1. GİRİŞ

Incident Response (olay müdahalesi), bir güvenlik olayının tespitinden başlayıp etkisinin giderilmesine ve organizasyonel öğrenmeye kadar uzanan kontrollü süreçtir. Siber saldırıların çeşitlenip otomatikleştiği, bulut ve microservice mimarilerinin yaygınlaştığı günümüzde etkin bir IR programı, zararın azaltılması, iş sürekliliğinin korunması ve yasal/uyumluluk yükümlülüklerinin yerine getirilmesi için elzemdir.

Bu neden bugün önemli?

• Saldırılar daha hızlı ve karmaşık hale geldi; manuel reaksiyon yavaş kalır.
• Bulut, üçüncü taraf entegrasyonları ve container platformları yeni saldırı yüzeyleri yarattı.
• Regülasyonlar şeffaf raporlama, bildirim süreleri ve adli kanıt ihtiyacı getirdi.

Kimler için önemli?

• SOC ve IR ekipleri — operasyonel müdahale için
• Geliştiriciler ve platform mühendisleri — containment ve remediation uygulama
• Yönetim ve uyum ekipleri — risk iletişimi ve raporlama

2. KAVRAMSAL TEMELLER

2.1 Tanımlar

• Incident (Olay): Güvenlik politikalarının ihlali, veri sızıntısı, yetkisiz erişim veya şüpheli aktiviteler.
• IR (Incident Response): Olayın tespit, analiz, containment, eradication, recovery ve lessons learned adımlarını içeren bütünsel süreç.
• Playbook: Belirli bir olay türü için adım adım yürütülecek prosedür seti.
• Forensics: Olay sonrası kanıt toplama, analiz ve raporlama süreci (memory, disk images, network traces).

2.2 IR ekip bileşenleri

• IR lead / incident manager
• Forensics uzmanları
• SOC analistleri ve detection engineering
• Communication / legal / PR kontakları

3. NASIL ÇALIŞIR?

3.1 IR yaşam döngüsü

IR yaşam döngüsü genellikle şu aşamalardan oluşur: Preparation (hazırlık), Detection & Analysis (tespit ve analiz), Containment, Eradication & Recovery (sınırlama, yok etme ve kurtarma), ve Post‑Incident Activity (lessons learned, reporting). Bu döngü SOC operasyonları ile sıkı entegrasyon gerektirir.

3.2 Hazırlık (Preparation)

• Playbook ve runbook oluşturma; kritik use case'lere öncelik verme.
• IR iletişim zinciri: teknik, hukuk, yönetim, PR ve müşteriye bildirim süreçleri tanımlama.
• Forensics altyapısı: forensic‑ready logging, centralized immutable log store, EDR konfigürasyonu ve adli kanıt politikasının oluşturulması.
• Tabletop, red/purple team tatbikatları ve eğitim programları.

3.3 Tespit ve analiz (Detection & Analysis)

Tespit, SIEM/EDR/NDR sinyalleri, kullanıcı bildirimleri veya üçüncü taraf uyarıları (threat intel) ile başlar. Analiz aşamasında öncelikle olayın kapsamı, etkilenen sistemler, göstergeler (IOC) ve potansiyel etki (data exfil, availability) değerlendirilir. Triage, olayın gerçek bir ihlal olup olmadığını ve önceliğini belirler.

3.4 Containment stratejileri

• Short‑term containment: Hızlı erişim kesme, izolasyon (network quarantine), credential reset gibi acil eylemler.
• Long‑term containment: Geçici yamalar, access restriction, monitoring ile saldırganın hareket alanını daraltma.

3.5 Eradication & Recovery

Eradication aşamasında kompromize olmuş bileşenler temizlenir; backdoor'lar, kötü amaçlı yazılımlar ve persistence mekanizmaları kaldırılır. Recovery, sistemlerin güvenli bir şekilde yeniden hizmete alınmasını içerir. Bu aşamada değişikliklerin versiyon kontrolü, deployment pipeline ve configuration management dikkate alınmalıdır.

3.6 Post‑incident (Lessons Learned)

Olay kapandıktan sonra root cause analysis yapılır, playbook'lar güncellenir, detection kuralları ve otomasyonlar iyileştirilir. Ayrıca regülasyon gereği raporlama ve bildirimin zamanında yapılması sağlanır.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Büyük kurum örnekleri

Büyük kurumlar genellikle hem iç IR ekiplerine hem de MSSP/MDR sağlayıcılarına sahiptir. Örneğin finansal kurumlar düzenli olarak oltalama (phishing) kampanyalarını simüle eder, tabletop tatbikatları düzenler ve gerçek saldırı durumunda müşteri iletişimini senkronize ederler.

4.2 Cloud‑native şirketlerde IR

Cloud‑first altyapılarda IR süreçleri; infrastructure as code (IaC), ephemeral instances ve otomasyon odaklıdır. Recovery planları immutable infra (rebuild vs patch) prensiplerine göre tasarlanır; container ve orchestration (Kubernetes) ortamlarında compromise izlerinin toplanması için cluster audit log'ları, kube‑events ve network policy telemetry önemlidir.

4.3 SMB ve startup senaryoları

Küçük ekipler için hızlı ve pragmatik IR planları gerekir: critical assets inventory, runbook basitleştirmeleri, ve managed detection/response hizmetlerinin kullanımı ile hızlı müdahale sağlanabilir.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Düşük dwell time ve daha hızlı hasar kontrolü.
• Yasal uyumluluk ve düzenleyici raporlama süreçlerinin desteklenmesi.
• Kurumsal öğrenme ile güvenlik pozisyonunun güçlenmesi.

Sınırlamalar

• Ir ekiplerinin kurulumu ve işletilmesi maliyetlidir.
• Yetersiz telemetri durumunda tespit ve adli analiz güçleşir.
• Yanlış veya aceleci containment iş süreçlerini kesintiye uğratabilir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

Production kullanımı

• Forensic‑ready logging: immutable, centralized, tamper‑evident log depolama.
• Olay sınıflandırma ve priorizasyon: impact, scope ve criticality kriterlerini netleştirin.
• Playbook otomasyonu: SOAR ile repeatable containment adımlarını hızlandırın.
• Communication plan: iç ve dış paydaşlar için hazır mesaj ve süreçler (legal, PR, customers).
• Regular exercises: tabletop, red team ve simülasyonlarla IR yeteneklerini test edin.

Performans ve operasyon

• Runbook versiyon kontrolü: tüm playbook'lar kod/depo içinde versiyonlanmalı ve CI ile test edilmeli.
• Metric driven IR: MTTD, MTTR, containment time ve recovery time metriklerini izleyin.
• Cross‑team automation: DevOps ve platform ekipleri ile otomatik remediation script'leri ve safe rollback stratejileri geliştirin.

Güvenlik ve kanıt yönetimi

• Chain of custody: adli kanıt toplanması ve saklanmasında izlenebilirlik sağlayın.
• Encryption and key management: kanıt depolarını ve transferleri güvenli tutun.
• Legal readiness: regülasyonlara uygun bildirim süreleri ve raporlama süreçlerini önceden belirleyin.

8. SIK YAPILAN HATALAR

• Telemetri eksikliği: kritik logların toplanmaması veya saklanmaması.
• Playbook yokluğu veya güncellenmemiş playbook'lar.
• İletişim eksikliği: teknik ekip ile yönetim/ihbar mercileri arasında koordinasyon hataları.
• Olay sonrası öğrenmeyi atlamak: lessons learned yapılmaması repeat incident riskini artırır.

9. GELECEK TRENDLER

AI destekli IR ve otomatik triage

ML modelleri alert önceliklendirmede, IoC correlation ve anomali sınıflandırmada SOC/IR ekiplerine yardımcı olacak. Ancak model yönetimi, explainability ve yanlış pozitiflerin riskleri göz önünde bulundurulmalı.

Runbooks as code ve IR CI/CD

Playbook'ların kod olarak saklanması, test edilmesi ve CI/CD ile dağıtılması IR süreçlerinin güvenilirliğini artıracak; tabletop ve simülasyonlar otomasyona dahil edilecek.

Regülasyon ve kanıt odaklı IR

Veri koruma kanunları ve bildirim gereksinimleri IR süreçlerini daha da standartlaştıracak; kanıt yönetimi ve hızlı raporlama yetkinlikleri önem kazanacak.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Bir güvenlik olayı tespit edildiğinde ilk yapılması gereken nedir?

   İlk adım kısa‑term containment olmalı: etkilenen sistemi izole etmek, ilgili account'ları kilitlemek ve iletişim zincirini aktive etmektir. Ardından triage ile scope belirlenir.

2. 2. Forensics için hangi veriler önceliklidir?

   Memory dump, disk images, process lists, network captures, authentication logs ve application logs öncelikli kanıt kaynaklarıdır.

3. 3. SOAR neden önemlidir?

   SOAR tekrar eden containment ve triage adımlarını otomatikleştirerek MTTR'yi düşürür, analist yükünü azaltır ve süreçleri standardize eder.

4. 4. IR playbook nasıl hazırlanmalı?

   Playbook'lar açık, adım adım, roller ve sorumlulukları tanımlı ve test edilebilir olmalıdır. Her playbook için başarı kriterleri ve rollback planı yer almalıdır.

5. 5. Olay sonrası müşteri bildirimi nasıl yönetilir?

   Legal ve PR ile koordine olun; regülasyonlara göre bildirim süresi ve içerik belirlenir. Teknik detaylar, müşteri açısından anlaşılır ve doğru seviyede verilmelidir.

6. 6. IR ekibini nasıl eğitirim?

   Tabletop tatbikatları, red/purple team senaryoları ve hands‑on forensics laboratuvarları ile sürekli eğitim sağlayın.

7. 7. Incident response ile disaster recovery arasındaki fark nedir?

   IR, güvenlik olaylarının tespiti ve müdahalesine odaklanır; DR (Disaster Recovery) ise hizmetin sürekliliğinin sağlanması ve büyük altyapı arızalarının recovery planları ile ilgilenir. İki süreç entegrasyonlu olmalıdır.

8. 8. Küçük ekipler için hızlı IR adımları nelerdir?

   Critical asset inventory, simple runbooks, use of MDR/MSSP ve hazır communication templates ile hızlı başlanabilir.

Anahtar Kavramlar

• Containment: Saldırganın hareket alanını sınırlama adımı.
• Eradication: Kötü amaçlı yazılımların ve backdoorların sistemden kaldırılması.
• Forensics: Kanıt toplama ve analiz süreci.
• SOAR: Olay yanıt otomasyonu ve orkestrasyon platformu.
• Playbook: Olay tipine özel prosedür dokümanı.

Öğrenme Yol Haritası

1. 0–1 ay: Temel incident lifecycle, temel loglama ve forensic kavramlarını öğrenin.
2. 1–3 ay: EDR/EDR araçlarını, SIEM korelasyon kurallarını ve temel forensics tekniklerini pratik edin.
3. 3–6 ay: SOAR playbook'ları oluşturun, tabletop tatbikatları yapın, ve red/purple team senaryoları uygulayın.
4. 6–12 ay: Advanced memory forensics, network forensics, malware analysis ve incident coordination deneyimi kazanın.