Kategori: Services (CX)

Geleneksel SIEM’in neden yetmediği ve 11 saldırı yüzeyinde çapraz korelasyonun modern tehditleri nasıl görünür kıldığı.

Modern Saldırının Anatomisi

Büyük güvenlik ihlallerinin büyük çoğunluğu tek bir yüzeyde başlamaz ve bitmez. Saldırganlar kuruma girdikten sonra yatay hareket eder — bir yüzeyden diğerine geçer, izlerini birden fazla platformda dağıtır, ve tam bu dağınıklıktan beslenir.

Tipik bir gelişmiş saldırı şu şekilde ilerler:

• Kimlik yüzeyi: Phishing ile bir kullanıcının kimlik bilgileri ele geçirilir
• E-posta yüzeyi: Ele geçirilen hesaptan iç ağa keşif e-postaları gönderilir
• Uç nokta yüzeyi: Kötü amaçlı bir ek açılır, endpoint’e yerleşim sağlanır
• Ağ yüzeyi: Lateral movement başlar, kritik sistemlere doğru ilerlenir
• Bulut yüzeyi: Bulut depolama veya uygulama erişimi sağlanır
• OT/IoT yüzeyi: Endüstriyel sistemlere veya fiziksel altyapıya ulaşılır

Her adım ayrı bir yüzeyde gerçekleşiyor. Ve çoğu güvenlik mimarisinde her yüzey ayrı bir araç tarafından izleniyor — birbirinden habersiz.

Saldırgan bu boşlukları biliyor. Ve tam orada yaşıyor.

Geleneksel SIEM’in Yapısal Sorunu

Geleneksel SIEM yaklaşımı şu mantık üzerine kurulu: logları topla, kurallara göre alarm üret. Bu yaklaşım belirli bir dönem için yeterliydi. Artık değil.

Sorun şu: SIEM kuralları tek yüzeyi izler. Endpoint’te şüpheli aktivite varsa alarm verir. Kimlikte anomali varsa alarm verir. Ağda olağandışı trafik varsa alarm verir.

Ama bu üçü aynı anda, aynı kullanıcıda, birbirine bağlı şekilde gerçekleşiyorsa?

Çoğu SIEM bunu göremez. Çünkü bu sinyaller farklı veri kaynaklarından geliyor ve bunları birleştirecek korelasyon motoru ya yok ya da çok yavaş çalışıyor.

Sonuç: her yüzeyde “düşük öncelikli” görünen onlarca alarm. Hiçbiri tek başına aksiyon gerektirmiyor. Ama hepsi birlikte bakıldığında devam eden bir saldırının tam haritası.

SOC analistleri bu tabloyu göremiyor. Çünkü her alarm farklı bir konsolda.

11 Saldırı Yüzeyi: Equip MDR Servislerinin Kapsam Haritası

MDR servislerimiz, kurumsal güvenliği 11 saldırı yüzeyi üzerinden tanımlıyor ve bu yüzeylerin tamamını eş zamanlı olarak izliyor:

Entra ID, Active Directory, MFA logları. Olağandışı giriş saatleri, imkânsız seyahat senaryoları, risky sign-in tespiti, privilege escalation girişimleri.

Defender for Office 365 sinyalleri. Phishing tespiti, iş e-postası ele geçirme (BEC) göstergeleri, olağandışı e-posta yönlendirme kuralları.

Defender for Endpoint veya CrowdStrike telemetrisi. Kötü amaçlı süreç tespiti, olağandışı ağ bağlantıları, dosya sistemi anomalileri, living-off-the-land teknikleri.

Cisco ISE, Meraki, Umbrella sinyalleri. DNS anomalileri, lateral movement tespiti, shadow IT, olağandışı port taramaları.

Defender for Cloud Apps, Azure aktivite logları. Yetkisiz uygulama erişimi, veri sızıntısı göstergeleri, bulut kaynak anomalileri.

SAP, Oracle veya diğer ERP sistemlerinden gelen erişim logları. Olağandışı finansal işlemler, toplu veri erişimi, yetki dışı konfigürasyon değişiklikleri.

Kullanıcı davranış analitiği (UEBA). Çalışan davranış anomalileri, içeriden tehdit göstergeleri, olağandışı çalışma saatleri ve erişim kalıpları.

Web uygulama güvenlik sinyalleri. SQL injection girişimleri, olağandışı API çağrıları, web shell tespiti.

Cisco Cyber Vision, Defender for IoT sinyalleri. Endüstriyel protokol anomalileri, yetkisiz cihaz görünümü, PLC/SCADA konfigürasyon değişiklikleri.

Şirket içi sunucu ve altyapı logları. Yama durumu izleme, yetkisiz servis başlatma, kritik dosya erişim anomalileri.

Dark web izleme, kimlik bilgisi sızıntı tespiti, oltalama alan adı izleme, yönetici kimlik taklidi girişimleri.

Çapraz Yüzey Analizi (CSA): Sinyallerin Birleştiği Yer

11 yüzeyin tamamını izlemek gerekli ama yeterli değil. Asıl değer bu yüzeyler arası korelasyonda yaratılıyor.

MDR servislerimizin Çapraz Yüzey Analizi (CSA) metodolojisi şu şekilde çalışır:

• Her varlığa (kullanıcı, cihaz, uygulama) dinamik risk puanı atanır
• Tek yüzeyde düşük öncelikli görünen sinyaller diğer yüzeylerle birleştirilir
• Birden fazla yüzeyde aynı varlıkla ilişkili anomali tespit edildiğinde öncelik otomatik yükselir
• Korelasyon motoru saldırının hangi aşamasında olunduğunu MITRE ATT&CK çerçevesiyle eşleştirir

Somut örnek: Entra ID’de şüpheli giriş (düşük öncelik) + Defender for Endpoint’te olağandışı süreç (düşük öncelik) + Cisco ISE’de yeni ağ segmenti erişimi (düşük öncelik) = tek başına hiçbiri alarm gerektirmiyor. Üçü birlikte: aktif lateral movement — yüksek öncelikli doğrulanmış olay.

Bu korelasyon sayesinde alarm gürültüsünde %97’nin üzerinde bir eleme oranı sağlanıyor. SOC analistleri yüzlerce düşük öncelikli alarma değil, az sayıda doğrulanmış olaya bakıyor.

Microsoft Sentinel: Korelasyonun Altyapısı

11 yüzeyi tek bir korelasyon motorunda birleştirmek için platform seçimi kritik. Microsoft Sentinel bu mimari için neden en uygun seçenek?

SOAR entegrasyonu ile korelasyon tespitinden otomatik müdahaleye geçiş dakikalar içinde gerçekleşir

• E5 lisansı kapsamındaki tüm Microsoft güvenlik araçları Sentinel’e yerel entegrasyonla bağlanır — Defender for Endpoint, Defender for Identity, Defender for Cloud Apps, Entra ID hepsi ek konfigürasyon gerektirmeden sinyal gönderir
• Cisco ISE, Meraki, Umbrella ve Cyber Vision için sertifikalı veri bağlayıcıları mevcuttur
• KQL (Kusto Query Language) ile ortama özel çapraz yüzey korelasyon kuralları yazılabilir
• Fusion detection — yapay zeka destekli düşük sinyal korelasyonu — yerleşik olarak gelir
• SOAR entegrasyonu ile korelasyon tespitinden otomatik müdahaleye geçiş dakikalar içinde gerçekleşir

Sonuç: Savunma da Çapraz Yüzeyde Olmalı

Saldırganlar çok yüzeylidir. Savunmanın da öyle olması gerekiyor.

Tek yüzeyi izleyen araçlar değerli — ama tek başlarına yetersiz. Gerçek güvenlik, bu yüzeylerin birbirleriyle konuştuğu, sinyallerin birleştiği, ve her anomalinin daha geniş bir bağlamda değerlendirildiği bir mimariden geçiyor.

MDR hizmetimiz tam olarak bunu sağlıyor — 11 yüzeyde, 7/24, Microsoft Sentinel üzerinde. Ve mevcut teknoloji yatırımlarınızın üzerine inşa ederek.

Kurumlarının korumalı olduğuna inanan ama OT/ICS ortamlarına hiç güvenlik gözüyle bakmamış CISO’lar, CIO’lar ve üst düzey yöneticiler için bir uyarı.

Her Şey Bir Firmware Güncellemesiyle Başladı

2022 yılında büyük bir Avrupalı liman operatörü, saldırganların operasyonel ağlarında on bir aydır bulunduğunu keşfetti. İlk giriş noktası, endüstriyel bir ağ geçidi cihazındaki rutin bir firmware güncellemesiydi — hiçbir IT güvenlik ekibinin envanterini hiç çıkarmadığı, çünkü IT departmanına değil operasyon departmanına ait olan bir bileşen.

On bir ay. Saldırganlar vinç çizelgeleme sistemlerini gözlemledi, kargo yönlendirme mantığını haritalandırdı ve maksimum kesinti yaratabilecekleri tam koşulları belirledi. IT ağına hiç dokunmadılar. Tek bir SIEM uyarısı tetiklemediler.

Sonunda harekete geçtiklerinde, yoğun boşaltma saatlerinde üç terminal vinci eş zamanlı olarak devre dışı kaldı. Liman dört günlük operasyonunu yitirdi. Tedarik zinciri cezaları ve itibar hasarı hesaba katılmadan maliyet on iki milyon euroyu aştı.

Bu istisnai bir hikaye değil. Bir şablon.

Kurumları Saldırıya Açık Bırakan Varsayım

Çoğu üst yönetim ekibi temel bir güvenlik varsayımıyla hareket eder: SIEM sessizse kurum güvendedir. Bu varsayım IT ortamları için makul. OT ortamları için ise felaket getirici derecede yanlış.

Nedeni şu. SIEM’iniz — ne kadar iyi yapılandırılmış olursa olsun — yalnızca kendisine bağlı olanları görür. Microsoft Sentinel çalışma alanınız Defender for Endpoint, Entra ID, Exchange Online, firewall’larınız ve VPN’inizden sinyal alır. Büyük ihtimalle almadığı sinyaller şunlar:

• Üretim hatlarınızı yöneten PLC’ler
• Vinç operasyonlarınızı veya boru hattı akışlarınızı yöneten SCADA sistemleri
• Operatörlerin endüstriyel süreçleri kontrol ettiği HMI’lar
• Otomatik yönlendirmeli araçları bağlayan endüstriyel kablosuz ağlar
• Fiziksel altyapınıza gömülü onlarca veya yüzlerce sensör

Bu cihazlar çevrimiçi. Çoğu zaman doğrudan ya da tedarik zinciri satıcı bağlantıları üzerinden internete erişilebilir durumdalar. Yıllardır güncellenmemiş firmware üzerinde çalışıyorlar. Ve SOC’unuza ulaşan sıfır güvenlik telemetrisi üretiyorlar.

İşte kör noktanız bu. Saldırganlar tam olarak nerede olduğunu biliyor.

OT’de Riskler Farklı

Saldırganlar bir IT ortamını ele geçirdiğinde hasar modeli tanıdıktır: veri sızıntısı, fidye yazılımı şifrelemesi, iş kesintisi. Maliyetli — ama yönetilebilir. Sistemler geri yüklenebilir. Veriler kurtarılabilir.

Saldırganlar bir OT ortamını ele geçirdiğinde hasar modeli tamamen değişir. Verilerinizin peşinde değiller. Operasyonlarınızın peşindeler.

Üretimde: bir üretim hattını döngü ortasında durdurmak ekipmanlara zarar verebilir, süreç içi stoku mahvedebilir ve maliyetli yeniden başlatma prosedürlerini tetikleyebilir. Kimya, ilaç, gıda üretimi gibi proses endüstrilerinde bir OT saldırısı fiziksel güvenlik tehlikeleri yaratabilir.

Limanlarda: tek bir terminalin otomatik sistemlerini aksatmak tüm lojistik zincirinde kaskad bir birikime yol açar. Demirdeki gemiler. İhlal edilen sözleşmeler. Bozulan soğutmalı kargo.

Ciddi bir OT olayından kaynaklanan finansal maruziyet genellikle bir IT olayını üç ila beş kat aşar. Buna rağmen OT güvenlik harcamaları çoğu kurumda IT güvenlik harcamalarının küçük bir bölümünde kalmaya devam ediyor.

Bu Boşluk Neden Devam Ediyor?

IT/OT güvenlik boşluğu yeni değil. Güvenlik profesyonelleri on yılı aşkın süredir bu konuda uyarıyor. Peki neden devam ediyor?

Çalıştığımız kurumların tutarlı biçimde dile getirdiği üç neden var:

Birincisi, kurumsal silolar. OT ortamları IT’ye değil operasyon, mühendislik veya tesis ekiplerine aittir. Güvenlik bütçeleri ve yetkileri CISO ofisinden geçer — tarihsel olarak OT altyapısı üzerinde çok az görünürlüğü veya yetkisi olan bir ofis.

İkincisi, aksaklık korkusu. OT ortamları çoğu zaman kesintisiz operasyon yürütmektedir. Bir PLC’ye yama uygulamak veya endüstriyel bir kontrolöre güvenlik ajanı dağıtmak gerçek operasyonel kesinti riski taşır. Güvenlik ekipleri anlamadıkları sistemlere dokunmaktan çekinir; operasyon ekipleri ise dış müdahaleye direnir.

Üçüncüsü, araç uyumsuzluğu. Geleneksel güvenlik araçları OT protokolleri için tasarlanmamıştır: Modbus, DNP3, PROFINET, EtherNet/IP. Yakın zamana kadar IT güvenlik kapsamını OT ortamlarına genişletmek, çoğu kurumun satın almayı haklı çıkaramadığı özel platformlar gerektiriyordu.

Bu üç engelin de bugün çözümleri var. Soru, kurumların yeterince hızlı hareket edip etmediği.

Kör Noktayı Kapattığınızda Ne Değişiyor?

IT ve OT güvenlik görünürlüğünü başarıyla birleştiren kurumlar ortak bir mimariyi paylaşıyor: her iki katmandan telemetri alan merkezi bir SIEM platformu — çoğu durumda Microsoft Sentinel.

OT tarafında ise Cisco Cyber Vision bunu mümkün kılar. Endüstriyel ağ içinde konumlandırılan sanal Cyber Vision sensörleri, her varlığı pasif olarak keşfeder, her iletişim ilişkisini haritalandırır ve sürekli güvenlik telemetrisi üretir — OT sistemlerine dokunmadan veya kesinti yaratmadan. Ajan yok. Yama yok. Operasyonel risk yok.

Bu telemetri IT sinyalleriyle birlikte Microsoft Sentinel’e akar. Aniden daha önce imkânsız olan korelasyon rutin hale gelir: Entra ID’de olağandışı bir kimlik doğrulama girişiminin ardından bir BT atlama sunucusundan OT ağ geçidine yeni bağlantı — iki ayrı görünmez olay değil, tek bir ilişkilendirilmiş olay haline gelir.

Bu mimarinin üstüne Equip’in 7/24 MDR hizmeti eklendiğinde, SOC operasyonlarında analistler tam olarak bu tür çapraz yüzey tehdit kalıplarını aktif olarak avlar — saat gibi.

Bu Çeyrek İçinde Yapmanız Gereken Konuşma

Bu yazıyı okuyan bir CISO iseniz, bu hafta ekibinize sormanız gereken soru basit: ağımızdaki her OT cihazının güncel envanterini ve bu cihazlardan son 30 günün güvenlik telemetrisini bana gösterebilir misiniz?

Cevap hayırsa — ya da ekibiniz yanıtlamadan önce duraksıyorsa — bir kör noktanız var demektir. Ve bugünün tehdit ortamında bu kör nokta teorik risk değil. Operasyonel maruziyettir.

İyi haber şu: kurumunuzun Cisco altyapısı ve Microsoft E5 lisansı varsa, bu boşluğu kapatmaya sandığınızdan çok daha yakınsınız. Teknoloji ya zaten mevcut ya da sahip olduğunuz anlaşmalara dahil. Eksik olan, bunu etkinleştirecek strateji ve yönetilen hizmet.

Equip MDR tam olarak bunu sağlıyor.

Cisco altyapınızı ve Microsoft E5 yatırımlarınızı birleştirerek rakipsiz maliyet etkinlikte kurumsal düzeyde MDR ve SOC hizmeti sunuyoruz.

Çoğu Kurumun Fark Etmediği Bir Tablo

Büyük kurumların güvenlik harcamalarına baktığımızda tutarlı bir tablo görüyoruz: üst üste binen yatırımlar, birbirinden habersiz çalışan araçlar ve bu araçlar arasındaki boşluklarda sessizce yaşayan tehditler.
Microsoft E5 lisansı var — ama içindeki güvenlik araçlarının büyük çoğunluğu ya hiç aktive edilmemiş ya da tam kapasitede kullanılmıyor. Cisco ISE, Umbrella veya Meraki var — bunlar her gün güvenlik sinyali üretiyor ama bu sinyaller güvenlik analitiğine girmiyor. Bir de bunların üstüne ayrı bir EDR, ayrı bir SIEM, ayrı bir MDR hizmeti satın alınıyor.
Sonuç: aynı şey için birden fazla kez ödeme yapılıyor. Ve yine de gerçek anlamda korunulmuyor.

Microsoft E5 İçinde Zaten Ne Var?

E5 lisansının güvenlik katmanı şunları içeriyor:

• Defender for Endpoint Plan 2 — kurumsal EDR, davranışsal analitik, tehdit avcılığı
• Defender for Identity — kimlik tabanlı saldırı tespiti, lateral movement izleme
• Defender for Cloud Apps — bulut uygulama güvenliği, CASB işlevselliği
• Defender for Office 365 Plan 2 — e-posta tabanlı tehdit koruması
• Entra ID P2 — gelişmiş kimlik koruması, koşullu erişim, risky sign-in tespiti
• Microsoft Sentinel için kullanıcı başına 5 MB/gün ücretsiz veri ingestion

Bunların tamamı zaten ödenmiş durumda. Bir kurumun bu araçları tam kapasite kullanmadan ayrıca CrowdStrike, QRadar veya başka bir SIEM + MDR kombinasyonu satın alması, aynı arabayı iki kez ödemek gibi.

Cisco Altyapısı Nerede Devreye Giriyor?

Cisco ISE, Umbrella, Meraki, Cyber Vision ve URWB kullanan kurumlar, farkında olmadan muazzam bir güvenlik telemetrisi kaynağının üzerinde oturuyor.

• ISE: Kimlik doğrulama ve ağ erişim logları — kim, ne zaman, nereden bağlandı
• Umbrella: DNS katmanı tehdit istihbaratı — kötü amaçlı domain sorguları, shadow IT tespiti
• Meraki: Ağ akış verileri ve anomali sinyalleri
• Cyber Vision: OT/IoT cihaz envanteri ve endüstriyel ağ güvenlik telemetrisi
• URWB: Endüstriyel kablosuz ağ olayları

Bu veriler şu an çoğu kurumda ya hiç işlenmiyor ya da ayrı konsollar arasında kaybolup gidiyor. Microsoft Sentinel’e aktarıldığında ise tablonun tamamı değişiyor.

Sentinel Birleştirince Ne Oluyor?

Microsoft Sentinel merkeze alındığında şu korelasyon mümkün hale geliyor:

Entra ID’de şüpheli bir kimlik doğrulama girişimi. Aynı kullanıcıdan Umbrella’da anomali DNS sorgusu. ISE’de beklenmedik bir ağ erişimi. Meraki’de olağandışı bir trafik paterni.

Bu dört sinyal ayrı ayrı bakıldığında düşük öncelikli birer uyarı. Birlikte bakıldığında: devam eden bir saldırının net izleri.

Geleneksel SIEM yaklaşımı bu korelasyonu ya yakalayamaz ya da yüzlerce alarm arasında gömülü bırakır. Sentinel + Equip MDR kombinasyonu bunu dakikalar içinde doğrulanmış olay haline getirir ve otomatik müdahaleyi başlatır.

Equip MDR Neyi Ekliyor?

Teknoloji altyapısı ne kadar güçlü olursa olsun, 7/24 insan analist gözetimi olmadan tam koruma sağlanamaz. Equip’in MDR hizmeti tam bu boşluğu dolduruyor.

• Stockholm ve İstanbul SOC’larından 7/24 izleme ve müdahale
• 11 saldırı yüzeyinde çapraz yüzey korelasyon analizi
• Alarm gürültüsünde %97’nin üzerinde eleme — yalnızca doğrulanmış olaylar iletilir
• SOAR playbook’larıyla dakikalar içinde otomatik tehdit kontrolü
• CTEM ile hangi güvenlik açığının önce kapatılacağını belirleme
• Equip Splash portalında anlık görünürlük ve raporlama

Ve en önemlisi: Equip NDR mevcut teknoloji altyapınız üzerine inşa eder. Sizi yeni bir ürün satın almaya zorlamaz.

Maliyet Farkı Gerçek mi?

2.000 kullanıcılı bir kurumu örnek alalım. E5 lisansı mevcut.

Rakip bir SIEM + EDR + MDR kombinasyonu (örneğin Palo Alto XSIAM + Cortex XDR) için yıllık maliyet genellikle 600.000 ile 1.000.000 dolar arasında başlıyor.

Microsoft Sentinel + E5 aktivasyonu + Equip MDR kombinasyonunda ise aynı kurumun ödediği rakam 150.000 ile 250.000 dolar aralığında kalıyor.

Fark: yılda 400.000 ile 750.000 dolar. Daha düşük koruma seviyesinde değil — çok daha kapsamlı bir güvenlik mimarisinde.

Bu farkı mümkün kılan şey basit: E5 içindeki araçlar zaten ödendi. Cisco altyapısının logları zaten üretiliyor. Yapılması gereken tek şey bunları doğru şekilde birleştirmek.

Bu Yazı Kimin İçin?

Eğer kurumunuzda şunlardan bir ya da birkaçı varsa, bu mimari doğrudan sizi ilgilendiriyor:

• Microsoft E5 veya E3 + Security lisansı
• Cisco ISE, Umbrella, Meraki, Cyber Vision veya URWB
• CrowdStrike, Palo Alto, Fortinet veya Check Point tabanlı mevcut güvenlik altyapısı
• Ayrı SIEM veya MDR hizmetleri için ödenen yıllık lisans maliyetleri

Mevcut yatırımlarınızın güvenlik getirisini birlikte hesaplamak için ücretsiz bir analiz sunuyoruz. 45 dakika. Somut bulgular. Sizi yeni bir şey satın almaya zorlamadan.