Microsoft Sentinel: Bulut SIEM'i

Microsoft Sentinel, bulut tabanlı bir Güvenlik Bilgileri ve Olay Yönetimi (SIEM) ve Güvenlik Düzenleme, Otomasyon ve Müdahale (SOAR) platformudur. Tüm dijital ortamınızdan (Azure, şirket içi sistemler, diğer bulutlar ve SaaS uygulamaları) günlükleri ve sinyalleri alır, tehditleri algılamak için yapay zekâ ve makine öğrenmesini uygular ve güvenlik analistlerinin olayları geniş ölçekte araştırıp bunlara yanıt vermesine yardımcı olur.

Geleneksel günlük yönetimi araçları, uygunluk ve arama amacıyla günlükleri toplar ve depolar. Bir SIEM, veri kaynakları arasındaki olayları ilişkilendirerek, saldırı kalıplarını belirlemek için algılama kuralları uygulayarak ve olayları insanların araştırması için önceliklendirerek bunun ötesine geçer. Sentinel, SOAR özelliğiyle bu süreci genişletir: analistlerin karmaşık araştırmalara odaklanabilmesi için IP engelleme veya parola sıfırlama gibi tekrarlanan müdahale işlemlerini çalışma kitapları aracılığıyla otomatikleştirir.

Sentinel, bir Log Analytics çalışma alanı üzerine kuruludur. Alınan tüm veriler çalışma alanında tablo olarak depolanır ve Kusto Sorgu Dili (KQL) ile sorgulanabilir. Sentinel'i bir Log Analytics çalışma alanında etkinleştirir, veri kaynaklarını bağlarsınız; ardından Sentinel'in analiz, tehdit avcılığı ve otomasyon özellikleri burada depolanan veriler üzerinde kullanılabilir hâle gelir. Çalışma alanı, hem Sentinel hem de Azure Monitor için tek veri düzlemi görevi görür.

Veri bağlayıcıları, kaynaklardan günlük kayıtlarını ve uyarıları Sentinel'e aktarır. Microsoft'a özgü bağlayıcılar (kodsuz, tek bir geçiş düğmesiyle) Entra ID oturum açma günlüklerini, Azure Activity'yi, Defender for Cloud uyarılarını, Microsoft 365'i ve Defender XDR'ı kapsar. Bağlayıcı merkezleri, Common Event Format (CEF) veya Syslog aracılığıyla Cisco, Palo Alto, AWS CloudTrail, Okta, Salesforce ve daha birçok üçüncü taraf kaynağı kapsar. Content Hub'da 200'den fazla bağlayıcı kullanılabilir.

Analiz kuralları, Sentinel'in algılama altyapısıdır. Her kural, belirli bir zamanlamaya göre (5 dakikada bir ile 24 saatte bir arasında) bir KQL sorgusu çalıştırır ve sorgu sonuç döndürdüğünde bir uyarı oluşturur. Sentinel, iyi bilinen saldırı kalıplarını kapsayan yüzlerce yerleşik şablon sağlar. Content Hub'dan şablonları içe aktarabilir ve özelleştirebilir ya da kuruluşunuza özgü tehdit algılama mantığı için kendi kurallarınızı yazabilirsiniz.

Analiz kuralları tetiklendiğinde, bunların uyarıları olaylar halinde gruplanır. Olaylar, olası bir güvenlik ihlalini araştırmak için kullanılan kapsayıcılardır. Araştırma grafiği, olayın varlıkları arasındaki ilişkileri görsel olarak eşler: hesaplar, IP'ler, ana bilgisayarlar, URL'ler ve dosyalar. Analistler, olayın etki alanını anlamak, ilişkili uyarılara geçiş yapmak ve olayın müdahale gerektiren gerçek bir pozitif mi yoksa kapatılması gereken yanlış bir pozitif mi olduğunu belirlemek için grafiği inceler.

Sentinel'de tehdit avcılığı, henüz uyarıları tetiklememiş tehditleri proaktif olarak aramaktır. Güvenlik analistleri, otomatik algılama kurallarından kaçan ince ihlal göstergelerini (yavaş ilerleyen saldırılar, yanal hareket, veri hazırlama) bulmak için önceden oluşturulmuş tehdit avcılığı sorgularını (KQL) yazar veya kullanır. Avcılık sırasında bulunan ilginç satırlar yer işaretlerine dönüştürülebilir ve resmî araştırma için bir olayla ilişkilendirilebilir.

Sentinel'deki çalışma kitapları, olaylara yanıt verme eylemlerini otomatikleştiren Azure Logic Apps iş akışlarıdır. Bir olay oluşturulduğunda (veya bir uyarı tetiklendiğinde) bir çalışma kitabı otomatik olarak şunları yapabilir: nöbetçi analiste Teams veya e-posta bildirimi göndermek, Azure Firewall'da kötü amaçlı bir IP'yi engellemek, güvenliği ihlal edilmiş bir kullanıcının Entra ID yenileme belirteçlerini iptal etmek, bir ServiceNow bileti oluşturmak veya bir VM'yi ağdan yalıtmak. Bu SOAR özelliği, ortalama yanıt süresini (MTTR) önemli ölçüde azaltır.

Sentinel, her analiz kuralını saldırgan taktiklerinin ve tekniklerinin küresel olarak tanınan sınıflandırması olan MITRE ATT&CK çerçevesiyle eşler. MITRE ATT&CK kapsamı görünümü, analiz kurallarınızın hangi taktikleri ve teknikleri kapsadığını ve hangi alanlarda boşluklar bulunduğunu bir ısı haritasıyla gösterir. Bu sayede güvenlik ekipleri, tehdit ortamlarıyla ilgili tekniklere karşı kapsamı geliştirmek için yeni algılama kuralları yazmaya öncelik verebilir.

Sentinel, güvenlik verilerini görselleştirmek için Log Analytics üzerine kurulu, parametreli panolar olan onlarca yerleşik çalışma kitabı içerir. Şablonlar Azure Activity'yi, Entra ID oturum açma örüntülerini, Microsoft 365 e-posta tehditlerini, güvenlik duvarı trafiğini ve daha birçok alanı kapsar. Güvenlik operasyonları merkezi (SOC) yöneticileri çalışma kitaplarını vardiya devir teslimi bilgilendirmeleri ve eğilim analizi için kullanırken analistler, ham KQL yazmadan anormallikleri hızla fark etmek için bunlardan yararlanır.

Sentinel'in ücretlendirmesi, temel Log Analytics çalışma alanına alınan veri hacmine göre yapılır. İki fiyatlandırma modeli vardır. Kullandıkça öde modeli, alınan GB başına ücretlendirir ve daha küçük veya öngörülemeyen hacimler için uygundur. Kapasite ayırmaları, önemli bir GB başına indirim karşılığında minimum günlük veri alım hacmini (100 GB, 200 GB vb.) taahhüt eder. Microsoft Defender for Cloud güvenlik uyarıları ücretsiz olarak alınır; Sentinel'in etkinleştirildiği yeni çalışma alanlarında ilk 90 gün ücretsizdir.

Bu dersteki Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Sentinel, KQL kullanan Log Analytics çalışma alanları üzerine kurulmuş, bulut tabanlı bir SIEM ve SOAR'dır; analiz kuralları, zamanlanmış KQL sorguları çalıştırıp olaylar oluşturarak tehditleri algılar; çalışma kitapları, yanıt eylemlerini Logic Apps kullanarak otomatikleştirir ve MTTR'yi azaltır. Sırada Azure DDoS Protection ve Azure Firewall'ı inceleyeceğiz.