Geleneksel SIEM’in neden yetmediği ve 11 saldırı yüzeyinde çapraz korelasyonun modern tehditleri nasıl görünür kıldığı.
Modern Saldırının Anatomisi
Büyük güvenlik ihlallerinin büyük çoğunluğu tek bir yüzeyde başlamaz ve bitmez. Saldırganlar kuruma girdikten sonra yatay hareket eder — bir yüzeyden diğerine geçer, izlerini birden fazla platformda dağıtır, ve tam bu dağınıklıktan beslenir.
Tipik bir gelişmiş saldırı şu şekilde ilerler:
- Kimlik yüzeyi: Phishing ile bir kullanıcının kimlik bilgileri ele geçirilir
- E-posta yüzeyi: Ele geçirilen hesaptan iç ağa keşif e-postaları gönderilir
- Uç nokta yüzeyi: Kötü amaçlı bir ek açılır, endpoint’e yerleşim sağlanır
- Ağ yüzeyi: Lateral movement başlar, kritik sistemlere doğru ilerlenir
- Bulut yüzeyi: Bulut depolama veya uygulama erişimi sağlanır
- OT/IoT yüzeyi: Endüstriyel sistemlere veya fiziksel altyapıya ulaşılır
Her adım ayrı bir yüzeyde gerçekleşiyor. Ve çoğu güvenlik mimarisinde her yüzey ayrı bir araç tarafından izleniyor — birbirinden habersiz.
Saldırgan bu boşlukları biliyor. Ve tam orada yaşıyor.
Geleneksel SIEM’in Yapısal Sorunu
Geleneksel SIEM yaklaşımı şu mantık üzerine kurulu: logları topla, kurallara göre alarm üret. Bu yaklaşım belirli bir dönem için yeterliydi. Artık değil.
Sorun şu: SIEM kuralları tek yüzeyi izler. Endpoint’te şüpheli aktivite varsa alarm verir. Kimlikte anomali varsa alarm verir. Ağda olağandışı trafik varsa alarm verir.
Ama bu üçü aynı anda, aynı kullanıcıda, birbirine bağlı şekilde gerçekleşiyorsa?
Çoğu SIEM bunu göremez. Çünkü bu sinyaller farklı veri kaynaklarından geliyor ve bunları birleştirecek korelasyon motoru ya yok ya da çok yavaş çalışıyor.
Sonuç: her yüzeyde “düşük öncelikli” görünen onlarca alarm. Hiçbiri tek başına aksiyon gerektirmiyor. Ama hepsi birlikte bakıldığında devam eden bir saldırının tam haritası.
SOC analistleri bu tabloyu göremiyor. Çünkü her alarm farklı bir konsolda.
11 Saldırı Yüzeyi: Equip MDR Servislerinin Kapsam Haritası
MDR servislerimiz, kurumsal güvenliği 11 saldırı yüzeyi üzerinden tanımlıyor ve bu yüzeylerin tamamını eş zamanlı olarak izliyor:
Entra ID, Active Directory, MFA logları. Olağandışı giriş saatleri, imkânsız seyahat senaryoları, risky sign-in tespiti, privilege escalation girişimleri.
Defender for Office 365 sinyalleri. Phishing tespiti, iş e-postası ele geçirme (BEC) göstergeleri, olağandışı e-posta yönlendirme kuralları.
Defender for Endpoint veya CrowdStrike telemetrisi. Kötü amaçlı süreç tespiti, olağandışı ağ bağlantıları, dosya sistemi anomalileri, living-off-the-land teknikleri.
Cisco ISE, Meraki, Umbrella sinyalleri. DNS anomalileri, lateral movement tespiti, shadow IT, olağandışı port taramaları.
Defender for Cloud Apps, Azure aktivite logları. Yetkisiz uygulama erişimi, veri sızıntısı göstergeleri, bulut kaynak anomalileri.
SAP, Oracle veya diğer ERP sistemlerinden gelen erişim logları. Olağandışı finansal işlemler, toplu veri erişimi, yetki dışı konfigürasyon değişiklikleri.
Kullanıcı davranış analitiği (UEBA). Çalışan davranış anomalileri, içeriden tehdit göstergeleri, olağandışı çalışma saatleri ve erişim kalıpları.
Web uygulama güvenlik sinyalleri. SQL injection girişimleri, olağandışı API çağrıları, web shell tespiti.
Cisco Cyber Vision, Defender for IoT sinyalleri. Endüstriyel protokol anomalileri, yetkisiz cihaz görünümü, PLC/SCADA konfigürasyon değişiklikleri.
Şirket içi sunucu ve altyapı logları. Yama durumu izleme, yetkisiz servis başlatma, kritik dosya erişim anomalileri.
Dark web izleme, kimlik bilgisi sızıntı tespiti, oltalama alan adı izleme, yönetici kimlik taklidi girişimleri.
Çapraz Yüzey Analizi (CSA): Sinyallerin Birleştiği Yer
11 yüzeyin tamamını izlemek gerekli ama yeterli değil. Asıl değer bu yüzeyler arası korelasyonda yaratılıyor.
MDR servislerimizin Çapraz Yüzey Analizi (CSA) metodolojisi şu şekilde çalışır:
- Her varlığa (kullanıcı, cihaz, uygulama) dinamik risk puanı atanır
- Tek yüzeyde düşük öncelikli görünen sinyaller diğer yüzeylerle birleştirilir
- Birden fazla yüzeyde aynı varlıkla ilişkili anomali tespit edildiğinde öncelik otomatik yükselir
- Korelasyon motoru saldırının hangi aşamasında olunduğunu MITRE ATT&CK çerçevesiyle eşleştirir
Somut örnek: Entra ID’de şüpheli giriş (düşük öncelik) + Defender for Endpoint’te olağandışı süreç (düşük öncelik) + Cisco ISE’de yeni ağ segmenti erişimi (düşük öncelik) = tek başına hiçbiri alarm gerektirmiyor. Üçü birlikte: aktif lateral movement — yüksek öncelikli doğrulanmış olay.
Bu korelasyon sayesinde alarm gürültüsünde %97’nin üzerinde bir eleme oranı sağlanıyor. SOC analistleri yüzlerce düşük öncelikli alarma değil, az sayıda doğrulanmış olaya bakıyor.
Microsoft Sentinel: Korelasyonun Altyapısı
11 yüzeyi tek bir korelasyon motorunda birleştirmek için platform seçimi kritik. Microsoft Sentinel bu mimari için neden en uygun seçenek?
SOAR entegrasyonu ile korelasyon tespitinden otomatik müdahaleye geçiş dakikalar içinde gerçekleşir
- E5 lisansı kapsamındaki tüm Microsoft güvenlik araçları Sentinel’e yerel entegrasyonla bağlanır — Defender for Endpoint, Defender for Identity, Defender for Cloud Apps, Entra ID hepsi ek konfigürasyon gerektirmeden sinyal gönderir
- Cisco ISE, Meraki, Umbrella ve Cyber Vision için sertifikalı veri bağlayıcıları mevcuttur
- KQL (Kusto Query Language) ile ortama özel çapraz yüzey korelasyon kuralları yazılabilir
- Fusion detection — yapay zeka destekli düşük sinyal korelasyonu — yerleşik olarak gelir
- SOAR entegrasyonu ile korelasyon tespitinden otomatik müdahaleye geçiş dakikalar içinde gerçekleşir
Sonuç: Savunma da Çapraz Yüzeyde Olmalı
Saldırganlar çok yüzeylidir. Savunmanın da öyle olması gerekiyor.
Tek yüzeyi izleyen araçlar değerli — ama tek başlarına yetersiz. Gerçek güvenlik, bu yüzeylerin birbirleriyle konuştuğu, sinyallerin birleştiği, ve her anomalinin daha geniş bir bağlamda değerlendirildiği bir mimariden geçiyor.
MDR hizmetimiz tam olarak bunu sağlıyor — 11 yüzeyde, 7/24, Microsoft Sentinel üzerinde. Ve mevcut teknoloji yatırımlarınızın üzerine inşa ederek.
Bu konuyu kurumunuz için konuşalım mı?
İletişime geçİlgili hizmet
Dünya bir dönüşümün içerisinde. Şirketler geleneksel merkezileştirilmiş network altyapısı modellerinin gelecek vizyonlarının kapsamını kısıtladığının farkına varıyor. Gerçek dijital dönüşüm, operasyonlarınız genelinde heyecan verici, gelişmiş ve mükemmel…
