Selamun Aleyküm
bu bölümde ise dostlarım beraber yüksek risk taşıyan uyarıları ne yapmamız gerektiği hakkında bilgi edineceğiz ve ne yapmayacağımızı bilemediğimiz zaman ise nasıl bir protokol izliyeceğimizi SOC L2 analistine olayı bildirip derhal karantina altına almamız gerektiğinden değineceğiz
Bu sürecin sağlıklı ilerleyebilmesi için üç temel kavramı bilmek gerekir: raporlama, escalation (yani olayın üst seviyeye taşınması) ve iletişim. Raporlama sayesinde olayın tüm detayları kayıt altına alınır, eskalasyon ile kritik vakalar doğru ekibe yönlendirilir, iletişim ise sürecin her aşamasında ekipler arasında bilgi akışını sağlar.
Kısacası, güvenlik operasyonlarının omurgasını bu üç kavram oluşturur. L1’den L2’ye uzanan zincir, doğru raporlama, zamanında eskalasyon ve etkili iletişim sayesinde güçlü bir savunma hattına dönüşür.
Şimdi ise dostlarım beraber bir rapor nasıl hazırlanır ve ana unsurları nelerdir beraber bakalım
Örnek Raporlama Resmi:
Uyarıyı L2’ye eskale etmen gereken durumlar şunlardır:
Her ne kadar ekip içindeki prosedürler farklılık gösterebilse de, sonuçta L2 analisti senin hazırladığın bileti alacak, raporunu okuyacak ve gerek duyarsa seninle iletişime geçecektir. Tüm detaylar netleştiğinde L2 analisti genellikle uyarının ayrıntılarını daha derinlemesine araştırır, olayın gerçekten bir True Positive olup olmadığını doğrular, ihtiyaç halinde diğer departmanlarla iletişim kurar ve büyük çaplı olaylarda resmi bir Olay Müdahale (Incident Response) sürecini başlatır.
Destek talep etme yöntemleri ekipten ekibe değişiklik gösterebilir. Bazı yerlerde yalnızca uyarıyı L2’ye yönlendirmek ve kurumsal sohbet üzerinden bilgi vermek yeterli olurken, bazı ekiplerde daha resmi bir süreç izlenir. Bu durumda, belirli alanların doldurulması gereken ayrıntılı bir yazılı destek talebi hazırlaman gerekebilir. Ancak hangi yöntem uygulanırsa uygulansın, önemli olan sürecin şeffaf ve anlaşılır şekilde ilerlemesidir.
Okuduğunuz için Teşekkür ederim
bu bölümde ise dostlarım beraber yüksek risk taşıyan uyarıları ne yapmamız gerektiği hakkında bilgi edineceğiz ve ne yapmayacağımızı bilemediğimiz zaman ise nasıl bir protokol izliyeceğimizi SOC L2 analistine olayı bildirip derhal karantina altına almamız gerektiğinden değineceğiz
Uyarı Hunisi
Siber güvenlik operasyonlarında ilk adımı genellikle L1 analistleri atar. Bu ekip, SIEM, EDR ya da bilet yönetim sistemleri üzerinden gelen uyarıları karşılar. Çoğu uyarı, yanlış pozitif olarak değerlendirilir veya basit düzeyde çözümlenerek kapatılır. Ancak daha karmaşık, tehdit içeren ve derinlemesine müdahale gerektiren durumlar L2 ekibine aktarılır. L2 analistleri, çoğu zaman gerçek ihlalleri ortadan kaldıran ve sistemleri güvenli hale getiren kritik müdahaleleri gerçekleştirir.Bu sürecin sağlıklı ilerleyebilmesi için üç temel kavramı bilmek gerekir: raporlama, escalation (yani olayın üst seviyeye taşınması) ve iletişim. Raporlama sayesinde olayın tüm detayları kayıt altına alınır, eskalasyon ile kritik vakalar doğru ekibe yönlendirilir, iletişim ise sürecin her aşamasında ekipler arasında bilgi akışını sağlar.
Kısacası, güvenlik operasyonlarının omurgasını bu üç kavram oluşturur. L1’den L2’ye uzanan zincir, doğru raporlama, zamanında eskalasyon ve etkili iletişim sayesinde güçlü bir savunma hattına dönüşür.
Uyarı Raporlama
Bir güvenlik uyarısını kapatmadan ya da L2 ekibine aktarmadan önce, çoğu zaman raporlama süreci devreye girer. Ekip standartlarına ve uyarının önem derecesine bağlı olarak, yalnızca kısa bir yorum bırakmak yeterli olmayabilir. Bunun yerine, yaptığınız incelemeyi ayrıntılı şekilde belgelemeniz ve tüm kanıtları eklemeniz gerekebilir. Bu yaklaşım özellikle Gerçek Pozitif (True Positive) uyarılar için kritik öneme sahiptir; çünkü bu tür uyarılar doğrudan eskalasyon sürecine girer.Uyarı Eskalasyonu
Gerçek Pozitif bir uyarı, ek müdahaleler veya daha kapsamlı bir analiz gerektirdiğinde, belirlenmiş prosedürlere uygun şekilde L2 analistine eskale edilir. Bu noktada hazırladığınız rapor büyük kolaylık sağlar. L2 analisti, rapor sayesinde olayın bağlamını hızlıca kavrar ve sıfırdan inceleme yapmak yerine mevcut bilgileri kullanarak daha etkin bir analiz yürütür.
İletişim
Analiz sürecinde veya sonrasında diğer departmanlarla iletişim kurmanız da gerekebilir. Örneğin, bazı kullanıcılara yönetici ayrıcalıkları verilip verilmediğini doğrulamak için BT ekibiyle görüşebilir ya da yeni işe alınan bir çalışan hakkında daha fazla bilgi almak için İK departmanına başvurabilirsiniz. Bu tür iletişim, olayın doğru şekilde anlaşılmasını ve gerekli aksiyonların zamanında alınmasını sağlar.Şimdi ise dostlarım beraber bir rapor nasıl hazırlanır ve ana unsurları nelerdir beraber bakalım
Rapor Formatı
Bir L2 analisti, DFIR ekibi üyesi ya da BT tarafında güvenlik uyarılarını anlaması gereken bir profesyonel olduğumu düşünürsem, raporda görmek isteyeceğim şeyler oldukça nettir. Olayın doğru şekilde anlaşılması ve hızlı aksiyon alınabilmesi için raporun kapsamlı, düzenli ve kanıta dayalı olması gerekir. Bunun için en pratik yöntemlerden biri “4 N 1 K ingilizcede tabi {five Wh}” yaklaşımıdır:- Kim (Who): Olayda hangi kullanıcı yer aldı? Örneğin, oturum açan, komut çalıştıran veya dosya indiren kişi kimdi?
- Ne (What): Tam olarak hangi eylemler veya olaylar zinciri gerçekleşti? Bu adımların açık bir şekilde sıralanması, olayın doğasını anlamak açısından kritik öneme sahiptir.
- Ne Zaman (When): Şüpheli etkinlik hangi zaman aralığında başladı ve ne zaman sona erdi? Dakika ve saniye düzeyinde zaman damgaları, olayın kronolojisini netleştirir.
- Nerede (Where): Olay hangi cihazda, IP adresinde veya web sitesinde meydana geldi? Bu bilgi, olayın kaynağını ve etki alanını belirlemek için gereklidir.
- Neden (Why): En önemli kısım budur. Nihai değerlendirmenin gerekçesi, yani olayın neden şüpheli bulunduğu ve hangi kanıtlara dayanarak bu sonuca varıldığı raporda açıkça belirtilmelidir.
Örnek Raporlama Resmi:
Eskalasyon için bağlam sağlamak:
Bir güvenlik uyarısının doğru şekilde eskale edilmesi, sürecin en kritik adımlarından biridir. İyi hazırlanmış bir rapor, L2 analistlerinin zaman kaybetmeden olayı kavramasına yardımcı olur. Raporda yer alan net ve düzenli bilgiler sayesinde analistler, olayın ne olduğunu hızlıca anlayabilir ve doğrudan çözüm odaklı adımlar atabilir.Bulguları kayıt altına almak:
Ham SIEM logları genellikle 3 ila 12 ay arasında saklanır, ancak uyarılar süresiz olarak sistemde tutulur. Bu nedenle, olayla ilgili tüm bağlamın ve bulguların uyarının içine eklenmesi büyük önem taşır. İleride benzer bir durum yaşandığında ya da geçmişe dönük bir inceleme gerektiğinde, bu kayıtlar kritik bir referans noktası oluşturur.Soruşturma becerilerini geliştirmek:
Bir olayı basit ve anlaşılır şekilde açıklayamıyorsanız, aslında onu tam olarak kavramamışsınız demektir. Rapor yazmak, L1 analistleri için yalnızca bir görev değil, aynı zamanda öğrenme ve gelişim fırsatıdır. Uyarıları özetleyerek ve kendi analizlerini yazılı hale getirerek analistler hem olayları daha iyi anlamayı öğrenir hem de soruşturma becerilerini sürekli geliştirir.Yükseltme Kılavuzu
Bir güvenlik uyarısı için nihai kararını verdikten ve raporunu hazırladıktan sonra, sıradaki adım bu uyarının L2 ekibine eskale edilip edilmeyeceğine karar vermektir. Bu süreç ekipten ekibe farklılık gösterebilir, ancak genel olarak çoğu SOC ekibi için geçerli bazı temel kriterler vardır.Uyarıyı L2’ye eskale etmen gereken durumlar şunlardır:
- Uyarı, kapsamlı bir siber saldırının göstergesiyse ve daha derinlemesine inceleme veya DFIR müdahalesi gerektiriyorsa
- Kötü amaçlı yazılım temizleme, cihaz izolasyonu veya parola sıfırlama gibi doğrudan düzeltici eylemler yapılması gerekiyorsa
- Müşteriler, iş ortakları, üst yönetim veya kolluk kuvvetleriyle iletişim kurulması zorunlu hale gelmişse
- Uyarıyı tam olarak anlamakta zorlanıyorsan ve daha deneyimli analistlerden destek alman gerekiyorsa
L2 ile Çalışma ve Destek Talebi
Çoğu durumda, uyarıyı eskale etmek için yapman gereken tek şey onu vardiyada olan L2 analistine yeniden atamak ve kurumsal sohbet üzerinden ya da doğrudan yüz yüze bilgilendirmektir. Ancak bazı ekiplerde süreç daha resmi olabilir; bu durumda, onlarca zorunlu alanı doldurman gereken ayrıntılı bir yazılı eskalasyon talebi hazırlaman gerekebilir.L2 Desteği Talep Etmek
Bir şeyin net olmadığı durumlarda L1 analistlerinin kıdemli destek talep etmesi son derece doğaldır. Özellikle ilk aylarında, anlamadığın bir uyarıyı kendi başına kapatmaya çalışmak yerine, konuyu tartışmak ve SOC prosedürlerini netleştirmek çok daha sağlıklı bir yaklaşımdır. Bu hem senin öğrenme sürecini hızlandırır hem de olası hataların önüne geçer.Destek talep etme yöntemleri ekipten ekibe değişiklik gösterebilir. Bazı yerlerde yalnızca uyarıyı L2’ye yönlendirmek ve kurumsal sohbet üzerinden bilgi vermek yeterli olurken, bazı ekiplerde daha resmi bir süreç izlenir. Bu durumda, belirli alanların doldurulması gereken ayrıntılı bir yazılı destek talebi hazırlaman gerekebilir. Ancak hangi yöntem uygulanırsa uygulansın, önemli olan sürecin şeffaf ve anlaşılır şekilde ilerlemesidir.
Raporlama Sürecinde İletişim Senaryoları
Eskalasyon ve raporlama konuları teoride oldukça basit görünse de, pratikte her zaman beklenmedik durumlarla karşılaşmak mümkündür. Bu nedenle kritik senaryolara hazırlıklı olmak ve doğru adımları bilmek büyük önem taşır. İdeal durumda SOC ekibinin kendi Kriz İletişim prosedürleri vardır; yani olayların çözümünde yol gösteren rehberler ve süreçler. Ancak böyle bir prosedür yoksa, aşağıdaki örnek vakaları incelemek ve benzer durumlarda nasıl hareket edeceğini önceden planlamak gerekir.- Acil ve kritik bir uyarıyı eskale etmen gerekiyor, ancak L2 analisti 30 dakika boyunca ulaşılabilir değil. Bu durumda acil iletişim bilgilerini nerede bulacağını bilmek hayati önem taşır. Öncelikle L2’yi aramayı denemeli, yanıt alamazsan L3’e yönelmeli ve son çare olarak yöneticine ulaşmalısın.
- Slack veya Teams hesabı ihlaliyle ilgili bir uyarı, etkilenen kullanıcıyla giriş doğrulaması yapmanı gerektiriyor. Burada dikkat edilmesi gereken nokta, kullanıcıya ihlal edilen sohbet üzerinden ulaşmamaktır. Bunun yerine telefon gibi güvenli ve alternatif iletişim yöntemlerini tercih etmelisin.
- Kısa süre içinde çok sayıda uyarı alıyorsun ve bunların bazıları kritik seviyede. Bu durumda uyarıları iş akışına göre önceliklendirmen gerekir. Ancak aynı zamanda vardiyada olan L2 analistine durumu bildirerek sürecin kontrol altında olduğunu göstermelisin.
- Birkaç gün sonra, bir uyarıyı yanlış sınıflandırdığını ve muhtemelen kötü niyetli bir eylemi gözden kaçırdığını fark ediyorsun. Böyle bir durumda vakit kaybetmeden L2’ye ulaşmalı ve endişelerini açıkça paylaşmalısın. Unutma, tehdit aktörleri bazen haftalarca sessiz kalabilir ve sonrasında ciddi etki yaratabilir.
- SIEM logları doğru şekilde ayrıştırılmadığı veya aranabilir olmadığı için uyarı triage işlemini tamamlayamıyorsun. Bu durumda uyarıyı görmezden gelmek yerine, elinden gelen incelemeyi yapmalı ve sorunu vardiyada olan L2’ye veya SOC mühendislerine rapor etmelisin.
Okuduğunuz için Teşekkür ederim
CW-Ommah...
Bug Researchers Tim Sundu.
Bug Researchers Tim Sundu.
Ekli dosyalar
Son düzenleme:
