Ransomware, dosyaları şifreleyerek veya veriyi yayımlama tehdidiyle mağdurdan fidye istemeye dayanan saldırı türüdür. Yalnızca dosyaların açılıp açılmadığına bakmak yeterli değildir; veri sızdırma ve kullanılan erişim yolu da araştırılmalıdır.
Önleme İçin Katmanlı Kontroller
- Kimlik ve uzaktan erişimlerde gerekli MFA ve en az ayrıcalık kontrolleri.
- İşletim sistemi ve uygulamalar için yama süreci.
- Uç nokta izleme ve güvenlik olaylarını değerlendirme.
- Kritik sistemler ve yönetim erişimleri için segmentasyon.
- Cihazdan ayrı, erişimi kontrollü yedekler ve geri yükleme denemesi.
- Çalışanların şüpheli mesajları bildirebileceği süreç.
Yedek Varsa Risk Biter mi?
Yedek, iş sürekliliğinin önemli parçasıdır; veri sızdırma riskini ortadan kaldırmaz. Yedekleme işinin başarılı görünmesiyle dosyanın geri yüklenebilmesi farklı şeylerdir. Kurtarma sırası, erişim yetkisi ve yedeğin olaydan etkilenip etkilenmediği de değerlendirilmelidir.
Şüpheli Olayda İlk Kontrol Listesi
- Kurumun olay müdahale ekibini ve bildirim kanalını devreye alın.
- Etkilenen cihaz, zaman ve görülen belirtiyi kaydedin.
- Yayılmayı sınırlamak için yetkili ekibin izolasyon sürecini uygulayın.
- Gerekli kanıtları koruyun; logları ve kayıtları gelişigüzel silmeyin.
- Kimlik sistemi, uç nokta, ağ ve yedekleme kapsamını birlikte araştırın.
- Kurtarmayı doğrulanan temiz ortam ve plan üzerinden yürütün.
İzolasyon ve kapatma kararlarının iş ve kanıt etkisi vardır. Kurumun yetkili müdahale ekibi, olayın koşullarına göre karar vermelidir.
SIEM’de Hangi Bağlam Aranır?
Şüpheli kimlik doğrulamalar, ayrıcalık değişiklikleri, beklenmeyen süreçler, yedekleme sistemine erişim ve veri aktarımı zaman çizelgesinde ilişkilendirilebilir. Tek bir alarm veya dosya uzantısı saldırının tüm kapsamını göstermez.
Kurtarma Sonrası
İlk erişim yolu ve ilgili kimlikler değerlendirilmeden yalnızca dosyaları geri yüklemek yeterli olmayabilir. Temiz kurulum, erişim düzeltmeleri, yama ve izleme kontrollerini doğrulayın. Öğrenilenleri olay kaydı ve müdahale planına ekleyin.
Kaynak ve Kapsam
IBM: Ransomware. Kontrol listesi hazırlık ve değerlendirme için genel bir öneridir; gerçek olayda kurumun müdahale süreci uygulanır. Bu sayfada doğrulanmamış gerçek vaka veya saldırı istatistiği kullanılmaz.
İlgili Rehberler
