Hesap ele geçirme müdahalesi, bir kullanıcı hesabının yetkisiz biçimde ele geçirildiği doğrulandığı anda başlayan ve hesabı saldırganın elinden almayı, arkasında bıraktığı kalıcılık mekanizmalarını sökmeyi ve verdiği zararı sınırlamayı hedefleyen yapılandırılmış yanıt sürecidir. Kritik nokta, sorunun tek bir parola sıfırlamayla bitmemesidir.

Ele geçirilmiş hesapta parolayı değiştirmek kapıyı kilitlemektir; saldırgan çoktan yedek bir anahtar bırakmış olabilir.

Bu müdahale, genel Olay müdahale disiplininin kimlik katmanına uygulanmış özel bir halidir. Fark, kanıtın ve saldırının bir dosyada değil, oturumlarda, izinlerde ve kimlik doğrulama kayıtlarında yaşamasıdır. Dolayısıyla müdahale, diskte iz aramaktan çok bir kimliğin çevresindeki tüm erişim yüzeyini yeniden gözden geçirmeye dayanır.

İlk Hamle: Erişimi Kesmek

İlk iş, saldırganın aktif erişimini koparmaktır. Parolayı sıfırlamak tek başına yetmez; saldırganın halihazırda açık oturumları geçerli kalabilir, bu yüzden hesabın tüm oturum belirteçleri geçersiz kılınmalı ve tüm aktif oturumlar sonlandırılmalıdır. Aynı anda çok faktörlü doğrulama zorlanır. Bu adımların sırası önemlidir: önce oturumları öldürmeden parolayı değiştirirseniz, saldırgan hâlâ içeride yeni parolayı görebilir.

Kalıcılığı Söküp Kapsamı Çıkarmak

Deneyimli bir saldırgan, hesaba girdikten sonra parolaya bağımlı kalmayacak izler bırakır. Bu yüzden müdahale, hesaba eklenen posta yönlendirme kurallarını, yetkilendirilmiş üçüncü taraf uygulamaları ve API belirteçlerini, kaydedilmiş yeni MFA cihazlarını ve kurtarma adreslerindeki değişiklikleri tek tek denetlemeyi gerektirir. Bu kontrol atlanırsa, en temiz parola sıfırlaması bile saldırganı dışarıda tutmaz.

• Tüm aktif oturumları sonlandır ve belirteçleri geçersiz kıl
• Parolayı sıfırla ve çok faktörlü doğrulamayı yeniden kur
• Yetkisiz posta yönlendirme, filtre ve otomatik yanıt kurallarını kaldır
• Tanınmayan üçüncü taraf uygulama izinlerini ve API anahtarlarını iptal et
• Kurtarma e-postası, telefon ve MFA cihazlarındaki değişiklikleri geri al
• Hesabın olay öncesi ve sonrası tüm etkinliğini geriye doğru incele

Kök Nedeni Kapatmak

Hesabı geri almak yarım iştir; asıl soru saldırganın oraya nasıl girdiğidir. Ele geçirme çoğunlukla tekrar kullanılan parolaların otomatik denenmesiyle, yani Kimlik bilgisi doldurma yoluyla ya da kullanıcının kandırılarak kimlik bilgisini teslim ettiği bir Kimlik avı kampanyasıyla olur. Giriş yolu kapatılmazsa aynı hesap veya komşu hesaplar kısa sürede yeniden düşer; bu yüzden müdahalenin son adımı, aynı kök nedene maruz diğer hesapları da proaktif olarak güvene almaktır.

Hesap ele geçirmelerini hızlı ve eksiksiz kapatmak, olayı tespit eden izlemeyle kök nedeni söken müdahalenin birlikte işlemesini gerektirir. Bu iki tarafı tek bir akışta yürütmek için olay inceleme ve olay müdahalesi hizmeti devreye girer.