Eğitim ve araştırma notu. Müşteri vakası veya production ortamında doğrulanmış bir detection kuralı değildir.
Alarmın iddiasını kaynak kayıtla karşılaştır
Alarm başlığı bir başlangıç noktasıdır. Hangi veri kaynağı, hangi koşulu sağlamış? Olay zamanı ile alarm üretim zamanı aynı mı? Kuralın kapsamı ve varsa otomatik aksiyonu ne? İlk inceleme bu soruları kaynak kayıt üzerinden yanıtlamalıdır.
Microsoft Defender gibi platformlar ilişkili alert, cihaz ve kanıtı bir incident içinde gösterebilir. Bu ilişki, incelemeyi düzenler; görülen bağlantıların ve önem derecesinin ayrıca değerlendirilmesi gerekir.
Varlık ve iş bağlamını ekle
- Host ve hesabın kimliğini doğrula; isim benzerliğiyle eşleştirme yapma.
- Varlığın iş rolünü ve kritik veriye erişimini değerlendir.
- İşlemi ilgili değişiklik kaydı, bakım zamanı ve yetkilendirmeyle karşılaştır.
- Collector gecikmesini, saat farkını ve eksik telemetriyi not et.
Aynı davranış bir yönetim sunucusunda beklenirken başka bir endpoint'te araştırma gerektirebilir. Bilinen bir araç veya imzalı dosya da bağlam incelemesinden muaf değildir. Öncelik, yalnızca alarm puanına değil olası etkiye dayanmalıdır.
Dar bir zaman çizelgesi kur
Kaynak olaydan önceki ve sonraki ilgili hareketleri aynı host ve kimlik bağlamında incele. Process tree, komut satırı, dosya ve oturum kayıtları birbirini tamamlayabilir. Sysmon process olaylarındaki ProcessGuid, aynı process örneğine ait kayıtları ilişkilendirmede kullanılabilir.
Ağ kaydını eklemeden önce sensörün neyi gördüğünü doğrula. Sysmon Event ID 3 network bağlantıları için varsayılan olarak kapalıdır; bu event'in yokluğu ağ erişimi olmadığı anlamına gelmez. Zaman yakınlığına dayanan ilişkileri çıkarım olarak işaretle.
Alternatif açıklamayı da test et
| Gözlem | Sonraki soru |
|---|---|
| Reputasyonu kötü bir IP | Hangi bağlantı ve process var; paylaşımlı altyapı açıklaması mümkün mü? |
| HTTP 200 yanıtı | Uygulama veya endpoint kanıtı işlemin sonucunu destekliyor mu? |
| Yeni görev veya servis | Onaylı kurulumla uyumlu mu; hangi eylem çalıştırılmış? |
| Sorguda eşleşme yok | Doğru zaman, host ve veri kaynağı gerçekten sorgulandı mı? |
Bu örnek sorular bir karar şablonudur. Tek IOC veya tek sonuç saldırının başarıyla gerçekleştiğini kanıtlamaz.
Kararı tekrarlanabilir biçimde kaydet
Notta gözlenen gerçekler, değerlendirilen açıklamalar, sınıflandırma gerekçesi ve eksik kanıt ayrı bulunmalı. Kullanılan sorgu, zaman aralığı, varlıklar ve kaynak kayıt referanslarını ekle. Sonraki incelemeyi bir soruyla ve sorumluyla tanımla.
Kanıt yeterli değilse belirsizliği açıkça bırak; sırf kuyruğu kapatmak için kesinlik üretme. Müdahale kararını kurumun yetkili playbook'una bağla. Bu eğitim notu müşteri olayından türetilmemiştir ve herhangi bir ortama otomatik müdahale talimatı vermez.