Envanterde görülmeyen bir cihaz, yanlış kayıt kadar yetkisiz bağlantıya da işaret edebilir. İlk amaç kesin hüküm vermek değil, olayın kapsamını ve olası etkisini anlamaktır. Bir cihazı ağdan çıkarmak gerekli olabilir; ancak üretim hattı, kapı kontrolü veya acil iletişim sistemi gibi bağımlılıkları bilmeden yapılan kesinti başka risk doğurur. Müdahale yetkisi ve iş sahibi önceden belirlenmiş olmalıdır.
İlk kaydı değişiklikten önce alın
Görülen adres, MAC, port, zaman, gözlem kaynağı ve davranışı kaydedin. Tek bir üretici etiketi cihaz kimliğini kanıtlamaz. DHCP, switch ve kablosuz yönetim kayıtlarını karşılaştırın. Kayıtları toplarken gereksiz kişisel veri veya içerik yakalamayın. Olay ekibinin kanıt koruma prosedürü varsa ona uyun; gündelik bakım ekran görüntülerini adli inceleme için yeterli kabul etmeyin.
Örnek: toplantı odasındaki yeni cihaz
Bir toplantı odasında daha önce görünmeyen bir MAC adresi belirdiğini düşünün. Önce son kurulum kaydına ve fiziksel portun kullanımına bakın. Cihaz yeni bir görüntü aktarıcısı olabilir. Buna rağmen yönetim sunucularına beklenmedik bağlantı denemeleri varsa davranış ayrıca incelenmelidir. Kimliğin açıklanması bütün davranışın meşru olduğunu göstermez; kimliğin bilinmemesi de tek başına kötü niyeti ispatlamaz.
Orantılı izolasyon seçin
Ürün ve kurum prosedürü destekliyorsa karantina ağına alma, belirli çıkışları engelleme veya portu kapatma seçeneklerini değerlendirin. Her seçeneğin hangi işlevi durduracağını yazın. Cihazı yeniden başlatmak geçici bellekteki bilgileri değiştirebilir; olay ekibi inceleme istiyorsa önce koordinasyon kurun. Acil zarar devam ediyorsa kurumun olay planı önceliği belirler. Buradaki sıra her olaya uygulanacak değişmez bir reçete değildir.
Kararın sonucunu takip edin
İzolasyon sonrası şüpheli akışın gerçekten durduğunu ve beklenmeyen hizmet kesintisi oluşmadığını kontrol edin. Aynı cihaz başka kablosuz veya hücresel yoldan bağlı olabilir; ağ portunun kapanması bütün iletişimin bittiğini göstermez. Bulguları kesinleşmiş bilgi, varsayım ve açık soru olarak ayırın. Olay kapandığında envanter ve erişim politikasını güncelleyin. Düzeltici işlem, yalnızca bilinmeyen satırı listeden silmek değil, tekrar oluşmasına yol açan kayıt veya kontrol boşluğunu gidermektir.
Saha notu
Olay notunu ekipler arasında paylaşırken gerçekler ile yorumları açık cümlelerle ayırın. Cihaz sahibinin henüz bulunamaması, sahip olmadığı anlamına gelmez. Bu ayrım daha sonra yapılan incelemede yanlış suçlama ve gereksiz müdahale riskini azaltır.
Kaynak ve devam okuması
Teknik başvuru: NIST SP 800-61 Rev. 3. Kaynak kontrolü: 11 Ekim 2026. Uygulama senaryoları IPScans için hazırlanmış örneklerdir; ölçülmüş ürün performansı veya kurumunuza özgü doğrulama sonucu değildir.
Temel kavramları pekiştirmek için IP adreslerinin çalışma biçimini ve ağ bakım kontrol listesini inceleyin.