WatchGuard, bir siber saldırının kontrol altına alınmasının, saldırganın daha önce hangi sistemlere eriştiğini veya veri çıkarıp çıkarmadığını tek başına ortaya koymadığını belirtti. Şirkete göre olay müdahalesi, saldırının durdurulmasının ardından tehdidin kapsamını ve ortamda kalıp kalmadığını belirleyen incelemelerle sürdürülmeli.
Farklı sistemlerin kayıtları birlikte değerlendirilmeli
Şirket, birden fazla müşteriye hizmet veren yönetilen hizmet sağlayıcıların (MSP), uyarıları doğrulama, farklı ortamlardan kanıt toplama, olağan görünen işlemler arasındaki bağlantıları kurma ve mesai dışındaki uyarıları zamanında inceleme konusunda zorluklarla karşılaştığını ifade etti.
WatchGuard’a göre uç noktalar, kimlikler, bulut iş yükleri ve hizmet olarak sunulan yazılımların ürettiği kayıtların birlikte değerlendirilmesi gerekiyor. Tek başına olağan görünebilen oturum açma işlemleri, yetkili araç kullanımı ve dış bağlantılar, birlikte incelendiğinde saldırganın sistemler arasındaki hareketlerini gösterebiliyor.
MDR ile saldırının kapsamını belirleme
WatchGuard, yönetilen tespit ve müdahale (MDR) hizmetinin farklı kaynaklardan gelen güvenlik verilerini ilişkilendirerek bir ihlalin tek sistemle sınırlı kalıp kalmadığını belirlemeye yardımcı olduğunu aktardı. Şirket, saldırı sonrasında başlangıç noktasının, saldırganın faaliyetlerinin ve erişilen varlıkların yeniden yapılandırılmasının, tehdidin tamamen giderilip giderilmediğini doğrulamak açısından önem taşıdığını vurguladı.
WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, “Saldırıyı durdurmak anlık riski azaltıyor, ancak gerçekleşmiş olan riski ortaya çıkaran şey inceleme.” dedi. Evmez, saldırganın giriş yolu ve eriştiği varlıklar belirlenmeden olayın kapatılmasının, kurumları haftalar sonra daha büyük sorunlarla karşı karşıya bırakabileceğini belirtti.
