SOC Nedir? Güvenlik Operasyon Merkezi Nasıl Çalışır?

SOC nedir?

SOC, güvenlik izleme ve olay müdahalesini tek bir ekipte toplayan operasyonel birimdir. Üç bileşeni vardır: insanlar (analistler ve mühendisler), süreçler (izleme, sınıflandırma ve müdahale prosedürleri) ve teknoloji (SIEM, FIM, uç nokta ve tehdit istihbaratı araçları).

Güvenlik duvarı, antivirüs veya erişim kontrolü gibi önleyici kontroller saldırıların bir kısmını durdurur, ama hiçbiri tamamını durduramaz. SOC, önleyici kontrollerin kaçırdığını yakalamak için vardır. Bu yüzden bir SOC’un başarısı “hiç olay yaşanmaması” ile değil, olayların ne kadar hızlı fark edilip kontrol altına alındığıyla ölçülür.

• Sürekli izleme — Loglar ve uyarılar mesai saatleriyle sınırlı kalmadan takip edilir; ekip büyüklüğüne göre 7/24 ya da genişletilmiş saatlerle.
• Tespit ve analiz — Uyarıların gerçek olup olmadığı doğrulanır, etkilenen sistemler ve olayın kapsamı belirlenir.
• Müdahale — Hesap kilitleme, sistemi ağdan ayırma, zararlıyı temizleme gibi adımlar uygulanır veya koordine edilir.
• İyileştirme — Her olaydan sonra tespit kuralları, prosedürler ve önleyici kontroller güncellenir.

SOC hangi biçimlerde kurulur?

Büyük kurumlar genellikle özel bir ekip ve alanla, tam zamanlı bir SOC işletir. Orta ölçekli kurumlarda SOC çoğu zaman sanaldır: analistler farklı yerlerden çalışır, ortak bir SIEM ve olay yönetimi kuyruğu üzerinden koordine olur. Bir kısım kurum ise izlemeyi tamamen veya kısmen bir hizmet sağlayıcıya devreder. Biçim ne olursa olsun, uyarıların sahipsiz kalmaması ortak şarttır.

Olay müdahalesi için en yaygın başvuru kaynaklarından biri NIST’in SP 800-61 yayınıdır. 2012 tarihli Rev. 2, hazırlık, tespit ve analiz, sınırlama-temizleme-kurtarma ve olay sonrası faaliyetlerden oluşan klasik döngüyü tanımlamıştı. 2025’te yayımlanan Rev. 3 ise olay müdahalesini NIST Siber Güvenlik Çerçevesi (CSF 2.0) ile ilişkilendirerek kurumun genel risk yönetiminin parçası olarak ele alıyor.

SOC ekibinde hangi roller vardır?

Tipik bir SOC’ta uyarıları ilk değerlendiren Seviye 1 analistler, derin inceleme yapan Seviye 2 ve 3 analistler, tespit mühendisleri, tehdit avcıları ve ekibi yöneten bir SOC yöneticisi bulunur. Küçük ekiplerde bu rollerin birkaçı aynı kişide birleşebilir.

Rollerin sayısından daha önemlisi sınırların net olmasıdır: hangi uyarıyı kimin kapatabileceği, bir olayın hangi durumda yükseltileceği ve sistemi ağdan ayırma gibi kararları kimin vereceği yazılı olmalıdır. Bu kurallar genellikle bir olay sınıflandırma matrisi ve müdahale kılavuzlarıyla (playbook) belirlenir.

Vardiya ve uyarı yorgunluğu

7/24 kapsama tek bir analistle sağlanamaz; vardiyalar, izinler ve eğitim süreleri hesaba katıldığında her vardiya için birden fazla kişi gerekir. Ekip büyüklüğünü belirleyen asıl etken ise uyarı hacmidir. Gün boyunca yüzlerce sonuçsuz uyarıyla uğraşan analistler kısa sürede uyarı yorgunluğu yaşar ve gerçek olayı kaçırma riski artar. Bu yüzden tespit mühendisliğine ayrılan zaman, yeni analist almaktan çoğu zaman daha verimlidir.

SOC süreçleri nasıl işler? İzleme, tespit, müdahale

SOC süreci bir döngüdür: loglar ve uyarılar izlenir, şüpheli olaylar doğrulanıp önceliklendirilir, gerçek olaylara müdahale edilir ve öğrenilenler tespit kurallarına geri beslenir. Her adımın çıktısı bir sonrakinin girdisidir.

Müdahale kılavuzu örneği

Playbook, belirli bir olay türünde atılacak adımları sırayla tanımlar. Örneğin bir sunucuda kaba kuvvet saldırısının (T1110) ardından başarılı giriş tespit edildiğinde:

1. Girişin meşru olup olmadığını hesap sahibine veya yöneticisine doğrulatın.
2. Meşru değilse hesabı kilitleyin, parolasını ve oturum anahtarlarını sıfırlayın.
3. Kaynak IP adresini engelleyin ve tehdit istihbaratında sorgulayın.
4. Aynı IP’nin ve hesabın diğer sistemlerdeki etkinliğini SIEM’de geriye dönük arayın.
5. Sunucuda yeni kullanıcı, SSH anahtarı veya zamanlanmış görev eklenip eklenmediğini FIM kayıtlarından kontrol edin.

Önceliklendirme

Her uyarıya aynı hızla bakmak mümkün değildir. Önceliği genellikle üç şey belirler: uyarının önem derecesi, etkilenen varlığın kritikliği (örneğin etki alanı denetleyicisi ile bir test sunucusu aynı değildir) ve tehdit istihbaratı eşleşmesi. Bu bilgileri tek bir risk puanında birleştirmek, analistin kuyruğu doğru sırayla işlemesini sağlar.

Hangi metrikler izlenir?

• Ortalama tespit süresi (MTTD) — Saldırının başlamasından fark edilmesine kadar geçen süre.
• Ortalama müdahale süresi (MTTR) — Olayın fark edilmesinden kontrol altına alınmasına kadar geçen süre.
• Yanlış pozitif oranı — Analist zamanını tüketen sonuçsuz uyarıların payı; kural kalitesinin göstergesi.
• Tespit kapsamı — İzlenen log kaynakları ve MITRE ATT&CK tekniklerinden hangilerine karşı kural bulunduğu.

SOC hangi araçları kullanır? SIEM, FIM, tehdit istihbaratı

SOC’un merkezinde SIEM bulunur; diğer araçlar ya SIEM’e veri sağlar ya da SIEM’in ürettiği uyarıyı zenginleştirir. Dosya bütünlüğü izleme (FIM) ve tehdit istihbaratı bu yapının en sık kullanılan tamamlayıcılarıdır.

• SIEM — Logları toplar, normalize eder, korelasyon kurallarıyla uyarı üretir ve araştırma için merkezi arama sağlar. Ayrıntılar için SIEM nedir yazımıza bakın.
• FIM — Kritik dosyalardaki yetkisiz değişiklikleri, webshell ve kalıcılık izlerini yakalar. Bkz. dosya bütünlüğü izleme rehberi.
• Tehdit istihbaratı — Loglardaki IP adresi, alan adı ve hash değerlerini bilinen kötü amaçlı göstergelerle eşleştirir. Bkz. siber tehdit istihbaratı.
• EDR ve uç nokta güvenliği — Uç noktalarda süreç, ağ ve dosya etkinliğini izler; sistemi ağdan ayırma gibi müdahale imkânı verir.
• SOAR ve olay yönetimi — Tekrarlayan müdahale adımlarını otomatikleştirir; olay kaydını, sorumluyu ve durumu takip eder.
• Zafiyet yönetimi — Hangi sistemde hangi açığın bulunduğunu gösterir; bir uyarının hedef aldığı sistem gerçekten savunmasızsa öncelik yükselir.

Araçlar birlikte nasıl çalışır?

Araçların değeri birbirine bağlandığında ortaya çıkar. FIM bir web sunucusunda yeni bir betik dosyası bildirdiğinde, SIEM aynı saatlerdeki web sunucusu erişim loglarını ve dosyayı yükleyen IP adresini getirir; tehdit istihbaratı bu IP’nin bilinen bir saldırı altyapısına ait olduğunu söylerse risk puanı yükselir ve uyarı kuyruğun başına geçer. Analist, tek bir uyarı üzerinden dosyayı, isteği ve kaynağı birlikte görür.

Araç sayısı arttıkça analistin konsollar arasında geçiş yapması da artar ve her geçiş zaman kaybıdır. Bu nedenle birçok SOC, uyarıların ve araştırmanın tek bir çalışma alanında toplanmasını öncelikli hedef olarak görür. Logchase SIEM; log yönetimini, korelasyonu, tehdit istihbaratı zenginleştirmesini, FIM’i ve olay yönetimini (pakete göre) aynı platformda birleştirir.

Kurum içi SOC mu, hizmet olarak SOC mu?

Kurum içi SOC tam kontrol ve kuruma özgü bilgi sağlar, ama vardiyalı kadro ve sürekli yatırım ister. Hizmet olarak SOC (SOCaaS veya yönetilen güvenlik hizmeti) daha hızlı başlar ve vardiya yükünü üstlenir; buna karşılık kurumun ortamını içeriden tanımaz. Birçok kurum ikisini birleştiren hibrit bir model seçer.

Hibrit modelde SIEM ve loglar kurumda kalır, mesai dışı izleme ve ilk sınıflandırma bir hizmet sağlayıcıya verilir, kritik olaylarda kurum içi ekip devreye girer. Hangi modeli seçerseniz seçin, SIEM’in ve logların sahipliği, olay bildirim süreleri ve müdahale yetkileri sözleşmede açıkça yazılmalıdır.

Loglar kullanıcı adı, IP adresi ve e-posta gibi kişisel veriler içerdiği için, logları bir hizmet sağlayıcıyla paylaşmak KVKK açısından da değerlendirilmelidir. Sağlayıcı genellikle veri işleyen konumundadır; verinin hangi ülkede işlendiği, kimlerin erişebildiği ve hangi güvenlik tedbirlerinin alındığı sözleşmede yer almalıdır.

SOC kurmaya nereden başlanmalı?

1. Korumak istediğiniz kritik varlıkları ve en olası saldırı senaryolarını belirleyin.
2. Bu senaryoları görmek için gereken log kaynaklarını bir SIEM’de toplayın.
3. Her senaryo için bir tespit kuralı ve kısa bir müdahale kılavuzu yazın.
4. Uyarıların kime, hangi kanaldan ve ne kadar sürede ulaşacağını tanımlayın.
5. Metrikleri aylık gözden geçirip kapsamı adım adım genişletin.