Siber Güvenlik Yazılım Araçları: Mükemmel Bir SOC Analist Araç Seti
Dünya çapındaki kuruluşların altyapıları farklı teknolojiye, yazılıma ve farklı ağ mimarisi türlerine sahiptir. Bu kuruluşlar ne kadar çeşitli olursa olsun, ortak bir noktaları vardır: altyapılarını izleyen bir SOC analisti.
SOC Analisti ve Görevleri
Siber Güvenlik Operasyonları Merkezleri (SOC), sorumlulukları tamamen güvenlik açıklarını, tehlike göstergelerini aramaya ve SIEM, XDR gibi izleme platformları tarafından oluşturulan olayları ve alarmları araştırmaya adamış bir siber güvenlik analistleri ekibinden oluşur.
Vakalar, önem ve kritiklik açısından farklılık gösterebilir. Yetenekli bir SOC analisti, çeşitli vaka türlerini doğru bir şekilde tespit edip bunlara yanıt verebilmelidir. Olay müdahalesinin yanı sıra, SOC analistleri, kötü amaçlı göstergeler veya gelişmiş tehditler için ortamı aktif olarak araştırarak tehdit avlama (threat hunting) çabalarına da katılırlar.
Mükemmel SOC Analist Araç Seti
Binlerce güvenlik aracı varken ve yazılım çözümlerinin birbirini tamamlaması gerekirken, doğru olanı seçmek zor olabilir.
Ancak, her güvenlik aracı, algıladığı ve bazen önlediği olay türlerine göre kategorilere ayrılabilir. Mükemmel bir araç seti yoktur, çünkü doğru seçim, korunacak sistemlerin türüne ve SOC analistinin uzmanlık düzeyine bağlıdır.
İşte herhangi bir SOC analistinin siber güvenlik araç setinin parçası olması gereken en verimli ve kullanışlı araçlardan bazıları:
SIEM (Security Information and Event Management)
Herhangi bir SOC analistinin baş tacıdır. Ortamdaki diğer tüm uç noktalar, ağ, sunucu, altyapı, uygulama, veritabanları, bulut, SaaS ve güvenlik araçları tarafından oluşturulan günlüklerin (log) toplanması ve ilişkilendirilmesi (korelasyon) için kullanılır. SIEM, Korelasyon, UEBA, AI ve ML yapılarıyla ek öngörüler sağlar. SOC analisti, bilgilerin çoğu tek bir platformda toplandığı için olayları daha hızlı algılayabilir, yanıtlayabilir ve sınıflandırabilir. SIEM olayları MITRE ATT&CK modeliyle eşleştirilebilir.
EDR (Endpoint Detection and Response)
Çeşitli gelişmiş kötü amaçlı yazılım ve anormallik tabanlı algılamalar için kullanılan gelişmiş bir uç nokta koruma yazılımıdır. Geleneksel antivirüslerin aksine, EDR makine öğrenimi ve anormallik tabanlı tespitlere dayanır. Modern EDR çözümleri, SOC’ye tehdit avlama ve IoC (Indicator of Compromise) avlama yeteneği verir. EDR olayları da MITRE ATT&CK ile eşleştirilir.
XDR (Extended Detection and Response)
EDR, NDR (Network Detection and Response) ve SIEM üzerine kuruludur ve BT ortamında daha hızlı korelasyon ve kök neden analizi sağlar. XDR hala gelişmekte olan bir teknolojidir ve çözümler satıcıdan satıcıya farklılık gösterir. XDR olayları da MITRE ATT&CK ile eşleştirilir.
OSINT ve DARKINT Araçları
Açık Kaynak (Open Source) ve Karanlık Web (Dark Web) İstihbaratı araçları, çok miktarda genel ve karanlık web bilgisine erişim sağladıkları için SOC analistlerine büyük fayda sağlar. Popüler araçlar arasında Shodan (açık cihaz tarama), Maltego (ilişki analizi), Sherlock (sosyal medya kullanıcı adı bulma) ve DarkSearch, Darkowl, Sixgill (dark web arama) bulunur.
Tehdit İstihbaratı Platformları (Threat Intelligence)
IP adreslerinin, domain itibarlarının, dosya hash’lerinin analizi için merkezi bir yer sağlar. SOC analistleri sıklıkla çeşitli sanal alanlar (sandbox), YARA (kötü amaçlı yazılım tanımlama), AlienVault OTX, IBM X-Force, VirusTotal, FortiGuard, Palo Alto Unit 42, Crowdstrike Falcon gibi platformları kullanır.
SWG / Web Proxy / DNS Güvenlik Duvarı
Kötü niyetli DNS trafiğini analiz etmek ve engellemek için DNS Güvenlik Duvarları veya DNS inceleme yetenekli güvenlik duvarları gereklidir. DNS tünelleme ile veri sızıntısı engellenmelidir. İnternet erişimi, tarayıcı izolasyonu gibi gelişmiş özelliklere sahip Güvenli Web Ağ Geçidi (SWG) veya Web Proxy üzerinden yapılmalıdır. Evden çalışma senaryoları için bulut tabanlı SWG/Proxy önemlidir. SOC analistleri, olayların kök nedenini bulmak için bu günlükleri EDR olaylarıyla birleştirir.
E-posta Güvenlik Ağ Geçidi (Email Security Gateway)
Kimlik avı saldırıları en yaygın saldırı vektörüdür. Güçlü bir e-posta güvenlik platformu şarttır. SOC analistleri, beyaz/kara listeler oluşturur, SPF/DMARC/DKIM yapılandırır, ek tarama ve sanal alan (sandbox) kullanır, URL yeniden yazma uygular ve makine öğrenimi ile gelişmiş kimlik avı önleme tekniklerini kullanır. E-posta ilkelerini yapılandırmak ve şüpheli e-postaları araştırmak SOC analistinin günlük işlerindendir.
Güvenlik Açığı Yönetimi ve Uygulama Taraması (Vulnerability Management & Application Scanning)
Uygulama ve yazılım düzeyindeki güvenlik açıkları (açık kaynak kütüphaneler, web bileşenleri, API’ler vb.) gizli riskler taşır. Güvenlik Açığı ve Uygulama tarayıcıları, güncel olmayan yazılımları, güvenli olmayan yapılandırmaları ve bilinen zafiyetleri tespit etmek için periyodik kontroller yapar. SOC Analisti, bu taramaları düzenli olarak yapar ve sonuçları yorumlar.
NGFW (Next-Generation Firewall) ve WAF (Web Application Firewall)
İnternet çıkış noktalarının ve yayınlanmış hizmetlerin (şirket içi veya bulut) korunması gerekir. NGFW ve WAF çözümleri, SOC analistlerinin ağ ve web tabanlı tehditleri tanımlamasına olanak tanır. Genellikle sınır (perimeter) güvenliğinde konumlandırılırlar. SOC analistlerinin ağ mimarisini, segmentasyonu ve güvenlik duvarı politikalarını iyi anlaması önemlidir.
WAF, halka açık web sitelerini korumak için, RASP (Runtime Application Self-Protection) gelişmiş web saldırılarını önlemek için, API güvenlik ağ geçidi ise API kaynaklı tehditleri engellemek için kullanılmalıdır. SOC analistleri ayrıca ağ paket analizörleri, NDR veya ETA (Encrypted Traffic Analysis) platformlarını kullanarak tehdit avı yapabilir.
Daha İyi Araç Seti = Daha İyi Olay Müdahalesi
SOC analistlerinin emrinde daha fazla araca sahip olmak, olayları daha hızlı sınıflandırmalarına ve daha kapsamlı yanıt vermelerine olanak tanır. Ancak, araçların nasıl yapılandırıldıkları, yönetildikleri ve çalıştırıldıkları da en az araçların kendisi kadar önemlidir. Çeşitli başka araçlar mevcuttur ve SOC analistinin gelişmiş tehditleri bulmasına ve bunları MITRE ATT&CK’ya göre sınıflandırmasına yardımcı olur.
1000’den fazla siber güvenlik sağlayıcısı ile her yıl yeni araçlar geliştirilmekte, algılama ve yanıt verme yetenekleri artırılmaktadır.
Sürekli değişen tehdit ortamı, deneyimli SOC analistlerine ve siber güvenlik araçlarında daha fazla yeniliğe olan ihtiyacı artıracaktır. İyi bir güvenlik analisti, en son tehditlerden haberdar olmak için sürekli araştırma yapar ve kendi araç setini oluşturur.
Kapsamlı bir siber güvenlik araç seti, SOC analistlerinin işlerini etkin bir şekilde yapabilmeleri ve kuruluşların siber tehditlerden korunmasını sağlamaları için çok önemlidir.
