Incident Response & Credential Rotation

Emergency playbooks for post-breach containment, active session termination, blast-radius forensic analysis, and automated secret rotation.

First 5 Minutes Emergency Directives

1. Sunucuyu Kapatmayın

Bellekteki (RAM) adli kanıtları ve bağlantı socket izlerini yok etmemek için `kill -9` veya makine restart yapmayın.

2. Rolü `NOLOGIN` Yapın

Kullanıcıyı silmeyin (DROP USER yapmayın, sahiplikler bozulur); sadece `ALTER ROLE ... NOLOGIN` ile yeni girişleri kesin.

3. Çift Taraflı Rotasyon

Uygulama çökmemesi için geçici bir yedek rol oluşturup servisi ona aktarın, ardından sızan rolü imha edin.

4-Stage Incident Containment Protocol

AŞAMA 01

1. Isolation & Active Session Termination

Immediately isolate database network ingress and forcefully terminate all active connections tied to the compromised credentials.

-- PostgreSQL: Ele geçirilen kullanıcının oturumlarını kesme
SELECT pg_terminate_backend(pid) 
FROM pg_stat_activity 
WHERE usename = 'compromised_user' AND pid <> pg_backend_pid();

-- MySQL: Processlist üzerinden sonlandırma
-- CALL mysql.rds_kill(process_id); veya KILL CONNECTION <id>;

AŞAMA 02

2. Credential Rotation & Account Lockdown

Rotate credentials immediately with high-entropy passwords or disable LOGIN privileges temporarily.

-- PostgreSQL: Login yetkisini kaldırma veya parola değiştirme
ALTER ROLE compromised_user NOLOGIN;
ALTER ROLE compromised_user WITH PASSWORD 'UltraSecure_Random_#2026_Key';

-- SQL Server: Hesabı devre dışı bırakma
ALTER LOGIN [compromised_user] DISABLE;

AŞAMA 03

3. Forensic Blast Radius Analysis

Inspect transaction logs, pgaudit, or MySQL binlog to verify which relations were accessed, exfiltrated, or modified.

-- Son 2 saatte çalıştırılan şüpheli komutları audit logundan sorgulama
-- grep "compromised_user" /var/log/postgresql/postgresql-*.log
-- veya pgaudit kayıtlarını SIEM / CloudWatch üzerinden filtreleyin.

AŞAMA 04

4. Application Secret Vault Sync & Safe Re-enable

Synchronize application secrets in Vault/Kubernetes Secrets and re-enable login privileges with strict IP whitelist.

-- PostgreSQL: İzin verilen IP kısıtlamasıyla tekrar login açma
ALTER ROLE compromised_user LOGIN;
-- pg_hba.conf içine sadece güvenli subnet kaydı ekleyin ve reload yapın:
-- SELECT pg_reload_conf();

← Hardening Privilege Model →