Bir güvenlik aracının değeri, ürettiği uyarı sayısıyla değil, gerçek bir saldırıyı zamanında ve anlaşılır biçimde önünüze getirip getirmediğiyle ölçülür. Microsoft ekosisteminde bu işin iki temel bileşeni vardır: farklı Defender ürünlerinden gelen sinyalleri birleştiren Defender XDR ve bunların yanına başka kaynakları da ekleyen Microsoft Sentinel. Bu rehberde ikisinin nasıl birlikte kurgulanacağını, sahada işe yarayan pratiklerle anlatıyoruz. Kurulum ve izleme hizmetimizin kapsamı için Microsoft Defender ve Sentinel güvenlik sayfamıza göz atabilirsiniz.
Temel kavramlar: Uyarı, olay, araştırma
Terimleri netleştirerek başlayalım. Uyarı (alert), tek bir şüpheli davranışın kaydıdır: bir bilgisayarda olağandışı bir PowerShell komutu, bir posta kutusuna eklenen dış yönlendirme kuralı ya da alışılmadık bir ülkeden açılan oturum gibi. Olay (incident), birbiriyle ilişkili uyarıların tek bir saldırı hikâyesi altında toplanmış hâlidir. Araştırma ise olayın kapsamını, etkilenen varlıkları ve başlangıç noktasını ortaya koyma çalışmasıdır. İyi kurgulanmış bir ortamda analist yüzlerce uyarıyla değil, önceliklendirilmiş birkaç olayla uğraşır.
Defender XDR ne yapar, Sentinel ne yapar?
Defender XDR; uç nokta, e-posta, kimlik ve bulut uygulaması ürünlerinden gelen sinyalleri Microsoft’un kendi veri modeliyle ilişkilendirir. Bir oltalama e-postası, ardından gelen şüpheli oturum ve bir cihazdaki zararlı işlem otomatik olarak aynı olayda birleşir. Ayrıca cihazı yalıtma, dosyayı karantinaya alma ve kullanıcıyı riskli olarak işaretleme gibi müdahaleler doğrudan buradan yapılır.
Sentinel ise daha geniş bir ağ atar. Güvenlik duvarı, VPN, Linux sunucular, iş uygulamaları ve başka üreticilerin güvenlik ürünleri gibi Microsoft dışı kaynakları da toplar, uzun süre saklar ve kendi yazdığınız kurallarla analiz etmenize imkân tanır. Microsoft, Sentinel ve Defender XDR’ı Defender portalında birleşik bir güvenlik operasyonları deneyiminde bir araya getirmektedir; böylece iki dünyanın olayları tek kuyrukta görülebilir.
Hangi kayıtları toplamalısınız?
“Her şeyi toplayalım, sonra bakarız” yaklaşımı hem maliyeti hem de gürültüyü artırır. Önceliği şu sorulara cevap veren kaynaklara verin:
- Kim oturum açtı? Entra ID oturum açma ve denetim kayıtları, şirket içi etki alanı denetleyicisi olayları.
- Hangi cihazda ne çalıştı? Defender for Endpoint verileri.
- Dışarıdan ne geldi, dışarıya ne gitti? E-posta olayları, güvenlik duvarı ve proxy kayıtları.
- Kim neyi değiştirdi? Microsoft 365 birleşik denetim kaydı, Azure etkinlik kayıtları, kritik uygulamaların yönetici kayıtları.
Sonra her kaynak için iki soruyu sorun: Bu veri bir tespit kuralını besliyor mu, yoksa yalnızca olay sonrası araştırmada mı lazım? İkinci gruptaki ayrıntılı kayıtlar, daha düşük maliyetli saklama katmanlarında tutulabilir.
KQL ile tespit kuralı yazmak
Sentinel ve Defender’daki gelişmiş av (advanced hunting) ekranı Kusto Query Language (KQL) kullanır. KQL okunması kolay, borulu bir sorgu dilidir: bir tabloyu seçer, filtreler, gruplar ve sonuç üretirsiniz. Örneğin kısa sürede çok sayıda başarısız oturum açma denemesi alan hesapları bulmak; oturum tablosunu son bir saatle sınırlamak, sonucu başarısız olanlara göre filtrelemek, kullanıcı ve kaynak IP’ye göre saymak ve belirli bir eşiğin üzerindekileri listelemek kadar basittir. İyi bir kuralın üç özelliği vardır: neyi neden aradığı açıklanmıştır, eşiği ortamınızın normaline göre belirlenmiştir ve tetiklendiğinde analistin ilk bakacağı varlıkları (kullanıcı, cihaz, IP) olaya ekler.
Uyarı yorgunluğuyla mücadele
Bir güvenlik ortamının en sessiz düşmanı, kimsenin artık ciddiye almadığı uyarı yığınıdır. Bunu önlemek için:
- Hazır kuralları açtıktan sonra ilk haftalarda üretilen uyarıları inceleyin ve meşru iş süreçlerinden kaynaklananları istisna olarak tanımlayın.
- Önem derecelerini gerçekçi belirleyin; her şey “yüksek” ise hiçbir şey yüksek değildir.
- Aynı varlığa ait tekrarlayan uyarıları gruplayın.
- Kapatılan her olay için bir sınıflandırma (gerçek pozitif, zararsız, yanlış pozitif) girin; bu veriler kuralları iyileştirmenin temelidir.
Otomasyon: Neyi makineye bırakmalı?
Sentinel’de otomasyon kuralları ve Logic Apps tabanlı playbook’lar, tekrarlayan işleri üstlenir. Olayı ilgili analiste atamak, IP adresini tehdit istihbaratıyla zenginleştirmek, Teams kanalına bildirim göndermek gibi düşük riskli adımlar güvenle otomatikleştirilebilir. Hesabı devre dışı bırakmak ya da cihazı yalıtmak gibi iş sürekliliğini etkileyen adımlar için ise önce onaylı otomasyonla başlamak, güven oluştukça tam otomasyona geçmek daha sağlıklıdır.
Maliyeti kontrol altında tutmak
Sentinel’in maliyeti ağırlıklı olarak toplanan veri hacmine ve saklama süresine bağlıdır. Bazı Microsoft kaynaklarının verileri ek ücret olmadan alınabilirken, ayrıntılı ağ ve sunucu kayıtları hızla büyüyebilir. Veri toplama kurallarıyla gereksiz alanları kaynakta ayıklamak, araştırma amaçlı kayıtları uygun katmanlarda tutmak ve kullanım raporunu ayda bir incelemek, sürprizleri önler.
Olay anı için hazırlık
Araçlar ne kadar iyi olursa olsun, olay anında kimin karar vereceği belli değilse değerli dakikalar kaybolur. Basit bir müdahale planı hazırlayın: kim bilgilendirilecek, cihaz yalıtma kararını kim verecek, dış iletişimi kim yürütecek, kişisel veri etkilendiyse hukuki süreç kiminle yürütülecek. Fidye yazılımı senaryosu için son savunma hattının sağlam ve test edilmiş yedekler olduğunu unutmayın; bu konuyu yedekleme ve felaket kurtarma sayfamızda ele alıyoruz. Sürekli izleme için kendi ekibiniz yoksa SIEM ve SOC hizmeti seçeneğini değerlendirebilirsiniz.
Tehdit avı: Uyarı beklemeden aramak
Tespit kuralları bilinen kalıpları yakalar; tehdit avı (threat hunting) ise henüz kuralı olmayan davranışları bilinçli olarak aramaktır. Pratik bir başlangıç için her ay bir hipotez seçin: “Son otuz günde yeni oluşturulan posta kutusu yönlendirme kuralları var mı?”, “Yönetici hesapları alışılmadık cihazlardan oturum açmış mı?”, “Kullanıcı bilgisayarlarında uzaktan yönetim araçları beklenmedik biçimde çalışıyor mu?” gibi. Gelişmiş av ekranında bu soruları KQL sorgularıyla yanıtlayın, bulduğunuz anlamlı kalıpları kalıcı tespit kuralına dönüştürün. MITRE ATT&CK çerçevesi, hangi saldırı tekniğini aradığınızı sınıflandırmak ve kapsama boşluklarınızı görmek için yararlı bir ortak dil sunar. Böylece her av çalışması, ortamınızın tespit yeteneğini bir adım daha büyütür ve ekibiniz saldırgan davranışını daha iyi tanır. Av sonuçlarını kısa notlarla kaydetmek, aynı hipotezin birkaç ay sonra yeniden sınanmasını ve ortamdaki değişimin izlenmesini de kolaylaştırır.
Kısa kontrol listesi
- Tüm cihazlar Defender’a kayıtlı ve aktif modda mı?
- Entra ID ve Microsoft 365 denetim kayıtları Sentinel’e akıyor mu?
- Uyarılar düzenli olarak incelenen bir kuyruğa düşüyor mu?
- Kapatılan olaylar sınıflandırılıyor mu?
- Veri hacmi ve maliyet aylık olarak izleniyor mu?
- Yazılı bir olay müdahale planı var mı?
Bu listede eksik maddeleriniz varsa ortamınızı birlikte değerlendirebiliriz; kapsamı Microsoft Defender ve Sentinel sayfamızda bulabilirsiniz. İlk görüşme ücretsizdir.
Sık sorulan sorular
Küçük bir şirket için Sentinel gerekli mi?
Her zaman değil. Microsoft 365 ağırlıklı küçük bir yapı için doğru yapılandırılmış Defender XDR çoğu zaman yeterli görünürlük sağlar. Microsoft dışı güvenlik duvarı, sunucu ve uygulama kayıtlarını merkezi olarak analiz etme ve uzun süre saklama ihtiyacı doğduğunda Sentinel anlamlı hâle gelir.
KQL öğrenmek zor mu?
Temel KQL, birkaç saatlik pratikle okunabilir hâle gelir: tablo seçmek, filtrelemek, gruplamak ve saymak çoğu sorgunun omurgasıdır. İleri seviye tespit kuralları ise ortamı ve saldırı tekniklerini iyi bilmeyi gerektirir.
Otomatik müdahale yanlış bir hesabı kilitlerse ne olur?
Bu riski azaltmak için iş sürekliliğini etkileyen adımlar önce onaylı otomasyonla başlatılır, kritik hesaplar istisna listesinde tutulur ve her otomatik işlem kayıt altına alınır. Böylece hatalı bir işlem hızla fark edilip geri alınabilir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
