Yüksek önemHARDEC6 adım · 4 faz
Cloud Security Incident Response
Bulut ortami olay mudahalesi: IAM ele gecirme, kripto-madencilik, storage bucket ifsasi, bulut-native yatay hareket. Kaynak: NIST CSF 2.0 + AWS/Azure/GCP best practices.
Bilgilendirme notu
Bilgilendirme notu: Bulut güvenlik olaylarında araştırma veriye yakın yürütülmelidir; analiz ortamını bulut sağlayıcısının aynı bölgesinde kurmak veri aktarım maliyetini ve gecikmeyi azaltır. IAM günlükleri (CloudTrail, Entra Audit, GCP Audit Logs) ilk inceleme noktasıdır; ardından nesne depolama erişim günlükleri ve ağ akış kayıtlarına geçin. Müdahale sürecini otomatize etmek için bulut sağlayıcısının olay müdahale API'lerini ve SOAR entegrasyonlarını önceden yapılandırın.
1
Preparation
1 adım- Bulut IR yetenegi kur
CloudTrail/GuardDuty, Azure Defender/Activity Log, GCP SCC/Audit ac. Inceleme icin IR IAM rolu. Bulut hesabi + kritik kaynak envanteri.
2
Detection & Analysis
2 adım- Bulut uyarisini triyaj et
Olay turunu siniflandir: IAM kimlik ele gecirme, kaynak kotuye kullanim, yanlis yapilandirma istismari, insider, tedarik zinciri.
- Bulut audit loglarini analiz et
CloudTrail/Activity Log: yetkisiz API, anormal AssumeRole, IAM policy degisiklikleri, hassas bucket GetObject, beklenmeyen EC2.
3
Containment, Eradication & Recovery
2 adım- Ele gecen bulut kimligini izole et
Access key cifti iptal et, IAM kullanici/rolu devre disi birak, aktif oturumlari gecersiz kil, saldirgan IAM politikalarini kaldir.