Referans Setler ile Dinamik Kurallar: Statik Listelerden Kurtulmak

Merhaba,

Bu yazımda sizlere kurallarınızı çok daha esnek hale getiren bir özellikten, referans setlerden bahsedeceğim. Bir kez kavradığınızda, “neden bunu daha önce kullanmıyordum” diyeceğiniz türden bir araç.

Önceki yazıda kural ve Building Block tasarımını konuşmuştuk. Referans setler, o kuralları statik olmaktan çıkarıp yaşayan, kendini güncelleyen yapılara dönüştürür.

Sorun: Statik Kurallar

Diyelim ki kritik kullanıcılarınızı izleyen bir kural yazdınız ve kullanıcı adlarını doğrudan kuralın içine gömdünüz. İşe yarar. Ama ekibe yeni biri katıldığında ne olur? Kuralı açıp düzenlemeniz gerekir. Listeniz büyüdükçe bu, sürdürülemez bir yük haline gelir.

Aynı durum kara listedeki IP’ler, şüpheli domainler, izinli cihazlar için de geçerlidir. Bilgi sürekli değişir, ama kural sabit kalır. İşte referans setler tam bu sorunu çözer.

Statik kuralda değerler kurala gömülüdür; dinamik kuralda referans sette tutulur ve kurala dokunmadan güncellenir.

Referans Set Nedir ve Ne İşe Yarar?

Referans set, QRadar içinde tuttuğunuz dinamik bir değer listesidir. IP adresleri, kullanıcı adları, hash’ler, domainler — aklınıza gelen her türlü değeri burada saklayabilirsiniz.

Asıl güzelliği şu: Bu listeyi kuralların içinden çağırırsınız. Liste değişmesi gerektiğinde kurala dokunmazsınız; sadece referans seti güncellersiniz. Tek bir yeri değiştirir, o seti kullanan tüm kuralları ve sorguları aynı anda güncellemiş olursunuz.

Referans Setlerin Üç Kullanım Alanı

Referans setler üç farklı yerde işinize yarar:

• Kurallarda: “Kaynak IP, kara liste setinde mi?” gibi bir koşulu kurala bağlarsınız.
• Aramalarda ve AQL’de: Sorgularınızı bu listelere göre filtrelersiniz.
• Otomatik beslemede: Bir kural tetiklendiğinde, ilgili değeri otomatik olarak bir referans sete ekletebilirsiniz. Yani sistem kendi kendini besler.

Referans set; kurallarda, aramalarda/AQL’de ve otomatik beslemede olmak üzere üç yerde kullanılır.

Bu sonuncusu özellikle güçlüdür. Örneğin brute force yapan bir IP’yi tespit eden kural, o IP’yi otomatik olarak “Supheli_IP” setine ekleyebilir; başka kurallar da bu seti kullanarak o IP’yi yakından izlemeye alır.

Bir kural şüpheli değeri sete ekler, başka kurallar bu seti kullanır; sistem kendi kendini besler.

Küçük Bir Örnek

Kritik kullanıcılarınızı bir referans sette tuttuğunuzu düşünelim. Bir AQL sorgusunda bu seti şöyle çağırırsınız:

SELECT sourceip, username, eventcount
FROM events
WHERE REFERENCESETCONTAINS('Kritik_Kullanicilar', username)
AND category = 'Authentication'
LAST 24 HOURS

REFERENCESETCONTAINS ifadesi, “username alanı bu setin içinde mi?” diye sorar. Sete yeni bir kullanıcı eklediğinizde sorgu otomatik olarak onu da kapsar. Sorguyu hiç değiştirmezsiniz.

Aynı mantık kurallar için de geçerlidir. Bir kuralın test listesine “kaynak, Supheli_IP setinde” koşulunu eklediğinizde, set güncellendikçe kural da güncel kalır.

Pratik İpuçları

• Setlerinize anlamlı isimler verin. “Liste1” yerine “Kritik_Sunucular”, “Kara_Liste_IP” gibi. İleride kuralları okurken çok işinize yarar.
• Zaman aşımı (TTL) kullanın. Bazı setlerdeki değerlerin süreli olmasını isteyebilirsiniz. Örneğin geçici olarak izlenen bir IP, belirli bir süre sonra setten otomatik düşsün.
• Otomatik beslemeyi akıllıca kurun. Sistemin kendini beslemesi güçlüdür ama kontrolsüz bırakılırsa set şişer. Hangi değerin ne zaman ekleneceğini netleştirin.
• Setleri belgeleyin. Hangi setin ne işe yaradığını ve hangi kuralların kullandığını not edin. Ekip büyüdükçe bu disiplin sizi kurtarır.

Toparlarsak

Referans setler, statik kuralları yaşayan yapılara dönüştürür. Değerleri tek bir yerde tutar, kurallardan ve sorgulardan çağırır, gerektiğinde sistemin kendi kendini beslemesini sağlarsınız. Bu da hem bakım yükünü azaltır hem de savunmanızı çok daha dinamik kılar.

Referans set oluşturmayı, kurallara bağlamayı ve otomatik beslemeyi gerçek senaryolarla uygulamalı görmek isterseniz QRadar eğitimimde bu konuyu adım adım işliyoruz. İlgilenirseniz diye bırakıyorum:

QRadar SIEM Analist: Analiz, Mühendislik ve Tehdit Avcılığı

Bir sonraki yazıda false positive ayıklama sanatını konuşacağız.

Umarım faydalı olmuştur. Görüşmek üzere.