01Sorun ve çözüm
SIEM entegrasyonu hizmetinde amaç bir ürünü kurup bırakmak değil, işletmenizin gerçekten izlemesi gereken olayları görünür kılmaktır. Önce hangi saldırı senaryolarını yakalamak istediğinizi birlikte belirliyoruz; ardından bu senaryolar için gerekli kayıt kaynaklarını bağlıyor, alanları ayrıştırıyor, korelasyon kurallarını yazıyor ve gürültüyü ayıklıyoruz.
Devamını okuDaha az göster
Kurulum bittiğinde elinizde her alarmın ne anlama geldiğini, kimin bakacağını ve ilk adımda ne yapılacağını anlatan bir düzen olur. Kurallar zamanla eskidiği için bakım ve destek modeliyle düzenli ayar ve yeni kaynak eklemeyi de üstlenebiliyoruz.
02Kimler için
SIEM entegrasyonu hangi kurumlara gerekir
İhtiyaç çoğunlukla bir denetim, bir olay ya da büyüyen bir altyapıyla birlikte ortaya çıkar.
- SIEM ürünü satın almış ama kaynakları bağlayacak ve kural yazacak iç kaynağı olmayan bilgi işlem ekipleri
- Denetimde güvenlik olaylarının merkezi olarak izlendiğini göstermesi istenen kurumlar
- Bir güvenlik olayından sonra saldırganın izini sürmekte zorlanmış ve bunun tekrarlanmasını istemeyen işletmeler
- Şirket içi sunucuları, bulut hesapları ve uzaktan çalışan kullanıcıları tek ekrandan izlemek isteyen orta ölçekli yapılar
- Mevcut SIEM'i çok fazla alarm ürettiği için fiilen kullanılmayan güvenlik ekipleri
03İhtiyaçlar
SIEM projelerini aksatan sorunlar
Ürün seçimi nadiren asıl sorundur; aksaklık çoğunlukla verinin hazırlanmasında ve kuralların ayarında yaşanır.
- 01
Ayrıştırılmamış kayıtlar
Bir güvenlik duvarı kaydı tek satırlık metin olarak saklanırsa kaynak adres, hedef port ya da kullanıcı adı üzerinden kural yazılamaz. Her kaynak için doğru ayrıştırıcı seçilmeli, gerekirse yazılmalıdır.
- 02
Kör noktalar
Etki alanı denetleyicisi bağlı olduğu hâlde e-posta sistemi, VPN ya da bulut yönetim konsolu bağlanmamışsa saldırının kritik adımı görünmez kalır. Kaynak listesi senaryolara göre çıkarılmalıdır.
- 03
Alarm yorgunluğu
Her başarısız girişte alarm üreten bir kural kısa sürede yok sayılır. Eşikler, istisnalar ve olay birleştirme kuralları ortamınıza göre ayarlanmadıkça ekran işe yaramaz.
- 04
Hacim ve maliyet dengesi
Pek çok SIEM ürününde lisans ya da depolama maliyeti gelen veri miktarına bağlıdır. Hangi kaydın güvenlik değeri taşıdığına, hangisinin yalnızca arşive gitmesi gerektiğine baştan karar verilmelidir.
04Özellikler
SIEM entegrasyonu hizmetinin kapsamı
Çalışma, izlemek istediğiniz senaryolardan geriye doğru kurulur.
- 01
Kullanım senaryosu listesi
Yetkisiz yönetici ataması, olağan dışı saatte VPN girişi, kısa sürede çok sayıda dosya erişimi gibi senaryolar önceliklendirilir ve her biri MITRE ATT&CK tekniklerine eşlenir.
- 02
Kaynak bağlama ve ayrıştırma
Ajan, syslog ya da API ile toplanan her kaynağın alanları ortak bir veri modeline dönüştürülür. Bağlantının kopması da ayrı bir alarm olarak tanımlanır.
- 03
Korelasyon kuralları ve ayar
Kurallar test verisiyle ve kontrollü denemelerle doğrulanır, ardından bir süre gözlem modunda çalıştırılarak yanlış alarmlar ayıklanır.
- 04
Alarm başına müdahale notu
Her kural için alarmın ne anlattığı, hangi kayıtlara bakılacağı ve ilk müdahale adımı kısa bir yönerge olarak yazılır; nöbetteki kişi tahminle hareket etmez.
- 05
Raporlar ve gösterge panelleri
Yönetim için özet, teknik ekip için ayrıntılı paneller hazırlanır; denetimde istenen erişim ve değişiklik raporları planlı olarak üretilir.
05Entegrasyonlar
SIEM'e bağlanan kayıt kaynakları
Kaynakları ürüne göre değil, yakalanacak senaryoya göre seçiyoruz. Örneğin Wazuh, Elastic Security, Splunk, Microsoft Sentinel ya da IBM QRadar gibi platformlarla çalışılabilir.
- 01
Kimlik sistemleri
Active Directory, Microsoft Entra ID ya da Google Workspace oturum ve yetki değişikliği kayıtları; hesap ele geçirme senaryolarının temelidir.
- 02
Ağ ve uç noktalar
Güvenlik duvarı, VPN, DNS ve proxy kayıtları ile uç nokta koruma (EDR) yazılımının tespitleri birlikte değerlendirilir.
- 03
Bulut hesapları
AWS CloudTrail, Azure etkinlik günlükleri ve Google Cloud denetim kayıtları; yetki değişikliği ve dışarıya açılan depolama alanları için izlenir.
- 04
İş uygulamaları
Kendi yazılımlarınızın giriş, yetki ve veri dışa aktarma kayıtları uygun biçime getirilerek bağlanır; gerekiyorsa uygulamaya kayıt noktası eklenmesini de planlarız.
06Süreç
SIEM entegrasyonu hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
SIEM entegrasyonunda veri kalitesi ve kural yönetimi
Korelasyonun doğru çalışması için bütün kaynakların saatinin aynı zaman sunucusuna bağlı olması ve kayıtların aynı saat diliminde normalize edilmesi gerekir; birkaç dakikalık sapma bile iki olayın sırasını tersine çevirir. Kayıt içindeki kullanıcı adları farklı biçimlerde geliyorsa tek kimliğe eşlenir, böylece aynı kişinin VPN girişi ile dosya sunucusu erişimi yan yana okunabilir.
Devamını okuDaha az göster
Kuralları mümkün olduğunda Sigma gibi üründen bağımsız bir biçimde de saklıyor ve sürüm kontrolünde tutuyoruz; hangi kuralın ne zaman, neden değiştiği izlenebilir ve ileride başka bir platforma geçiş kolaylaşır. Kayıtlar kişisel veri içerdiğinden SIEM'e erişim rol bazlı sınırlanır, saklama süresi kurumunuzun politikasına göre ayarlanır ve gereksiz alanlar toplanmadan ayıklanır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Bakım ve destek
Aylık sözleşmeli, SLA'lı bakım, destek ve geliştirme saati
Yayındaki bir sistemin sürekliliği için.
- Aylık sözleşme ve SLA
- İzleme, güncelleme ve hata düzeltme
- Aylık geliştirme saati
09Sık sorulan sorular
SIEM entegrasyonu hakkında sık sorulan sorular
Hangi SIEM ürününü seçmemiz gerektiğine siz mi karar veriyorsunuz?
Kararı birlikte veriyoruz. Mevcut altyapınız, veri hacminiz, bütçe yapınız ve alarmları kimin izleyeceği belirleyicidir. Açık kaynak bir çözüm küçük bir ekip için yeterli olabilir; bulut ağırlıklı bir yapıda bulut sağlayıcısının kendi SIEM'i daha az bakım gerektirebilir.
SIEM entegrasyonu fiyatları neye göre belirlenir?
Bağlanacak kaynak sayısı ve çeşitliliği, hazır ayrıştırıcısı olmayan kaynaklar, yazılacak kural sayısı, mevcut bir kurulumun düzeltilmesi mi sıfırdan kurulum mu olduğu ve sonrasında bakım istenip istenmediği teklifi belirler.
Elimizde merkezi bir log sunucusu var; üzerine SIEM kurmak gerekir mi?
Merkezi log sunucusu kayıtları saklar ve aramayı kolaylaştırır, ama farklı kaynaklardaki olayları birbirine bağlayıp alarm üretmez. Olayları gerçek zamanlı yakalamak istiyorsanız mevcut log altyapınız SIEM'e kaynak olarak bağlanabilir; iki yapı birlikte çalışır.
Alarmları kim izleyecek?
Bu, kurulumdan önce netleşmesi gereken bir sorudur. Kendi ekibiniz izleyecekse alarm sayısı ve müdahale notları buna göre sadeleştirilir. Dışarıdan bir güvenlik operasyon merkezi (SOC) hizmeti kullanıyorsanız alarmların ona aktarımı planlanır.
Çalışmayan mevcut SIEM kurulumumuzu düzeltebilir misiniz?
Evet. Önce bağlı kaynakları, ayrıştırma durumunu ve son dönemdeki alarmları inceliyoruz. Çoğu zaman yeni ürün gerekmez; eksik kaynakların bağlanması ve kuralların ayarı yeterli olur.
SIEM entegrasyonu firmasına verdiğimiz kayıt erişimi çalışma bitince kapanır mı?
Evet. Erişim yalnızca proje ve varsa bakım süresince, kişiye özel hesaplarla ve sizin belirlediğiniz yetkiyle verilir. Çalışma bittiğinde hesaplar kapatılır; erişimimizin kendisi de SIEM'de kayıt altında olur.
10İlgili hizmetler