SIEM, LOG YÖNETİMİ ,SOC HAKKInda SIK SORULAN SORULAR

SIEM (Security Information and Event Management), siber güvenlik olaylarını izlemek ve bunlara yanıt vermek için kullanılan bir yazılım platformudur. Son yıllarda SIEM kullanımı arttıkça, bu platformla ilgili birçok terim de popüler hale geldi. Bu yazıda, SIEM ile ilgili en çok aranan sorulardan bazılarını inceleyeceğiz: 

• SIEM nedir?
• SIEM'in faydaları nelerdir?
• SIEM türleri nelerdir?
• SIEM nasıl kullanılır?
• SIEM araçları nelerdir?
• SOC nedir?
• UEBA nedir?
• En iyi SIEM hangisidir?
• SIEM'i kurmak ne kadar zor?
• SIEM'in maliyeti nedir?

SIEM, güvenlik olaylarını gerçek zamanlı olarak toplayan, analiz eden ve bunlara yanıt veren bir platformdur. Ağ günlükleri, uygulama günlükleri ve güvenlik cihazlarından gelen verileri gibi çeşitli veri kaynaklarını bir araya getirir. Bu verileri analiz ederek siber saldırıları, ihlalleri ve diğer güvenlik tehditlerini tespit etmeye yardımcı olur.

• Gelişmiş Görünürlük: SIEM, tüm ağınızdaki güvenlik olaylarını tek bir arayüzden izlemenizi sağlar.
• Hızlı Tehdit Tespiti: SIEM, siber saldırıları ve ihlalleri gerçek zamanlı olarak tespit etmenize yardımcı olur.
• Gelişmiş Yanıt Kabiliyeti: SIEM, olaylara hızlı ve etkili bir şekilde yanıt vermenize yardımcı olur.
• Uyumluluk: SIEM, yasal ve sektöre özgü uyumluluk gereksinimlerini karşılamanıza yardımcı olabilir.

• Uzaktan SIEM (Cloud SIEM): SIEM platformunun bulutta barındırılmasıdır.
• Yerel SIEM: SIEM platformunun kuruluşunuzun veri merkezinde barındırılmasıdır.
• Hibrit SIEM: Hem yerel hem de bulut SIEM'in bir kombinasyonu.

• İstihbarat  ve Tespit: SIEM, siber saldırıları, ihlalleri, casusluk faaliyetleri, veri sızıntıları ve diğer güvenlik tehditlerini tespit etmek için kullanılabilir.
• Uygunluk: SIEM, yasal ve sektöre özgü uyumluluk gereksinimlerini karşılamak için kullanılabilir.
• Risk Yönetimi: SIEM, siber riskleri değerlendirmek ve bunlara yanıt vermek için kullanılabilir.

SOC,  Güvenlik Operasyon Merkezi (Security Operations Center) anlamına gelir. Bir kuruluşun güvenlik durumunu sürekli olarak izleyen ve güvenlik olaylarını analiz eden bilgi güvenliği ekibinin bulunduğu yer veya tesistir.

SOC'nin temel amacı:

• Ağınızdaki ve sistemlerinizdeki güvenlik risklerini belirlemek
• Şüpheli aktiviteleri araştırmak ve siber saldırıları tespit etmek
• Güvenlik olaylarına hızlı bir şekilde yanıt vermek ve hasarı en aza indirmek
• Güvenlik önlemlerini iyileştirmek ve yeni tehditlere karşı hazırlıklı olmak

SOC ekipleri genellikle aşağıdaki görevlerden sorumludur:

• Güvenlik İzleme: Ağ aktivitelerini, güvenlik cihazlarından gelen günlükleri ve diğer veri kaynaklarını gerçek zamanlı olarak izlemek.
• Olay Yönetimi: Şüpheli aktiviteleri araştırmak, güvenlik olaylarını sınıflandırmak ve bunlara öncelik vermek.
• Tehdit Analizi: Siber tehditleri araştırmak, yeni tehditlere karşı istihbarat toplamak ve savunma stratejileri geliştirmek.
• Sorun Giderme: Güvenlik olaylarına yanıt vermek, sistemleri düzeltmek ve güvenlik açığı kapatmak.
• Raporlama: Güvenlik durumu hakkında raporlar oluşturmak ve kuruluşun yönetimini bilgilendirmek.

SOC'nin Çeşitleri:

• Yerel SOC: Kuruluşun kendi veri merkezinde bulunan SOC.
• Bulut SOC (Cloud SOC): Bulut tabanlı bir SIEM platformu kullanan ve güvenlik hizmetlerini uzaktan sağlayan SOC.
• Hibrit SOC: Hem yerel hem de bulut tabanlı kaynakları kullanan SOC.

SOC SIEM ile İlişkisi:

SOC ekipleri genellikle SIEM (Security Information and Event Management) platformlarını kullanır. SIEM platformları, güvenlik olaylarını izlemek, analiz etmek ve bunlara yanıt vermek için gerekli araçları sağlar. SIEM, SOC ekibinin işini kolaylaştırır ve daha verimli çalışmasını sağlar.

UEBA, Kullanıcı Varlık Davranış Analizi (User and Entity Behavior Analytics) anlamına gelir. Bu, kullanıcıların ve sistemlerin davranışlarını analiz ederek anormallikleri ve potansiyel tehditleri tespit eden bir siber güvenlik teknolojisidir.

UEBA'nın Temel Prensibi:

• Kullanıcıların ve sistemlerin normal davranış profillerini oluşturmak
• Gerçek zamanlı olarak davranışlarını izlemek ve sapmaları tespit etmek
• Sapmaları potansiyel güvenlik tehditleri olarak işaretlemek
• 
  

UEBA'nın Faydaları:

• Gelişmiş Tehdit Tespiti: Bilinen saldırı kalıplarına bağlı kalmadan sıfır gün saldırılarını ve iç tehditleri tespit edebilir.
• Hesap Karmaşıklığı: Hesap ele geçirmelerini ve kimlik avı saldırılarını tespit edebilir.
• Veri Sızıntısı: Yetkisiz veri erişimini ve sızıntılarını tespit edebilir.
• Uygunluk: Yasal ve sektöre özgü uyumluluk gereksinimlerini karşılamanıza yardımcı olabilir.

UEBA Nasıl Çalışır?

UEBA, aşağıdaki veri kaynaklarından gelen verileri analiz eder:

• Ağ günlükleri: Kullanıcıların ve sistemlerin ağdaki aktiviteleri hakkında bilgi içerir.
• Uygulama günlükleri: Uygulamaların nasıl kullanıldığının kaydını tutar.
• Güvenlik cihazları: Güvenlik duvarları, antivirüs ve uç nokta algılama sistemleri gibi cihazlardan gelen veriler.
• Kimlik ve Erişim Yönetimi (IAM) verileri: Kullanıcıların kimlik ve erişim hakları hakkında bilgi içerir.

UEBA, bu verileri analiz etmek için makine öğrenimi ve yapay zeka gibi gelişmiş teknikler kullanır. Bu teknikler, normal davranış profilleri oluşturmak ve sapmaları tespit etmek için kullanılır.

UEBA Kullanım Alanları:

• Hesap Ele Geçirme Tespiti: Hesaplarda anormal oturum açma davranışlarını ve şüpheli aktiviteleri izlemek.
• Veri Sızıntısı Tespiti: Yetkisiz veri erişimini ve dosya aktarımını izlemek.
• İç Tehdit Tespiti: Şüpheli ayrıcalıklı erişimi ve kötü amaçlı davranışı izlemek.
• Uygunluk İzleme: Yasal ve sektöre özgü uyumluluk gereksinimlerini karşılamak için kullanıcı ve sistem davranışını izlemek.

"En iyi" SIEM aracı, her kuruluşun özel ihtiyaçlarına ve gereksinimlerine bağlı olarak değişir. Ancak, genel olarak en iyi SIEM aracını tanımlayan bazı temel özellikler şunlardır:

1. Kapsamlı Güvenlik İzleme:

• Ağınızdaki ve sistemlerinizdeki tüm aktiviteleri gerçek zamanlı olarak izleyebilmelidir.
• Farklı veri kaynaklarından gelen verileri toplayabilmeli ve analiz edebilmelidir.
• Loglar, ağ trafiği, uygulama günlükleri ve güvenlik cihazlarından gelen verileri içerebilmelidir.

2. Gelişmiş Tehdit Tespiti:

• Bilinen ve bilinmeyen tehditleri tespit edebilmelidir.
• Saldırı kalıplarını ve anormal davranışları otomatik olarak tanıyabilmelidir.
• Makine öğrenimi ve yapay zeka gibi gelişmiş teknikler kullanabilmelidir.

3. Kolay Kullanım ve Yönetim:

• Kullanımı kolay bir arayüze sahip olmalı ve sezgisel bir şekilde çalışmalıdır.
• Önceden tanımlanmış raporlar ve gösterge tabloları sunmalıdır.
• Sorun gidermeyi ve araştırmayı kolaylaştırmalıdır.

4. Ölçeklenebilirlik ve Esneklik:

• Büyüyen ihtiyaçlarınızı karşılayabilecek kadar ölçeklenebilmelidir.
• Farklı ortamlarda (yerel, bulut, hibrit) çalışabilmelidir.
• Diğer güvenlik araçlarınızla entegre edilebilmelidir.

5. Uyumluluk:

• Yasal ve sektöre özgü uyumluluk gereksinimlerini karşılamanıza yardımcı olmalıdır.
• Denetim ve raporlama gereksinimlerini karşılayabilmelidir.

6. Güvenlik ve Güvenilirlik:

• Verilerinizi ve sistemlerinizi korumalıdır.
• Yüksek kullanılabilirlik ve yedekleme sunmalıdır.
• Güçlü kimlik doğrulama ve yetkilendirme mekanizmalarına sahip olmalıdır.

7. Müşteri Desteği:

• Kapsamlı ve duyarlı müşteri desteği sunmalıdır.
• Eğitim ve sertifikasyon programları sunmalıdır.
• Topluluk desteği ve bilgi tabanlarına erişim sağlamalıdır.

En iyi SIEM aracını seçerken:

• İhtiyaçlarınızı ve bütçenizi belirleyin.
• Farklı platformları araştırın ve karşılaştırın.
• Deneme sürümleri veya ücretsiz sürümlerden yararlanın.
• Müşteri yorumlarını ve değerlendirmelerini okuyun.
• Uzmanlardan tavsiye alın.

Bu özelliklerin tamamını ACKLOG'da görebilirsiniz.

SIEM kurulumunun zorluğu, birkaç faktöre bağlı olarak değişir:

1. Platform Seçimi:

• Farklı SIEM platformlarının farklı kurulum gereksinimleri vardır.
• Bazı platformlar diğerlerinden daha karmaşıktır ve daha fazla teknik bilgi gerektirir.
• Yerel veya bulut tabanlı bir platform seçmeniz de kurulum zorluğunu etkileyebilir.

2. Ortamınızın Karmaşıklığı:

• Karmaşık bir ağa ve sisteme sahipseniz, SIEM kurulumu daha zor olabilir.
• Birden fazla işletim sistemi ve uygulama kullanıyorsanız, entegrasyon zorlukları ortaya çıkabilir.

3. Teknik Uzmanlığınız:

• Sizin ve ekibinizin SIEM kurulumu ve yönetimi için gerekli teknik uzmanlığa sahip olması önemlidir.
• Dışarıdan danışmanlık veya destek almanız gerekebilir.

4. Kaynaklarınız:

• SIEM kurulumu ve yönetimi zaman ve kaynak gerektirir.
• Kurulum ve eğitim için yeterli personele ve bütçeye sahip olmanız gerekir.

Genel olarak:

• Deneyimli bir IT ekibiniz varsa, SIEM'i kendiniz kurabilirsiniz.
• Daha karmaşık bir ortamınız veya sınırlı teknik uzmanlığınız varsa, bir danışmanlık firması veya SIEM sağlayıcısından yardım almanız önerilir.

ACKLOG SIEM Microservis mimarisi ile her büyüklükteki iş yüküne hazırdır, kolaylıkla kurulur ve yönetimi kolaydır.

SIEM'in maliyeti, birkaç faktöre bağlı olarak değişir:

1. Lisanslama:

• Kullanıcı Sayısı: Lisans maliyeti, kullanılan kullanıcı sayısına göre belirlenir.
• Veri Miktarı: Lisans maliyeti, izlenen veri miktarına göre de belirlenebilir.
• Depolama Kapasitesi: SIEM platformunun ne kadar depolama kapasitesine ihtiyacınız olduğuna bağlı olarak maliyet artabilir.

2. Kurulum ve Bakım:

• Yerel veya Bulut Tabanlı: SIEM platformunun yerel mi yoksa bulut tabanlı mı olacağına bağlı olarak kurulum ve bakım maliyetleri değişir.
• Uzman Yardımı: SIEM platformunu kurmak ve yönetmek için uzman yardımına ihtiyacınız olursa bu da maliyete eklenir.

3. Eğitim ve Destek:

• Eğitim: Çalışanlarınızın SIEM platformunu nasıl kullanacağını öğrenmesi için eğitim programlarına ihtiyacınız olabilir.
• Destek: SIEM platformundan teknik destek almanız gerekebilir.

ÇOK YETENEK, DÜŞÜK MALİYET, GÜÇLÜ DESTEK, ACKLOG'u GÖRÜN.