“SOME kurmamız gerekiyor” cümlesi çoğu kurumda bir uyum maddesi olarak gündeme geliyor. Sonuç genellikle bir yönerge, bir organizasyon şeması ve birkaç isim oluyor. Gerçek bir olay geldiğinde ise bu yapının çalışmadığı görülüyor.
Bu yazı iki soruyu ayırıyor: yükümlülük kimi kapsıyor, ve kâğıt üzerinde kalmayan bir SOME nasıl kurulur.
SOME nedir
SOME, Siber Olaylara Müdahale Ekibi kısaltmasıdır. Uluslararası karşılığı CSIRT (Computer Security Incident Response Team) olarak geçer.
Görevi, kurumda gerçekleşen siber güvenlik olaylarını tespit etmek, müdahale etmek, kayıt altına almak ve raporlamaktır. Türkiye’de yapı üç katmanlı işler:
- USOM — ulusal koordinasyon merkezi (TR-CERT). Ulusal düzeyde uyarı yayınlar, koordinasyon sağlar.
- Sektörel SOME — bir sektörün düzenleyici kurumu bünyesinde, o sektördeki kurumları koordine eder.
- Kurumsal SOME — kurumun kendi bünyesindeki ekip. Kendi sistemlerindeki olayları yönetir.
Kimler kapsamda
Düzenleme esas olarak kamu kurum ve kuruluşları ile kritik altyapı işleten kurumları hedefliyor. Kritik altyapı kapsamı; enerji, elektronik haberleşme, finans, ulaştırma, su yönetimi ve sağlık gibi sektörleri içeriyor.
Bunun dışındaki özel sektör kuruluşları için doğrudan bir SOME kurma zorunluluğu bulunmuyor. Ancak burada iki nokta atlanıyor:
Birincisi, kritik altyapı işleten kurumlara hizmet veren tedarikçiler sözleşmesel olarak benzer yükümlülüklerle karşılaşabiliyor. Kendi başınıza kapsamda olmasanız da müşteriniz üzerinden kapsama girebiliyorsunuz.
İkincisi, KVKK’nın teknik ve idari tedbir yükümlülüğü kişisel veri işleyen herkesi kapsıyor. Bir veri ihlalini tespit edip müdahale edebilecek bir yapı olmaması, tedbir yetersizliği olarak değerlendirilebilir. Yani SOME adıyla olmasa bile, aynı işi yapan bir yetenek fiilen gerekiyor.
Kurumunuzun kapsama girip girmediği, faaliyet alanınıza ve tabi olduğunuz düzenleyici otoriteye göre değişir. Bu değerlendirmeyi hukuk ve uyum biriminizle birlikte yapmanız gerekir.
Kurumsal SOME nasıl kurulur
1. Rol ve yetki tanımları
Ekip büyüklüğünden önce netleşmesi gereken şey roller:
- Bir olayın “olay” sayılıp sayılmayacağına kim karar verir
- Sistemi kapatma veya ağdan ayırma yetkisi kimde
- Yönetime ve gerektiğinde dışarıya iletişimi kim yürütür
- Teknik incelemeyi kim yapar
- Bu kişilere ulaşılamadığında yerlerine kim geçer
Son madde en sık atlanandır. Olaylar mesai saatlerinde olmuyor.
2. Olay sınıflandırma ve yükseltme
Her olay aynı müdahaleyi gerektirmez. Sınıflandırma olmadan ya her uyarı acil duruma dönüşür ya da gerçek bir olay sıradan bir kayıt gibi işlem görür.
Pratikte üç-dört seviye yeterlidir ve her seviye için şu belirlenmiş olmalıdır: kim haberdar edilir, ne kadar sürede müdahale başlar, hangi seviyeye kimin kararıyla yükseltilir.
3. Görünürlük
Müdahale edebilmek için önce görmek gerekir. Bir SOME’nin çalışabilmesi için asgari veri kaynakları:
- Kimlik doğrulama ve dizin hizmeti (Active Directory) logları
- Uç nokta telemetrisi
- Güvenlik duvarı ve ağ akış kayıtları
- Kritik uygulama ve veritabanı logları
- DNS sorgu kayıtları
Bunların merkezi olarak toplanması ve yeterli süre saklanması gerekir. Log saklama süresi, tespit edilmemiş bir saldırganın ne kadar geriye dönük incelenebileceğini doğrudan belirler.
4. Prosedürler
En sık karşılaşılan olay türleri için yazılı adımlar: fidye yazılımı, oltalama ile ele geçirilmiş hesap, yetkisiz erişim, veri sızıntısı, hizmet dışı bırakma saldırısı.
Her prosedürün ilk maddesi aynı olmalıdır: kanıtı koru. Sistemi yeniden kurmadan önce imaj al. Bu adım atlandığında olayın kapsamı bir daha belirlenemez.
5. Tatbikat
Bu adım atlandığında yukarıdakilerin tamamı varsayım olarak kalır.
Masa başı tatbikatta bir senaryo verilir ve ekip adım adım ne yapacağını anlatır. Ortaya çıkan tipik bulgular: karar mercii aslında belirsizmiş, kritik bir sunucuda log hiç tutulmuyormuş, yedekten dönüş süresi sanılanın çok üstündeymiş, acil durum iletişim listesi güncel değilmiş.
Yılda en az bir tatbikat, SOME’yi belge olmaktan çıkarıp yeteneğe dönüştüren şeydir.
Yaygın hata: SOME’yi organizasyon şeması sanmak
Bir yönerge yazmak, birkaç kişiyi görevlendirmek ve şemayı dosyalamak yükümlülüğü kâğıt üzerinde karşılar. Gerçek olayda işe yaramaz.
Çalışan bir SOME’yi çalışmayandan ayıran üç şey var: ekibin ne yapacağını denemiş olması, gerekli logların zaten toplanıyor olması, ve karar yetkisinin önceden verilmiş olması.
Ekibi yetiştirmek
SOME kurmanın en uzun ayağı ekip yetkinliği. normSight’ın SOME Eğitimi programı bu yapıyı kurmayı ve bir olayı tespitten kontrol altına almaya kadar yönetmeyi kapsıyor.
Yanında sıklıkla alınan programlar: delil toplama ve inceleme için Dijital Adli Bilişim, zararlı yazılımı çözümlemek için Zararlı Yazılım Analizi, tespit edilmemiş saldırganı proaktif aramak için Siber Tehdit Avcılığı.
Müdahale süresinin nasıl yönetileceğini veri ihlali bildirimi yazısında ayrıca ele alıyoruz.
Bu yazı genel bilgilendirme amaçlıdır. Kurumunuzun tabi olduğu yükümlülükler faaliyet alanınıza ve düzenleyici otoritenize göre değişir; bağlayıcı değerlendirme için hukuk ve uyum biriminize başvurun.
- SOME
- USOM
- olay müdahalesi
- CSIRT
- SOC