Saldırı Anında Önce Delili Koru, Sonra İzole Et.
7/24 Siber Olay Müdahale (DFIR) & Tehdit Avcılığı
Bir fidye yazılımı veya veri ihlali yaşandığında ilk 60 dakika içinde yapılan en büyük hata, iyi niyetli sistem yöneticisinin panikle sunucuları kapatması veya formatlamasıdır. Sunucu kapatıldığı an uçucu bellekteki (RAM) şifreleme anahtarları, saldırganın aktif ağ bağlantıları ve dosya-sız (fileless) zararlı yazılım izleri kalıcı olarak yok olur; hem kurtarma şansı düşer hem de sigorta ve yargı nezdindeki delil bütünlüğü bozulur.
ÖNCÜ 7/24 Siber Olay Müdahale hattı, klasik BT kurtarma ekiplerinden farklı olarak "Adli Öncelikli Müdahale" (Forensic-First Containment) prensibiyle çalışır. Müdahale sırasındaki her izolasyon, her bellek dökümü ve her yönetici kararı kriptografik hash zinciriyle Mühürlü Müdahale Defteri’ne (IR-...) kaydedilir.
Aynı anda hem teknik çevreleme (containment) ve kök neden analizini yürütür hem de KVKK 72 saatlik veri ihlali bildirimi, 7545 sayılı Siber Güvenlik Kanunu, USOM/SOME, BDDK, BTK ve siber sigorta hasar dosyası için gereken kanıt paketlerini üretiriz.
Veri İhlali & Siber Olay Tespit Anından (`T0`) İtibaren Yasal Bildirim Pencereleri
Kişisel veri ihlalinin öğrenilmesinden itibaren en geç 72 saat içinde KVK Kuruluna bildirim (etkilenen kişi sayısı, veri kategorileri ve alınan teknik önlemlerle).
Hizmet sunulan alanda tespit edilen siber olayların ve zafiyetlerin gecikmeksizin ilgili koordinasyon merkezine / USOM’a teknik IOC paketiyle bildirimi.
Finansal sürekliliği veya müşteri verisini etkileyen siber olaylarda BDDK’ya ivedi bildirim ve kök neden raporu.
6 Adımlı Denetlenebilir İnceleme Akışı
0–15 Dk: Acil Triyaj & Bant Dışı Kanal
İhlal edilmiş kurumsal e-posta/Teams yerine bağımsız bant dışı iletişim açılır; İlk 60 Dakika Protokolü devreye alınır.
15–60 Dk: Uçucu Delil (RAM) Koruma & İzolasyon
Sunucular kapatılmadan RFC 3227 sırasıyla RAM ve ağ durumu yakalanır; ardından sistemler ağdan izole edilir.
1–6 Saat: Sabır Sıfır (Patient Zero) & Kapsam
İlk giriş vektörü (VPN/RDP/kimlik bilgisi/güvenlik açığı), yanal hareket ve etkilenen sistem kapsamı çıkarılır.
6–24 Saat: Veri Sızıntısı (Exfiltration) Kanıtı
NetFlow, güvenlik duvarı, DNS, bulut ve MFT/USN kayıtlarından gerçekten hangi verinin dışarı çıktığı matematiksel olarak tespit edilir.
24–72 Saat: Düzenleyici Bildirim & Temizleme
KVKK (72 saat), USOM, BDDK/BTK teknik bildirim ekleri hazırlanır; kalıcılık mekanizmaları temizlenerek güvenli kurtarma yapılır.
Kapanış: Mühürlü Müdahale Defteri & Kök Neden
Tüm müdahale adımlarının RFC 3161 + PQC mühürlü kaydı, siber sigorta raporu ve savcılık suç duyurusu paketi teslim edilir.
Uzmanlık Hizmetleri & Teslimat Spesifikasyonları
Fidye Yazılımı (Ransomware) Acil Müdahale, Çevreleme & Kök Neden Analizi
Problem: Şifrelenen sunucu ve sanallaştırma (ESXi/Hyper-V) altyapısında saldırının durdurulması, ilk giriş noktasının ve veri sızıntısının tespiti.
Yöntem: Forensic-First izolasyon, RAM/imaj edinimi, şifreleme ailesi/varyant analizi, yanal hareket haritası ve güvenli kurtarma doğrulaması.
Teslimat: Kök Neden ve Kapsam Raporu + Mühürlü Müdahale Defteri (IR-...) + Savcılık Delil Eki
Veri İhlali (Exfiltration) Tespiti & KVKK 72 Saat / Düzenleyici Teknik Kanıt Paketi
Problem: Saldırganın sistemlere girdiği olayda gerçekten hangi kişisel veya ticari verilere eriştiğinin/indirdiğinin 72 saat içinde kanıtlanması.
Yöntem: Ağ akış (NetFlow/Firewall), proxy/DNS, bulut indirme, veritabanı sorgu ve dosya erişim artefaktlarının korelasyonu.
Teslimat: Veri İhlali Kapsam Matrisi + KVKK/USOM/Sektörel Teknik Bildirim Eki
BEC (İş E-postası Ele Geçirme) & Ödeme/SWIFT Müdahalesi (İlk 24 Saat)
Problem: Devam eden veya yeni fark edilen e-posta/ödeme yönlendirme saldırısında saldırganın posta kutusundaki gizli erişiminin kesilmesi.
Yöntem: M365/Workspace aktif oturum/token iptali, gizli yönlendirme kuralları (inbox/transport rules) ve OAuth uygulama denetimi.
Teslimat: Acil Posta Kutusu Temizlik Tutanağı + İlk 24 Saat Teknik Kanıt Paketi
Bulut & Kimlik Altyapısı Olay Müdahalesi (Active Directory, Entra ID, AWS/Azure)
Problem: Golden Ticket, DCSync, OAuth/PRT token çalınması veya bulut yönetim konsolu ele geçirilmesi vakalarının temizlenmesi.
Yöntem: AD NTDS/replikasyon analizi, Entra ID riskli oturum ve denetim logları, AWS CloudTrail/GuardDuty korelasyonu ve kimlik sıfırlama planı.
Teslimat: Kimlik Baskınlığı (Identity Dominance) Kurtarma Planı ve Teknik Rapor
Canlı Sistem & Uçucu Bellek (RAM) Adli Edinimi ve Dosyasız Zararlı Analizi
Problem: Diskte dosya bırakmadan yalnızca RAM üzerinde çalışan (Cobalt Strike, Sliver, bellek içi enjeksiyon) saldırıların yakalanması.
Yöntem: RFC 3227 uçuculuk sırasına göre LiME/WinPmem ile canlı RAM dökümü, Volatility 3 süreç/ağ/kod enjeksiyonu analizi ve MÜHÜR.
Teslimat: Uçucu Bellek Analiz Raporu + Zararlı Yapılandırma/IOC Çıktısı
Web Uygulaması, API, E-Ticaret & Veritabanı İhlali İncelemesi
Problem: Web kabuğu (webshell), SQL enjeksiyonu, API anahtarı sızıntısı veya ödeme sayfası (Magecart/skimmer) müdahalesinin tespiti.
Yöntem: WAF/ters vekil (reverse proxy) logları, konteyner/sunucu dosya sistemi, veritabanı işlem günlükleri ve kaynak kodu değişim denetimi.
Teslimat: Uygulama İhlal Kök Neden Raporu + Sızıntı/Etkilenen Kayıt Listesi
Proaktif Tehdit Avcılığı (Threat Hunting) & Kalıcılık Taraması
Problem: Mevcut SIEM/EDR kurallarının yakalayamadığı LOLBins (Living-off-the-Land) ve gizli kalıcılık mekanizmalarının avlanması.
Yöntem: MITRE ATT&CK hipotez odaklı av döngüsü, WMI/zamanlanmış görev/servis/kayıt defteri/cron taraması ve Sigma kural üretimi.
Teslimat: Tehdit Avı Bulgular Raporu + Kuruma Özel Sigma/YARA Kuralları
Siber Sigorta Olay Doğrulama & Hasar Dosyası Teknik Kanıt Paketi
Problem: Poliçe kapsamındaki olayın kök nedeninin, iş durması süresinin ve müdahale maliyetlerinin bağımsız ve mühürlü kanıtlarla belgelenmesi.
Yöntem: İlk giriş zamanı (retroactive date kontrolü), iş kesintisi kronolojisi, kurtarma adımları ve Mühürlü Müdahale Defteri.
Teslimat: Sigorta Hasar Dosyası Teknik Ekspertiz/Doğrulama Raporu
Olaya Hazırlık, Log/Delil Hazırlık Denetimi & 7/24 SLA Retainer Sözleşmesi
Problem: Olay anında sözleşme/satın alma süreçleriyle vakit kaybetmemek ve logların gerçekten adli incelemeye uygun tutulduğundan emin olmak.
Yöntem: Ön-olay log saklama ve NTP senkronizasyon denetimi, olay müdahale oyun kitapları (playbooks) ve garantili yanıt süreli SLA.
Teslimat: Adli Hazırlık (Forensic Readiness) Raporu + 7/24 Kırmızı Hat Retainer
Bu Hizmet Hattında Ne Yapabiliriz, Ne Vaat Etmeyiz?
- ✓Fidye yazılımı, veri sızıntısı, BEC, bulut/kimlik (AD/Entra) ve web/API ihlallerine 7/24 delil korumalı müdahale
- ✓Canlı sistemlerden uçucu bellek (RAM) edinimi, sızıntı miktarı tespiti ve Mühürlü Müdahale Defteri üretimi
- ✓KVKK 72 saat, 7545 s. Kanun, USOM, BDDK, BTK, SPK ve siber sigorta için teknik bildirim ve hasar kanıt paketi hazırlığı
- ⊘Fidye ödenmesi yönünde tavsiye verilmez, tehdit aktörüyle doğrudan ödeme aracılığı veya para transferi kesinlikle yürütülmez.
- ⊘Karşı saldırı (hack-back) veya tehdit aktörünün altyapısına yetkisiz erişim kesinlikle yapılmaz.
- ⊘Logların üzerine yazıldığı veya hiç tutulmadığı sistemlerde "sıfır veri sızıntısı oldu" şeklinde kanıtsız güvence verilmez; kanıt varlığı ile kanıt yokluğu açıkça ayrılır.
Sahada ve Mahkemede Teknik Metodoloji Nasıl Fark Yaratır?
Üretim Tesisinde ESXi Fidye Yazılımı: Sunucuları Kapatmadan RAM/Log Koruma ve KVKK "Sızıntı Yok" Kanıtı
İddia / Durum: Bir sanayi kuruluşunun sanallaştırma sunucuları gece yarısı şifrelenmiş; tehdit aktörü "2 TB müşteri ve personel verisini çaldık" iddiasıyla şantaj yapmıştır.
Uygulanan Yöntem: İlk 60 Dakika Protokolü ile kenar güvenlik duvarı (Firewall) NetFlow kayıtları, VPN oturumları ve halen açık olan etki alanı denetleyicisinin (DC) RAM dökümü mühürlenerek alınmıştır.
Teknik Bulgu: Saldırganın eski bir VPN hesabı üzerinden girdiği ve şifreleme başlattığı; ancak olay boyunca dış ağa toplam giden trafiğin yalnızca 18 MB (komuta-kontrol trafiği) olduğu ve 2 TB veri sızıntısı iddiasının blöf olduğu ağ akış kayıtlarıyla matematiksel olarak kanıtlanmıştır.
Sonuç Etkisi: Kurum fidye ödemekten kurtulmuş; KVKK ve düzenleyici kuruma sunulan teknik raporla kitlesel veri sızıntısı gerçekleşmediği Mühürlü Müdahale Defteri ile belgelenmiştir.
Sıkça Sorulan Teknik ve Hukuki Sorular
Şu an fidye yazılımı saldırısı altındayız; sunucuları hemen fişten çekip kapatalım mı?
Hayır! Sunucuyu kapatmak veya yeniden başlatmak RAM üzerindeki geçici anahtarları ve saldırganın aktif bağlantı izlerini siler. Bunun yerine sunucuyu kapatmadan ağ kablosunu çekin veya switch portunu/VLAN’ı izole edin ve derhal /acil sayfasındaki İlk 60 Dakika kontrol listesini uygulayın.
Mühürlü Müdahale Defteri (Sealed Incident Logbook) nedir?
Olay müdahalesi sırasında yapılan her işlemin (hangi sunucudan hangi saatte imaj alındı, hangi kural uygulandı) bir önceki kaydın kriptografik özetine (hash) bağlanarak RFC 3161 zaman damgasıyla mühürlendiği kayıt defteridir. Sonradan denetçiye, mahkemeye veya sigortaya müdahalenin kusursuz yürütüldüğünü ispatlar.