SOC’un Mimarları: SIEM, SOAR, EDR, XDR ve Ötesi

Tehdit Algılamadan Otomatik Müdahaleye: Modern Siber Güvenlik İstifini (Security Stack) Anlamak.

Veri Yığınından Anlamlı Savunmaya

Günümüzün hibrit çalışma ortamlarında, bir güvenlik uzmanının önüne her gün on binlerce log düşer. Bu veri okyanusunda boğulmamak ve “gerçek” saldırganı yakalamak için belirli teknolojilerin bir orkestra gibi çalışması gerekir. Bu yazıda, modern bir savunma stratejisinin temel bileşenlerini ve bu yapıya yeni nesil MDR ve MISP katmanlarının nasıl entegre olduğunu inceleyeceğiz.

1. SIEM: Güvenliğin Hafızası

SIEM (Security Information and Event Management), altyapınızdaki her cihazın “ne yaptığını” anlatan logları toplar ve aralarında korelasyon kurar.

• Teknik Odak: Log toplama, normalizasyon ve korelasyon kuralları.
• Pro Bakış: Sadece log toplamak yetmez; SIEM, “Brute force” ile “Başarılı giriş” arasındaki ilişkiyi kuran zekadır.

2. EDR ve XDR: Keskin Gözler

Savunma artık sadece ağ sınırında değil, doğrudan “olay mahallinde” yani cihazlarda yapılıyor.

• EDR (Endpoint Detection and Response): İşletim sistemi seviyesindeki her hareketi (proses oluşturma, dosya değişikliği) izler. “Bir program neden aniden binlerce dosyayı şifreliyor?” sorusuna yanıt verir.
• XDR (Extended Detection and Response): EDR’ın evrimleşmiş halidir. Sadece bilgisayara değil; buluta, e-postalara ve ağ trafiğine aynı anda bakar. Saldırıyı parçalar halinde değil, bütünsel bir “hikaye” (Storyline) olarak sunar.

3. SOAR: Güvenliğin Robotik Kolu

SOAR (Security Orchestration, Automation, and Response), SIEM’den gelen alarmları alıp insan müdahalesi olmadan işleyen otomasyon katmanıdır.

• Playbook Kavramı: Bir phishing alarmı geldiğinde; e-postayı sil, IP’yi firewall’dan engelle ve kullanıcı şifresini sıfırla. Tüm bunları SOAR, saniyeler içinde yapar.

4. Yeni Nesil Katmanlar: MDR ve MISP

MDR (Managed Detection and Response): “Hizmet Olarak Güvenlik”

Her şirketin 7/24 çalışacak bir uzman ekibi olmayabilir. MDR, yukarıdaki teknolojilerin (EDR/XDR/SIEM) dışarıdan profesyonel bir ekip tarafından sizin yerinize yönetilmesidir.

• Fark: MSSP sadece alarmı iletir, MDR ise saldırıya sizin adınıza müdahale eder.

MISP (Open Source Threat Intelligence Platform): Kolektif İstihbarat

Saldırganlar global çalışıyorsa, savunma da global olmalıdır. MISP, dünyadaki diğer güvenlik uzmanlarıyla “tehdit istihbaratı” paylaşmanızı sağlar.

• Kullanım: “Şu IP adresi bir bankaya saldırdı” bilgisi MISP üzerinden size gelir ve sistemleriniz daha saldırı size ulaşmadan o IP’yi tanır.

Hangi Teknolojiye İhtiyacınız Var?

Bu teknolojiler birbirinin rakibi değil, tamamlayıcısıdır. Küçük bir yapı için EDR + MDR yeterli olabilirken, büyük bir kurumsal yapı için SIEM + SOAR + XDR kombinasyonu kaçınılmazdır. Unutmayın; en iyi araç, ekibinizin en hızlı yönetebildiği araçtır.