Güvenlik olayı / şüpheli erişim

Şüpheli bir erişim, beklenmedik yetki değişimi veya olası veri sızıntısında; belirtiye göre doğru müdahale adımlarına (hesabı kilitle, fazla yetkiyi geri al, bağlantıları kes, kapsamı belirle) ve olay sonrası kalıcı sıkılaştırmaya götüren karar ağacı.

Ne fark ettin?

Olayın türünü seç. Belirti; şüpheli bir giriş ya da başarısız login patlaması mı, beklenmedik bir yetki (GRANT/rol) değişimi mi, olası bir veri sızıntısı / anormal dışa aktarım mı, yoksa olay kapandı ve kalıcı sıkılaştırma mı yapıyorsun? İlk gözleme göre en uygun dalı seç. Önce olay anını ve etkilenen hesabı/kaynağı not al.

• Şüpheli giriş / başarısız login patlaması
• Beklenmedik yetki (GRANT/rol) değişimi
• Veri sızıntısı / anormal dışa aktarım
• Olay sonrası kalıcı önlemler (sıkılaştırma)

Kimlik olayı — belirti hangisi?

Çok sayıda başarısız login, brute-force / kimlik bilgisi deneme saldırısına işaret eder. Buna karşılık başarılı ama beklenmedik bir giriş (alışılmadık IP/saatte) hesabın ele geçirilmiş olabileceğini gösterir. İkisinde de önce kanıt topla, sonra müdahale et.

SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;

• Başarısız login patlaması (brute-force)
• Başarılı ama beklenmedik giriş (ele geçirme)

Brute-force → kaynağı engelle ve hesabı koru

Başarısız login patlamasında henüz erişim sağlanmamış olabilir; amaç kaynağı engelleyip hesabı kilit/gecikme ile korumak ve olası sızmaları elemektir.

Ele geçirilmiş hesap → durdur, incele, kimlik bilgisini döndür

Beklenmedik başarılı giriş, hesabın ele geçirildiğine işaret eder. Önce hesabı ve oturumlarını durdur, ne yaptığını incele, sonra parolayı sıfırla ve erişim kaynağını daralt.

Yetki yükseltme → fazla yetkiyi denetle ve geri al

Beklenmedik bir GRANT, rol ataması ya da yeni bir yüksek yetkili hesap, ele geçirmenin ikinci aşaması (kalıcılık/yetki yükseltme) olabilir. Son yetki değişikliklerini denetleyip meşru olmayanları geri al ve en az yetki ilkesine dön.

Veri sızıntısı → erişimi kes ve kapsamı belirle

Anormal büyük sorgu/dışa aktarım ya da beklenmedik dış bağlantı, veri sızıntısına işaret eder. Önce aktif tehlikeli bağlantıları kes, sonra audit/log ile hangi verinin, kim tarafından, ne zaman erişildiğini belirleyerek kapsamı çıkar.

Olay sonrası kalıcı sıkılaştırma

Acil müdahaleden sonra tekrarı önlemek için kalıcı kontroller uygula: denetimi (audit) aç, en az yetki ilkesini uygula, ağ erişimini kısıtla ve olayı eksiksiz kaydet.