Binalyze Nedir? AIR ile Uzaktan Adli Analiz ve Olay Müdahalesi

DFIR, dijital adli analiz (Digital Forensics) ile olay müdahalesinin (Incident Response) birleşimidir. Adli analiz bir sistemde ne olduğunu kanıtla ortaya koyar: hangi süreç çalıştı, hangi dosya oluştu, hangi hesap nereye bağlandı. Olay müdahalesi bu bilgiyle karar verir: saldırgan hâlâ içeride mi, kurtarma nereden başlamalı?

Klasik yöntemde bu iş makine başına yürür: disk imajı alınır, gerekirse cihaz inceleme ekibine taşınır, kanıt farklı araçlarla ayıklanır. Üreticiye göre uzaktan incelenemeyen tek bir cihazın incelenmesi bu yüzden bazen günler, hatta haftalar sürüyor.

EDR, XDR ve SIEM şüpheli etkinliği kısa sürede bildirir, ama bildirdiği şey bir sinyaldir, olayın kendisi değil. Binalyze'ın ABD'de 200 CISO ile yaptığı 2026 araştırmasına göre adli toplamanın başlatılması ortalama 8,6 saat sürüyor, soruşturma da keşiften ortalama 8,5 gün sonra sonuç veriyor.

Tespit ile soruşturma arasındaki bu açığa yönelen araçları Gartner 2023'te bulut soruşturma ve müdahale otomasyonu (CIRA) adıyla ayrı bir teknoloji alanı olarak tanımladı. Binalyze AIR, Gartner Peer Insights'ta bu kategoride yer alıyor; üreticiye göre kategori adına rağmen kurum içi ve hibrit ortamları da kapsıyor.

AIR iki parçadan oluşur: kurum içine kurulabilen ya da hizmet olarak kullanılan merkezi bir konsol ve uç noktalara kurulan responder. Konsolda başlatılan bir görev seçilen varlıklara aynı anda gider, sonuçlar tek bir vakada birleşir. Bir soruşturma kabaca şöyle ilerler:

Neyin toplanacağını toplama profili belirler; üretici 1.000'den fazla kanıt türünden söz ediyor. Böylece her olayda aynı kanıt seti toplanır ve sonuç analistin alışkanlığına bağlı kalmaz. interACT, uzak masaüstü ya da SSH açmadan konsoldan başlatılır ve Windows, macOS ve Linux'ta aynı komut setiyle çalışır. Investigation Hub'da farklı seviyedeki analistler aynı vakada aynı veriyle çalışır; vaka el değiştirirken sıfırdan başlamaz.

Aramalarda "Binalyze AIR agent" diye geçen bileşenin üreticideki adı responder'dır. Uç noktaya kurulur, konsolla belirli aralıklarla iletişim kurar ve verilen görevi yürütür: kanıt toplar, kural taraması yapar ya da interACT oturumu açar. Davranışı sürekli izleyip alarm üretmez; bu, tespit katmanının işidir. Responder alarmın ardından kanıtı getirir. Kapsam ortama göre değişir:

• Windows, Linux ve macOS; AWS, Microsoft Azure ve Google Cloud sanal makineleri: responder ile.
• VMware ESXi: bağımsız toplayıcı ile.
• Chrome ve ChromeOS: AIR for Chrome uzantısıyla.
• Ağa bağlanamayan cihazlar: konsolda üretilen ağ dışı (off-network) paketle; cihazda oluşan arşiv sonradan AIR'a yüklenir.
• Microsoft 365 ve Google Workspace: ajan gerektirmeyen Tornado ile.

Kanıt bütünlüğü de responder tarafında başlar. Toplanan her dosyanın SHA-256 karması bir listeye yazılır; bu listeyi içeren toplama raporunun karması RFC 3161 uyumlu bir zaman damgası otoritesine gönderilir ve dönen belirteç konsolda saklanır. Böylece içeriğin değişmediği ve toplamanın hangi anda yapıldığı sonradan bağımsız olarak doğrulanabilir. Adımlar Binalyze'ın kanıt bütünlüğü yazısında ayrıntılı anlatılıyor.

• Alarm triyajı. Bir alarm geldiğinde AIR etkilenen sistemden kanıtı otomatik toplar; analist alarmın öncesine ve sonrasına bakarak gerçek mi gürültü mü olduğuna karar verir. Tespit katmanıyla birlikte nasıl kurgulandığı uç nokta güvenliği sayfamızda.
• Kapsam ve kök neden. Doğrulanmış bir siber saldırıda kanıt yüzlerce varlıktan aynı anda toplanır; zaman çizelgesi saldırının nereden başlayıp nereye yayıldığını gösterir. Bu, olay sonrası adli delil toplama yaklaşımımızın merkezidir.
• Proaktif tehdit avı. Alarm üretmeden kalıcılık sağlamış bir zararlı yazılım zamanlanabilen Hunt taramalarıyla aranır; Compare beklenmeyen değişiklikleri gösterir.
• İş e-postası ele geçirme (BEC). Kanıt e-posta platformundadır; Tornado e-posta kayıtlarını, erişim ve denetim günlüklerini toplayıp uç nokta kanıtıyla aynı vakaya aktarabilir.
• Sızıntı şüphesi. Tam metin arama (Magellan) dosyaların içeriğinde arar; sızıntıya konu olabilecek bir içeriğin hangi uç noktalarda bulunduğu, dosyalar merkeze kopyalanmadan görülür.

Denetçinin sorusu çoğu zaman aynıdır: ne oldu, neler etkilendi, bunu hangi kanıtla biliyorsunuz? AIR cevabı vaka kaydı olarak üretir:

Bu bir uyum garantisi değildir: platform yükümlülüğü yerine getirmez, yerine getirildiğini gösteren kanıtı üretir.

Verinin yeri de ilk konuşulan başlıklardandır. Kurum içi kurulumda kanıt deposu kurumun denetimindeki ortamda tutulur; lisanslama, güncelleme ve zaman damgası için gereken dış bağlantılar güvenlik politikasıyla birlikte değerlendirilir. İnternete tamamen kapalı mimariler üreticinin standart dışı kurulum hizmetiyle ayrıca ele alınıyor; bu ortamlarda Fleet, aktif internet bağlantısı istediği için kullanılamaz.

• Tespit ürünü değildir. EDR, XDR ya da SIEM'in yerini almaz; onların alarmını açıklar.
• Analistin yerini almaz. Otomasyon toplamayı ve ilk ayıklamayı hızlandırır, kararı insan verir.
• Hukuki görüşün yerine geçmez. Karma ve zaman damgası bütünlüğü teknik olarak gösterir; kanıtın hukuki süreçte nasıl değerlendirileceği hukuk biriminin konusudur.
• Her varlığa kendiliğinden ulaşmaz. Uzaktan toplama, responder kurulu ve konsola ulaşabilen varlıklarda çalışır; diğerleri için elle çalıştırılan bir paket ya da toplayıcı gerekir.
• Bütün bileşenler aynı olgunlukta değildir. Tornado ön sürüm aşamasındadır; Fleet ayrı lisanslanır ve AIR 4.41 ve üzeri sürüm ister.

1. Senaryoyu seçin. Yakın zamanda yaşanmış bir olay, sık gelen bir alarm türü ya da bir e-posta ele geçirme şüphesi.
2. Kurulum modelini belirleyin. Kurum içi mi, hizmet olarak mı? Kurum içi kurulumda hangi dış bağlantılara izin verileceği önceden kararlaştırılır.
3. Pilot varlıklara responder dağıtın. Farklı işletim sistemleri ve kritik sunucu rolleri seçin. AIR varlıkları SQL Server, web sunucusu ya da etki alanı denetleyicisi gibi işlevlerine göre otomatik etiketler.
4. İlk entegrasyonu kurun. Bir SIEM ya da EDR alarmının AIR'da otomatik toplama başlatması, alarmdan kanıta geçişin süresini doğrudan gösterir.
5. Süreleri ölçün. Üreticinin önerdiği üç ölçüt: ilk kanıta, kapsamdan emin olmaya ve yönetime sunulabilir rapora kadar geçen süre. Aynı senaryoyu bugünkü yöntemle de ölçün.

Üretici, deneme kurulumunun 10 dakikada tamamlanıp ilk soruşturmanın 15 dakikada başlayabildiğini söylüyor; kurumsal ortamda takvimi daha çok ağ izinleri ve onaylar belirler. Türkiye'de lisanslama, kurulum, PoC ve Türkçe teknik destek süreçlerini Binalyze'ın Türkiye iş ortağı Innoset yürütüyor; ürün ailesinin ayrıntıları Binalyze sayfamızda.