SIEM ve SOC Hizmeti

SIEM (Security Information and Event Management), kurumunuzdaki sunuculardan, güvenlik duvarlarından, bulut servislerinden, kimlik sistemlerinden ve uç noktalardan gelen kayıtları (log) tek bir platformda toplayan, normalleştiren, birbiriyle ilişkilendiren ve şüpheli örüntülerde alarm üreten güvenlik yazılımıdır. SOC (Security Operations Center) ise bu alarmları 7/24 izleyen, gerçek tehdidi yanlış alarmdan ayıran ve müdahaleyi yöneten uzman ekip ve süreçlerin bütünüdür. Kısacası SIEM görür, SOC anlar ve harekete geçer. Racoun’un teknoloji birimi Pedante Bilişim, bu ikisini Racurity markasıyla yönetilen hizmet olarak sunar: uzman çözüm ortaklarımızın altyapısı, Racurity güvencesiyle ve tek muhatapla.

Kimler için?

Kendi 7/24 güvenlik ekibini kurmak, uzman bulmak ve vardiyaları sürdürmek orta ölçekli kurumların çoğu için gerçekçi değildir. Yönetilen SOC bu boşluğu doldurur. Özellikle şu kurumlar için uygundur:

• Birden fazla lokasyonu, sunucusu ve bulut servisi olan, ancak güvenlik izlemesini küçük bir BT ekibiyle yürüten şirketler
• Müşteri verisi, sağlık verisi veya finansal veri işleyen ve olayları hızlı fark etmesi gereken kurumlar
• ISO/IEC 27001, KVKK ya da BDDK/SPK gibi düzenleyici çerçeveler kapsamında log saklama ve izleme beklentisiyle karşılaşanlar
• Logları zaten topladığı halde kimsenin düzenli olarak bakmadığı bir sisteme sahip olanlar
• Mesai saatleri dışında, hafta sonu ve tatillerde de görünürlük isteyen her işletme

Neden önemli? Görünmeyen saldırının maliyeti

Modern saldırıların çoğu tek bir anda gerçekleşmez. Ele geçirilmiş bir parola ile yapılan ilk giriş, birkaç gün süren keşif, yetki yükseltme, yanal hareket ve en sonunda veri sızdırma veya fidye yazılımı şifrelemesi şeklinde ilerler. Bu zincirin her halkası bir yerde iz bırakır: alışılmadık bir ülkeden başarılı oturum açma, gece saatinde açılan yönetici hesabı, bir iş istasyonundan sunuculara yapılan sıra dışı bağlantılar, kapatılan bir güvenlik ajanı. Bu izler ayrı sistemlerde dağınık durduğunda kimse bağlantıyı kuramaz. SIEM bu sinyalleri bir araya getirir; SOC ekibi ise zinciri erken bir halkada kırmayı hedefler. Saldırı ne kadar erken fark edilirse, etkilenen sistem sayısı ve toparlanma maliyeti o kadar düşük olur.

Hizmet kapsamı

Log kaynaklarının devreye alınması

Active Directory ve Entra ID gibi kimlik sistemleri, Windows ve Linux sunucular, güvenlik duvarı ve VPN geçitleri, switch ve kablosuz denetleyiciler, Microsoft 365 ve diğer bulut servisleri, e-posta güvenlik ağ geçitleri, EDR/XDR çözümleri, veritabanları ve kritik iş uygulamaları SIEM’e bağlanır. Her kaynak için hangi olayların toplanacağı, saklama süresi ve zaman senkronizasyonu (NTP) planlanır.

Normalleştirme ve korelasyon

Farklı formatlardaki loglar ortak bir şemaya dönüştürülür. Ardından tek tek olaylara değil, olaylar arasındaki ilişkilere bakan korelasyon kuralları yazılır: kısa sürede çok sayıda başarısız girişin ardından gelen başarılı oturum, aynı hesapla birbirinden uzak konumlardan neredeyse eşzamanlı giriş (imkânsız seyahat), yeni bir yönetici hesabı açılıp hemen ardından denetim günlüklerinin silinmesi gibi senaryolar. Kurallar MITRE ATT&CK çerçevesine eşlenerek hangi saldırı tekniklerine karşı görünürlüğünüz olduğu ortaya konur.

7/24 izleme ve triyaj

Üretilen her alarm SOC analistleri tarafından incelenir. Triyaj aşamasında alarmın gerçek bir tehdit mi, beklenen bir iş faaliyeti mi yoksa yanlış pozitif mi olduğu belirlenir; olay önem derecesine göre sınıflandırılır. Bu aşama, ekibinizin her gün yüzlerce anlamsız uyarıyla boğulmasını önler.

Olay müdahalesi

Doğrulanan bir olayda önceden birlikte belirlediğimiz müdahale planı devreye girer: sizin ekibinize bildirim, şüpheli hesabın devre dışı bırakılması, etkilenen cihazın EDR üzerinden ağdan izole edilmesi, zararlı IP adreslerinin engellenmesi gibi adımlar. Hangi adımların SOC tarafından doğrudan, hangilerinin sizin onayınızla atılacağı baştan yazılı olarak tanımlanır. Olay kapandıktan sonra kök neden analizi ve tekrarını önleyecek öneriler raporlanır.

Kural iyileştirme ve tehdit avcılığı

SIEM bir kez kurulup bırakılan bir ürün değildir. Yanlış pozitif üreten kurallar ayarlanır, yeni tehdit bilgilerine göre kurallar eklenir ve analistler alarm üretmemiş ama şüpheli olabilecek izleri proaktif olarak arar (threat hunting).

Raporlama

Dönemsel raporlarda olay sayıları ve türleri, kapatılma durumları, en çok alarm üreten kaynaklar, görünürlük boşlukları ve iyileştirme önerileri yer alır. Yönetim için özet, teknik ekip için ayrıntılı bölümler hazırlanır; bu raporlar denetim süreçlerinde de kanıt olarak kullanılabilir.

Teknik yaklaşımımız

Platform seçimini ortamınıza göre yapıyoruz. Microsoft 365 ve Azure ağırlıklı kurumlarda Microsoft Defender ve Sentinel bulut tabanlı ve ölçeklenebilir bir seçenek sunar; verinin Türkiye’de kalması gereken yapılarda yerli veya yerinde konumlanan çözümler değerlendirilir. Her durumda önce “ne kadar log” değil “hangi log, hangi soru için” sorusunu soruyoruz: gereksiz veri hem maliyeti hem de gürültüyü artırır. Log bütünlüğü için toplama sırasında değiştirilemezlik ve erişim kontrolü sağlanır, saklama süreleri KVKK ve sektörel beklentiler gözetilerek belirlenir. Loglar kişisel veri içerebildiğinden, erişimin en az yetki prensibiyle sınırlandırılması da kapsamın parçasıdır.

Süreç

1. Keşif: Varlık envanteri, kritik sistemler, mevcut güvenlik araçları ve log kaynakları incelenir; izleme öncelikleri belirlenir.
2. Tasarım: Platform, mimari, saklama politikası, kullanım senaryoları ve müdahale matrisi (kim, neyi, ne zaman yapar) birlikte netleştirilir.
3. Devreye alma: Log kaynakları aşamalı olarak bağlanır, ayrıştırıcılar ve temel kural seti uygulanır.
4. Ayar dönemi: İlk haftalarda normal iş davranışı öğrenilir, yanlış pozitifler azaltılır, eşikler ortamınıza göre ayarlanır.
5. İşletme: 7/24 izleme, triyaj, müdahale, kural iyileştirme ve düzenli raporlama başlar; dönemsel değerlendirme toplantıları yapılır.

Racurity ile farkı

Pek çok yönetilen SOC hizmeti alarmı e-postayla iletip işi orada bırakır. Biz Pedante Bilişim çatısı altında ağ, sunucu, bulut ve uç nokta ekipleriyle birlikte çalıştığımız için alarmın arkasındaki sorunu çözmeye de destek olabiliyoruz: hatalı bir güvenlik duvarı kuralı, eksik bir MFA politikası veya yamasız bir sunucu aynı muhatapla ele alınır. Sızma testlerimizde yapılan saldırı denemelerinin SIEM’de görünüp görünmediğini kontrol ederek tespit boşluklarını somut biçimde kapatıyoruz. Hizmet, yönetilen BT hizmetleri kapsamında altyapı yönetimiyle birlikte de kurgulanabilir.

Başarıyı nasıl ölçüyoruz?

Bir SOC hizmetinin değeri, gönderilen alarm sayısıyla değil, görünürlüğün ve tepkinin kalitesiyle ölçülür. Dönemsel değerlendirmelerde ortalama tespit ve müdahale sürelerinin eğilimini, yanlış pozitif oranındaki değişimi, bağlı log kaynaklarının kapsamını ve MITRE ATT&CK tekniklerine karşı görünürlük haritasındaki boşlukları sizinle birlikte gözden geçiriyoruz. Böylece hizmetin her dönem neyi daha iyi gördüğü somut olarak izlenebilir.

Sık yapılan hatalar

• Her şeyi toplayıp hiçbir şeye bakmamak: İzlenmeyen bir SIEM yalnızca pahalı bir arşivdir.
• Kritik kaynakları unutmak: Bulut kimlik logları, VPN ve e-posta logları bağlanmadan görünürlük yarım kalır.
• Varsayılan kurallarla yetinmek: Ortama göre ayarlanmayan kurallar ya gürültü üretir ya da gerçek saldırıyı kaçırır.
• Müdahale yetkisini tanımlamamak: Gece yarısı bir olay doğrulandığında kimin hangi kararı vereceği belli değilse değerli zaman kaybedilir.
• Saat senkronizasyonunu ihmal etmek: Farklı saatlerde kayıt tutan sistemler korelasyonu imkânsız hâle getirir.

İlgili hizmetler

SIEM ve SOC, katmanlı savunmanın görme ve tepki katmanıdır. Tüm katmanlar için siber güvenlik hizmetleri, ağ tarafındaki log kaynakları için kurumsal network ve ağ altyapısı, oltalama saldırılarının ilk adımını durdurmak için e-posta güvenliği ve olası bir olaydan sonra geri dönüş için yedekleme ve felaket kurtarma sayfalarımıza göz atabilirsiniz. Bilişim hizmetlerimizin tamamı siber güvenlik başlığında. İzleme ihtiyacınızı birlikte değerlendirmek için ücretsiz bir görüşme planlayın.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

SIEM ile SOC arasındaki fark nedir?

SIEM, logları toplayan, ilişkilendiren ve alarm üreten yazılım platformudur. SOC ise bu alarmları izleyen, değerlendiren ve müdahaleyi yöneten ekip ve süreçlerdir. Yalnızca SIEM kurmak görünürlük sağlar ama alarmlara bakan bir ekip olmadan tehditler fark edilmez.

Hangi sistemlerin logları toplanmalı?

Öncelik kimlik sistemleri (Active Directory, Entra ID), güvenlik duvarı ve VPN, e-posta, bulut servisleri, EDR, kritik sunucular ve veritabanlarıdır. Keşif aşamasında kritik varlıklarınıza göre bir öncelik listesi birlikte oluşturulur.

Kendi BT ekibimiz varken yönetilen SOC’a neden ihtiyaç duyalım?

BT ekibiniz altyapıyı çalıştırmaya odaklanır; 7/24 vardiyalı güvenlik izlemesi, tehdit bilgisi takibi ve kural geliştirme ayrı bir uzmanlık ve kapasite ister. Yönetilen SOC, ekibinizi tamamlar ve olaylarda onlarla birlikte çalışır.

Microsoft Sentinel kullanmak zorunda mıyız?

Hayır. Microsoft 365 ve Azure ağırlıklı ortamlarda Sentinel güçlü bir seçenektir; ancak altyapınıza, veri yerleşimi gereksinimlerinize ve mevcut araçlarınıza göre farklı SIEM platformları da çözüm ortaklarımız aracılığıyla değerlendirilir.

Loglar ne kadar süre saklanmalı?

Saklama süresi; mevzuat, sektörel düzenlemeler, iç politikalar ve olay incelemesi ihtiyaçlarına göre belirlenir. Sıcak (hızlı sorgulanabilir) ve arşiv saklamayı ayırarak maliyeti dengeliyoruz; yükümlülükleriniz için uyum danışmanlarınızla birlikte değerlendirme yapmanızı öneriyoruz.

Bir olay olduğunda SOC sistemlerimize müdahale eder mi?

Müdahale yetkileri hizmet başında yazılı olarak tanımlanır. Örneğin bir hesabın kilitlenmesi veya cihazın ağdan izole edilmesi gibi adımlar önceden onaylı senaryolarda doğrudan, diğerlerinde sizin onayınızla uygulanır.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.