Siber saldırıyı fark ettiniz: ilk 24 saatte ne yapmalısınız?

Bir saldırıyı fark ettiğiniz ilk 24 saatte üç işi aynı anda yürütmeniz gerekir: olayın gerçek olduğunu doğrulamak, saldırganın erişimini kanıtı yok etmeden kesmek ve hukuki bildirim saatinin işlemeye başladığını kabul etmek. Bunları o an doğaçlama yapmaya çalışan şirketler genellikle aynı hataları yapıyor. Sunucu kapatılır, disk formatlanır, loglar döner, birkaç gün sonra "tam olarak ne oldu, hangi veri dışarı çıktı?" sorusuna kimse cevap veremez. İyi haber, ilk günün adımlarının büyük ölçüde standart olması ve önceden tek sayfaya yazılabilmesi. Kötü haber, o sayfa yoksa herkesin kendi bildiğini yapması.

Rakamlar meselenin neden bu kadar dağınık ilerlediğini anlatıyor. IBM'in 2025 Veri İhlali Maliyeti raporuna göre şirketlerin bir ihlali tespit edip kontrol altına alması ortalama 241 gün sürüyor: 181 gün tespit, 60 gün kapsama. Verizon'un 2026 DBIR raporunda ihlallerin %48'i fidye yazılımı içeriyor ve ilk erişimin en yaygın yolu artık %31 ile zafiyet istismarı. Yani müdahale ekibi çoğu zaman olayın başlangıcından aylar sonra, üstelik sistemler şifrelenmiş halde masaya oturuyor.

İlk saat: önce doğrula, sonra izole et

Her uyarı bir olay değildir. İlk iş, elinizdeki bulgunun gerçekten bir saldırı olup olmadığını hızlıca doğrulamaktır: EDR alarmı mı, kullanıcı ihbarı mı, müşteriden gelen bir uyarı mı, yoksa fidye notu mu? Doğrulama uzun bir soruşturma değil, on beş dakikalık bir triyajdır ve tek bir sorunun cevabını arar: bu makinede yetkisiz bir erişim var mı?

Cevap evetse izolasyon başlar. Şüpheli makineyi ağdan çıkarın, sanal makineyse network arayüzünü kesin, VPN oturumlarını ve şüpheli hesapların token'larını iptal edin. Ele geçirilmiş olma ihtimali olan hesapların parolalarını sıfırlayın, sadece kullanıcı hesaplarını değil servis hesaplarını ve API anahtarlarını da. Bu aşamada amaç sorunu çözmek değil, yayılmayı durdurmaktır.

Kanıtı yok etmeden kapsama alın

En sık yapılan teknik hata, bulaşmış makineyi kapatmak veya yeniden kurmaktır. Bellekte duran kanıt (çalışan süreçler, ağ bağlantıları, şifrelenmemiş kimlik bilgileri, saldırganın araçları) makine kapandığı anda kaybolur. Doğru sıra şudur: makineyi çalışır halde ağdan izole edin, mümkünse bellek imajı ve disk kopyası alın, ancak ondan sonra temizliğe geçin.

Loglar aynı derecede kırılgan. Birçok kurumda güvenlik duvarı, e-posta ağ geçidi ve uygulama logları yedi ya da otuz günde bir döner. Saldırı üç ay önce başladıysa kritik dönem çoktan silinmiştir. Olayı fark ettiğiniz gün yapılacak ilk idari işlerden biri, ilgili log kaynaklarında rotasyonu durdurup mevcut kayıtları ayrı bir yere kopyalamaktır. Bulut ortamındaysanız denetim izlerini (CloudTrail, Azure activity log) ayrı ve yazma korumalı bir hesapta tutmanın değeri tam da burada ortaya çıkar.

Saldırganın okuduğu kanaldan konuşmayın

Kurumsal e-posta veya Teams üzerinden "sanırım hacklendik" yazmak, saldırgan hâlâ içerideyse ona ne bildiğinizi ve ne yapacağınızı anlatmak demektir. Fidye grupları bunu düzenli olarak yapıyor: müdahale yazışmalarını okuyup şifrelemeyi öne alıyor veya yedekleri sizden önce siliyor.

Bu yüzden müdahale iletişimi ayrı bir kanaldan yürütülmelidir. Ayrı bir mesajlaşma grubu, kurumsal dizinden bağımsız hesaplar, gerekirse telefon. Kritik kişilerin numaralarının kâğıda basılmış bir kopyası, dizüstü bilgisayarların şifrelendiği bir sabahta beklediğinizden çok daha faydalı olur.

Kimin neye karar vereceği önceden yazılı olmalı

İlk günün en çok zaman kaybettiren sorusu teknik değildir: üretim sistemini kapatma yetkisi kimde? E-ticaret sitesini saatlerce kapatmak ciddi bir ticari karardır ve gece üçte bunu kimin verebileceği belli değilse ekip bekler, saldırgan beklemez.

Planda net biçimde yazması gerekenler kısa bir listedir: olayı kim yönetir (tek bir olay yöneticisi), teknik ekipte kim ne yapar, hangi seviyede üst yönetim devreye girer, hukuk ve iletişim tarafında sorumlu kim, dış destek gerekirse hangi firma aranır. Bir olay müdahale anlaşmanız (retainer) varsa numarası planın ilk sayfasında olsun. Yoksa bir sonraki adımı hemen atın; kriz anında sözleşme pazarlığı yapmak, kaybedecek en kötü zamandır. Siber sigorta poliçeniz varsa bildirim süresini ve sigortacının onaylı müdahale ekibi şartını olaydan önce okuyun.

Hukuki saat siz hazır olmadan işlemeye başlar

Türkiye'de kişisel veri içeren bir ihlalde KVKK'nın çerçevesi nettir. Kurul'un 24.01.2019 tarihli 2019/10 sayılı kararına göre veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirmek zorundadır. Gecikme varsa nedeninin de açıklanması gerekir. Etkilenen kişiler belirlendikten sonra onlara da makul olan en kısa sürede bildirim yapılır ve Kurul kararlarında altı çizilen bir ayrıntı vardır: kişiler tespit edilmişken yalnızca web sitesinde duyuru yayımlamak, ilgili kişiye bildirim yerine geçmez. Ayrıca ihlale ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınması gerekir.

Buna bir katman daha eklendi. 19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, kapsamdaki kurum ve kuruluşlara tespit ettikleri siber olayları ve zafiyetleri Siber Güvenlik Başkanlığı'na bildirme yükümlülüğü getiriyor; usul ve esaslar ikincil düzenlemelerle şekilleniyor. Kamu kurumları ve kritik altyapılar için USOM'un SİP platformu üzerinden bildirim kanalı zaten işliyor. Bankacılık, enerji, sağlık gibi düzenlenmiş sektörlerde kendi otoritenize karşı ayrı bildirim süreleriniz olabilir. Bunları olay gecesinde araştırmayın; hangi yükümlülüğün size geçerli olduğunu bugün netleştirip planın içine yazın.

Temizlik ve geri dönüş: acele en pahalı hata

Kapsama tamamlandıktan sonraki refleks hızla ayağa kalkmaktır ve tam burada ikinci ihlal doğar. Saldırganın nasıl girdiği bilinmeden yapılan geri yükleme, çoğu zaman aynı açığın açık kaldığı bir sisteme dönmek anlamına gelir. Kök nedeni bulmadan, arka kapıları (yeni oluşturulmuş yönetici hesapları, zamanlanmış görevler, kalıcı RMM ajanları) temizlemeden ve tüm kimlik bilgilerini döndürmeden üretime dönmeyin.

Geri yükleme sırasını da önceden belirleyin. Hangi sistem önce ayağa kalkacak, hangi yedekten dönülecek, o yedek saldırıdan önceki bir noktaya mı ait? 3-2-1 kuralı ve düzenli kurtarma tatbikatları tam olarak bu gece için vardır. Fidye yazılımı senaryosunda yedeklerin saldırgan tarafından silinmiş olma ihtimalini de hesaba katın. Dönüşten sonraki iki hafta boyunca izleme seviyesini yükseltin; aynı grubun geri gelmesi sık görülen bir durumdur.

Plan bir klasör değil, bir sayfa

Kurumsal olay müdahale dokümanlarının çoğu kırk sayfadır ve kriz anında kimse açmaz. İşe yarayan versiyon tek sayfadır: kimi ararsınız, hangi sırayla, hangi kararı kim verir, hangi bildirimi ne kadar sürede yaparsınız. Detaylı prosedürler ekte kalabilir.

Bu arada uluslararası çerçevenin kendisi de değişti. NIST, Nisan 2025'te yayımladığı SP 800-61 Revizyon 3 ile eski dört aşamalı döngüyü bıraktı ve olay müdahalesini CSF 2.0 fonksiyonlarına (Govern, Identify, Protect, Detect, Respond, Recover) oturttu. Vurgu şu yönde: olay müdahalesi ihlalin etrafındaki birkaç günlük ayrı bir faaliyet değil, sürekli siber risk yönetiminin parçası. Pratik karşılığı ise sıkıcı ama etkili işler: yama yönetimi, uç nokta görünürlüğü ve test edilmiş yedekler, kriz gecesinde elinizde ne olduğunu belirler.

Tatbikat yapmadan plan test edilmiş sayılmaz

Planın gerçekten çalışıp çalışmadığını anlamanın tek ucuz yolu masabaşı tatbikattır. İki saat ayırın, somut bir senaryo verin ("cuma 17:30, muhasebe dosya sunucusu şifrelendi, fidye notu var") ve ekipten kararları gerçek zamanlı almasını isteyin. Tatbikata sadece BT'yi değil hukuku, İK'yı, iletişimi ve karar verecek yöneticiyi de katın.

Ortaya çıkan bulgular genelde birbirine benzer: iletişim listesi güncel değildir, kimsenin log erişimi yoktur, dışarıdan destek çağırma yetkisi tanımsızdır, yedekten dönüş süresi tahmin edilenin üç katıdır. Bunları tatbikatta öğrenmek bedava, gerçek olayda öğrenmek pahalıdır.

Wedevit olarak olay müdahale planını şirketin gerçek yapısına göre kuruyor, masabaşı tatbikatını yönetiyor ve çıkan eksikleri önceliklendirilmiş bir yol haritasına çeviriyoruz. Planı yazmadan önce ortamınızın dışarıdan nasıl göründüğünü de görmek isterseniz, sızma testi bu çalışmanın doğal başlangıcıdır.