Güvenlik Operasyonu, Olay Müdahalesi ve Koşullu Karar

Ön koşul: Arven'in iş etkisi, kimlik ve ayrıcalık yolu, düzlemler arası geçiş, patch, key ve log kontrol kanıtını açıklayabilmelisin. Bu son derste şüpheli ERP değişikliği için detection, triage, declaration, containment, temiz recovery ve normalleşme kapılarını kuracak; sahipli risk, POC, TCO ve koşullu mimari kararını teslim edeceksin. Yaklaşık 32 dakika anlatı, 21 dakika uygulama, 14 dakika kontrol önerilir. Alarm olayın kendisi değildir. Bir log korelasyonu yanlış pozitif, yetkili bakım veya saldırı sinyali olabilir. Triage ilk olarak sinyalin kaynağını ve bütünlüğünü, etkilenen özne/kaynağı, sipariş akışındaki anomaliyi, devam eden erişimi ve kritik zaman penceresini inceler. NIST SP 800-61 Rev. 3 incident response'u CSF 2.0 risk yönetimiyle birlikte ele alır; hazırlık, tespit, müdahale ve kurtarma yalnız güvenlik ekibinin sırayla yaptığı silo işler değildir. Arven'de iş sahibi, platform, ERP, SecOps, iletişim ve tedarikçi rolleri daha olay öncesinde belirlenir.

Containment kötüye kullanım yolunu durdururken kanıtı ve minimum güvenli iş hizmetini korur. Arven destek hesabının token'ı sızmışsa oturumu sonlandırmak, token'ı revoke etmek, ERP gateway config değişiklik yetkisini geçici dondurmak ve yalnız doğrulanmış sipariş akışını sürdürmek seçeneklerdir. Hangi adımın hangi işlevi kestiği, geri alınma yolu ve karar sahibi önceden yazılır. Ağ izolasyonu bir hostu ayırabilir ama paylaşılan token başka yerde geçerliyse kök yolu kesmez. Tersine tüm identity provider'ı kapatmak sahadaki müdahale yetkisini de kaybettirebilir. Delil için log export, config diff, image/host state, oturum kimliği, zaman damgası ve chain-of-custody ihtiyacı hukuk/forensic owner tarafından belirlenir. Olay ekibi delil toplarken saldırgan erişimini açık tutmamalı; zarar azaltma ve kanıt koruma arasında bilinçli sıralama yapmalıdır. Standart runbook adımları olay bağlamı değişirse güncellenir, körlemesine uygulanmaz.

Kurtarma, servisleri yeniden açmak kadar güvenilir state'e dönmek ve iş sonucunu doğrulamaktır. Arven'de temiz ERP gateway config'i, doğru sertifika/key, sınanmış kimlik, veri restore point'i, sipariş mutabakatı ve üretim hattı güvenli state'i dependency sırasıyla geri gelir. Backup kopyası varsa bile olay öncesi persistence veya yanlış siparişler kopyada bulunabilir; restore point ve temizliğin kanıtı gerekir. Sipariş numarası, stok, fatura ve üretim emri farklı source-of-truth olabilir. Tek 'son yazan kazanır' kuralı domain hatası doğurur. DBA/ERP ve iş sahibi hangi kayıtların tekrar işleneceğini, hangilerinin iptal veya düzeltme gerektirdiğini kararlaştırır. NIST SP 800-184 recovery planını önceden hazırlanan, gerçekçi test edilen ve olaydan öğrenilerek geliştirilen bir program olarak anlatır. RPO/RTO yanında doğruluk, tekrar işlem, backlog ve müşteri etkisi için kabul kriteri gerekir.

Son öneri bir ürün sepeti değil Arven'in ölçülmüş risk azaltma paketidir. İlk dersteki iş etkisi ve saldırı yolunu, ikinci dersteki insan/workload yetkisi ile Zero Trust politikasını, üçüncü dersteki segment, patch, key ve detection kanıtını, bu dersteki olay ve recovery acceptance sonucunu tek tabloda birleştir. Üç seçenek karşılaştırılabilir: mevcut kontrolleri daraltıp işletmek, seçilmiş güvenlik yeteneklerini eklemek, daha kapsamlı platform dönüşümü. Her seçenekte hangi tehdit yolunun kesildiği, iş sürekliliği yan etkisi, operasyon becerisi, support sınırı, veri/hukuk TBD'si ve çıkış planı yazılır. Üç yıllık TCO lisans, altyapı, log saklama, nöbet, tatbikat, patch, key rotasyonu, bakım ve tedarikçi desteğini kapsar; teklif fiyatı ve SLA karar tarihinde yeniden doğrulanır. Artık risk kalmıyor iddiası yerine residual risk owner'ı ve kabul yetkisi kaydedilir.