Geri
Kritik bir açık duyurulduğunda ilk 72 saat: Kurumlar için kontrol listesi
Son bir ayda duyurulan kritik açıklarda saldırganlar ya duyurudan haftalar önce içerideydi ya da duyurudan saatler sonra istismara başladı. Bu yüzden kurumların sorusu "yamadık mı?" değil, "yamadan önce içeri girildi mi?" olmalı.
PHP2Shell'de istismar, yamanın yayımlandığı gün görüldü. Citrix NetScaler ve BeyondTrust açıkları ise duyurudan üç ila yedi hafta önce kullanılmaya başlamıştı.
İlk 24 saat: Etkilendiğinizi öğrenin ve yayılmayı durdurun
- Etkilenen sistemleri bulun. Varlık envanterinden ürünü ve sürümü arayın. Konteyner imajlarını, bulut kurulumlarını ve ürünün gömülü geldiği cihazları da kontrol edin.
- İnternete açık olanları öne alın. VPN, uzaktan erişim, yönetim arayüzleri ve web sunucuları önce gelir.
- Kanıtı koruyun. Yama veya yeniden başlatmadan önce günlükleri, sanal makine anlık görüntülerini ve yapılandırma yedeklerini alın. Yama sonrası inceleme ancak bu kanıtla mümkün.
- Yamayı uygulayın veya erişimi kesin. Hemen yamalanamayan sistemi internetten ayırın, VPN veya WAF arkasına alın.
24–48 saat: İçeri girildi mi?
- Üreticinin ve araştırmacıların yayımladığı göstergeleri arayın: dosya adları, IP adresleri, günlük kalıpları. Bulunmamaları temiz olduğunuzu kanıtlamaz; Citrix ve BeyondTrust bunu açıkça uyarıyor.
- Davranışa bakın: web sunucusu süreçlerinin kabuk başlatması, web dizinlerinde yeni dosyalar, yeni hesaplar ve zamanlanmış görevler, günlüklerde açıklanamayan boşluklar.
- Günlük penceresini geniş tutun. İncelemeyi duyuru tarihinden değil, ilk istismar tarihinden başlatın. Bu, örneklerde duyurudan yedi hafta öncesine kadar gidiyor.
48–72 saat: Temizleyin ve sınırlayın
- Uzlaşma varsa veya dışlanamıyorsa cihazı temiz, yamalı imajdan yeniden kurun. Mevcut sistemi "temizlemeye" çalışmak gizli kalıcılık mekanizmalarını geride bırakabilir.
- Kimlik bilgilerini yenileyin. Sistemin üzerinde saklanan veya üzerinden geçen tüm parola, oturum ve API anahtarlarını değiştirin.
- Doğrulayın. Yamanın gerçekten çalıştığını ve sistemin dışarıdan artık açık vermediğini test edin.
- Kayıt altına alın. Ne zaman fark ettiğinizi, ne yaptığınızı ve neyi bulduğunuzu yazın. Kişisel veri etkilendiyse KVKK kapsamındaki bildirim yükümlülüğünü hukuk birimiyle değerlendirin.
Bir sonraki açığa hazırlık
Bu adımları 72 saate sığdırabilmek için üç şeyin önceden hazır olması gerekir: güncel bir varlık envanteri, cihaz dışında saklanan günlükler ve kimin ne yapacağını belirleyen yazılı bir müdahale planı.
Nokta Guard nasıl yardımcı olur?
Zafiyet yönetimi hizmetimizle internete açık varlıklarınızı sürekli izliyor, kritik bir duyuruda hangi sistemlerinizin etkilendiğini hızla ortaya koyuyoruz. Yama sonrası doğrulama testi yapıyor, istismar şüphesi olan sistemlerde adli bilişim incelemesiyle saldırganın izini sürüyoruz. Siber kriz tatbikatıyla da bu 72 saati gerçek bir olaydan önce ekibinizle prova ediyoruz.
İlgili hizmetler: Zafiyet Yönetimi, Yama Takibi ve Doğrulama, Siber Kriz Tatbikatı
Kaynaklar: watchTowr SSS · Qualys · The Hacker News (PHP2Shell) · Unit 42 · Help Net Security · Rapid7 · The Hacker News (CISA KEV) · eSecurity Planet