Küçük İşletmeler için İçeriden Gelen Tehdit Tespiti

İçeriden gelen tehdidin kapsamı

İçeriden gelen tehdit, meşru erişime sahip birinin bu erişimi — kasıtlı olsun ya da olmasın — organizasyona zarar verecek şekilde kullanma riskidir. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), içerideki kişiyi bir organizasyonun personel, tesisler, bilgi, ekipman, ağlar ve sistemler dahil olmak üzere kaynaklarına yetkili erişimi olan veya olmuş ya da bunlar hakkında bilgisi bulunan veya bulunmuş herhangi bir kişi olarak tanımlar. Burada asıl işi yapan kelime yetkili kelimesidir. Kimsenin zorla içeri girmesine gerek yoktur.

CISA'nın temel ayrımı kasıtsız zarar ile kasıtlı zarar arasındadır ve ayrıca ikisini de kesen iki durumu ayrıca işaret eder. Bu size pratikte karşılaşacağınız dört etiket verir — bilmekte fayda var, çünkü “içeriden gelen tehditlerin üç türü” ifadesi her yerde tekrarlanır ve kaynakla örtüşmez:

Şimdi bu konudaki çoğu makalenin atladığı kısma geliyoruz. İçeriden kaynaklanan olaylar, küçük bir işletmenin ihlale uğramasının en yaygın yolu değildir ve size aksini söyleyen herkesten şüphelenmelisiniz. Verizon'un 31,000'den fazla gerçek olaya dayanan 2026 Data Breach Investigations Report'u, ihlallerin %12'sinde iç aktörler tespit etti; bu, geçen yılın %18'inden bir düşüş. 1,000'den az çalışanı olan organizasyonları kapsayan küçük işletme paneli ise ihlallerin neredeyse tamamını finansal saikli dış aktörlere bağlıyor.

Öyleyse bu konuya neden bir öğleden sonra ayırasınız ki? Çünkü maliyet profili tam tersine dönüktür. 2026 Ponemon Institute ve DTEX Cost of Insider Risks araştırması, içeriden kaynaklanan olayların kontrol altına alınmasının ortalama 67 gün sürdüğünü; ihmalkâr bir olay için yaklaşık 747,000 dolar, kötü niyetli bir olay için 742,000 dolar ve bir dışarıdaki kişinin çalıntı kimlik bilgilerini kullandığı durumda ise 842,000 dolar maliyet oluştuğunu tespit etti. İçeriden kaynaklanan olaylar kimlik avından daha nadirdir, ama fark edilmeden önce daha uzun sürer ve dışarı çıkan şey genellikle işletmenin gerçekten üzerine kurulu olduğu malzemedir.

İşten ayrılmalar neden kritik eşiktir

Çünkü risk, dar ve öngörülebilir bir zaman aralığında yoğunlaşır. Carnegie Mellon'un Software Engineering Institute'u — yirmi yıldır içeriden gelen vakaları inceleyen CERT bölümü — bunu fikri mülkiyet hırsızlığı vakalarına ilişkin analizinde açıkça ortaya koydu: içeridekilerin çoğu, fikri mülkiyeti bir organizasyondan ayrıldıktan sonraki 30 gün içinde çalar. Bu bulgu 2011 yılına dayanıyor ve bunun ne kadar eski olduğunu belirtmekte fayda var; buna rağmen o günden bu yana içeriden gelen risk uygulamasının örgütleyici ilkesi olarak varlığını sürdürdü ve o zamandan bu yana yayımlanan her tedarikçi telemetri raporu, etkinliği aynı ayrılma penceresi etrafında topluyor.

Bu tek cümle, küçük bir işletmenin satın alabileceği herhangi bir tehdit istihbaratı akışından operasyonel olarak daha yararlıdır. Bunun anlamı, herkesi sürekli gözetim altında tutmanıza gerek olmadığıdır. Sizin ihtiyacınız olan, birinin ne zaman ayrılacağını bilmek ve o tarihin her iki yanındaki haftalarda doğru birkaç sinyale bakıyor olmaktır.

Planlamadan önce istatistikleri kontrol edin

Çalışan veri hırsızlığı hakkındaki her makaleye üç rakam hakimdir ve her biri, gerçekte olduğundan daha büyükmüş gibi gösteren bir biçimde alıntılanır. Bunun pratik bir önemi var: personelinizin yarısının veri çaldığına inanırsanız, yanlış şeyi satın alır ve bunu yaparken insanlara kötü davranırsınız.

• “Çalışanların %45'i işten ayrılırken veri alıyor.” Gerçek, ama bu Mayıs 2020 tarihli bir Tessian araştırmasının ABD alt kümesidir. Aynı araştırmadaki genel rakam %34 idi ve İngiltere rakamı %23'tü. Bu niteleyici, ifade alıntılandığında neredeyse her seferinde düşürülüyor.
• “Çalışanların %72'si şirket verisi alıyor.” Bu yanlış bir okuma. Code42'nin 2019 raporundaki %72, bilgi güvenliği liderlerinin bu sadece kurumsal veri değil, benim işim — ve benim fikirlerim tutum ifadesine katılma oranıdır. Bu, insanların sahiplik hakkında ne hissettiğine dair bir bulgudur, kaçının dosya kopyaladığına dair değil.
• “%63'ü önceki işvereninden veri getirdi.” Bunun gerçek, bulunabilir bir kaynağı var — Code42'nin Ekim 2019'da yayımlanan 2019 Global Data Exposure Report'u. Ama %72'yi de yanıltan aynı hataya dikkat edin: katılımcılar 1,028 güvenlik lideri ve 615 iş karar vericisiydi, personelin bir kesiti değil. Ayrıca bu, veriyle birlikte gelen insanları tarif ediyor; bu da sizin ayrılışta tespit etmeye çalıştığınızdan farklı bir risk.

En savunulabilir rakam, 2022'de Cyberhaven Labs'a ait ve tam olarak savunulabilir olmasının nedeni öz bildirim değil, gözlemlenen telemetri olmasıdır: hassas veriyle çalışan yaklaşık 1.4 milyon çalışan arasında, %9.4'ü altı aylık bir pencerede veri sızdırdı. Bu rakamı taşıyan blog yazısı o zamandan beri kaldırıldı — altında yatan rapor kapalı bir indirme olarak hayatta kalıyor — bu yüzden bugün en kolay şekilde dönemin basın haberleri üzerinden doğrulanabiliyor. Her hâlükârda bunu eski bir veri olarak değerlendirin. DTEX'in 2023 soruşturma raporu, ayrılan çalışanlardan hassas fikri mülkiyet alanların oranını %12 olarak veriyor.

CISA'nın rehberliği de burada içselleştirilmeye değer: tehdit değerlendirmesi profillere değil davranışlara dayanmalıdır ve bu eylemler nadiren anidir — bilinçli bir kararı takip ederler. Dikkat edilmesi gereken bir demografik örüntü yoktur ve bir tane aramak sizi hem yanlış hem de adaletsiz kılar.

Veri gerçekte nasıl sızar

Veri, küçük bir Windows ağından kısa ve sıradan bir kanal listesi aracılığıyla çıkar. Operasyonel olarak önemli olan kanalın kendisi değil, sonradan bulabileceğiniz bir iz bırakıp bırakmadığıdır — ve bunların birçoğu için dürüst cevap, bırakmadığıdır.

MITRE ATT&CK terimleriyle bunlar T1052.001'e (USB Üzerinden Sızdırma), T1567.002'ye (Bulut Depolamaya Sızdırma — MITRE'nin kendi açıklaması Dropbox ve Google Docs'u adlandırıyor) ve T1114.003'e (E-posta Yönlendirme Kuralı) karşılık gelir. MITRE'nin USB durumu için tespit analitiği USB cihaz takılmasının ardından gelen yüksek hacimli veya hassas dosya erişimi ve hazırlanmasıdır — ki bu tam olarak 4663 ile ilişkilendirilmiş Event 6416'dır ve tam olarak sonraki bölümlerin kurduğu şeydir.

Herhangi bir şeyi izlemeden önce

Tek bir denetim ilkesini bile etkinleştirmeden önce bildirimi yazın. Bu, sonradan düzeltilecek bir uyumluluk dipnotu değildir — üç ABD eyaletinde, izleme başlamadan önce devreye giren yasal bir yükümlülüktür ve bu yasaların hiçbiri küçük işverenleri muaf tutmaz. New York'ta on kişilik bir şirket, on bin kişilik bir şirketle tamamen aynı şekilde kapsam altındadır.

Federal taban çizgisi ve tuzak

Electronic Communications Privacy Act, federal taban çizgisidir. İşverenler için işin çoğunu iki istisna görür. 18 U.S.C. § 2511(2)(a)(i)'deki sağlayıcı istisnası (provider exception), kendi tesislerinizdeki müdahaleyi, bunun hizmet için gerekli bir unsur ya da o hizmetin sağlayıcısının hak veya mülkiyetinin korunması için gerekli olduğu durumlarda kapsar. Ayrı olarak, § 2511(2)(d) federal yasayı tek taraflı rıza haline getirir: iletişimin taraflarından biri önceden rıza vermişse yasaldır.

Pratik avantaj — ve bu gerçektir, bazen duyacağınız tek belgelik temiz hikâye olmasa da — imzalı bir izleme onayının çifte görev görmesidir. Sağlayıcı istisnası zaten geçerli olduğunda federal yasa rızayı şart koşmaz, ama rıza § 2511(2)(d) altında ikinci, bağımsız bir yoldur ve ikisine birden sahip olmak, yalnızca birine güvenmekten daha sağlam bir konumdur. Aynı imza, aynı anda New York ve Delaware'in istediği onayı da karşılar.

Ancak bu her şeyi kapsamaz ve adı anılmaya değer üç boşluk vardır. Tek başına bir imza, asma yükümlülüğünü yerine getirmez — New York, bildirimin hem onaylanmasını hem de duvarda asılı olmasını ister ve Connecticut'ta asma işlemi gereken bildirimin kendisidir. Sağlayıcı istisnasının kapsamı net bir çizgiden çok yargısal olarak geliştirilmiştir, bu yüzden “dizüstü bilgisayar bize ait” güçlü bir başlangıç konumudur, kesinleşmiş bir savunma değil. Ve çağrıları kaydediyorsanız, eyaletinizin dinleme yasasını ayrıca kontrol edin: birçok eyalet tüm tarafların rıza göstermesini şart koşar, ki bu federal taban çizgisinden daha katıdır.

AB'de personeliniz varsa cevap tersine döner

GDPR kapsamında, işyeri izlemesi için işleyen hukuki dayanak, Article 6(1)(f) altındaki meşru menfaatlerdir — rıza değil. Article 29 Working Party'nin Opinion 2/2017'si, çalışanların neredeyse hiçbir zaman rızayı özgürce verme, reddetme veya geri çekme konumunda olmadığını ve rızanın işyerinde veri işleme için bir hukuki dayanak olma ihtimalinin çok düşük olduğunu ortaya koydu. Bu, imzanın en güçlü savunmanız olduğu ABD konumunun tam tersidir.

Meşru menfaatler, belgelenmiş üç aşamalı bir testi gerektirir — belirli bir amaç, daha az müdahaleci bir alternatifi olmayan gerçek bir gereklilik ve çalışanların haklarına karşı bir denge kurma çalışması — ve Article 21, her çalışana itiraz etme hakkı verir. İzleme sistematik ve yüksek riskli olma ihtimali taşıdığında bir veri koruma etki değerlendirmesi gereklidir; ulusal düzenleyiciler ise sürekli çalışan izlemesini tutarlı biçimde bu şekilde değerlendirir. Article 88 ayrıca üye devletlerin daha katı ulusal kurallar koymasına izin verir, bu yüzden özellikle Almanya, Fransa ve Hollanda, GDPR taban çizgisinin ötesine geçer.

Sıfır maliyetli tespit kurulumu

En yaygın sızdırma kanallarını tespit etmek için, Windows ile birlikte gelen ve hiçbir maliyeti olmayan Group Policy ayarlarıyla başlayabilirsiniz. İşte en az emekle en fazla kapsamı sağlayan sıralama.

1. Audit Removable Storage — tek başına en yüksek değerli ayar

İlk etkinleştirilmesi gereken budur ve nedeni, Microsoft'un kendi belgelerinde belirttiği ama neredeyse kimsenin tekrarlamadığı bir ayrıntıdır: Nesnenin SACL'sine hiçbir bağımlılık olmaksızın, tüm nesneler ve istenen tüm erişim türleri için bir güvenlik denetim olayı üretilir.

Dosya denetimi kurmayı hiç denediyseniz bunu bir daha okuyun. Sıradan dosya sistemi denetimi, önemsediğiniz her klasörde sistem erişim denetim listeleri yapılandırana kadar etkisizdir — Microsoft, varsayılan dosya sistemi SACL'leri için hiçbir denetim olayı üretilmediğini açıkça belirtir. Audit Removable Storage bunların tümünü atlar. Açın, ve her makinede, klasör başına hiçbir mühendislik gerekmeden, bir USB cihazından okunan veya yazılan her dosya için bir 4663 olayı elde edersiniz. Microsoft'un rehberliği, Audit File System yalnızca “gerekirse” olarak derecelendirilirken, bunu iş istasyonlarında, üye sunucularda ve etki alanı denetleyicilerinde aynı şekilde Success ve Failure olarak derecelendirir.

2. Audit PNP Activity — bir cihazın ne zaman göründüğünü bilin

Bu, Object Access altında değil, Detailed Tracking altında yer alır — insanlara ilke ağacında on dakika arama yaptıran küçük bir ayrıntı. Windows 10 ile Server 2016 veya sonrasında, “Sistem tarafından yeni bir harici cihaz tanındı” içeriğiyle Event ID 6416 üretir. Yük, cihaz örnek yolunu, üretici kimliklerini ve bir ClassName taşır — depolamayı klavye ve farelerden ayırmak için DiskDrive'a göre filtreleyin. Microsoft, hacmi tipik olarak düşük olarak derecelendirir ve yararlı bir ince ayar ipucu ekler: Subject Security ID, SYSTEM olmadığı her durumda bunu raporlayın. Sınırlamaya dikkat edin — 6416, takılmayı ve etkinleştirmeyi kaydeder, çıkarmayı değil, bu yüzden bir belleğin ne kadar süre takılı kaldığını size söylemez.

3. Audit Logon — mesai dışı örüntüyü yakalayın

Event ID 4624, bir Logon Type ile birlikte başarılı oturum açmaları kaydeder: 2 klavyede etkileşimli için, 3 ağ için, 10 RDP için, 7 kilit açma için. Microsoft bu kullanım senaryosunu açıkça onaylar: bir hesabın mesai saatleri dışında kullanılmasını izlemeniz gerekebilir. Hiç hafta sonu çalışmamış bir hesaptan cumartesi gecesi gelen tür 10 bir oturum açma, kuracağınız en ucuz, en yüksek sinyalli uyarıdır.

4. SACL'ler, ama yalnızca hak ettikleri yerde

Gerçekten en kritik verileri barındıran iki veya üç paylaşım için bir SACL ekleyin ve Audit File System'i etkinleştirin. Bilinmeye değer bir uyarı: Microsoft'un izlenmesini önerdiği erişim türleri listesi yazma, silme ve izin değişikliklerini kapsar — ama ReadData'yı kapsamaz. Hırsızlığın görünümü okumadır, bu yüzden onu bilinçli olarak ekleyin. Microsoft ayrıca toptan etkinleştirmeye karşı uyarır ve haklıdır: tüm bir dosya sunucusuna SACL uygularsanız boğulursunuz, ardından bakmayı bırakırsınız, ki bu hiç günlük tutmamaktan daha kötüdür.

5. Günlük boyutunu artırın, ardından gözden geçirmeyi gerçekten takvimleyin

4663 olayları akmaya başladığında varsayılan Security log hızla üzerine yazılır ve kanıtın üzerine zaten yazılmış bir günlük, bir kontrol değildir. Önce boyutunu artırın. Ardından takvime tekrarlayan aylık bir randevu koyun — USB olayları, mesai dışı oturum açmalar, yeni posta yönlendirme kuralları. Tespit bir alışkanlıktır, bir onay kutusu değil; kimsenin okumadığı günlük kaydı hiç kimseyi yakalamamıştır.

Kurulumuna değer, ücretsiz bir ek: Microsoft'un Sysinternals paketinden Sysmon, yukarıdaki boşlukların birkaçını kapatır. Event 3 bir sürece bağlı ağ bağlantılarını kaydeder — siz yapılandırmadığınız sürece kapalıdır — ve Event 22 DNS sorgularını kaydeder, böylece tüketici dosya paylaşım alan adına yapılan bir sorgu görünür hale gelir. Event 9 Microsoft'un dosya erişim denetim araçlarından kaçınmak için kullanıldığını belirttiği ham disk okumalarını yakalar. Rutin olarak çalıştırmaya değer olan üçü bunlardır.

Sysmon, pano değişikliklerini de (Event 24) kaydedebilir ve bunu açmadan önce iyice düşünmelisiniz. Panolar parolalar, kişisel mesajlar ve başka insanların verilerini taşır ve bunları yakalamak, bir dosyanın taşındığını kaydetmekten kategorik olarak daha müdahaleci bir şeydir. Eğer bunu etkinleştirirseniz, genel bir açıklamanın altına gizlemek yerine izleme bildiriminde açıkça belirtin — açıklama, gerçekte topladığınız şeyle eşleşmelidir, yoksa bildirim işini yapmıyor demektir.

Windows'un göremediği şeyler

Windows, şifreli trafiğin içini göremez ve bu tek sınırlama, ücretsiz kurulumun sınırlarını belirler. Bu konuda dürüst olmak, başka bir özellik listesinden daha önemlidir, çünkü yanlışlıkla sahip olduğunuza inandığınız bir kontrol, eksik olduğunu bildiğiniz bir kontrolden daha kötüdür.

• HTTPS yükleri. Her web postası yüklemesi, tüketici bulut senkronizasyonu ve mesajlaşma uygulaması opaktır. Bir bağlantının gerçekleştiğini görebilirsiniz; ama içinden neyin geçtiğini göremezsiniz.
• Kime ait olduğu belli ağ çıkışı. Windows Firewall günlüklemesi varsayılan olarak kapalıdır ve açık olsa bile yalnızca bağlantı ikililerini kaydeder — hangi sürecin veya hangi kullanıcının olduğunu değil.
• Hangi dosyanın nereye gittiği. Windows, dosya okumalarını ve ağ gönderimlerini birbirinden bağımsız olarak kaydeder ve bunları asla ilişkilendirmez. Bu iki yarıyı birleştirmek, tam olarak veri kaybı önleme ürünlerinin var oluş amacıdır.
• Ekrana doğrultulmuş bir telefon kamerası. Ne bir iz, ne bir kontrol, ne de bir ürün. Bu, en eski sızdırma kanalıdır ve hâlâ çözülmemiştir.

İnternetin yanlış bildiği iki şey

Birincisi, oturum süresi. Birçok rehber, birinin ne kadar süre çalıştığını ölçmek için oturum açma olayı 4624'ü oturum kapatma olayı 4634 ile eşleştirmeyi öneriyor. Microsoft bu kullanım senaryosunu belgeliyor ama çoğu yazının düşürdüğü bir uyarı ekliyor: Oturum kapatma olayları yüzde 100 güvenilir değildir. Örneğin, bilgisayar düzgün bir oturum kapatma ve kapanma olmadan kapatılabilir; bu durumda bir oturum kapatma olayı üretilmez. Oturum uzunluğu, bakılmaya değer makul bir eğilimdir; bunun üzerine sert bir uyarı kurarsanız, bu yalnızca dizüstü bilgisayarını kapatmış insanlar için de tetiklenir.

İkincisi, yazdırma günlüklemesi. PrintService işlemsel günlüğünü etkinleştirmek, genellikle size neyin yazdırıldığına dair bir kayıt veriyormuş gibi sunulur. Size işle birlikte Event 307'yi verir — ama ayrı bir ayarı değiştirmediğiniz sürece belge adı, harfiyen "Print Document" dizesine gizlenmiştir. Günlüğü açın, bir test sayfası yazdırın ve buna güvenmeden önce adı kontrol edin.

Ayrıca yaygın biçimde dolaşan iki USB adli bilişim iddiası daha var — takma ve çıkarma için bir dizi DriverFrameworks olay kimliği ve cihaz seri numaralarını taşıyan bir Partition tanılama olayı — bunlar düzinelerce blog yazısında görünüyor ama Microsoft tarafından hiçbir yerde belgelenmiyor ve ilgili günlük varsayılan olarak devre dışı. Gayet iyi çalışıyor olabilirler. Önce kendi donanımınızda test etmeden bunların üzerine bir kontrol kurmayın.

Araçlar ne zaman karşılığını verir

Araçlar, ücretsiz kurulumun aslında sorduğunuz soruları yanıtlamayı bıraktığı noktada karşılığını verir — genellikle şifreli yüklemelere görünürlüğe ihtiyaç duyduğunuzda veya ham olay günlüklerini elle gözden geçirmek gerçekçi olmaktan çıktığında. İşte 10 ila 50 bilgisayar ölçeğinde dürüst bir karşılaştırma.

Çoğu küçük işletmeyi ücretsiz katmanın dışına iten boşluk, tespit kapasitesi değil, okunabilirliktir. Windows binlerce 4663 olayını gönül rahatlığıyla kaydeder; bunları “bu kişi son iki haftada ne yaptı” ifadesine dönüştürmek, kimsenin sürdüremeyeceği manuel bir iştir. Şirket makinelerinde bildirilmiş etkinlik izlemenin işi tam olarak budur — ve bu, yasal ve kültürel olarak yalnızca daha önce belirtilen bildirim zemininde işler.

Ne seçerseniz seçin, şüphelendiğiniz kişiyi tek başına hedeflemek yerine, bunu herkese aynı düzeyde uygulayın. Bir çalışanın hedeflenmiş, gizli izlenmesi, yasal riskin yaşadığı yerdir ve aynı zamanda bunu sonradan öğrenen diğer dokuz meslektaşın güvenini yok etmenin de yoludur.

İşten ayrılma kontrol listesi ve ilk saat

Fikri mülkiyet hırsızlığının çoğunun işten ayrılmadan sonraki 30 gün içinde gerçekleştiği göz önüne alındığında, aşağıdaki kontrol listesi önceki listedeki herhangi bir araçtan daha değerlidir. Herkes “erişimi hemen iptal edin” der; neredeyse kimse bunun pratikte ne anlama geldiğini yazmaz.

• Hesabı devre dışı bırakın, silmeyin. Silmek, denetim izini ve daha sonra ihtiyaç duyabileceğiniz posta kutusunu yok eder.
• Yalnızca parolayı değil, aktif oturumları ve belirteçleri de iptal edin. Kişisel bir telefondaki oturum açık bir oturum, parola değişikliğinden sonra da hayatta kalır.
• Posta kutusu yönlendirme kurallarını kontrol edin — hem posta kutusu düzeyindeki yönlendirmeyi hem de gelen kutusu kurallarını. Kurallar, Outlook'ta görünmeyecek şekilde oluşturulabilir, bu yüzden sunucu tarafını kontrol edin.
• Denetim günlüğünü şimdi çekin, sonra değil. Microsoft 365 Audit (Standard), kayıtları varsayılan olarak 180 gün saklar — ama kullanımdan kaldırılmış admin audit search yalnızca 90 güne kadar geriye gidebilir ve saklama süresi lisansa göre değişir. İhtiyacınız olanı, gelecek çeyrekte hâlâ orada olacağına güvenmek yerine dışa aktarın.
• Makineden kişisel bulut senkronizasyon istemcilerinin bağlantısını kesin ve hangi klasörlerin senkronize edildiğini kontrol edin.
• Paylaşılan kimlik bilgilerini değiştirin — Wi-Fi anahtarı, paylaşılan yönetici girişi, kimsenin henüz bireysel giriş vermeye vakit bulamadığı hesaplar. Küçük bir işletmede bu, genellikle listenin en uzun kısmıdır.
• Kişisel olarak elde tutulan sürücüler veya donanım anahtarları dahil olmak üzere donanımı geri alın ve nelerin geri döndüğünü kayıt altına alın.
• Ayrılış herhangi bir şekilde sorunlu geçtiyse, ayrılan kişinin cihazını yeniden kurmadan önce iki hafta boyunca dokunmadan tutun.
• Çıkış görüşmesini fikri mülkiyet sözleşmesini elinizde tutarak yapın. Carnegie Mellon'un CERT bölümü, uzun zamandır çıkış görüşmesinin, ayrılan kişiyi imzaladığı sözleşme boyunca yeniden gözden geçirmek ve onu yeniden onaylatmak için kullanılmasını öneriyor. On dakika sürer ve bu listede fırsatı değil niyeti ele alan tek maddedir.

Şu anda olduğunu düşünüyorsanız

Önce koruyun, sonra soruşturun, en son harekete geçin — bu sırayla, çünkü doğal içgüdü bu üçünü de tersine çevirir.

1. Makineyi kapatmayın. Gücü kesmek, bellekte tutulan her şeyin kaybolmasına yol açar ve kapanışta bir temizleme işlemini tetikleyebilir. Bunun yerine ağdan izole edin ve çalışır durumda bırakın.
2. Üzerinde gezinmeyin. Açtığınız her klasör, erişim zaman damgalarının üzerine yazar — bunlar daha sonra güveneceğiniz aynı meta verilerdir. Konu birinin önüne çıkabilecekse, önce bir disk imajı aldırın.
3. Günlükleri üzerlerine yazılmadan önce yakalayın. Uç noktadan Security log'u ve ilgili Microsoft 365 audit search'ü hemen dışa aktarın.
4. Kişisel hesaplarını asla açmayın. Şirket tarayıcısındaki kayıtlı kimlik bilgileri size yetki vermez ve bunları kullanmak, bir işverenin güçlü konumunun çöktüğü noktadır.
5. Herhangi biriyle yüzleşmeden önce hukuk danışmanını arayın. Eksik kanıtla yapılan bir konuşma, hâlâ bir şeyleri silebilecek tek kişiyi uyarır — ve yanılıyorsanız, bir çalışanı bir suçla itham etmiş olursunuz.

Bunların hiçbiri bir güvenlik ekibi gerektirmez. Gerektirdiği şey, herhangi bir şey olmadan önce, sıkıcı versiyonu düzgün biçimde yapacağınıza karar vermenizdir: ilk gün imzalanan bildirim, açılmış üç denetim ilkesi, birisi her ayrıldığında çalışan bir kontrol listesi ve gerçekten bakmaya ayrılmış ayda bir saat. Bu ölçekte içeriden gelen tehdit tespitinin görünümü budur ve tamamen erişilebilir durumdadır.

Sıkça sorulan sorular