# Güvenlik İhlali Müdahale Planı (Incident Response)

**Onoxsoft Hosting Kontrol Paneli**
**Son güncelleme:** 2026-05-13

---

## Genel Prensipler

1. **Tespit → İzole et → Analiz et → Temizle → Kurtarma → Belgeleme**
2. Olayı müşterilere ve yasal yükümlülükler gereği yetkililere bildirme yükümlülüğü vardır.
3. Kanıt kaybını önlemek için sistemleri kapatmadan önce log snapshot alınır.

---

## Senaryo 1 — Müşteri Hesabı İhlali

### Belirtiler
- Anormal giriş konumu / saati
- Hesap ayarlarında yetkisiz değişiklik
- Müşteri şikâyeti

### Adımlar
1. `audit_log` tablosundan hesap aktivitesini incele (`user_id` filtreli).
2. Sanctum token'larını iptal et: `PersonalAccessToken::where('tokenable_id', $userId)->delete()`.
3. Hesabı geçici olarak kilitle (password reset zorla).
4. Giriş yapılan IP adresini `failed-login:` cache key üzerinden doğrula.
5. Müşteriye bilgilendirme e-postası gönder.
6. Gerekirse şifre sıfırlama linki oluştur.

---

## Senaryo 2 — API Token Sızdırılması

### Belirtiler
- Beklenmedik API çağrıları
- `api.v1.*` rotalarında anormal traffic

### Adımlar
1. Etkilenen kullanıcının tüm Sanctum tokenlarını sil.
2. Tüm aktif oturumları sonlandır.
3. Log'ları incele — sızdırma kanalını belirle (Git history, log, eski CI config).
4. Yeni token oluşturulması için kullanıcıyı bilgilendir.
5. GitHub Actions / CI secret'larını rotate et.
6. `onox:secrets-audit` komutunu çalıştır.

---

## Senaryo 3 — Veritabanı İhlali

### Belirtiler
- Yetkisiz DB bağlantısı
- Veri exfiltration belirtisi (yüksek outbound trafik)
- Sızma testi bulgusu

### Adımlar
1. DB bağlantısını izole et — slave replication'ı durdur.
2. DB credential'larını değiştir (`.env` + config).
3. `php artisan onox:secrets-audit` çalıştır — şifreli sütunları doğrula.
4. APP_KEY rotate et: `php artisan key:generate` — **dikkat:** şifreli alanlar tekrar şifrelenmeli.
5. Tüm Sanctum tokenları temizle.
6. Audit log dump alarak kanıtları sakla.
7. KVKK/GDPR bildirimi için hukuk danışmanıyla iletişime geç (72 saat içinde).

---

## Senaryo 4 — Slave Node Ransomware

### Belirtiler
- Slave node'dan kalp atışı kesildi (heartbeat timeout)
- Disk şifreli / erişilemez

### Adımlar
1. `VerifyClusterHmac` anahtarını değiştir — etkilenen node'u devre dışı bırak.
2. Master'dan etkilenen node'u cluster kaydından sil.
3. İş kuyruğundaki bekleyen cluster job'ları başka node'a yeniden yönlendir.
4. Snapshot yedekten temiz node yükle.
5. HMAC secret'ını yeni node ile güvenli kanaldan paylaş.
6. Müşteri servislerini yeni node'a migrate et.
7. Saldırı vektörünü belirle — OS patch durumunu kontrol et.

---

## Senaryo 5 — DDoS Saldırısı

### Belirtiler
- Yüksek istek sayısı — rate limiter 429 yanıtları
- Panel yanıt süreleri artıyor

### Adımlar
1. CDN/WAF katmanında IP tabanlı engelleme (Cloudflare / Hetzner Firewall).
2. `.env`: `CACHE_DRIVER=redis` ile rate limiter cache'inin Redis üzerinde olduğunu doğrula.
3. Hedef route'lar için `throttle` limitlerini geçici olarak düşür.
4. Saldırı kaynağı IP bloğunu null-route et (sunucu tarafı).
5. Upstream provider (ISP/DC) ile scrubbing servisi talep et.
6. Kritik endpoint'leri korumak için captcha geçici olarak aktif et.

---

## İletişim Matrisi

| Rol | Sorumluluk | İletişim |
|---|---|---|
| CTO / Teknik Lider | Teknik koordinasyon | Slack / telefon |
| Müşteri Hizmetleri | Müşteri bildirimleri | Panel + e-posta |
| Hukuk | KVKK bildirimi | E-posta |
| Hosting DC | Ağ isolasyonu | Acil destek hattı |
