1. Senaryonun Amacı

Bu siber tatbikatın amacı, bilgi güvenliği yönetim sistemi (ISMS) kapsamında ISO 27001 standardına uygun olarak bir organizasyonun siber tehditlere karşı hazırlığını ölçmek, olay müdahale süreçlerini test etmek ve iyileştirmeleri belirlemektir.

2. Senaryo Tanımı

Bir sağlık kuruluşunun sistemleri hedef alınarak fidye yazılım saldırısı gerçekleştirilmiştir. Saldırganlar, e-posta üzerinden kimlik avı yöntemiyle kötü amaçlı yazılım bulaştırmış ve sistemdeki hasta kayıtlarını şifrelemiştir. Kurumun kritik sağlık verilerine erişimi engellenmiştir. Saldırganlar, verilerin şifresini çözmek için fidye talep etmektedir.

3. Tatbikatın Aşamaları

Aşama 1: Hazırlık ve Ön Koşullar

• ISO 27001 gereklilikleri doğrultusunda bir özel hastane için olay müdahale ekibi oluşturulur.
• Olay müdahale planı ve politika dokümanları gözden geçirilir.

Olay Müdahale Planı ve Politika Dokümanları

1. Olay Müdahale Politikası – Kurumun olaylara nasıl yanıt vereceğini belirten genel politika dokümanı.
2. İletişim ve Eskalasyon Prosedürleri – Olay anında iç ve dış paydaşlarla nasıl iletişim kurulacağına dair süreçler.
3. Kriz Yönetim Planı – Kritik olaylar karşısında alınacak aksiyonlar ve sorumluluklar.
4. Adli Bilişim ve Delil Toplama Rehberi – Olay sonrası adli incelemeler için veri toplama ve analiz süreçleri.
5. Yedekleme ve Kurtarma Politikası – Veri kaybı durumunda uygulanacak kurtarma süreçleri ve prosedürler.
6. Sistem İzleme ve Log Yönetimi Politikası – Olay tespiti için sistem günlüklerinin nasıl yönetileceği.
7. Eğitim ve Farkındalık Planı – Çalışanların güvenlik farkındalığını artırmaya yönelik eğitim planları.
8. Olay Sonrası Değerlendirme ve İyileştirme Planı – Yaşanan olaylardan ders çıkararak güvenlik süreçlerini geliştirme yöntemleri.

• Loglama ve izleme sistemleri test edilir.
• Tatbikat katılımcılarına roller atanır.

Tatbikat Katılımcıları ve Roller

1. Olay Müdahale Yöneticisi – Tatbikatın koordinasyonunu ve yönetimini sağlar.
2. Ağ Güvenlik Uzmanı – Ağ izleme, saldırı tespiti ve sistem izolasyonu görevlerini yürütür.
3. Sistem Yöneticisi – Sunucuların ve sistem bileşenlerinin güvenliğini sağlar, yedekleme süreçlerini yönetir.
4. Adli Bilişim Uzmanı – Saldırıya ilişkin delil toplar ve adli analiz süreçlerini yürütür.
5. Bilgi Güvenliği Uzmanı – ISO 27001 gerekliliklerine uygun güvenlik önlemlerini uygular ve tatbikat sonuçlarını değerlendirir.
6. Kriz İletişim Sorumlusu – İç ve dış paydaşlarla iletişimi yönetir, kamuoyunu bilgilendirir.
7. Uygulama Geliştiricisi – Güvenlik açıklarını analiz eder ve gerekli yazılım güncellemelerini uygular.
8. Son Kullanıcı (Sağlık Personeli) – Tatbikatın gerçekçi olması için simüle edilen saldırıya maruz kalan kişileri temsil eder.

Loglama ve İzleme Sistemleri Örnekleri

1. SIEM (Security Information and Event Management) Sistemleri
   • Splunk
   • IBM QRadar
   • ArcSight
   • Microsoft Sentinel
2. Ağ Trafiği İzleme Sistemleri
   • Zeek (Bro)
   • Suricata
   • Snort
3. Son Kullanıcı Davranış Analizi (UEBA) Çözümleri
   • Varonis
   • Exabeam
4. Güvenlik Olay Yönetim Araçları
   • OSSEC
   • Wazuh
5. Sistem ve Uygulama Log Yönetimi Araçları
   • ELK Stack (Elasticsearch, Logstash, Kibana)
   • Graylog

Aşama 2: Saldırı Senaryosunun Başlatılması

• Saldırganlar, sosyal mühendislik yoluyla bir sağlık çalışanına kimlik avı e-postası gönderir.
• Çalışan kötü amaçlı eki açarak sisteme zararlı yazılımın bulaşmasına sebep olur.
• Fidye yazılımı, sistemdeki kritik hasta verilerini şifreler.
• Saldırganlar, dosyaların şifresini açmak için fidye talep eder.
• Olay müdahale ekibi, saldırının kaynağını belirlemek ve yayılmasını engellemek için harekete geçer.

Aşama 3: Tatbikat Sonrası İşlemler

1. Olay Analizi ve Kapsam Değerlendirmesi
   • Saldırının nasıl gerçekleştirildiği detaylı olarak analiz edilir.
   • Saldırıya maruz kalan sistemler ve etkilenen veriler tespit edilir.
2. Log ve Delil Toplama Süreci
   • SIEM ve diğer loglama sistemleri incelenerek saldırı izleri belirlenir.
   • Adli bilişim uzmanları tarafından gerekli deliller toplanır.
3. İyileştirme Planı ve Önlemler
   • Güvenlik açıklarının giderilmesi için sistem güncellemeleri yapılır.
   • Çalışanlara yönelik bilinçlendirme ve eğitim faaliyetleri düzenlenir.
   • Olay müdahale prosedürlerinde eksiklikler belirlenerek iyileştirme adımları planlanır.
4. Tatbikat Sonrası Raporlama
   • Olayın tüm aşamalarını içeren kapsamlı bir rapor hazırlanır.
   • Üst yönetime ve ilgili birimlere sunulmak üzere öneriler geliştirilir.
   • Tatbikatın başarısı değerlendirilir ve sonraki tatbikatlar için öneriler oluşturulur.
5. Test ve Sürekli İzleme
   • Yeniden benzer bir saldırıya maruz kalmamak için güvenlik önlemleri düzenli olarak test edilir.
   • Sürekli izleme mekanizmaları güçlendirilerek saldırılara karşı daha hızlı tepki verilmesi sağlanır.

Aşama 4: İş Sürekliliği ve Kurtarma

• Sistem yedeklerinden veri kurtarma işlemi başlatılır.
• Alternatif iş süreçleri devreye alınarak sağlık hizmetlerinin sürekliliği sağlanır.
• Fidye taleplerine karşı organizasyon politikaları doğrultusunda hareket edilir.

Aşama 5: Raporlama ve İyileştirme

• Tatbikat sonuçları detaylı bir şekilde raporlanır.
• ISO 27001 standardına uygun olarak güvenlik açıkları ve eksiklikler belirlenir.
• Güvenlik politikaları ve olay müdahale planları güncellenir.
• Eğitim ve farkındalık programları güçlendirilir.

Aşama 6: Raporlama ve İyileştirme

• Yanıt Süresi: Olay tespitinden itibaren ne kadar sürede müdahale edildi?
• Etkilenen Sistemler: Hangi sistemler etkilendi, veri kaybı yaşandı mı?
• İletişim Süreçleri: Olay bildirimleri ve kriz yönetimi süreçleri nasıl işledi?
• İyileştirme Önerileri: Gelecekte benzer saldırılara karşı alınacak ek önlemler nelerdir?

Bu süreçler sayesinde, ISO 27001 standardına uygun şekilde organizasyonun bilgi güvenliği durumu güçlendirilmiş ve saldırılara karşı daha dirençli hale getirilmesi sağlanmıştır.