SIEM platformu: Olayları birleştirin. Büyük resmi görün.
Güvenlik verilerini ilişkilendirin, uyarıları önceliklendirin, olayları tek ekranda inceleyin.
- Birleşik güvenlik görünürlüğü
- Olay korelasyonu
- İnceleme bağlamı
Tanım
SIEM nedir?
SIEM (Security Information and Event Management, Güvenlik Bilgi ve Olay Yönetimi); sunucu, ağ cihazı, uygulama ve bulut servislerinden gelen güvenlik loglarını toplayan, ortak bir yapıya dönüştüren ve farklı kaynaklardaki olayları ilişkilendirerek tehditleri gerçek zamanlı tespit eden yazılımdır. Bir tespit kuralı eşleştiğinde önceliklendirilmiş bir uyarı üretir; güvenlik ekipleri ve SOC analistleri olayı tüm bağlamıyla tek ekrandan inceler.
Saldırılar nadiren tek bir logda görünür. Kaba kuvvet denemesi güvenlik duvarında, giriş kimlik sisteminde, yetki değişikliği ise bir sunucuda iz bırakır. Her olay tek başına önemsiz görünür; ilişkilendirildiğinde bir saldırıyı anlatır. SIEM, SOC ekibine bu bütünleşik görünümü sunar ve kanıtları inceleme ile uyumluluk raporlaması için saklar.
SIEM nasıl çalışır?
1. Topla
Loglar güvenlik duvarlarından, sunuculardan, kimlik sistemlerinden, veritabanlarından ve bulut servislerinden Syslog, REST API, dosya toplama ve agent’larla gelir.
2. Normalize et
Parser’lar her üreticinin formatını kaynak IP, kullanıcı, aksiyon ve olay kimliği gibi ortak alanlara çevirir.
3. İlişkilendir ve tespit et
Kurallar kaynaklar arasında koşulları, eşikleri ve zaman pencerelerini birleştirir; tehdit istihbaratı bağlam katar.
4. Uyar ve incele
İlgili olaylarıyla birlikte önceliklendirilmiş bir uyarı açılır; analist olayı inceler ve müdahale eder.
Olayları içgörüye dönüştürün
Dağınık olaylardan
bağlantılı kanıtlara.
Olayları birden çok log kaynağı arasında ilişkilendirerek karmaşık saldırı kalıplarını tespit edin. Aktiviteler, varlıklar ve kullanıcılar arasındaki ilişkileri görerek gerçekte ne olduğunu anlayın.
Birden çok kaynağı bağlayın
Altyapı, uygulama ve bulut ortamlarınızdaki logları birleştirin.
Olay dizilerini tanıyın
Zaman ve kaynaklar arasında çok aşamalı saldırıları belirleyin.
İncelemelere bağlam katın
İlgili olayları, kullanıcıları, varlıkları ve tehdit göstergelerini bağlayın.
Merkezi güvenlik görünürlüğü
Güvenlik operasyonlarınız.
Tek çalışma alanında.
Tüm ortamınızdaki güvenlik olaylarını tek ve birleşik bir platformdan toplayın, ilişkilendirin ve inceleyin.
- Sunucular
- Uç noktalar
- Güvenlik duvarları
- Uygulamalar
- Bulut ortamları
Esnek tespit mantığı
Ortamınıza uyan
tespit mantığı.
Toplayın, olay sıklığı, log kalıpları, alan değerleri ve anomali tespitine dayalı kurallarla ilişkilendirin.
- Olay sıklığı (ör. tekrarlanan işlemler)
- Log kalıpları (ör. başarısız girişlerin ardından başarılı giriş)
- Alan değerleri (ör. yetki değişiklikleri, olağandışı konumlar)
- Anomali sinyalleri (ör. davranış sapmaları)
- Tehdit istihbaratı eşleşmeleri (ör. bilinen zararlı IP veya alan adları)
Tespit senaryosu
Başarısız girişlerden yetki değişikliğine.
Bu sayfadaki ekranlar yaygın bir hesap ele geçirme örüntüsünü gösteriyor. Logchase SIEM’in dağınık olayları tek bir vakaya nasıl dönüştürdüğü adım adım:
Bu olaylar tek tek ele alındığında kolayca gözden kaçar: başarısız girişler her gün yaşanır, grup değişiklikleri de olağan yönetim işleridir. Hesap, kaynak IP ve zamana göre ilişkilendirildiklerinde ise süren bir saldırıyı anlatırlar; analist de olay raporu için gereken kanıta en baştan sahip olur.
İlgili MITRE ATT&CK teknikleri: T1110 Brute Force ve T1078 Valid Accounts.
- 1
Tekrarlanan başarısız girişler
Kimlik logları, tek bir hesap için aynı dış IP adresinden gelen art arda başarısız girişler kaydeder (Windows olayı 4625). Kaba kuvvet kuralı bu denemeleri eşik değeri ve zaman penceresiyle karşılaştırır.
- 2
Ardından başarılı giriş
Birkaç dakika sonra aynı hesap başarıyla oturum açar (olay 4624). Yukarıda gösterilen türden bir korelasyon kuralı (on dakika içinde beş veya daha fazla başarısız giriş ve ardından başarılı giriş) iki olayı birbirine bağlar ve tespit üretir.
- 3
Hesap yetki kazanır
Kısa süre sonra hesap ayrıcalıklı bir gruba eklenir (olay 4728 veya 4732). Bu tek başına olağan bir işlem olabilir; şüpheli bir girişin hemen ardından gelince güçlü bir sinyaldir ve vakanın risk puanı yükselir.
- 4
Bağlam eklenir
Tehdit istihbaratı kaynak IP’yi bilinen zararlı IP’ler, botnet aktivitesi, TOR çıkış düğümleri ve kaba kuvvet kaynaklarıyla karşılaştırır; güvenlik duvarı logları da bu adresin başka nerelere eriştiğini gösterir.
- 5
Tek ve önceliklendirilmiş uyarı
Analist onlarca ayrı olay yerine, ilgili güvenlik duvarı, kimlik ve sunucu olaylarını tek bir zaman çizelgesinde gösteren yüksek önemli bir uyarı görür.
- 6
İnceleme ve müdahale
Analist uyarıyı incelemeye alır, not ekler ve bir olay kaydı açar; ardından harekete geçer: hesabın parolasını sıfırlar ya da hesabı devre dışı bırakır, IP’yi engeller ve hesabın yetki değişikliğinden sonra yaptığı her işlemi gözden geçirir.
SOC iş akışı
Her incelemeye
net bir sonraki adım.
Analistlerinizi ilk uyarıdan bilinçli müdahaleye kadar destekleyin.
- 1
Tespit et
Olayları gerçek zamanlı toplayın ve ilişkilendirin.
- 2
İncele
İlgili olayları, kullanıcıları ve varlıkları keşfedin.
- 3
Önceliklendir
Yüksek riskli olaylara odaklanın.
- 4
Müdahale et
Tam bağlamla bilinçli aksiyon alın.
Neden Logchase SIEM
Geleneksel log depolama
ve Logchase SIEM.
Log depolama verinizi saklamanıza yardımcı olur. Logchase SIEM ise korelasyon, uyarı ve inceleme iş akışlarıyla daha ileri gider.
| Yetenek | Log depolama | Logchase SIEM |
|---|---|---|
| Merkezi log toplama ve arama | ||
| Tehdit istihbaratı ile bağlam | ||
| Kaynaklar arası olay korelasyonu | ||
| Gerçek zamanlı tespit ve uyarı | ||
| Uyarı önceliklendirme ve inceleme |
Yetenekler
Logchase SIEM’de neler var?
Merkezi log yönetiminin üzerine tespit, bağlam ve inceleme araçları; hepsi tek platformda.
Korelasyon kuralları
Alan koşulları, eşik değerleri ve zaman pencerelerinden kurallar oluşturun; AND/OR mantığı ve mesai saati kontrolleriyle birleştirin.
Kural şablonları
Her biri MITRE ATT&CK tekniklerine eşlenmiş hazır tespit şablonlarıyla başlayın, ortamınıza göre uyarlayın.
Tehdit istihbaratı
ThreatPeak entegrasyonu, gelen loglardaki zararlı IP’leri, botnet aktivitesini, TOR çıkış düğümlerini ve kaba kuvvet kaynaklarını işaretler.
Risk puanı ve anomaliler
Risk puanları ve davranışsal sinyaller önemli olayları kuyruğun en üstüne taşır.
Uyarılar ve olay yönetimi
Her uyarıyı açık, inceleniyor ve çözüldü aşamalarında takip edin; not ekleyin ve olayları tek yerden yönetin.
Dosya bütünlüğü izleme
Linux ve Windows sunuculardan gelen FIM olayları, önem derecesine göre uyarılarla loglarınızın yanında görünür.
Rol, kiracı ve HA
Rol tabanlı yetkilendirme, çoklu kiracı yapısı ve HA küme; pakete göre kullanılabilir.
Bulut veya kurum içi
Logchase’i bulutta ya da kendi sunucularınızda Core, Advanced, Enterprise veya Elite paketiyle çalıştırın.
Kural şablonları neleri tespit eder?
Hesap saldırıları
Kaba kuvvet denemeleri, art arda başarısız denemelerin ardından gelen başarılı girişler ve mesai dışı oturum açmalar.
Ağ tehditleri
Port taramaları, ani trafik artışları, olağandışı büyük veri transferleri, şüpheli DNS sorguları ve yanal hareket.
Zararlı altyapı
Tehdit istihbaratı listelerindeki IP’lerle gelen ve giden trafik, bu adreslerle tekrarlanan iletişim ve botnet C2 trafiği.
Web uygulama saldırıları
SQL injection, XSS, path traversal ve komut enjeksiyonu ile Log4Shell ve Spring4Shell istismar denemeleri.
Kimlik bilgisi hırsızlığı
LSASS bellek dökümü, NTDS.dit gölge kopyası, kayıt defterinden kimlik bilgisi çıkarma, Kerberoasting ve DCSync.
Zararlı yazılım ve sistem değişiklikleri
Fidye yazılımı dosya uzantıları, Office uygulamalarından başlatılan PowerShell veya CMD, konfigürasyon değişiklikleri ve durdurulan servisler.
Her uyarı kendisini tetikleyen olayların kaydını tutar; böylece merkezi log yönetimi tarafındaki ham kayıtlar her zaman elinizin altındadır. Dosya bütünlüğü izleme de sunucu düzeyinde kanıt ekler.
SIEM seçimi
SIEM ürünlerini karşılaştırırken nelere bakmalı?
SIEM ürünleri özellik listesinde birbirine benzer; fark ayrıntılardadır. Her üreticiye sorulmaya değer sorular ve Logchase’in yanıtları:
SIEM seçerken bakılacak noktaları SIEM nedir? rehberimizde, SIEM’in SOC ekibindeki yerini ise SOC nedir? yazımızda ayrıntılı anlatıyoruz.
Kaynak desteği
Cihazlarınızın logları hazır olarak ayrıştırılıyor mu?
FortiGate, Palo Alto Networks, Cisco ASA, Juniper, MikroTik, Windows, Linux, MySQL, SQL Server, PostgreSQL, Oracle, MongoDB, Nginx, Apache ve IIS; Advanced paketten itibaren özel parser.
Tespit içeriği
Hazır kurallar var mı, uyarlanabiliyor mu?
MITRE ATT&CK’e eşlenmiş kural şablonları. Koşullar, eşikler ve zaman pencereleri düzenlenebilir.
Kanıt ve saklama
Logların değiştirilmediği kanıtlanabiliyor mu?
Her kayıt için SHA-256 hash, arşivlerde RFC 3161 zaman damgası ve ayrı bir 5651 arşivi.
Kurulum
Bulut mu, kurum içi mi, ikisi birden mi?
Bulut ya da kurum içi; Enterprise ve Elite paketlerde HA küme ve felaket kurtarma replikasyonu.
Maliyeti belirleyenler
Fiyatı ne artırır?
Paketler log kaynağı sayısına, kullanıcı sayısına ve özelliklere göre ayrılır. Tüm kurum içi paketlerde EPS sınırsızdır.
Mevzuat
Uymanız gereken düzenlemelere uygun mu?
Logchase; 5651, KVKK/GDPR, PCI DSS ve ISO 27001 uyumluluk süreçlerini destekler.
Sık sorulan sorular
SIEM hakkında merak edilenler
SIEM nedir?
SIEM (Security Information and Event Management, Güvenlik Bilgi ve Olay Yönetimi), farklı kaynaklardan gelen güvenlik loglarını toplayıp ilişkilendiren, şüpheli davranışları tespit eden ve uyarı üreten sistemdir. Güvenlik ekiplerinin olayları tek ekrandan görmesini ve incelemesini sağlar.
SIEM nasıl çalışır?
Loglar toplanır ve ortak bir yapıya dönüştürülür, ardından tespit kuralları ve korelasyonla farklı kaynaklardaki olaylar birbirine bağlanır. Eşleşen bir örüntü bulunduğunda önceliklendirilmiş bir uyarı oluşur ve analist olayı bağlamıyla inceler.
SIEM ile log yönetimi arasındaki fark nedir?
Log yönetimi kayıtları toplar, saklar ve aranabilir kılar. SIEM bunun üzerine korelasyon, tespit ve uyarı katmanı ekler. Logchase’te ikisi aynı platformdadır.
Tespit kurallarını kendi ortamımıza göre uyarlayabilir miyiz?
Evet. Tespit mantığı ortamınıza ve önceliklerinize göre uyarlanabilir; hazır şablonlardan başlayıp koşulları, eşikleri ve zaman pencerelerini değiştirebilirsiniz. Böylece gereksiz uyarılar azalır, önemli olaylar öne çıkar.
SIEM ile SOC arasındaki fark nedir?
SOC (Güvenlik Operasyon Merkezi) güvenlik olaylarını izleyen ve müdahale eden ekip ve süreçtir; SIEM ise bu ekibin kullandığı ana araçtır. SIEM olmadan SOC ekibi olayları tek tek araçlarda aramak zorunda kalır.
Logchase SIEM bulutta mı, kurum içinde mi çalışır?
İkisi de mümkün: bulutta ya da kendi sunucunuzda (self-hosted) kurulabilir. Kurum içi kurulum için Core, Advanced, Enterprise ve Elite paketleri vardır.
SOC ekibinize daha net bir görünüm.
Logchase SIEM’i kişiselleştirilmiş bir demoyla yakından görün.