Kısaca
SIEM (Security Information and Event Management) çözümleri, kurumsal ağdaki güvenlik olaylarını toplar, korelasyon kurallarıyla analiz eder ve güvenlik ekiplerine alarm üretir. Ancak bağlam bilgisi olmayan SIEM alarmları, SOC (Security Operations Center) ekiplerinde alarm yorgunluğuna yol açar ve gerçek tehditlerin gözden kaçmasına neden olur. Zafiyet yönetimi verilerini SIEM korelasyon sürecine entegre etmek, alarmları varlık kritikliği ve zafiyet bağlamıyla zenginleştirerek müdahale etkinliğini dramatik biçimde artırır.
Bu rehberde; SIEM temellerini, SIEM ve zafiyet yönetimi sinerjisini, korelasyon kurallarını, alarm önceliklendirme stratejilerini, SOAR entegrasyonunu, kritik log kaynaklarını, pratik kullanım senaryolarını, tehdit istihbaratı bağlamını, SOC operasyonlarını, SİTEY platform entegrasyonunu ve başarı metriklerini kapsamlı biçimde ele alıyoruz.
SIEM Temelleri: Nedir ve Nasıl Çalışır?
SIEM, kurumsal güvenlik ekosistemindeki tüm güvenlik olaylarını merkezi bir platformda toplayan, normalleştiren, korelasyon kurallarıyla analiz eden ve alarm üreten temel güvenlik teknolojisidir.
SIEM'in Temel İşlevleri
- Log Toplama (Collection): Ağ cihazları, sunucular, uygulamalar, güvenlik araçları ve bulut platformlarından log verilerinin toplanması - syslog, Windows Event Log, API, dosya tabanlı
- Normalleştirme (Normalization): Farklı formatlardaki logların ortak bir şemaya dönüştürülmesi - alan eşleme, zaman damgası standartlaştırma, sınıflandırma
- Korelasyon (Correlation): Kurallar, istatistiksel modeller ve makine öğrenme ile birden fazla olayın ilişkilendirilerek anlamlı güvenlik alarmları üretilmesi
- Depolama ve Arama: Uzun süreli log saklama, hızlı arama ve forensik analiz yeteneği
- Raporlama ve Uyumluluk: Düzenleyici gereksinimler (KVKK, ISO 27001, PCI DSS) için otomatik raporlama
- Dashboard ve Görselleştirme: Güvenlik durumunun gerçek zamanlı izlenmesi
Yaygın SIEM Çözümleri
- Ticari: Splunk Enterprise Security, IBM QRadar, Microsoft Sentinel, LogRhythm, Exabeam, Securonix
- Açık Kaynak: Elastic SIEM (ELK Stack), Wazuh, OSSIM (AlienVault Open Source), Apache Metron
SIEM'in Sınırlılıkları
SIEM tek başına yeterli değildir. Bağlam bilgisi olmadan üretilen alarmlar, SOC analistlerini gereksiz iş yüküyle boğar. Tipik bir kurumsal SIEM günde binlerce alarm üretirken, gerçek pozitif oranı genellikle %10'un altındadır. Zafiyet yönetimi verileriyle zenginleştirme, bu oranı önemli ölçüde artırır.
SIEM ve Zafiyet Yönetimi Sinerjisi
SIEM ve zafiyet yönetimi, birbirini tamamlayan iki temel güvenlik disiplinidir. SIEM "ne oluyor?" sorusuna yanıt verirken, zafiyet yönetimi "neler kırılabilir?" sorusuna yanıt verir. Bu iki veri kaynağının birleşimi, "ne oluyor VE ne kadar tehlikeli?" sorusuna cevap oluşturur.
Entegrasyonun Sağladığı Değer
- Bağlamsal Alarm Zenginleştirme: SIEM alarmları, hedef varlığın zafiyet durumu ve kritiklik seviyesiyle zenginleştirilir. Kritik zafiyeti olan bir sunucuya yönelik tarama alarmı, yamalı bir sunucuya yönelik aynı alarmdan çok daha yüksek öncelik alır.
- Alarm Önceliklendirme: Saldırı girişimlerinin gerçek bir istismar riski oluşturup oluşturmadığının değerlendirilmesi. Hedef varlıkta ilgili zafiyet yoksa alarm önceliği düşürülür.
- Proaktif Tehdit Avcılığı: Zafiyet verileri kullanılarak, henüz saldırı gerçekleşmeden önce riskli varlıklara yönelik şüpheli aktivitelerin hedefli olarak aranması.
- Düzeltme Önceliklendirme: Aktif olarak istismar girişimine maruz kalan zafiyetlerin düzeltme önceliğinin artırılması.
- Alarm Yorgunluğu Azaltma: Gerçek risk oluşturmayan alarmların filtrelenmesi ve SOC ekibinin gerçek tehditlere odaklanması.
Karşılıklı Veri Akışı
Entegrasyon iki yönlüdür: zafiyet yönetimi platformu SIEM'e varlık bilgisi, zafiyet listesi ve risk skoru sağlarken; SIEM zafiyet yönetimi platformuna saldırı girişimi verileri, güvenlik olayları ve anomali bilgileri geri besler. Bu çift yönlü veri akışı, hem SIEM'in hem de zafiyet yönetiminin etkinliğini artırır.
Korelasyon Kuralları: Zafiyet Bağlamıyla Zenginleştirme
SIEM korelasyon kuralları, zafiyet verileriyle zenginleştirildiğinde çok daha anlamlı ve eyleme dönüştürülebilir alarmlar üretir. Aşağıda pratik korelasyon senaryoları verilmiştir:
Kural 1: Kritik Zafiyeti Olan Varlığa Tarama Tespiti
- Tetikleyici: IDS/IPS'ten gelen tarama/istismar girişimi alarmı + Hedef IP'de CVSS 9.0+ zafiyet mevcut
- Aksiyon: Yüksek öncelikli alarm oluştur, SOC Tier 2'ye otomatik eskalasyon, zafiyetin istismar edilip edilmediğini doğrula
- Değer: Gerçek risk oluşturan saldırı girişimlerini anında belirleme
Kural 2: Bilinen İstismar İmzası + Savunmasız Varlık
- Tetikleyici: IDS'ten belirli bir CVE'ye ait istismar imzası + Hedef varlıkta o CVE mevcut
- Aksiyon: Kritik alarm, otomatik olay (incident) oluştur, threat intelligence ile istismar başarısını doğrula
- Değer: Başarılı istismar girişimlerinin anında tespiti ve müdahalesi
Kural 3: Yeni Zafiyet Yayınlanması + İlgili Trafik Artışı
- Tetikleyici: Yeni kritik CVE yayını + Etkilenen varlıklara yönelik trafik hacminde %200+ artış
- Aksiyon: Erken uyarı alarmı, etkilenen varlıkların listesini hazırla, acil yama planı tetikle
- Değer: Sıfır gün veya yeni yayınlanan zafiyetlere karşı proaktif savunma
Kural 4: Lateral Movement + Savunmasız Hedef
- Tetikleyici: Yanal hareket göstergeleri (olağandışı oturum açma, uzak yürütme) + Hedef sunucuda kritik zafiyet
- Aksiyon: Acil alarm, olası saldırı zincirini görselleştir, ağ izolasyonu değerlendir
- Değer: Saldırganın ağ içinde yüksek riskli varlıklara erişmesini önleme
Kural 5: Yamasız Sisteme Dış İnternet Bağlantısı
- Tetikleyici: CVSS 7.0+ zafiyeti olan varlıktan/varlığa bilinen kötü amaçlı IP/domain bağlantısı
- Aksiyon: Yüksek alarm, C2 iletişimi kontrol et, varlığı izole etmeyi değerlendir
- Değer: Olası kompromize sistemlerin erken tespiti
Alarm Önceliklendirme Stratejileri
SOC ekiplerinin en büyük zorluğu alarm yorgunluğudur. Günde binlerce alarm arasından gerçek tehditleri ayırt etmek, zafiyet bağlamı olmadan neredeyse imkânsızdır. Zafiyet yönetimi verileriyle entegre bir önceliklendirme stratejisi, SOC etkinliğini katbekat artırır.
Risk Tabanlı Önceliklendirme Formülü
Alarm Öncelik Skoru = Alarm Ciddiyeti × Varlık Kritikliği × Zafiyet Risk Skoru × İstismar Olasılığı
- Alarm Ciddiyeti: SIEM'in ürettiği alarmın ciddiyet seviyesi (düşük, orta, yüksek, kritik)
- Varlık Kritikliği: Hedef varlığın iş açısından önemi (1-5 ölçeği)
- Zafiyet Risk Skoru: Varlıktaki en yüksek CVSS skoru veya bileşik zafiyet riski
- İstismar Olasılığı: Zafiyetin bilinen istismar kodu olup olmadığı, aktif istismar kampanyaları (EPSS skoru)
Önceliklendirme Katmanları
- P1 - Acil (15 dakika SLA): Kritik zafiyeti olan yüksek değerli varlığa yönelik aktif istismar girişimi
- P2 - Yüksek (1 saat SLA): Zafiyeti olan varlığa yönelik hedefli saldırı veya lateral movement
- P3 - Orta (4 saat SLA): Genel tarama/keşif faaliyetleri, düşük riskli zafiyetlere yönelik girişimler
- P4 - Düşük (24 saat SLA): Bilgi amaçlı olaylar, yamalı varlıklara yönelik girişimler
Alarm Yorgunluğu ile Mücadele
- Zafiyet bağlamıyla uyumsuz alarmları otomatik olarak öncelik düşürme veya kapatma
- Tekrarlayan düşük değerli alarmları otomatik gruplama
- Yamalı varlıklara yönelik bilinen istismar girişimlerini bilgi amaçlı olarak işaretleme
- SOC analistlerine alarm ile birlikte zafiyet bağlamını otomatik sunma - karar süresini kısaltma
SOAR Entegrasyonu: Zafiyet Tabanlı Otomasyon
SOAR (Security Orchestration, Automation and Response), SIEM alarmlarını otomatik veya yarı otomatik olarak yanıtlayan platformlardır. Zafiyet yönetimi verileriyle entegre SOAR playbook'ları, müdahale hızını ve tutarlılığını artırır.
Otomatik Müdahale Playbook'ları
- Zafiyet Doğrulama Playbook'u: SIEM alarmı tetiklendiğinde, hedef varlığın zafiyet durumunu otomatik olarak zafiyet yönetimi platformundan sorgula, alarmı zafiyet bilgisiyle zenginleştir ve dinamik olarak öncelik ata.
- Acil Yama Tetikleme Playbook'u: Aktif istismar girişimi + savunmasız varlık kombinasyonunda, zafiyet yönetimi platformunda ilgili zafiyetin SLA'sını acile yükselt ve yama ekibine otomatik bildirim gönder.
- İzolasyon Karar Playbook'u: Kritik zafiyeti olan varlıkta başarılı istismar göstergeleri tespit edildiğinde, ağ izolasyonunu başlat veya onay için SOC yöneticisine eskalasyon gönder.
- Tehdit İstihbaratı Korelasyon Playbook'u: Yeni bir tehdit istihbaratı IOC'si geldiğinde, zafiyet yönetimi platformundaki etkilenen varlıkları otomatik olarak listele ve SIEM'de ilgili IOC arama kuralı oluştur.
SOAR Entegrasyonunun Faydaları
- Ortalama müdahale süresini (MTTR) %60-80 azaltma
- Tutarlı müdahale prosedürleri - analist tecrübesi farkından bağımsız
- 7/24 otomatik veri zenginleştirme ve ön değerlendirme
- SOC Tier 1 analistlerinin iş yükünü %40-50 azaltma
- Denetim ve uyumluluk için tam müdahale kaydı
SIEM için Kritik Log Kaynakları
SIEM'in etkinliği, toplanan log kaynaklarının kapsamlılığı ve kalitesiyle doğru orantılıdır. Zafiyet yönetimi entegrasyonunda özellikle aşağıdaki log kaynaklarının SIEM'e aktarılması kritik öneme sahiptir:
Ağ ve Altyapı
- Firewall Logları: İzin verilen ve engellenen bağlantılar, IPS alarmları, VPN oturum bilgileri
- IDS/IPS: Saldırı tespit ve engelleme alarmları, imza eşleşmeleri
- DNS Logları: Şüpheli domain sorguları, DGA tespiti, C2 iletişim göstergeleri
- Proxy/Web Gateway: URL filtreleme, dosya indirme, HTTP/HTTPS trafik detayları
- NetFlow/sFlow: Ağ trafik akışları, bant genişliği anomalileri, lateral movement göstergeleri
Uç Nokta ve Sunucu
- Windows Event Log: Oturum açma (4624/25), process oluşturma (4688), Kerberos olayları (4768/69), PowerShell logları
- EDR/XDR: Davranışsal tehdit tespiti, dosya bütünlüğü, proses ağacı analizi
- Syslog (Linux/Unix): Auth logları, sudo kullanımı, cron değişiklikleri, servis durumları
- Antivirüs/EPP: Zararlı yazılım tespitleri, karantina olayları
Kimlik ve Erişim
- Active Directory: Hesap değişiklikleri, grup üyelik güncellemeleri, GPO değişiklikleri
- IAM/PAM: Ayrıcalıklı erişim oturumları, kimlik doğrulama başarısızlıkları
- MFA: MFA başarısızlıkları, atlama girişimleri
Zafiyet Yönetimi Platformu
- Yeni zafiyet tespitleri, risk skoru değişiklikleri
- Yama uygulaması ve doğrulama olayları
- Varlık envanteri güncellemeleri, kritiklik değişiklikleri
- SLA ihlalleri ve eskalasyonlar
Pratik Kullanım Senaryoları
SIEM ve zafiyet yönetimi entegrasyonunun değerini somut senaryolarla gösterelim:
Senaryo 1: Log4Shell Saldırı Tespiti
SIEM, web sunucularına gelen HTTP isteklerinde "${jndi:ldap://...}" pattern'ini tespit eder. Zafiyet yönetimi platformuyla korelasyon yaparak, hedef sunucularda Log4j 2.x'in savunmasız sürümünün yüklü olup olmadığını kontrol eder. Savunmasız sunuculara yönelik istekler P1 alarmı olarak tetiklenir, yamalı sunuculara yönelik istekler ise bilgi amaçlı kaydedilir. Sonuç: SOC ekibi binlerce alarm yerine yalnızca gerçek risk oluşturan düzinelerce alarmla ilgilenir.
Senaryo 2: Ransomware Öncül Tespiti
SIEM, bir kullanıcı hesabından olağandışı sayıda dosya paylaşımı erişimi tespit eder (lateral movement göstergesi). Zafiyet yönetimi platformundaki verilerle, erişilen sunucularda bilinen SMB zafiyetlerinin (EternalBlue gibi) mevcut olduğu belirlenir. SOAR playbook'u devreye girerek: hesabı geçici olarak kilitler, etkilenen sunucuları izole eder ve SOC Tier 2'ye eskalasyon tetikler. Sonuç: Ransomware yayılmadan önce kontrol altına alınır.
Senaryo 3: İç Tehdit ve Zafiyet İstismarı
Bir çalışan hesabından mesai saatleri dışında, normalde erişmediği kritik veritabanı sunucusuna bağlantı tespit edilir. Zafiyet yönetimi platformu, veritabanı sunucusunda yamalanmamış SQL injection zafiyeti olduğunu bildirir. İki bağlamın birleşimi (anormal erişim + savunmasız hedef), SOC'a yüksek öncelikli alarm gönderir. Sonuç: Potansiyel veri sızıntısı erken aşamada tespit edilir.
Senaryo 4: Zero-Day Sonrası Acil Etki Analizi
Yeni bir kritik zero-day zafiyeti kamuoyuna açıklanır. Zafiyet yönetimi platformu, etkilenen yazılım sürümlerini kullanan varlıkları anında listeler. SIEM'e bu varlıklara yönelik trafik izleme kuralları otomatik olarak eklenir. Tehdit istihbaratı akışından gelen IOC'ler ile zafiyet üzerinde aktif istismar kampanyası olup olmadığı izlenir. Sonuç: Yama hazır olmadan önce proaktif savunma ve izleme sağlanır.
Tehdit İstihbaratı ile Üçlü Korelasyon
SIEM, zafiyet yönetimi ve tehdit istihbaratı verilerinin üçlü korelasyonu, güvenlik operasyonlarını en üst düzeye çıkarır. Bu üçlü entegrasyon, "bir zafiyet var mı?", "istismar ediliyor mu?" ve "bize yönelik bir tehdit kampanyası var mı?" sorularını aynı anda yanıtlar.
Tehdit İstihbaratı Kaynakları
- Ticari İstihbarat Akışları: Recorded Future, Mandiant, CrowdStrike gibi platformlardan IOC'ler ve APT profilleri
- Açık Kaynak İstihbarat: MISP, OTX (Open Threat Exchange), AbuseIPDB, VirusTotal
- Sektörel İstihbarat: ISAC (Information Sharing and Analysis Center) paylaşımları
- İç İstihbarat: Kuruluşun kendi olay geçmişi, honeypot verileri, SOC analizleri
- İstismar Veritabanları: CISA KEV (Known Exploited Vulnerabilities), Exploit-DB, Metasploit modülleri
Üçlü Korelasyon Senaryosu
Tehdit istihbaratı, belirli bir APT grubunun CVE-2025-XXXXX'i aktif olarak istismar ettiğini bildirir (1). Zafiyet yönetimi platformu, kuruluşun 15 sunucusunda bu zafiyetin mevcut olduğunu gösterir (2). SIEM, bu 15 sunucuya yönelik şüpheli trafik kalıplarını ve istismar girişimlerini izler (3). Üçünün birleşimi, gerçek ve acil bir tehdidi yalnızca saniyeler içinde ortaya koyar.
EPSS (Exploit Prediction Scoring System)
EPSS, bir zafiyetin 30 gün içinde istismar edilme olasılığını tahmin eden istatistiksel bir modeldir. SIEM korelasyon kurallarında EPSS skorunu kullanarak, aktif istismar olasılığı yüksek zafiyetlere yönelik alarmları otomatik olarak öncelik yükseltme yapabilirsiniz.
SOC Operasyonlarında Zafiyet Bağlamı
SOC ekiplerinin etkinliği, analiz sırasında mevcut bağlam bilgisiyle doğrudan ilişkilidir. Zafiyet yönetimi verileri, SOC'un tüm katmanlarında karar kalitesini artırır.
SOC Tier 1 - İzleme ve Triage
- Alarm ile birlikte hedef varlığın zafiyet profilini otomatik olarak görüntüleme
- Önceden tanımlanmış karar ağaçları ile hızlı triage - zafiyet varsa eskalasyon, yoksa bilgi amaçlı kayıt
- Tekrarlayan false-positive alarmların zafiyet bağlamıyla otomatik filtrelenmesi
SOC Tier 2 - Derinlemesine Analiz
- Saldırı zinciri analizi sırasında hedef varlıkların zafiyet haritasının incelenmesi
- İstismar başarısı değerlendirmesi - saldırganın hedef zafiyeti başarıyla kullanıp kullanmadığının doğrulanması
- Etki analizi - istismar durumunda hangi verilere ve sistemlere erişim sağlanabileceğinin değerlendirilmesi
SOC Tier 3 - Tehdit Avcılığı
- Zafiyet verileriyle hedefli tehdit avcılığı hipotezleri oluşturma - "CVE-XXXX-XXXXX savunmasız sunucularımızda istismar göstergeleri var mı?"
- Yeni yayınlanan zafiyetler için retroaktif log analizi - saldırganların zafiyetin kamuya açıklanmasından önce istismar edip etmediğinin kontrolü
- Kill chain analizi - zafiyet istismar senaryolarının uçtan uca simülasyonu ve SIEM kurallarının etkinlik testi
SİTEY ile SIEM Entegrasyonu
SİTEY platformu, yaygın SIEM çözümleriyle derin entegrasyon sağlayarak güvenlik operasyonlarınızı zafiyet bağlamıyla güçlendirir:
- Çift Yönlü API Entegrasyonu: Splunk, QRadar, Microsoft Sentinel, Elastic SIEM ve diğer SIEM çözümleriyle REST API üzerinden otomatik veri alışverişi. Zafiyet verileri SIEM'e aktarılır, SIEM olayları SİTEY'e geri beslenir.
- Varlık ve Zafiyet Zenginleştirme: SIEM alarmlarını SİTEY'deki varlık kritikliği, zafiyet CVSS skoru, EPSS olasılığı ve yama durumu bilgileriyle otomatik zenginleştirme.
- Hazır Korelasyon Kuralları: SİTEY zafiyet verileriyle entegre çalışan, denenmiş ve test edilmiş SIEM korelasyon kuralları kütüphanesi. Kurulum sihirbazıyla dakikalar içinde etkinleştirme.
- SOAR Playbook Şablonları: Zafiyet doğrulama, acil yama tetikleme, izolasyon kararı gibi yaygın senaryolar için hazır SOAR playbook şablonları.
- SOC Dashboard'u: SOC ekiplerine özel dashboard - aktif istismar girişimleri, savunmasız varlıklara yönelik tehditler, alarm-zafiyet korelasyon istatistikleri.
- Tehdit İstihbaratı Köprüsü: SİTEY üzerindeki tehdit istihbaratı verilerini SIEM'e aktararak üçlü korelasyon (SIEM + zafiyet + istihbarat) sağlama.
SİTEY'in zafiyet yönetimi platformu, SIEM yatırımınızın geri dönüşünü artırarak güvenlik operasyonlarınızı bağlam odaklı ve veri tabanlı bir yapıya kavuşturur.
SIEM-Zafiyet Yönetimi Entegrasyon Metrikleri
Entegrasyonun etkinliğini ölçmek ve sürekli iyileştirme sağlamak için takip edilmesi gereken temel metrikler:
Operasyonel Metrikler
- Ortalama Tespit Süresi (MTTD): Bir güvenlik olayının gerçekleşmesinden tespitine kadar geçen süre - hedef: sürekli azalma
- Ortalama Müdahale Süresi (MTTR): Tespitten müdahaleye kadar geçen süre - zafiyet bağlamıyla %40-60 iyileşme beklenir
- Alarm Zenginleştirme Oranı: Zafiyet bilgisiyle zenginleştirilen alarmların toplam alarmlara oranı - hedef: %90+
- False-Positive Azalma Oranı: Entegrasyon öncesi ve sonrası false-positive alarm karşılaştırması
- SOC Tier 1 Eskalasyon Doğruluğu: Eskalasyon yapılan alarmların gerçekten müdahale gerektirme oranı
Stratejik Metrikler
- Aktif İstismar Altındaki Zafiyet Sayısı: SIEM verilerine göre aktif olarak hedeflenen zafiyetlerin sayısı ve düzeltme hızı
- Zafiyet-Olay Korelasyonu: Güvenlik olaylarının ne kadarının bilinen zafiyetlerle ilişkili olduğu
- Proaktif Düzeltme Oranı: Saldırı girişimi tespit edilmeden önce düzeltilen zafiyetlerin oranı
- SIEM ROI Artışı: Entegrasyon sonrası SOC verimliliği ve olay yönetimi etkinliği iyileşmesi
- Dwell Time Azalma: Saldırganın ağda tespit edilmeden kalma süresindeki azalma
Uygulama Yol Haritası
SIEM ve zafiyet yönetimi entegrasyonunu başarıyla uygulamak için aşamalı bir yaklaşım önerilir:
Aşama 1 - Temel Entegrasyon (1-2 Ay)
- Zafiyet yönetimi platformundan SIEM'e varlık envanteri ve zafiyet veri akışını kurun
- SIEM'de varlık kritikliği tabanlı alarm önceliklendirme kuralları oluşturun
- SOC dashboard'una zafiyet bağlamı widget'ları ekleyin
- Temel korelasyon kurallarını (yukarıda listelenen 5 kural) uygulayın
Aşama 2 - İleri Korelasyon (2-4 Ay)
- Tehdit istihbaratı akışlarını entegrasyona dahil edin - üçlü korelasyon
- SOAR playbook'larını zafiyet bağlamıyla zenginleştirin
- SOC Tier 1 karar ağaçlarını zafiyet verisiyle güncelleyin
- Alarm önceliklendirme formülünü EPSS ve istismar verileriyle geliştirin
Aşama 3 - Optimizasyon (4-6 Ay+)
- False-positive analizi ve kural optimizasyonu yapın
- Zafiyet tabanlı tehdit avcılığı programı başlatın
- Entegrasyon metriklerini ölçün ve sürekli iyileştirme döngüsü kurun
- Yeni zafiyet türleri ve saldırı teknikleri için korelasyon kurallarını güncelleyin
- Red team/purple team tatbikatlarıyla entegrasyonun etkinliğini test edin
Sıkça Sorulan Sorular (SSS)
SIEM ve zafiyet yönetimi entegrasyonu ne kadar sürede sonuç verir?
Temel entegrasyon 1-2 ay içinde uygulanabilir ve ilk sonuçlar (alarm zenginleştirme, false-positive azalma) hemen görülmeye başlar. Tam olgunluk için 4-6 ay gerekir. İleri korelasyon kuralları, SOAR entegrasyonu ve tehdit avcılığı yetenekleri zamanla eklenerek sürekli iyileştirme sağlanır. SİTEY'in hazır entegrasyon şablonları bu süreyi önemli ölçüde kısaltır.
Hangi SIEM çözümüyle entegrasyon yapılabilir?
SİTEY platformu, REST API ve Syslog gibi standart entegrasyon protokolleri aracılığıyla hemen hemen tüm modern SIEM çözümleriyle entegre olabilir. Splunk, IBM QRadar, Microsoft Sentinel, Elastic SIEM, LogRhythm, Exabeam, Wazuh ve diğer yaygın çözümler için hazır entegrasyon modülleri mevcuttur. Özel veya niş SIEM çözümleri için REST API üzerinden özelleştirilmiş entegrasyon geliştirilebilir.
Alarm yorgunluğu entegrasyonla ne kadar azalır?
Zafiyet bağlamıyla zenginleştirilmiş SIEM ortamlarında, SOC ekiplerinin incelemesi gereken yüksek öncelikli alarm sayısı genellikle %40-60 oranında azalır. Bu azalma, yamalı varlıklara yönelik istismar girişimlerinin otomatik olarak düşük önceliğe atanmasından, false-positive alarmların bağlamsal filtrelenmesinden ve tekrarlayan düşük değerli alarmların otomatik gruplanmasından kaynaklanır.
SOAR olmadan da entegrasyon yapılabilir mi?
Evet, SOAR olmadan da SIEM ve zafiyet yönetimi entegrasyonu değerli sonuçlar sağlar. Zafiyet bağlamıyla alarm zenginleştirme, risk tabanlı önceliklendirme ve SOC dashboard'u SOAR olmadan da uygulanabilir. Ancak SOAR, otomatik müdahale ve orkestrasyon yetenekleriyle entegrasyonun değerini katbekat artırır. SOAR olmadan başlayarak temel entegrasyonu kurabilir, ilerleyen aşamada SOAR'ı dahil edebilirsiniz.
Entegrasyon için hangi zafiyet verileri SIEM'e gönderilmelidir?
Minimum olarak: varlık IP/hostname, zafiyet CVE numarası, CVSS skoru, EPSS skoru, yama durumu, varlık kritiklik seviyesi ve son tarama tarihi bilgileri SIEM'e aktarılmalıdır. İleri düzeyde: istismar kodu mevcudiyeti, zafiyet yaşı, etkilenen servis bilgisi, ağ segmenti ve SLA durumu da eklenebilir. Aşırı veri göndermekten kaçının; SIEM'in işleyebileceği ve korelasyonda kullanabileceği verilere odaklanın.