Allahın Rahmeti Ve Bereketi Üzerinize olsun
Selamun aleyküm değerli dostlarım bu makalemizde ise dostlarım beraber SOAR nedir ve SOAR sistemine göz atacağız allahın izniyle
Bir SOC, kurumların dijital varlıklarını korumak için oluşturduğu merkezi bir yapıdır. Zaman içinde gelişen teknolojilerle birlikte SOC’lar da evrim geçirmiştir. Temel amaç, güvenlik olaylarını daha etkin şekilde yönetebilmek için sürekli izleme ve analiz yapmaktır. Bunun için doğru insan kaynağı, iyi tanımlanmış süreçler ve uygun teknolojilerin bir araya gelmesi gerekir.
Normalde bir analist, olayları araştırırken SIEM, EDR, güvenlik duvarı ve benzeri araçlar arasında sürekli geçiş yapmak zorunda kalır. Bu hem zaman kaybına yol açar hem de sürecin dağınık ilerlemesine neden olur. SOAR ise tüm bu araçları tek bir arayüzde toplar; böylece analistler tek ekrandan tüm sistemleri yönetebilir.
Üstelik SOAR yalnızca araçları birleştirmekle kalmaz, aynı zamanda ticketing (talep yönetimi) ve case management (olay yönetimi) özellikleriyle analistlere büyük kolaylık sağlar. Bu sayede olaylar belgelenir, takip edilir ve sistematik bir şekilde çözüme kavuşturulur.
Kısacası SOAR, SOC ekiplerinin işini hem hızlandıran hem de düzenleyen bir merkez görevi görür
Örneğin, VPN brute force için bir playbook şu adımları içerir:
VPN brute force örneğinde otomasyon şu şekilde işler:
SOAR, kritik noktalarda karar veremez; fakat bir analist, olayın iş bağlamını da göz önünde bulundurarak doğru yargıyı koyabilir. Ayrıca farklı uyarı türleri için kullanılan playbook’lar da SOC analistleri tarafından hazırlanır. Yani SOAR, analistlerin işini kolaylaştıran bir yardımcıdır ama onların yerini tutmaz.
Sonuç olarak, SOAR sayesinde analistler rutin işlerle boğulmaz, daha stratejik ve değerli görevlere odaklanabilir. Fakat güvenlik operasyonlarının bel kemiği hâlâ SOC analistleridir.
Peki böyle bir playbook nasıl olur?
Kendinizi phishing uyarılarıyla sıkça uğraşan deneyimli bir SOC analisti olarak düşünün. Yanınızda yeni başlayan bir analist var ve ona bu tür uyarılara nasıl yaklaşması gerektiğini öğretiyorsunuz. Bunun için ona bir akış diyagramı hazırlıyorsunuz. Diyagramın başlangıç noktası “Şüpheli e-posta alındı” olur. Sonrasında ona, bir ticket açmasını ve e-postada URL veya ek olup olmadığını kontrol etmesini söylersiniz. Eğer yoksa, kullanıcıları bilgilendirmek yeterlidir. Ancak varsa, sonraki adımlar e-postanın URL mi yoksa ek mi içerdiğine göre değişir.
Yani süreç boyunca birçok “Eğer şu olursa bunu yap, aksi halde şunu yap” talimatı vardır. İşte playbook tam da bu mantıkla hazırlanır. Akış diyagramı, phishing saldırısı karşısında hangi adımda ne yapılması gerektiğini net bir şekilde gösterir.
Bir analist için bu süreç oldukça yoğun olabilir. Çünkü CVE’ler çok sık yayımlanır ve her biri için çözüm planlarını takip etmek gerekir. Bu da zamanla biriken yamaların uygulanmamasına, dolayısıyla sistemlerin daha savunmasız hale gelmesine yol açabilir. Ayrıca bu süreç, SOC ekibinin ciddi zaman ve kaynak harcamasına neden olur.
İşte bu noktada SOAR devreye girer. Tıpkı phishing saldırıları için hazırlanan playbook’larda olduğu gibi, CVE yönetimi için de bir playbook oluşturulabilir. Bu playbook, CVE detaylarını analiz eder, risk seviyesini değerlendirir, yamalama için bir ticket açar ve yamayı üretim ortamına geçmeden önce test eder.
Kısacası, CVE patching playbook sayesinde SOC ekipleri süreci daha sistematik, daha hızlı ve daha güvenli bir şekilde yönetebilir.
Selamun aleyküm değerli dostlarım bu makalemizde ise dostlarım beraber SOAR nedir ve SOAR sistemine göz atacağız allahın izniyle
Geleneksel SOC’lar Nasıl Çalışır?
SOAR araçlarını öğrenmeden önce, güvenlik dünyasında uzun süredir kullanılan Güvenlik Operasyon Merkezleri (SOC)’nin işleyişine ve karşılaştıkları zorluklara göz atmak faydalı olacaktır.Bir SOC, kurumların dijital varlıklarını korumak için oluşturduğu merkezi bir yapıdır. Zaman içinde gelişen teknolojilerle birlikte SOC’lar da evrim geçirmiştir. Temel amaç, güvenlik olaylarını daha etkin şekilde yönetebilmek için sürekli izleme ve analiz yapmaktır. Bunun için doğru insan kaynağı, iyi tanımlanmış süreçler ve uygun teknolojilerin bir araya gelmesi gerekir.
SOC’un Temel Görevleri
- İzleme ve Tespit: SOC ekipleri, ağ üzerinde gerçekleşen tüm hareketleri sürekli takip eder. Şüpheli aktiviteler anında işaretlenir ve olası tehditler daha başlangıç aşamasında fark edilir. Bu süreçte genellikle SIEM sistemleri kullanılır. Örneğin: Kritik bir sistemde art arda başarısız giriş denemeleri veya farklı bir ülkeden yapılan beklenmedik bir oturum açma.
- Kurtarma ve Müdahale: Bir olay gerçekleştiğinde SOC, ilk müdahale noktasıdır. Zararlı yazılımları kaldırmak, enfekte cihazları izole etmek veya kötü niyetli süreçleri durdurmak gibi adımlar atılır. Bu sırada EDR, güvenlik duvarı ve IAM gibi araçlardan destek alınır. Örneğin: Bir uç noktayı EDR ile karantinaya almak, güvenlik duvarında şüpheli bir IP’yi engellemek, IAM üzerinden riskli bir kullanıcı hesabını kapatmak.
- Tehdit İstihbaratı: Etkin bir SOC, sürekli güncel tehdit verileriyle beslenir. IP adresleri, zararlı dosya hash’leri, alan adları gibi göstergeler takip edilir ve bu bilgiler saldırıları önlemede kullanılır. Örneğin: İstihbarat akışında zararlı olarak işaretlenen bir alan adını engellemek.
- İletişim ve Koordinasyon: SOC yalnızca saldırıları durdurmakla kalmaz, aynı zamanda BT ekipleri ve yöneticilerle iletişim kurarak olayların doğru şekilde yönetilmesini sağlar. Örneğin: Yeni yüklenen bir yamayı doğrulaması için BT ekibine talep açmak.
SOC’ların Karşılaştığı Zorluklar
Her ne kadar SOC’lar kurumları korumada kritik bir rol oynasa da, bazı önemli sorunlarla karşı karşıya kalırlar:- Uyarı Yorgunluğu: Çok sayıda güvenlik aracı kullanıldığında binlerce uyarı üretilir. Bunların çoğu yanlış pozitif olduğundan analistler ciddi olaylara odaklanmakta zorlanır.
- Araçların Birbirinden Kopuk Olması: Güvenlik çözümleri genellikle birbirine entegre edilmeden kullanılır. Bu da analistlerin farklı sistemler arasında kaybolmasına ve verimsizliğe yol açar.
- Manuel Süreçler: Çoğu zaman olay müdahale adımları yazılı değildir. Deneyimli analistlerin bilgi birikimine dayanılır, bu da süreci yavaşlatır ve yanıt sürelerini uzatır.
- Yetenek Açığı: Güvenlik alanında yetişmiş uzman bulmak zordur. Artan tehditler ve uyarı yükü, mevcut analistlerin daha da yorulmasına ve olaylara geç müdahale edilmesine neden olur.
SOAR Nedir?
Güvenlik dünyasında sıkça duyduğumuz SOAR (Security Orchestration, Automation, and Response), aslında bir SOC’un kalbini oluşturan tüm güvenlik araçlarını tek bir noktada birleştiren güçlü bir platformdur.Normalde bir analist, olayları araştırırken SIEM, EDR, güvenlik duvarı ve benzeri araçlar arasında sürekli geçiş yapmak zorunda kalır. Bu hem zaman kaybına yol açar hem de sürecin dağınık ilerlemesine neden olur. SOAR ise tüm bu araçları tek bir arayüzde toplar; böylece analistler tek ekrandan tüm sistemleri yönetebilir.
Üstelik SOAR yalnızca araçları birleştirmekle kalmaz, aynı zamanda ticketing (talep yönetimi) ve case management (olay yönetimi) özellikleriyle analistlere büyük kolaylık sağlar. Bu sayede olaylar belgelenir, takip edilir ve sistematik bir şekilde çözüme kavuşturulur.
Kısacası SOAR, SOC ekiplerinin işini hem hızlandıran hem de düzenleyen bir merkez görevi görür
1. Orkestrasyon
Bir SOC analisti için en büyük zorluklardan biri, bir uyarıyı incelerken farklı güvenlik araçları arasında sürekli geçiş yapmak zorunda kalmasıdır. Örneğin, bir VPN brute force saldırısı araştırılırken analist şu adımları izler:- SIEM üzerinden kullanıcının ilgili IP’yi normalde kullanıp kullanmadığını kontrol eder,
- Tehdit İstihbaratı (TI) platformlarında IP’nin itibarını sorgular,
- IAM aracılığıyla başarılı giriş denemesi olmuşsa kullanıcıyı devre dışı bırakır,
- Ticketing sisteminde olay kaydı açar ve süreci takip eder.
Örneğin, VPN brute force için bir playbook şu adımları içerir:
- SIEM’den uyarı alınır,
- Kullanıcının IP’yi normalde kullanıp kullanmadığı sorgulanır,
- TI platformlarında IP’nin itibarı kontrol edilir,
- Başarılı giriş denemeleri olup olmadığı araştırılır,
- Gerekirse olayın önlenmesi için aksiyon alınır.
2. Otomasyon
Orkestrasyonun sunduğu bu iş akışları, Otomasyon sayesinde analistin manuel müdahalesine gerek kalmadan işletilebilir. Yani SOAR, playbook’ları kendi başına takip eder.VPN brute force örneğinde otomasyon şu şekilde işler:
- SOAR, SIEM’den uyarıyı alır,
- Kullanıcının geçmiş oturumlarını otomatik olarak sorgular,
- IP’nin itibarını TI platformları üzerinden otomatik kontrol eder,
- IP zararlıysa IAM üzerinden kullanıcıyı otomatik devre dışı bırakır,
- Son olarak tüm detaylarla birlikte ticketing sisteminde otomatik bir kayıt açar.
3. Yanıt
SOAR’un en güçlü yanlarından biri de Response (Yanıt) yeteneğidir. Tek bir arayüz üzerinden farklı araçlarla aksiyon almak mümkündür. Örneğin, VPN brute force playbook’u çalıştırıldığında SOAR, IP’yi güvenlik duvarında engelleyebilir, kullanıcıyı IAM üzerinden devre dışı bırakabilir ve tüm detaylarla birlikte bir ticket açabilir.Hâlâ SOC Analistlerine İhtiyacımız Var mı?
SOAR araçları, tekrarlayan görevlerin büyük bir kısmını otomatikleştirerek SOC ekiplerinin yükünü hafifletir. Ancak bu, analistlerin tamamen gereksiz hale geldiği anlamına gelmez. Çünkü karmaşık olayların incelenmesi hâlâ insan zekâsı ve tecrübesi gerektirir.SOAR, kritik noktalarda karar veremez; fakat bir analist, olayın iş bağlamını da göz önünde bulundurarak doğru yargıyı koyabilir. Ayrıca farklı uyarı türleri için kullanılan playbook’lar da SOC analistleri tarafından hazırlanır. Yani SOAR, analistlerin işini kolaylaştıran bir yardımcıdır ama onların yerini tutmaz.
Sonuç olarak, SOAR sayesinde analistler rutin işlerle boğulmaz, daha stratejik ve değerli görevlere odaklanabilir. Fakat güvenlik operasyonlarının bel kemiği hâlâ SOC analistleridir.
Phishing Playbook
Phishing saldırıları, siber güvenlik dünyasında hâlâ en yaygın kullanılan yöntemlerden biri. Ne yazık ki bu saldırıları incelemek güvenlik analistleri için oldukça zaman alıcıdır. E-postalardaki ekleri ve URL’leri analiz etmek, tehdit istihbaratı platformları üzerinden doğrulama yapmak gibi birçok manuel işlem gerekir. İşte bu noktada SOAR devreye girer; diğer incelemeler devam ederken bu görevleri arka planda bir playbook aracılığıyla otomatik olarak gerçekleştirebilir. Üstelik, eğer e-postanın gerçekten phishing olduğu doğrulanırsa gerekli müdahaleler de aynı süreçte yapılabilir.Peki böyle bir playbook nasıl olur?
Kendinizi phishing uyarılarıyla sıkça uğraşan deneyimli bir SOC analisti olarak düşünün. Yanınızda yeni başlayan bir analist var ve ona bu tür uyarılara nasıl yaklaşması gerektiğini öğretiyorsunuz. Bunun için ona bir akış diyagramı hazırlıyorsunuz. Diyagramın başlangıç noktası “Şüpheli e-posta alındı” olur. Sonrasında ona, bir ticket açmasını ve e-postada URL veya ek olup olmadığını kontrol etmesini söylersiniz. Eğer yoksa, kullanıcıları bilgilendirmek yeterlidir. Ancak varsa, sonraki adımlar e-postanın URL mi yoksa ek mi içerdiğine göre değişir.
Yani süreç boyunca birçok “Eğer şu olursa bunu yap, aksi halde şunu yap” talimatı vardır. İşte playbook tam da bu mantıkla hazırlanır. Akış diyagramı, phishing saldırısı karşısında hangi adımda ne yapılması gerektiğini net bir şekilde gösterir.
CVE Patching Playbook
Siber güvenlik dünyasında sıkça karşımıza çıkan CVE (Common Vulnerabilities and Exposures), kamuya açık şekilde duyurulan ve bir numara ile tanımlanan güvenlik açıklarını ifade eder. SOC ekiplerinin en önemli görevlerinden biri, yeni yayımlanan CVE’leri takip etmek, kendi ağlarında bu açıkların bulunup bulunmadığını doğrulamak ve varsa gerekli yamaları uygulamaktır.Bir analist için bu süreç oldukça yoğun olabilir. Çünkü CVE’ler çok sık yayımlanır ve her biri için çözüm planlarını takip etmek gerekir. Bu da zamanla biriken yamaların uygulanmamasına, dolayısıyla sistemlerin daha savunmasız hale gelmesine yol açabilir. Ayrıca bu süreç, SOC ekibinin ciddi zaman ve kaynak harcamasına neden olur.
İşte bu noktada SOAR devreye girer. Tıpkı phishing saldırıları için hazırlanan playbook’larda olduğu gibi, CVE yönetimi için de bir playbook oluşturulabilir. Bu playbook, CVE detaylarını analiz eder, risk seviyesini değerlendirir, yamalama için bir ticket açar ve yamayı üretim ortamına geçmeden önce test eder.
Kısacası, CVE patching playbook sayesinde SOC ekipleri süreci daha sistematik, daha hızlı ve daha güvenli bir şekilde yönetebilir.
Okuduğunuz için Teşekkür ederim
CW-Ommah...
Bug Researchers Tim Sundu.
Bug Researchers Tim Sundu.
Son düzenleme:
