Uçtan Uca Siber Savunma Senaryoları — Trust Pro Cyber Defense

Aşağıdaki senaryolar yetkili kurumun kendi savunma ortamında uygulanacak süreç doğrulama örnekleridir. Güvenlik kapıları ve geri alma kararları vakaya bağlanır.

1. 8.1Hesap ele geçirme & OAuth izni

   Tetikleyici: Yeni OAuth app izni

   1. Veri / korelasyon: IdP + SaaS log korelasyonu
   2. Kanıt ve hipotez: Yüksek yetki doğrulama
   3. Müdahale hazırlığı: Uygulama iptal planı
   4. Kontrol / kapanış: Owner ve IAM onayı

2. 8.2Ransomware öncesi hareket

   Tetikleyici: Uzaktan erişim + şüpheli süreç

   1. Veri / korelasyon: EDR + NDR + backup
   2. Kanıt ve hipotez: Lateral movement grafı
   3. Müdahale hazırlığı: Etki bazlı izolasyon
   4. Kontrol / kapanış: İşletim onayı ve restore

3. 8.3BEC ödeme dolandırıcılığı

   Tetikleyici: Yönetici taklitli mesaj

   1. Veri / korelasyon: E-posta + tedarikçi kayıt
   2. Kanıt ve hipotez: Kimlik/hesap değişimi doğrulama
   3. Müdahale hazırlığı: Ödeme bekletme isteği
   4. Kontrol / kapanış: İkinci kanaldan teyit

4. 8.4Cloud access key abuse

   Tetikleyici: Sıra dışı API çağrıları

   1. Veri / korelasyon: CloudTrail/Cloud audit + IAM
   2. Kanıt ve hipotez: Key yaşam döngüsü inceleme
   3. Müdahale hazırlığı: Kısa ömürlü erişim iptali
   4. Kontrol / kapanış: Servis etki ve rota

5. 8.5Veri dışarı çıkarma

   Tetikleyici: Yeni depolama hedefine yükleme

   1. Veri / korelasyon: DLP + proxy + UEBA
   2. Kanıt ve hipotez: Veri sınıfı/kimlik eşleşme
   3. Müdahale hazırlığı: Transfer sınırlandırma
   4. Kontrol / kapanış: DPO ve hukuk iletişimi

6. 8.6OT yetkisiz komut

   Tetikleyici: Beklenmeyen PLC write

   1. Veri / korelasyon: Pasif OT sensörü + bakım kaydı
   2. Kanıt ve hipotez: İzinli bakım kontrolü
   3. Müdahale hazırlığı: Kontrol ekibi alarmı
   4. Kontrol / kapanış: Otomatik PLC müdahalesi yok

7. 8.7Şüpheli container çalıştırma

   Tetikleyici: Yeni privileged pod

   1. Veri / korelasyon: K8s audit + runtime
   2. Kanıt ve hipotez: Sürüm/kimlik/imza inceleme
   3. Müdahale hazırlığı: Deployment freeze önerisi
   4. Kontrol / kapanış: SRE onayı ve rollback

8. 8.8MSSP müşteriler arası kampanya

   Tetikleyici: Benzer IOC farklı tenantlarda

   1. Veri / korelasyon: Anonim intel ortak kümesi
   2. Kanıt ve hipotez: Müşteri özel kanıt sınırı
   3. Müdahale hazırlığı: Her tenant için ayrı vaka
   4. Kontrol / kapanış: Tenant dışı veri aktarımı yok

9. 8.9Zero-day istismar şüphesi

   Tetikleyici: Yeni exploit IOC

   1. Veri / korelasyon: KEV/EPSS + EASM + WAF
   2. Kanıt ve hipotez: Riskli varlık/erişim inceleme
   3. Müdahale hazırlığı: Kontrol ve yama planı
   4. Kontrol / kapanış: Değişiklik sahibi kabulü

10. 8.10Kritik DNS anomali

    Tetikleyici: Yeni domain/beacon sinyali

    1. Veri / korelasyon: NDR + endpoint + TI
    2. Kanıt ve hipotez: C2 benzerliği doğrulama
    3. Müdahale hazırlığı: Block request taslağı
    4. Kontrol / kapanış: İş etkisi kontrolü

11. 8.11Mail ekinde malware

    Tetikleyici: Şüpheli dosya

    1. Veri / korelasyon: Secure sandbox + EDR
    2. Kanıt ve hipotez: Davranış hash/ioc analiz
    3. Müdahale hazırlığı: Karantina önerisi
    4. Kontrol / kapanış: Yanlış pozitif prosedürü

12. 8.12Kayıp telemetri

    Tetikleyici: EDR sessizleşmesi

    1. Veri / korelasyon: Collector heartbeat
    2. Kanıt ve hipotez: Sensör arızası mı sabotaj mı
    3. Müdahale hazırlığı: Teknik problem olayı
    4. Kontrol / kapanış: Sahip atanır

13. 8.13Riskli MFA reset

    Tetikleyici: Beklenmedik MFA enroll

    1. Veri / korelasyon: Identity risk + HR context
    2. Kanıt ve hipotez: Oturum zinciri teyidi
    3. Müdahale hazırlığı: Session revocation taslağı
    4. Kontrol / kapanış: Yetkili IAM onayı

14. 8.14Saldırı yüzeyi değişimi

    Tetikleyici: Yeni public API

    1. Veri / korelasyon: EASM + CMDB
    2. Kanıt ve hipotez: Owner ve veri sınıfı analizi
    3. Müdahale hazırlığı: Kapatma ITSM işi
    4. Kontrol / kapanış: Production onayı

15. 8.15İçeriden veri toplama

    Tetikleyici: Toplu indirme

    1. Veri / korelasyon: DLP + UEBA
    2. Kanıt ve hipotez: Meşru iş nedeni araştırma
    3. Müdahale hazırlığı: İnceleme vakası
    4. Kontrol / kapanış: Mahremiyet ve hukuk sınırı

16. 8.16Cihaz izolasyonu geri alma

    Tetikleyici: Kötü niyet doğrulanamadı

    1. Veri / korelasyon: EDR + vaka kararı
    2. Kanıt ve hipotez: Kaldırma koşulları
    3. Müdahale hazırlığı: Rollback eylemi
    4. Kontrol / kapanış: Kullanıcı hizmeti teyidi

17. 8.17BAS tespit doğrulaması

    Tetikleyici: Güvenli test sinyali

    1. Veri / korelasyon: BAS + detection CI
    2. Kanıt ve hipotez: Algılama doğrulama
    3. Müdahale hazırlığı: Rule update önerisi
    4. Kontrol / kapanış: Tekrar test

18. 8.18Kriz bildirimi

    Tetikleyici: Major incident

    1. Veri / korelasyon: Case + hukuk + comms
    2. Kanıt ve hipotez: Düzenleyici yükümlülük kontrolü
    3. Müdahale hazırlığı: Hazır bildirim taslağı
    4. Kontrol / kapanış: Yetkili onayı

19. 8.19Sahte ses ile ödeme talebi

    Tetikleyici: Şüpheli yönetici çağrısı

    1. Veri / korelasyon: Voice risk + CRM
    2. Kanıt ve hipotez: Ek doğrulama çağrısı
    3. Müdahale hazırlığı: Ödeme iş akışını durdurma
    4. Kontrol / kapanış: İnsan kontrolü

20. 8.20Supplier breach notification

    Tetikleyici: Kritik tedarikçi olayı

    1. Veri / korelasyon: Vendor inventory + TI
    2. Kanıt ve hipotez: Bağımlılık etki grafı
    3. Müdahale hazırlığı: İzolasyon/değişiklik planı
    4. Kontrol / kapanış: Operasyon sahibi onayı

21. 8.21Cloud K8s lateral movement

    Tetikleyici: Şüpheli service account

    1. Veri / korelasyon: K8s + cloud IAM
    2. Kanıt ve hipotez: API çağrısı ve pod grafı
    3. Müdahale hazırlığı: Token kısıtlama önerisi
    4. Kontrol / kapanış: SRE ve IAM onayı

22. 8.22Temiz yedekten dönüş

    Tetikleyici: Ransomware sonrası servis

    1. Veri / korelasyon: Backup + EDR + CMDB
    2. Kanıt ve hipotez: Restore integrity/IOC test
    3. Müdahale hazırlığı: Servis açılış paketi
    4. Kontrol / kapanış: İş sahibi ve SOC çift onayı