SOC ve Kademeleri

Güvenlik Operasyonları Merkezi (SOC), güvenlik tehditlerini 7/24 izlemek, tespit etmek, incelemek ve bunlara müdahale etmekten sorumlu ekip ve tesistir.

SOC, ortamın tamamından telemetri toplar ve ham sinyalleri uygulanabilir kararlara dönüştürür. Temel sorumlulukları şunlardır:

• İzleme: günlükler, ağ trafiği ve uç nokta verileri
• Tespit: şüpheli veya kötü amaçlı etkinlik
• Önceliklendirme ve inceleme: uyarılar
• Müdahale: olaylar sırasında eşgüdüm

Çoğu SOC, iş yükünü yönetmek ve zorluk düzeyini beceri düzeyiyle eşleştirmek için katmanlı bir model kullanır. Uyarılar önem ve karmaşıklık arttıkça üst katmanlara aktarılır:

• 1. Katman — önceliklendirme ve uyarıların ilk aşamada ele alınması
• 2. Katman — üst katmanlara aktarılan uyarıların daha derinlemesine incelenmesi
• 3. Katman — tehdit avcılığı, kötü amaçlı yazılım analizi, gelişmiş adli bilişim

Bu yapı, rutin gürültü erken aşamada filtrelenirken kıdemli analistlerin en zor sorunlara odaklanmasını sağlar.

Kademe 1 analistler ön saftadır. Uyarı kuyruğunu izler, ilk ön değerlendirmeyi yapar ve bir uyarının yanlış pozitif, zararsız ya da üst kademeye taşınmaya değer olup olmadığına karar verirler.

Belgelendirilmiş prosedürleri izler ve nadiren doğaçlama yaparlar. Temel beceriler arasında günlük kayıtlarını hızlıca okumak, yaygın saldırı kalıplarını tanımak ve kayıt düzenini titizlikle korumak yer alır.

İyi bir Kademe 1 analisti gürültü oluşturan uyarıları hızla kapatır, gerçek tehditleri ise açık ve eksiksiz notlarla üst kademeye taşır.

Kademe 2 analistler, Kademe 1'den üst kademeye taşınan uyarıları ele alır. Daha derinlemesine inceleme yapar, farklı veri kaynaklarındaki olayları ilişkilendirir, kapsamı ve etkiyi belirlerler.

Şu soruları yanıtlamak için günlük kayıtları arasında iz sürerler: İlk olarak ne oldu? Hangi ana bilgisayarlar ve hesaplar olaya dahil? Verilere erişildi mi veya veriler dışarı aktarıldı mı?

Kademe 2, etkin bir olay sırasında erken sınırlama kararlarını çoğunlukla yönlendirir.

Kademe 3, tehdit avcıları, kötü amaçlı yazılım analistleri ve adli bilişim uzmanlarından oluşan en kıdemli katmandır.

• Tehdit avcılığı — tespit edilemeyen tehditleri proaktif olarak arama
• Kötü amaçlı yazılım analizi — şüpheli ikili dosyalar üzerinde tersine mühendislik yapma
• Adli bilişim — saldırgan faaliyetlerini disk, bellek ve günlük kayıtlarından yeniden oluşturma

Kademe 3 ayrıca bulguları kural kümesine geri aktararak tespitleri geliştirir.

SIEM (Güvenlik Bilgileri ve Olay Yönetimi) platformu, SOC'nin merkezi sinir sistemi görevini görür. Birçok kaynaktan günlük kayıtlarını toplar, normalleştirir ve ilişkilendirir; tespit kurallarına göre uyarılar oluşturur.

SIEM'e veri sağlayan yaygın günlük kaydı kaynakları:

SOAR (Güvenlik Orkestrasyonu, Otomasyonu ve Müdahalesi) araçları, SOC'nin tekrarlayan görevlerini otomatikleştirir. Analist yorgunluğunu azaltır ve müdahaleyi hızlandırırlar.

Yaygın otomasyonlar:

• Bir uyarıyı tehdit istihbaratı ve varlık bağlamıyla otomatik olarak zenginleştirme
• Bir web adresini veya karma değerini itibar hizmetlerinde sorgulama
• EDR üzerinden tek tıklamayla bir ana bilgisayarı yalıtma
• Kayıtları otomatik olarak açma ve güncelleme

Otomasyon mekanik işleri üstlenir; böylece insanlar muhakemeye odaklanabilir.

Tehditler çalışma saatlerine uymaz; bu nedenle SOC'ler 7/24 kapsama sağlamayı hedefler. İki yaygın model vardır:

• Dönüşümlü vardiyalar — yerel analistler gündüz, akşam ve gece vardiyalarında çalışır
• Güneşi takip etme — her SOC'nin gün ışığı saatlerinde çalışabilmesi için farklı zaman dilimlerindeki SOC'ler arasında devir teslim yapılır

Bir sonraki ekibin karmaşayı değil bağlamı devralması için güçlü vardiya devir teslimi notları kritik öneme sahiptir.

Kuruluşlar kurum içi bir SOC kurabilir veya Yönetilen Güvenlik Hizmeti Sağlayıcısı (MSSP) kullanarak hizmeti dışarıdan alabilir; bu hizmet bazen MDR olarak da adlandırılır.

• Kurum içi — derin iş bağlamı ve tam kontrol sağlar; ancak maliyeti ve personel yükü daha yüksektir
• MSSP/MDR — uygun maliyetli kapsama ve geniş uzmanlık sağlar; ancak ortama özgü bilgi daha sınırlıdır

Birçok kuruluş hibrit bir model benimser: kurum içi Kademe 2/3 bulunur, Kademe 1 izlemeyi ise bir MSSP yürütür.

Açık bir üst kademeye taşıma yolu, kimin ne zaman sürece dahil olacağını tanımlar. Bir uyarı Kademe 1'den Kademe 2'ye taşınabilir; doğrulanmış bir olay ise olay komutanına, hukuk birimine, iletişim ekibine ve yönetime aktarılır.

Tanımlanmış önem düzeyleri (örneğin SEV1'den SEV4'e) farklı müdahale beklentilerini tetikler. Yolu bilmek, gerçek bir olay sırasında gecikmeleri ve paniği önler.

Katmanların yanı sıra olgun bir SOC, uzmanlaşmış rolleri de barındırır:

• SOC Yöneticisi — personel planlamasından, süreçten ve ölçümlerden sorumludur
• Tespit Mühendisi — tespit kurallarını oluşturur ve ayarlar
• Tehdit İstihbaratı Analisti — tehdit aktörlerini izler ve bağlam sağlar
• Olay Komutanı — büyük olaylara müdahaleyi koordine eder

Bu roller, SOC'nin yalnızca tepki vermek yerine sürekli gelişmesini sağlar.

SOC yapısını ne kadar anladığınızı sınayın.

Bir SOC'nin nasıl yapılandırıldığını öğrendiniz:

• Bir SOC, tehditleri 7/24 izler, tespit eder, araştırır ve bunlara müdahale eder
• Kademe 1 uyarıların ön değerlendirmesini yapar, Kademe 2 üst kademeye taşınanları araştırır, Kademe 3 tehdit avcılığı ve adli bilişim çalışmaları yürütür
• SIEM günlük kayıtlarını merkezileştirir ve ilişkilendirir; SOAR rutin işleri otomatikleştirir
• Kapsama, dönüşümlü vardiyalar veya güneşi takip etme modeliyle sağlanır; güçlü devir teslimleri kullanılır
• SOC'ler kurum içi, MSSP/MDR veya hibrit olabilir; açık üst kademeye taşıma yolları ve uzmanlaşmış roller bulunur

Sırada, bir uyarının ön değerlendirme iş akışından nasıl geçtiğini takip edeceksiniz.