7/24 SOC izleme yatırımının karşılığı, gösterge panolarının sayısında değil, cuma gecesi saat 03.00’te üretilen bir uyarının kaç dakika içinde insana ulaştığındadır. Fidye yazılımı operasyonlarının şifreleme adımına geçmeden önce yedekleri ve gölge kopyaları devre dışı bırakması tesadüf değildir; bu hazırlık adımları bilinçli olarak kimsenin ekran başında olmadığı saatlere denk getirilir.

Bu yazı, kesintisiz izlemenin hangi saldırı adımlarını erken yakalayabildiğini somut sinyallerle anlatıyor; ayrıca hangi tehdit tiplerinin yalnızca izlemeyle durdurulamayacağını ve tespit kabiliyetinin nasıl ölçüleceğini ele alıyor. Amaç, izlemeyi bir güvence hissi olmaktan çıkarıp ölçülebilir bir kabiliyete dönüştürmektir.

Saldırganlar neden mesai dışını tercih eder

Saldırı zincirinin en gürültülü adımları, kalıcılık kurma ve yanal hareket (lateral movement) aşamalarıdır. Bu adımlar mesai içinde çalıştırıldığında normal kullanıcı ve yönetici faaliyetinin arasında kaybolabilir; ancak gece yarısı üretilen aynı komutlar bağlam olarak son derece anormaldir. Saldırganın hesabı, mesai dışında savunma tarafında karar verecek kimsenin bulunmaması üzerine kuruludur.

Mesai dışı saatlerde uyarı üretme olasılığı yüksek olan tipik faaliyetler şunlardır:

• Yedekleme ve kurtarma bileşenlerine yönelik yapılandırma değişiklikleri.
• Alan yöneticisi düzeyinde yeni hesap oluşturma veya grup üyeliği ekleme.
• Sunucudan sunucuya art arda kurulan uzak yönetim oturumları.
• Daha önce hiç iletişim kurulmamış dış adreslere büyük hacimli yükleme.

Kesintisiz izlemenin sağladığı asıl kazanç budur: aynı olayın gece üretilmesi, onu daha kolay tespit edilir hale getirir. Karar verecek analist ekranın başında olduğu sürece, bu saatler savunmanın avantajına döner.

Erken yakalanabilen tehdit adımları ve sinyalleri

Aşağıdaki adımlar, saldırının etki üretmesinden önce gerçekleşir ve doğru kaynaklardan log toplandığında gözlenebilir:

• Fidye yazılımı hazırlığı: gölge kopyaların silinmesi, yedekleme servislerinin durdurulması ve kurtarma seçeneklerinin devre dışı bırakılması (ATT&CK T1490). Bu komut dizisi neredeyse tek anlamlıdır; meşru karşılığı çok azdır.
• Kimlik saldırıları: çok sayıda hesaba tek parola denenmesi (parola püskürtme, T1110.003), art arda reddedilen çok faktörlü doğrulama istekleri ve coğrafi olarak imkânsız oturum açma çiftleri.
• Kalıcılık kurma: yeni zamanlanmış görev veya servis oluşturulması (T1053), otomatik başlatma kayıtlarına ekleme, yönetici gruplarına sessiz üye ilavesi.
• Yanal hareket: uzak servislerle sunucudan sunucuya geçiş (T1021), yönetim protokollerinin alışılmadık kaynaklardan kullanılması, aynı kimliğin kısa sürede çok sayıda sistemde görünmesi.
• Veri sızdırma hazırlığı: dosyaların büyük arşivlere toplanması (T1560), dış depolama servislerine olağandışı hacimde yükleme, yeni kurulan tünel bağlantıları.

Aynı olayın değeri saate göre değişir

İyi bir izleme kurgusu, statik eşiklerden çok bağlama dayanır. Bir veri tabanı yöneticisinin salı öğleden sonra yaptığı toplu sorgu normaldir; aynı sorgunun pazar sabahı ve daha önce hiç kullanılmamış bir istemciden gelmesi ise incelenmesi gereken bir sapmadır. Bu nedenle kural setinin kimlik, cihaz, saat ve konum bağlamını birlikte değerlendirmesi gerekir.

Bağlam zenginleştirmesi olmadan kurulan izleme, kurumsal siber güvenlik danışmanlığı projelerinde en sık karşılaşılan olgunluk sorunudur: uyarı sayısı yüksektir, çünkü sistem hangi davranışın o kurum için normal olduğunu bilmez. Varlık kritikliği, hesap tipi ve iş saatleri bilgisi uyarı akışına bağlandığında hem gürültü düşer hem de gerçek sapmalar öne çıkar.

Tespit kapsamını MITRE ATT&CK ile görünür kılmak

“Hangi saldırıları yakalayabiliyoruz?” sorusunun yanıtı, kural listesi değil kapsam haritasıdır. ATT&CK matrisi üzerinde her taktik için hangi tekniklerin izlendiği, hangilerinin yalnızca log düzeyinde kayıtlı olduğu ve hangilerinin tamamen görünmez olduğu işaretlenir. Ortaya çıkan tablo genellikle şunu gösterir: ilk erişim ve zararlı yazılım çalıştırma tarafında kapsam iyidir, kimlik istismarı ve meşru araçların kötüye kullanımı tarafında ciddi boşluklar vardır.

• Her tespit kuralı, hangi tekniği kapsadığını belirten bir etiketle kaydedilmelidir.
• Kapsam haritası, kaynak eksikliğinden doğan boşlukları ayrı renkte göstermelidir.
• Boşluklar sektöre yönelik tehdit istihbaratına göre önceliklendirilmelidir.
• Harita, yeni log kaynağı eklendiğinde güncellenmelidir.

MTTD ve MTTR için gerçekçi hedefler

İzlemenin karnesi iki süredir: MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi). Aşağıdaki tablo, kurumların kendi risk iştahına göre uyarlayabileceği bir hedef çerçevesidir; sabit sektör değeri değil, sözleşmeye ve iç prosedüre yazılması gereken taahhütlerdir.

Gece vardiyasında gürültünün bedeli daha ağırdır

Kesintisiz izlemede başarısızlık genellikle tespit eksikliğinden değil, tespitin fark edilmemesinden kaynaklanır. Günde yüzlerce orta seviye uyarı üreten bir kurulumda gece vardiyası, kritik uyarıyı gürültünün içinde kaybeder. Bu nedenle kural setinin düzenli olarak budanması, kapanan vakaların sonuç kodlarıyla etiketlenmesi ve sürekli yanlış pozitif üreten kuralların gerekçesiyle birlikte devre dışı bırakılması gerekir. Uyarıyı azaltmak, tespiti azaltmak anlamına gelmez; aksine kalanın ciddiye alınmasını sağlar.

İkinci kırılma noktası vardiya devridir. Gece boyunca açık kalan, yarım incelenmiş bir vaka devir notunda tek satırla geçtiğinde sabah ekibi işi baştan başlatır ve kazanılan saatler kaybolur. Devir kaydında incelenen kanıtların, dışlanan senaryoların ve bir sonraki adımın açıkça yazılı olması, kesintisiz izlemenin gerçekten kesintisiz olmasını sağlayan detaydır.

Bir uyarının ilk otuz dakikası

1. Uyarıyı sınıflandırın: etkilenen kimlik, cihaz ve varlık kritikliğini tek ekranda toplayın.
2. Aynı kimlik ve cihaz için son 24 saatteki diğer olayları çekip zaman çizelgesi çıkarın.
3. Meşru bir yönetim faaliyeti olup olmadığını, değişiklik kayıtları üzerinden doğrulayın.
4. Doğrulanamıyorsa cihazı ağdan izole edin ve ilgili hesabın oturumlarını sonlandırın.
5. Kanıtları toplayın: uçucu bellek görüntüsü, süreç ağacı, ağ bağlantı listesi.
6. Yayılma göstergelerini diğer sistemlerde arayın; aynı karma değeri ve hedef adresleri sorgulayın.
7. Vakayı sonuç koduyla kapatın ve tespit kuralında iyileştirme gerekiyorsa kaydını açın.

İzlemenin gerçekten çalıştığı nasıl kanıtlanır

Bir SOC’un kapasitesi, ürettiği rapor sayısıyla değil, haber verilmeden yapılan bir denemede ne gördüğüyle anlaşılır. Keşif, ilk erişim, yanal hareket ve yetki yükseltme, hedef tamamlama ve raporlama aşamalarından oluşan 2-6 haftalık bir red team hizmeti, tam olarak bu soruyu yanıtlar: saldırı zincirinin hangi adımı uyarı üretti, hangi adım sessiz geçti, üretilen uyarı kaç dakikada analiste ulaştı?

Çıktı, çift katmanlı bir rapor olarak sunulduğunda hem yönetim hem teknik ekip için kullanılabilir hale gelir: yönetici özeti tespit boşluklarının iş etkisini anlatır, teknik bölüm ise hangi kuralın hangi teknikte güncellenmesi gerektiğini adım adım listeler. Daha az maliyetli bir ara adım isteyen kurumlar için, saldırı ve savunma ekiplerinin aynı masada teknikleri tek tek denediği mor takım çalışmaları da kapsamı hızla genişletir.

Sık sorulan sorular

7/24 izleme küçük ve orta ölçekli kurumlar için gerçekten gerekli mi?

Gereklilik ölçekle değil, kesinti maliyeti ve veri hassasiyetiyle ilgilidir. Üretim hattı duran bir fabrikada veya kişisel veri işleyen bir sağlık kuruluşunda mesai dışı boşluk, doğrudan iş kaybına dönüşür. Kendi vardiyasını kuramayan kurumlar için mesai dışı saatleri dış kaynağa devreden hibrit modeller yaygın bir çözümdür.

SIEM kurmak izleme yapmak anlamına gelir mi?

Gelmez. SIEM yalnızca logları toplayan ve ilişkilendiren bir platformdur; tespit kabiliyeti, yazılan kurallara, bağlanan kaynaklara ve uyarıya bakan ekibe bağlıdır. Kaynakları eksik, kuralları varsayılan halinde bırakılmış bir kurulum, pahalı bir arşivden öteye geçmez.

EDR varken SOC izlemesine neden ihtiyaç duyulur?

Uç nokta tespiti güçlüdür ama tek başına kimlik istismarını, bulut yapılandırma değişikliklerini ve ağ üzerindeki sızdırma davranışını göremez. Ayrıca EDR uyarısı üretse bile, gece yarısı o uyarıyı değerlendirip izolasyon kararı verecek bir insan gerekir. SOC, farklı kaynaklardan gelen sinyalleri birleştirip karar üretir.

MTTD hedefini tutturduğumuzu nasıl doğrularız?

Ölçüm, gerçek vakaların yanı sıra kontrollü tatbikatlarla yapılır. Bilinen bir tekniğin test ortamında çalıştırılması ve uyarının analiste ulaşma süresinin kaydedilmesi, panolardaki ortalamalardan daha güvenilir bir sonuç verir. Bu tatbikatlar düzenli aralıklarla tekrarlanmalı ve sonuçlar eğilim olarak izlenmelidir.

Olay müdahale prosedürü olmadan izleme işe yarar mı?

Sınırlı ölçüde yarar. Tespit edilen bir olayda kimin izolasyon yetkisi olduğu, hangi durumda hukuk ve iletişim birimlerinin devreye gireceği önceden yazılı değilse, kazanılan dakikalar karar bekleyerek harcanır. İzleme ve müdahale prosedürü birlikte kurulmalıdır.

Sonuç

Kesintisiz izleme, saldırının etki ürettiği anı değil, ondan önceki hazırlık adımlarını yakalamak için vardır; gölge kopya silme, parola püskürtme ve toplu arşivleme gibi sinyaller doğru kaynaklardan toplandığında olay henüz durdurulabilir aşamadadır. İzleme kurgunuzu kural sayısıyla değil, gece yarısı üretilen bir uyarının kaç dakikada insana ulaştığıyla değerlendirin ve bu süreyi bağımsız bir tatbikatla ölçtürün.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.