Olay müdahalesi ve ihlal incelemesi

01Kapsam

Triyaj: birçok ana bilgisayardan hızla ne toplanacağı (olay günlükleri, kayıt defteri, Prefetch, Amcache, $MFT, gerekçelendiğinde bellek)
İlk erişim, kalıcılık, yetki yükseltme, yanal hareket, veri sızdırma, etki
Dizinlerde ve bulut kimliğinde hesap ele geçirme
Fidye yazılımı: şifreleme başlangıcı, etkilenen paylaşımlar, silinmiş gölge kopyalar, fidye notu artefaktları
Bildirim ve düzenleyici kararlar için kanıt: hangi veri, ne kadar, hangi ilgili kişiler

Saldırgan nasıl girdi ve en erken belirti ne zamandı?
Hangi sistemlere ve hesaplara, hangi sırayla dokunuldu?
Veriye erişildi mi ya da veri alındı mı; hacim ve içerik sınırlandırılabilir mi?
Saldırgan hâlâ içeride mi; hangi kalıcılık yoluyla?
Bildirim yükümlülüğünü hangi kanıt destekliyor ya da çürütüyor?

Kaynak	Ne verir	Not
Her ana bilgisayardan triyaj paketleri (günlükler, kayıt defteri kovanları, Prefetch, Amcache, $MFT, $UsnJrnl, zamanlanmış görevler)	Ölçekli çalıştırma, kalıcılık ve dosya etkinliği	Her paketin hash değerini alın; toplama aracını ve ana bilgisayar saat sapmasını kaydedin.
Etki alanı denetleyicisi Security günlükleri ve dizin değişiklik kayıtları	Tüm ortamda kimlik doğrulama, hesap oluşturma, grup değişiklikleri, Kerberos etkinliği	Yanal hareket DC'de görünür olur; önce onun günlüklerini koruyun.
EDR, antivirüs, güvenlik duvarı, VPN ve proxy telemetrisi	Süreç ağaçları, engellenen eylemler, uzak oturumlar, giden hacimler	Ham olayları kendi saat dilimi notlanmış biçimde dışa aktarın; panolar özetler ve ayrıntıyı atar.
Kilit ana bilgisayarların bellek imajları ve sıfırıncı hasta sistemlerin tam imajları	Bellekteki araçlar, şifresi çözülmüş yükler, ilk erişim vektörü	Yeniden kurmadan önce imajlayın; yeniden kurulmuş ana bilgisayar kaybedilmiş kanıttır.
Yedekler ve günlükleri	Temiz referans kopyalar; yedek silme ya da müdahale kanıtı	Neyin değiştiğini bulmak için olay öncesi yedeği canlı sistemle karşılaştırın.

Olay kaydını açın
Tek günlük, tek saat (UTC), tek sorumlu. Her eylem, karar ve toplanan öğe; zaman ve kişiyle bir satır alır. Bu kayıt sonradan özen yükümlülüğünün kanıtıdır.
Risk izin verdiği ölçüde sınırlamadan önce koruyun
Gücü kesmek yerine ağda yalıtın; önemli ana bilgisayarlarda belleği alın; günlük saklamayı uzatın ve bulut günlüklerini dışa aktarın; sanal makinelerin anlık görüntüsünü alın.
Tüm kaynaklardan tek bir kronoloji kurun
Ana bilgisayar artefaktları, dizin günlükleri, telemetri ve bulut günlükleri, kaynak başına sapmalar uygulanmış tek bir UTC ekseninde. Her ana bilgisayarda ilk ve son saldırgan eylemini işaretleyin.
Göstergeler üzerinden döndürerek kapsamı belirleyin
Doğrulanmış her gösterge (hesap, hash, IP, araç adı, görev adı) her kaynakta aranır; her eşleşme kapsamı ve kronolojiyi genişletir.
Veri etkisini dürüstçe sınırlandırın
Erişim günlükleri, dosya sunucusu denetimi, hazırlama arşivleri, giden aktarım hacimleri. Kanıt yoksa 'kanıtı yok' değil, 'dışlanamıyor' deyin.

Bu alanın arkasındaki kütüphane kayıtları:

Sınırlama sırasında sistemleri yeniden kurmak ya da başlatmak belleği ve uçucu kanıtı yok eder; bilinçli karar verin.
En erken uyarı nadiren en erken erişimdir; ilk göstergeden geriye doğru arayın.
Şifreleme zamanı saldırının başlangıcı değil, sonudur.
Tehdit raporlarındaki göstergeler bu ortamda sınanacak hipotezlerdir, bulgu değil.
Veri sızdırma kanıtının yokluğu çoğu zaman günlüklemenin yokluğunu yansıtır ve öyle raporlanmalıdır.

Olay kaydı özeti: kim, neyi, ne zaman, kimin kararıyla yaptı.
Hash değerleri, kaynaklar, toplama zamanları ve saat sapmalarıyla kanıt envanteri.
Her girişin ardındaki artefaktla, aşama başına saldırı kronolojisi.
Doğrulanmış erişimi, olası erişimi ve dışlanamayanı ayıran veri etkisi beyanı.
Kök neden ve kanıt boşlukları listesi.

Sınırlama onları değiştirmeden önce hangi sistemler imajlandı ya da belleği alındı?
En erken saldırgan etkinliği ne kadar geriye, hangi artefaktla izlendi?
Alınan veriyle ilgili ifadeyi tam olarak ne destekliyor; hangi günlükleme eksikti?
Kronoloji, kaynak başına saat sapmalarıyla mı kuruldu?