Eğitim modülü
Bir şey ters gittiğinde: ilk saat
Bir olayın ilk saati için sakin bir sıra: sınırlayın, koruyun, doğru kişilere haber verin, sonra kurtarın.
Sonunda neler yapabileceksiniz
- Stres altında kısa bir eylem sırasını izleyebilirsiniz.
- Delilleri yok eden ya da zararı yayan sık hatalardan kaçınabilirsiniz.
- Olaydan önce nelerin hazırlanması gerektiğini bilirsiniz.
Plan neden yardımcı olur
Gerçek bir olayda insanlar hızlı, yalnız ve eksik bilgiyle hareket eder. NIST SP 800-61 Rev. 3 (2025), olay müdahalesini Siber Güvenlik Çerçevesi 2.0’ın altı işlevine bağlar: yönetmek, tanımlamak, korumak, tespit etmek, müdahale etmek ve kurtarmak. Eski Rev. 2 aynı işi hazırlık, tespit ve analiz, sınırlama, kök neden temizliği ve kurtarma, çıkarılan dersler diye anlatırdı; bu sıra hâlâ düşünmek için yararlı bir çerçevedir. Değerin çoğu, kimin ne yapacağını önceden belirlemekten gelir.
İlk saat
Bu adımlar, bir bilgisayarın ya da hesabın ele geçirildiğinden şüphelenilen durumlara uyar. Sıra önemlidir.
- Bir şey değişmeden önce ne gördüğünüzü ve saati not edin.
- Etkilenen cihazın ağ bağlantısını kesin (kabloyu çekin, Wi-Fi'yi kapatın). Önerilmedikçe kapatmayın; bellek delil taşıyabilir.
- Başka, temiz bir cihazdan etkilenen hesapların parolalarını değiştirin, bütün oturumları kapatın ve kurtarma ayarlarını kontrol edin.
- Sorumlu kişiye haber verin: bilişim sorumlunuza, hizmet sağlayıcıya ya da bankaya. Para hareketi olduysa kartın üzerindeki numaradan hemen bankayı arayın.
- Delilleri saklayın: mesajlar, ekran görüntüleri, fidye notu, e-postanın başlıkları. Silmeyin, toparlamayın.
Fidye yazılımı: özel noktalar
Cihazı ve ulaşabildiği ortak depolamayı izole edin. Ödemeye acele etmeyin: ödeme ne çalışan bir anahtarı ne de verinin kopyalanmadığını garanti eder, bir sonraki saldırıyı da finanse eder. Başka bir şey yapmadan önce hangi yedeklerin sağlam ve çevrimdışı olduğuna bakın; bilişim sağlayıcınızdan ya da ulusal müdahale merkezinden görüş alın.
Haber vermek
Eksiksiz ama geç gelen bildirimden, erken ve olgusal bildirim daha iyidir. Kişisel veri açığa çıkmış olabilirse bir kuruluşun bildirim yükümlülükleri doğabilir; veri korumadan sorumlu kişi en baştan sürece dahil edilmelidir. Ayrıntıları herkese açık kanallarda tartışmayın.
Sonrasında
Olay bittiğinde, buna neyin izin verdiğini, müdahaleyi neyin yavaşlattığını ve hangi tek değişikliğin en çok işe yarayacağını sorun. Bunu yazın ve yapın. Aynı olayın ikinci kez yaşanmaması böyle sağlanır.
Akılda kalacaklar
- Not alın, ayırın, temiz cihazdan kimlik bilgilerini değiştirin, haber verin, delili saklayın.
- Toparlamayın; ödemeye acele etmeyin.
- Rolleri olaydan önce belirleyin.
Kendinizi sınayın
Açıklamayı görmek için bir yanıt seçin. İstediğiniz zaman baştan başlayabilirsiniz.
1. Bir bilgisayar fidye mesajı gösteriyor. En iyi ilk eylem nedir?
İzolasyon yayılmayı sınırlar; mesaj delildir ve zararlı yazılım ailesini belirlemeye yardımcı olabilir.
2. E-posta hesabınızın ele geçirildiğinden şüpheleniyorsunuz. Parolayı nereden değiştirmelisiniz?
Cihaz ele geçirilmişse üzerine yazılan yeni parola da yakalanabilir.
3. Şüpheli bir bilgisayar neden hemen kapatılmaz?
Ağdan ayırmak, bir uzman karar verene kadar belleğin içindekini korurken olayı sınırlar.
Daha fazlası
Kaynaklar
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).