Binalyze

Bir uyarı düştüğünde geçen her dakika saldırganın lehine işler. Geleneksel adli incelemede delil toplamak için diske fiziksel erişmek, imaj almak, haftalarca analiz etmek gerekir — ihlal henüz yayılırken bu lüks yoktur. Binalyze AIR’ın kurucu fikri buradan doğar: adli görünürlüğü bir araştırma projesi olmaktan çıkarıp, bir butona basıldığında dakikalar içinde sonuç veren tekrarlanabilir bir sürece dönüştürmek.

On dakikanın altında uzaktan delil

AIR’ın çekirdek yeteneği uzaktan delil toplamadır. Olay anında, sistemleri kapatmadan ve ekibin makineye fiziksel erişimine gerek kalmadan, yüzlerce farklı artefakt türü (çalışan süreçler, ağ bağlantıları, kayıt defteri, bellek izleri, log’lar) genellikle 10 dakikanın altında, standart bir formatta toplanır. Toplama anından itibaren zincirleme delil (chain of custody) bütünlüğü korunur; böylece hız, mahkemede ya da denetimde kullanılabilecek adli doğruluktan ödün vermez.

Toplanan veri kendi kendini tarar: DRONE

Veriyi toplamak yarısıdır; asıl darboğaz, içinde ihlal izini bulmaktır. DRONE, 20’den fazla modüler analizör ve anahtar kelime aramasıyla toplanan veriyi otomatik tarar, ihlal belirtilerini (IOC/IOA) ve kötü amaçlı izleri analiste sunulmadan önce yüzeye çıkarır. Bu, “compromise assessment” işini bir uzmanın saatlerini yiyen elle taramadan, sistemin önden yaptığı bir ön elemeye dönüştürür.

Tek vakadan binlerce uç noktaya: ölçek

Aynı süreç tek bir şüpheli makinede de, binlerce uç noktayı kapsayan kurumsal bir incelemede de bozulmadan çalışır. Triage at Scale ile tek konsoldan binlerce sistem eşzamanlı taranır, kural tabanlı sorgularla şüpheli varlıklar işaretlenir; Investigation Hub birden çok vakanın bulgusunu tek görünümde toplar ve önceliklendirir. Investigation Timelines, dağınık delilleri kronolojik tek bir zaman çizelgesinde birleştirerek “önce ne oldu, sonra ne oldu” sorusunu okunabilir kılar — büyük olaylarda ekip koordinasyonunun çözüldüğü asıl nokta budur.

Uyarıdan otomatik soruşturmaya

AIR, Windows, Linux ve macOS’un yanı sıra sunucu ve bulut iş yüklerinde tutarlı çalışır. Asıl güç, mevcut yığınla kurduğu bağdadır: SIEM, SOAR ve EDR entegrasyonlarıyla bir uyarı geldiğinde toplama, triyaj ve analiz adımları otomatik tetiklenir, bulgular geri beslenir. Böylece her uyarı, analist bekleme kuyruğuna düşmeden otomatik bir ön soruşturmaya dönüşür ve ortalama müdahale süresi (MTTR) belirgin biçimde düşer.

Infosec ile

Infosec, AIR’ın devreye alınmasında ajan dağıtımı, mevcut SIEM/SOAR/EDR ile entegrasyon ve kuruma özel triyaj playbook’larının tasarımında rol alır; kavram kanıtı (PoC), lisanslama ve ekiplerin DFIR akışına uyum eğitimini de yürütür. Genellikle en yoğun uyarı üreten kaynaklarda otomatik toplama-triyaj ile başlayıp, olgunlaştıkça tüm uç nokta filosuna ölçeklemek en verimli yoldur.