gelir : bunlar, iş sürekliliği ve kuruluşun genel risk yönetimiyle entegre edilmesi gereken sürekli bir hazırlık, müdahale ve iyileştirme döngüsünün parçasıdır.
Mevcut durum, yöneticilerin ve güvenlik ekiplerinin dijital adli tıp konusunda derinlemesine teknik bilgiye, NIST, DFIR, MITRE ATT&CK, Siber İmha Zinciri ve Elmas Modeli gibi çerçevelere dair anlayışa, yasal, gizlilik ve iş sürekliliği konularına duyarlılıkla birleşmesini gerektirmektedir . Ancak bu şekilde olayları titizlikle araştırabilir, gerekirse mahkemede davalarını savunabilir, güvenlik duruşunu etkili bir şekilde güçlendirebilir ve kuruluşun kritik senaryolarda bile faaliyetlerine devam edebilmesini sağlayabilirler.
