Siber Olay Müdahale Hizmeti: Saldırı Sonrası İlk Adımlar

Siber Olay Müdahale Hizmeti Nedir?

Klasik firewall veya antivirüs çözümleri saldırıyı engelleyemediğinde, müdahale ekibi devreye girer. İdeal bir müdahale hizmeti yalnızca teknik olarak sistemi temizlemez; yasal sorumluluklar (KVKK bildirim yükümlülüğü, denetim raporları) ve iş sürekliliği (backup restore, alternatif kanal açma) açısından da kurumu korur. Deneyimlerimizde ransomware senaryolarında ilk 24 saat içinde doğru adımlar atmak, fidye ödeme ihtimalini ve veri kaybını ciddi oranda düşürür.

Müdahale hizmeti genellikle üç şekilde sunulur: kurumun kendi iç SOC ekibi tarafından, harici bir MSSP (Managed Security Service Provider) aracılığıyla ya da saldırı anında çağrılan retainer anlaşmalı danışmanlık firması ile. İnvekor olarak kurumsal müşterilerimize hem önceden hazırlık (playbook geliştirme, tatbikat) hem de olay anı 7/24 çağrı desteği sağlıyoruz.

Olay Müdahale Süreci Nasıl İşler?

Endüstri standardı olarak kabul edilen modelde (örneğin NIST veya SANS çerçevesi) müdahale süreci altı ana aşamadan oluşur. Her aşama bir sonrakinin temelini oluşturur; atlanmış adım, olayın tekrarlamasına veya yasal sorumlulukların eksik yerine getirilmesine yol açabilir.

1. Hazırlık (Preparation) — Olay öncesi: ekip eğitimi, araç tedariki, playbook yazımı, iletişim planı. Çoğu kurum bu aşamayı atlar ve saldırı anında sıfırdan başlar.
2. Tespit ve Analiz (Detection & Analysis) — Log incelemesi, alarm korelasyonu, IoC (Indicator of Compromise) taraması ile olayın kapsamı ve saldırı vektörü belirlenir.
3. Kapsama Alma (Containment) — Etkilenen sistemler izole edilir, saldırganın yanal hareketi durdurulur. Kısa vadeli (immediate) ve uzun vadeli (recovery öncesi) kapsama stratejileri uygulanır.
4. Zararlının Temizlenmesi (Eradication) — Backdoor, persistent malware, rogue hesaplar sistemden kaldırılır. Rootkit veya firmware düzeyinde kalıcılık varsa daha derin müdahale gerekir.
5. Kurtarma (Recovery) — Temiz yedeklerden dönüş, sistem sertleştirme, izleme mekanizmaları güncellenir ve iş süreçleri normale döner.
6. Olaydan Öğrenme (Lessons Learned) — Post-mortem rapor yazılır, tespit edilemeyen kontrol boşlukları kapatılır ve playbook güncellenir.

Müdahale Ekibinde Kimler Olmalı?

Etkili bir olay müdahale ekibi çok disiplinlidir. Yalnızca siber güvenlik uzmanı değil, yasal, iletişim ve operasyon temsilcileri de sürecin farklı noktalarında rol alır. Örnek bir ekip yapısı şöyledir:

Küçük ve orta büyüklükteki kuruluşlarda bu rollerin tamamını tek kişi üstlenemez; harici danışmanlık şirketleri (örneğin İnvekor) bu ekip yapısını hizmet olarak sunar. Dijital güvenlik ve uyum danışmanlığı kapsamında müdahale playbook'u hazırlama ve tatbikat hizmetimiz de bu sürecin başarısını artırır.

Farklı Saldırı Tiplerine Göre Müdahale Yaklaşımları

Her siber olay türü farklı müdahale stratejisi gerektirir. Ransomware, APT (Advanced Persistent Threat) ve DDoS senaryolarında öncelikler ve adımlar değişir.

Ransomware Müdahalesi

Hedef, şifrelemeyi durdurmak ve yayılmayı engellemektir. İlk aksiyon, etkilenen makinelerin ağdan hemen izole edilmesi (kablo çekme dahil). Ardından şifreleme türü (RSA, AES kombinasyonu) ve kullanılan ransomware ailesi (REvil, LockBit vb.) tespit edilir. Birçok durumda ücretsiz decryptor mevcut olabilir; fidye ödemeden önce mutlaka araştırılmalı. Veri yedekleri varsa restore, yoksa delil koruma altında forensic analiz yapılır.

Veri İhlali (Data Breach) Müdahalesi

Öncelik, hangi verilerin sızdığını (kişisel veri, ticari sır, kredi kartı) tespit etmek ve yasal bildirimleri zamanında yapmaktır. KVKK uyum danışmanlığı kapsamında ihlal sonrası süreç yönetimi sağlıyoruz; bildirim süresi 72 saat olduğu için hız kritiktir. Müşterilere e-posta ile bilgilendirme, şifre sıfırlama zorunluluğu ve kredi izleme hizmetleri de bu sürecin parçasıdır.

APT (Gelişmiş Kalıcı Tehdit) Müdahalesi

Saldırgan aylarca sistemde kalabileceği için gizli izleme ve kanıt toplama aşaması uzun sürer. Saldırganı erken uyarmadan backdoor'ları kapatmak, yanal hareket izlerini takip etmek ve command & control (C2) sunucu bağlantılarını kesmek gerekir. Bu tür olaylarda harici threat intelligence desteği şarttır.

Olay Öncesi Hazırlık ve Playbook Geliştirme

Saldırı anında ne yapacağınızı bilmek, müdahale süresini yarıya indirir. Bunun için kurumların Incident Response Playbook adı verilen, senaryo bazlı aksiyon planları hazırlaması gerekir. Her playbook bir olay türü için (ransomware, DDoS, içeriden sızıntı vb.) adım adım yapılacakları, rolleri, iletişim ağacını ve karar ağaçlarını içerir.

Hazırlık aşamasında yapılması gerekenler:

• Kritik Varlık Envanteri: Hangi sistemler, veriler ve servisler öncelikli korunmalı? Kurtarma sırası (recovery priority) belirlenmeli.
• Log ve İzleme Altyapısı: SIEM, EDR gibi araçlar kurulu ve düzenli log akışı sağlanmalı. Log olmadan analiz yapılamaz.
• Yedekleme Stratejisi: 3-2-1 kuralı (3 kopya, 2 farklı medya, 1 offsite) uygulanmalı ve yedeklerin offline olması ransomware'e karşı koruma sağlar.
• İletişim Planı: Kriz anında kime, nasıl, hangi kanaldan ulaşılacak? Alternatif iletişim yolları (SMS, harici e-posta) tanımlanmalı.
• Düzenli Tatbikat: Yılda en az bir kez masaüstü simülasyon (tabletop exercise) veya canlı tatbikat yapılmalı; playbook'un işlerliği test edilmeli.

İnvekor olarak müşterilerimize bilgi güvenliği danışmanlığı kapsamında playbook geliştirme ve yıllık tatbikat hizmeti sunuyoruz. Hazırlık aşamasında yapılan küçük yatırımlar, olay anında milyonlarca liralık kaybı önleyebilir.

Yasal Uyum ve Raporlama Zorunlulukları

Siber olay müdahalesi salt teknik bir süreç değildir; yasal ve düzenleyici yükümlülükler de süreci şekillendirir. Türkiye'de KVKK, sektörel düzenlemeler (bankacılık için BDDK, enerji için EPDK) ve uluslararası standartlar (NIS2 Direktifi, GDPR) farklı raporlama gereksinimleri getirir.

KVKK Kapsamında Veri İhlali Bildirimi

Kişisel verilerin yetkisiz erişime uğraması durumunda kurum, farkına vardığı andan itibaren 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirimde bulunmalıdır. Bildirimde ihlalin niteliği, etkilenen kişi sayısı, alınan tedbirler ve olası sonuçlar yer almalıdır. Bildirimin gecikmesi veya yapılmaması idari para cezasına yol açar.

Dijital Adli Delil Yönetimi

Yasal süreç başlatılacaksa (suç duyurusu, siber sigorta talebi), toplanan kanıtların değişmezliği (integrity) ve zincir güvenliği (chain of custody) sağlanmalıdır. Diskin hash değeri alınmadan analiz yapılırsa mahkemede geçersiz sayılabilir. Bu nedenle forensic uzman desteği kritiktir.

Raporlama sürecinde üst yönetime, yönetim kuruluna ve hissedarlara düzenli bilgi verilmesi de kurumsal yönetişim gereğidir. Olay raporu, root cause analysis ve alınan önlemler şeffaf şekilde paylaşılmalıdır.

Olay Müdahale Hizmeti Seçerken Nelere Dikkat Edilmeli?

Harici bir müdahale hizmeti alırken aşağıdaki kriterler başarıyı doğrudan etkiler:

• 7/24 Erişilebilirlik: Saldırı cumartesi gecesi 03:00'te olabilir; ekip her an ulaşılabilir olmalı.
• Retainer Anlaşması: Olay öncesi sözleşme imzalayarak, kriz anında fiyat pazarlığı yapmadan hızla hizmete başlayabilirsiniz.
• Sektör Deneyimi: Finans, sağlık, üretim gibi sektörlerin kendine özgü uyum gereksinimleri vardır; sağlayıcının bu alanda deneyimi olmalı.
• Araç ve Yetkinlik: EDR, SIEM, sandbox, threat intelligence platformlarına erişimi var mı? Eğitimli ve sertifikalı uzmanlar (GCIH, GCFA gibi) istihdam ediyor mu?
• İletişim ve Şeffaflık: Süreç boyunca düzenli güncelleme, anlaşılır raporlama ve post-mortem analiz sunmalı.

İnvekor, Türkiye genelinde kurumsal müşterilere 7/24 siber olay müdahale hizmeti sunuyor. Siber güvenlik hizmetlerimiz içinde proaktif izleme, sızma testleri ve müdahale desteği bütünleşik şekilde yer alıyor. Daha fazla bilgi için iletişim sayfamızdan bize ulaşabilirsiniz.

Sıkça Sorulan Sorular (SSS)

Sonuç: Hazırlık Zamanı Kriz Anında Kazandırır

Siber olay müdahale hizmeti, yalnızca saldırı sonrası yapılan teknik temizlik değil; önceden hazırlanmış strateji, eğitimli ekip ve düzenli tatbikatlarla desteklenen bütünsel bir siber dayanıklılık yaklaşımıdır. Deneyimlerimizde, playbook'u olan ve yıllık tatbikat yapan kurumlar, olay anında üçte bir sürede normale dönerken yasal ve mali kayıpları minimize ediyor. Ransom ödeme oranı da hazırlıklı kurumlarda belirgin şekilde düşük.

2026'da saldırı karmaşıklığı ve hızı artarken, müdahale süreçlerini otomasyonla desteklemek (SOAR platformları), yapay zeka ile erken tespit sağlamak ve yasal uyumu önceden planlamak kritik başarı faktörleri haline geldi. İnvekor olarak kurumsal müşterilerimize end-to-end müdahale desteği, iç ağ güvenlik analizi ve uyum danışmanlığı ile siber dayanıklılık yolculuğunda yanınızdayız. Proaktif hazırlık için bugün harekete geçin; yarın çok geç olabilir.