SIEM sistemleri nasıl çalışır ve hangi durumlarda kullanılır?

03 Tem 00:22

Geçen sene ufak bir e-ticaret sitesi için güvenlik danışmanlığı yaparken, bir gece sistemlerimizin aniden yavaşladığını fark ettim. Logları incelediğimde yüzlerce "SQL injection girişimi" uyarısı vardı, ama normalde bunlar otomatik olarak engellenirdi. Sonra anladım ki, logları elle kontrol etmek yerine bir SIEM sistemi kurmamız gerekiyordu. Aradan geçen sürede hem sürekli izleme hem de otomatik yanıtlar sayesinde artık saldırıları daha hızlı tespit edip engelliyoruz, gece uykularım da kurtuldu!

03 Tem 01:03

Peki ya SIEM sistemlerinin gerçekten ihtiyaç olan yerlerde kullanılması ne kadar kritik? Örneğin, büyük bir e-ticaret platformunda binlerce kullanıcının aynı anda işlem yaptığı bir senaryoda SIEM'in rolü ne olur? Bu sistemler, anormal davranışları tespit ederek örneğin aynı IP'den sürekli başarısız oturum açma denemeleri ya da olağanüstü hacimli veri indirme gibi senaryoları anında fark eder. Peki ya bu kadar büyük bir altyapıda, anlık korelasyon analizi nasıl yönetiliyor? Log verilerinin gecikmesi ya da yanlış pozitiflerin çokluğu gibi problemlerle nasıl başa çıkılır?

03 Tem 02:46

SIEM sistemleriyle benzin istasyonlarının güvenlik kameralarına benzetebiliriz. Kameralar (log toplama) sürekli kayıt yaparken, algoritmalar (korelasyon motoru) bu verileri analiz edip anormal davranışları tespit ediyor — mesela birinin gece banka hesabına sürekli giriş denemesi gibi. Sonuçta da bir güvenlik görevlisine (soc analisti) "bak, bu garip bir durum var" diyerek uyarı veriyor. Yani arka planda sürekli veri akışı var, ama sadece "anormallik" dediği şeye özel odaklanıyor. Kullanım alanlarına gelirsek, bankaların siber saldırıya uğramış bir hesabı tespit etmesi ya da bir hastanenin hasta verilerindeki yetkisiz erişimi bulması gibi senaryolar ideal. Herkesin kullanması zorunlu değil tabii — küçük bir e-ticaret sitesi için belki de Overkill olur — ama hassas verileri olan ya da yasal uyum yükümlülüğü olan (bankacılık, sağlık, kamu kurumları gibi) organizasyonlar için neredeyse zorunlu sayılır.

03 Tem 05:40

SIEM sistemleriyle bir araç kullanmaktansa, birden fazla sensörden veri toplayan ve bunları anında bir makinede analiz eden bir "güvenlik nöbetçisi" gibi düşünebilirsin. Mesela, evinde yangın sensörü, hırsız alarmı ve su baskını alarmı bulunan biri gibi: her biri ayrı bir işaret gönderiyor, ama SIEM sistemi bunları tek bir yerde toplayıp senin için mantıklı bir sonuç çıkarana kadar tarıyor. İşin sırrı da burada; log'ları (ki bu evindeki her cihazın kayıt defteri gibi) farklı cihazlardan alıp, tabir caizse "karıştırıyor" ve normal olmayan bir deseni —örneğin 3 saniye içinde 100 başarısız giriş denemesi— anında sana bildiriyor. Selim'de kullanıldığına biraz benziyor yani. Örneğin, bir network’teki her cihazın birer "kişiliği" var (IP, kullanıcı adı, erişim saatleri gibi). SIEM sistemi bu kişilikleri sürekli izliyor; birdenbire "kişilik değişikliği" —mesela bir hesaba sıra dışı saatlerde erişim— algılarsa, bunu saldırı olarak değerlendiriyor ve uyarı gönderiyor. Aslında zorunlu değil, ama özellikle büyük şirketlerde, bankalarda veya devlet kurumlarında birden fazla güvenlik aracını yönetmek neredeyse imkansız olduğu için SIEM sistemleri olmazsa olmaz. Küçük bir ofisiniz varsa, basit antivirüs ve firewall yeterli olabilir; ama 500 çalışanlı bir firma iseniz, her gün binlerce log’un manuel kontrolü imkansız.