Sunucunuzun ele geçirildiğini fark ettiniz. Bundan sonraki bir saatte vereceğiniz kararlar, olayın birkaç günde mi yoksa birkaç ayda mı kapanacağını belirleyecek. İşte o saatin dakika dakika planı.
Önce: gerçekten hacklendi mi?
Panik yaratan her belirti saldırı değildir. Ama şunlar ciddi işaretlerdir: tanımadığınız yönetici hesapları, gece saatlerinde başarılı girişler, bilinmeyen zamanlanmış görevler veya servisler, ani ve açıklanamayan giden trafik, kapatılmış güvenlik yazılımı, silinmiş loglar, sunucuda olmaması gereken sıkıştırılmış arşiv dosyaları.
Bunlardan biri bile varsa, olay gibi davranın. Yanlış alarm çıkarsa kaybınız birkaç saattir; gerçekse kazancınız çok daha büyüktür.
Dakika 0–10: İzolasyon
Amaç yayılmayı durdurmak, kanıtı korumak.
- Ağ kablosunu çekin veya sanal makinenin ağ arayüzünü devre dışı bırakın.
- Sunucuyu KAPATMAYIN. Bellekteki veri — aktif oturumlar, şifreleme anahtarları, çalışan zararlı — kapanışta yok olur.
- Aynı ağdaki diğer kritik sunucuları da gözden geçirin; genellikle tek cihazla sınırlı kalmaz.
- Yedek sistemini ağdan ayırın. Saldırgan ilk olarak yedekleri hedef alır.
Dakika 10–25: Kanıt
Bu adım atlanırsa geri kalan her şey tahmin olur.
- Bellek görüntüsü alın. Sunucu hâlâ açıkken. Bu, sonradan telafi edilemeyecek tek veridir.
- Disk anlık görüntüsü alın. Sanallaştırma ortamındaysanız snapshot yeterlidir; fiziksel sunucuda imaj alınır.
- Güvenlik ve sistem loglarını, web sunucusu erişim loglarını, firewall ve VPN kayıtlarını dışarı kopyalayın. Saldırganlar log silmeyi bilir; kopya ne kadar erken alınırsa o kadar iyi.
Dakika 25–40: Kapsam
Şimdi asıl soruyu sorun: bu ne kadar zamandır sürüyor ve nereye kadar gitti?
- Hangi hesap kullanıldı? O hesap başka nerelere erişebiliyor?
- İlk giriş ne zaman oldu? Genellikle fark edilmesinden çok önce.
- Başka sunuculara yatay hareket var mı? Aynı yönetici parolası kaç yerde geçerli?
- Veri dışarı çıktı mı? Büyük giden transferler, bilinmeyen adreslere bağlantılar, sunucuda oluşturulmuş arşiv dosyaları bunun izidir.
Bu son madde yalnızca teknik değil hukuki bir sorudur: kişisel veri içeren bir sızıntı varsa bildirim yükümlülüğünüz doğar ve sürenin işlemeye başlaması sizi beklemez.
Dakika 40–60: Kimlik bilgileri ve iletişim
- Parolaları değiştirin — ama temiz bir cihazdan. Etkilenmiş sistemden yapılan değişiklik saldırganın eline geçer.
- Öncelik sırası: etki alanı yöneticileri, servis hesapları, yedekleme hesabı, VPN, uzak erişim, hosting ve alan adı panelleri.
- Aktif oturumları ve API anahtarlarını iptal edin. Parola değişikliği açık oturumu her zaman düşürmez.
- İçeride kimin haberdar olacağına karar verin ve tek bir iletişim kanalı belirleyin. Etkilenmiş e-posta sistemi üzerinden olay yönetimi konuşmayın.
Sahada en pahalıya mal olan hata, saldırganı fark ettikten sonra normal çalışmaya devam etmektir. Her geçen saat hem kanıtı hem de kurtarılabilir veriyi eritir.
İlk saatte YAPILMAYACAKLAR
- Sunucuyu kapatmak veya yeniden başlatmak.
- Format atmak, işletim sistemini yeniden kurmak.
- Şüpheli dosyaları silmek — kanıttır.
- Yedeği aceleyle geri yüklemek. Sistem temiz değilse yedeği de kaybedersiniz.
- Saldırganla pazarlığa girmek. Bu, teknik durum netleştikten sonra verilecek ayrı bir karar.
İlk saatten sonra
Kriz kontrol altına alındıktan sonra sıra kök nedene gelir: saldırgan tam olarak nereden girdi? Müdahale ettiğimiz olaylarda bu kapı genellikle internete açık uzak masaüstü, güncellenmemiş VPN veya sunucu yazılımı, zayıf ya da tekrar kullanılmış yönetici parolası, ya da çok yetkili tek bir hesap oluyor.
Kapı kapatılmadan sistem tekrar ayağa kaldırılırsa olay tekrar eder. Bu yüzden müdahalenin son adımı her zaman sertleştirme ve izleme kurulumudur — yönetilen siber güvenlik bu döngüyü sürekli hâle getirir.
Şu anda saldırı altındaysanız
Sistemleri kapatmayın. Ağdan ayırın ve acil müdahale hattını arayın: 0549 904 46 80. Uzaktan müdahale genelde aynı gün başlar; gereken durumlarda İstanbul ve çevresinde yerinde ekiple ilerleriz. Müşterimiz olmanız gerekmiyor.