Genel Bakış
Security Information and Event Management (SIEM), güvenlik günlüklerini ve olaylarını farklı kaynaklardan toplayarak merkezi bir platformda korelasyon ve analiz yapan kritik bir güvenlik altyapısıdır. Firewall loglarından sunucu oturum açma kayıtlarına, veritabanı erişim izlerinden bulut aktivite loglarına kadar tüm güvenlik verisini birleştiren SIEM, tek başına anlam ifade etmeyen olayları bir araya getirerek tehdit hikayesini ortaya çıkarır.
Modern SIEM çözümleri yalnızca log toplama ve depolamadan ibaret değildir. Makine öğrenmesi tabanlı kullanıcı ve varlık davranış analitiği (UEBA), saldırı zinciri (kill chain) korelasyonu ve tehdit istihbarat entegrasyonu, SIEM platformlarını pasif log deposundan aktif tehdit av (threat hunting) platformuna dönüştürmüştür. Insider threat, hesap ele geçirme ve lateral movement gibi gelişmiş saldırılar ancak bu kapasitelerle tespit edilebilir.
SIEM yatırımının değeri büyük ölçüde kullanım ve optimizasyon kalitesiyle doğru orantılıdır. Binlerce kural ve yüzlerce alarm ile boğulan bir SOC ekibi, gerçek tehditleri kaçırır. Indexline'ın SIEM optimizasyon yaklaşımı; alarm önceliklendirmesi, kural kalitesi iyileştirmesi, otomatik enrichment ve SOAR playbook entegrasyonuyla SOC ekiplerinin yüksek değerli tehditlere odaklanmasını sağlar.
Log yönetimi boyutunda uyumluluk gereksinimleri (ISO 27001, PCI-DSS, KVKK) belirli log türlerinin belirli sürelerle saklanmasını zorunlu kılar. Indexline, log saklama politikalarını mevzuat gerekliliklerine uygun biçimde yapılandırır; hem depolama maliyetini optimize eder hem de denetim gereksinimlerini karşılar.
Nasıl Çalışır?
Log Kaynak Envanteri: Tüm log kaynakları (sunucular, ağ cihazları, güvenlik araçları, bulut servisler, uygulamalar) kataloglanır. Kritiklik ve veri hacmi değerlendirilir.
Log Toplama Mimarisi: Ajan tabanlı veya agentless log collection yapılandırılır. Syslog, Windows Event Forwarding, API ve log shipper (Filebeat, NXLog) yöntemleri uygulanır.
SIEM Platform Kurulumu: Splunk, Microsoft Sentinel, IBM QRadar veya Elastic Security gibi platformdan biri ölçek ve gereksinime göre seçilir ve kurulur.
Normalizasyon ve Zenginleştirme: Farklı formatlardaki loglar ortak veri modeline normalize edilir. IP coğrafi konum, tehdit istihbarat ve varlık bağlamı ile zenginleştirilir.
Korelasyon Kuralları: Use case odaklı korelasyon kuralları yazılır. Mitre ATT&CK framework'üne hizalanan kural kümesi oluşturulur.
UEBA Aktivasyonu: Kullanıcı ve varlık davranış baseline'ları oluşturulur. Risk skorlaması yapılandırılır.
SOAR Entegrasyonu: Yüksek güvenilirlikli alarm senaryoları için otomatik yanıt playbook'ları hazırlanır ve test edilir.
Temel Özellikler
Merkezi Log Toplama
500'den fazla log kaynağı için hazır connector'larla tüm altyapı logları tek platformda toplanır ve normalize edilir.
Mitre ATT&CK Hizalama
Korelasyon kuralları Mitre ATT&CK taktik ve tekniklerine karşılık gelecek biçimde haritalandırılır. Saldırı aşamaları görselleştirilir.
UEBA (Kullanıcı Davranış Analitiği)
Normal davranış profilinden sapan kullanıcılar ML ile tespit edilir. Insider threat ve hesap ele geçirme girişimleri erken aşamada yakalanır.
Tehdit İstihbarat Entegrasyonu
MISP, STIX/TAXII beslemeleri ve ticari istihbarat kaynakları SIEM'e entegre edilir. Bilinen kötü aktörlerin aktiviteleri otomatik korelasyon yapar.
Otomatik Olay Yanıt (SOAR)
Belirli alarm senaryoları için otomatik yanıt playbook'ları tetiklenir: hesap kilitleme, IP engelleme, bilet açma ve bildirim gönderme.
Uzun Dönem Log Saklama
Soğuk depolama entegrasyonuyla PCI-DSS, ISO 27001 ve KVKK gerektirdiği sürelerde (1-7 yıl) log saklama ekonomik biçimde yönetilir.
Tehdit Avı (Threat Hunting)
Hypothesis tabanlı proaktif tehdit avı için sorgu motoru ve vaka yönetim araçları yapılandırılır. Analist üretkenliği maximize edilir.
Özelleştirilmiş Dashboardlar
CISO, SOC analisti ve IT yöneticisi için farklı görünüm katmanları oluşturulur. Executive özet ve teknik detay raporları otomatize edilir.
Faydalar ve Avantajlar
Güvenlik olaylarına ortalama tespit süresi (MTTD) saatlerden dakikalara iner; hasar sınırlama fırsatı artar.
Farklı kaynaklardan gelen sinyaller korelasyonla birleşerek saldırı kampanyaları bütünsel biçimde görülür.
Uyumluluk denetimleri için gerekli log kanıtları merkezi platformda aranabilir ve raporlanabilir formatta hazır tutulur.
SOC ekibi alarm yorgunluğundan kurtularak gerçek tehditlere odaklanır; analist verimliliği ve memnuniyeti artar.
UEBA ile iç tehditler (insider threat) ve ele geçirilmiş hesaplar geleneksel imza tabanlı araçlarla kaçırılamaz biçimde tespit edilir.
Tehdit avı kapasitesi, aktif saldırganları ağda tutunmadan önce tespit ederek büyük ihlallerin önüne geçer.
Sektörel Kullanım Senaryoları
Finans & Bankacılık
ISO 27001 ve BDDK uyumluluk gereklilikleri için SIEM kuruldu; aylık güvenlik raporu otomatik üretilir, denetim kanıtları hazır tutulur.
Sağlık
Hasta veri erişim logları SIEM ile merkezi izlenir; yetkisiz erişim girişimleri gerçek zamanlı tespitle önlendi, KVKK uyumluluğu sağlandı.
Kamu
Devlet kurumu SIEM ile APT aktivitesini tespit etti; uzun süreli ağ içi lateral movement erken aşamada fark edildi ve izole edildi.
Üretim
OT ağı ve IT ağı logları SIEM'de birleştirildi; endüstriyel kontrol sistemlerine yönelik saldırı girişimi korelasyonla tespit edildi.
Perakende
POS sistemleri ve e-ticaret platformu logları SIEM'e entegre edildi; kart veri sızıntısı girişimi alarm öncesinde tespit edilerek engellendi.
Telekom
Milyonlarca log satırı gerçek zamanlı analiz edildi; müşteri verisi hedefli scraping kampanyası UEBA ile tespit edilerek durduruldu.
Indexline Yaklaşımı
SIEM projesinin başarısı teknik kurulumdan önce kullanım senaryosu (use case) seçimiyle belirlenir. Kurumun en kritik risk alanları belirlenerek use case önceliklendirmesi yapılır. Her use case için gerekli log kaynakları, korelasyon mantığı ve yanıt prosedürü tanımlanır. Bu disiplin, SIEM'in gerçek değer üretmesini sağlar.
SIEM programının sürdürülebilirliği için SOC ekibi yetkinliği kritik öneme sahiptir. Indexline, SIEM yöneticisi ve SOC analist eğitimleri sunarak kurumun bağımsız biçimde platformu işletebilmesini hedefler. Yönetilen SIEM hizmeti de tercih edenler için 7/24 SOC hizmetiyle operasyonel yükü devralmaktayız.
SIEM yatırımı, yalnızca teknoloji değil güvenlik programı dönüşümünü ifade eder. Alarm yanıt prosedürleri, olay yönetim süreci ve güvenlik metrikleri bu dönüşümün kültürel ve süreçsel boyutlarıdır. Indexline, teknik kurulumla birlikte bu organizasyonel dönüşümü de destekler.
Sık Sorulan Sorular
Hangi SIEM platformunu öneriyorsunuz?
Splunk Enterprise Security, Microsoft Sentinel, IBM QRadar ve Elastic Security en yaygın kullandığımız platformlardır. Seçim; mevcut ekosisteminiz (Microsoft ortamı için Sentinel avantajlı), log hacmi, bütçe ve ekip yetkinliğine göre yapılır. Platform bağımsız değerlendirme sunuyoruz.
SIEM maliyeti nasıl hesaplanır?
Çoğu SIEM günlük GB cinsinden lisanslıdır. Gereksiz loglama maliyeti önemli ölçüde artırır. Log kaynağı seçimi, filtreleme ve normalizasyon ile gerekli veriyi toplarken israfı önlemek maliyet optimizasyonunun anahtarıdır. Ortalama maliyet tahminini log hacmi analizi sonrası sunuyoruz.
Bulut ortamları SIEM'e nasıl entegre edilir?
AWS CloudTrail, Azure Activity Logs, GCP Audit Logs ve SaaS uygulaması (M365, Salesforce) logları native connector'lar veya API entegrasyonuyla SIEM'e iletilir. Bulut native SIEM (Microsoft Sentinel) özellikle Microsoft ekosistemi için tercih edilebilir.
SIEM ne kadar sürede devreye alınır?
Temel kurulum ve kritik log kaynaklarının entegrasyonu 4-6 haftada tamamlanır. Kapsamlı use case geliştirme, fine-tuning ve UEBA aktivasyonu 3-4 ay sürer. Tam olgunluk 6-12 aylık sürekli iyileştirme süreciyle elde edilir.
False positive oranını nasıl düşürüyorsunuz?
Alarm threshold kalibrasyonu, bağlam zenginleştirme ve risk bazlı skorlama yanlış pozitif oranını %80-90 düşürebilir. Alarm önceliklendirme ve otomatik triage de analist zamanını gerçek tehditlere yönlendirir.
SOAR entegrasyonu ne sağlıyor?
SOAR (Security Orchestration, Automation and Response) SIEM alarmlarını otomatik yanıt playbook'larına bağlar. Düşük riskli olaylar (örn. test hesabı başarısız giriş) otomatik kapatılır; yüksek risk olaylar öncelikli bilete dönüştürülür. Analist zamanı kritik olaylara ayrılır.
Küçük ekiple SIEM yönetebilir miyiz?
Evet, doğru platform ve optimizasyonla küçük ekip SIEM'i etkili biçimde yönetebilir. Otomatik triage, playbook ve önceden ayarlanmış use case'ler bu süreçte kritik rol oynar. Alternatif olarak yönetilen SIEM hizmetimiz tüm operasyonel yükü devralmaktadır.
Log saklama politikası nasıl belirlenmeli?
PCI-DSS 12 ay online + 12 ay arşiv, ISO 27001 sektöre göre değişken (6 ay - 7 yıl), KVKK ise kişisel veri işleme amacıyla orantılı süre öngörür. Yasal zorunluluklar ve adli analiz ihtiyacı dengelenerek iki kademeli depolama (hot + cold) ile maliyet optimize edilir.