SIEM ve SOC Operasyonları

1. Giriş

Modern siber güvenlikte saldırıları tamamen engellemek çoğu zaman mümkün değildir. Bu nedenle kritik olan, saldırıları erken tespit etmek ve hızlı müdahale etmektir. İşte bu noktada SIEM (Security Information and Event Management) ve SOC (Security Operations Center) devreye girer. Bu yapı, kurumların güvenlik olaylarını merkezi olarak izleyip analiz etmesini sağlar.

2. SIEM Nedir?

SIEM, farklı kaynaklardan gelen logları toplayan, analiz eden ve anlamlı hale getiren sistemdir.

Temel işlevleri:

3. SIEM Mimarisi

3.1 Veri Kaynakları

SIEM’e veri sağlayan sistemler:

3.2 Log Toplama (Ingestion)

Loglar genellikle şu yöntemlerle toplanır:

Örnek syslog:

/var/log/syslog

3.3 Normalization (Standartlaştırma)

Farklı log formatları ortak bir formata çevrilir.

Örnek:

3.4 Korelasyon Motoru

SIEM’in en kritik kısmıdır.

Örnek kural:

4. SOC (Security Operations Center)

SOC, güvenlik olaylarını izleyen ve müdahale eden ekip ve süreçtir.

SOC Seviyeleri:

L1 (Analyst Tier 1)

L2 (Analyst Tier 2)

L3 (Threat Hunter / Expert)

5. Detection Engineering

Detection engineering, saldırıları yakalayacak kuralların yazılmasıdır.

Örnek senaryo:

Detection mantığı:

powershell.exe -enc

Bu tür pattern’ler SIEM’de alarm üretir.

6. Use Case Geliştirme

Her SIEM, “use case” mantığıyla çalışır.

Örnek use case:

7. Log Analizi

Windows:

Linux:

/var/log/auth.log

Web log:

GET /admin HTTP/1.1

Şüpheli erişim tespit edilebilir.

8. Incident Response Süreci

1. Detection

SIEM alarm üretir

2. Triage

Olayın önemi belirlenir

3. Investigation

Detaylı analiz yapılır

4. Containment

Saldırı izole edilir

5. Eradication

Zararlı temizlenir

6. Recovery

Sistem normale döndürülür

7. Lessons Learned

Raporlama yapılır

9. SOAR (Security Orchestration Automation and Response)

SOAR, müdahale süreçlerini otomatikleştirir.

Örnek:

10. Threat Hunting

Threat hunting, sistemde gizlenmiş tehditleri aktif olarak arama sürecidir.

Teknikler:

11. MITRE ATT&CK Framework

Saldırı tekniklerini kategorize eder.

Örnek:

SOC ekipleri bu framework ile saldırıları sınıflandırır.

12. Gerçek Hayat Senaryosu

  1. Kullanıcı zararlı linke tıklar

  2. PowerShell üzerinden payload çalışır

  3. SIEM anormal activity algılar

  4. SOC alarmı inceler

  5. Endpoint izole edilir

  6. Saldırı durdurulur

13. Kullanılan Araçlar

14. Zorluklar

15. Sonuç

SIEM ve SOC, modern siber güvenliğin “gözleri ve kulaklarıdır”. Bu sistemler olmadan saldırıları fark etmek neredeyse imkansızdır. Başarılı bir savunma için yalnızca araçlar değil, iyi eğitilmiş analistler ve doğru yapılandırılmış süreçler gereklidir.