SOC Hizmeti: 7/24 Güvenlik İzleme

Hizmet olarak SOC mu, kurum içi SOC mu?

Güvenlik operasyon merkezi iki şekilde kurulabilir: kurumun kendi personeli ve araçlarıyla işlettiği kurum içi SOC ya da izleme ve analiz yetkinliğinin dışarıdan alındığı hizmet olarak SOC (SOC as a Service). Seçim; kurumun ölçeği, düzenleyici gereksinimleri ve 7/24 vardiya kurabilme imkânına göre yapılır.

Hibrit model de mümkündür: mesai içinde kurumun BT ekibi, mesai dışında ve yoğun dönemlerde SOC ekibi olayları üstlenir. Bu modelde iki ekibin aynı olay kayıtlarını ve aynı müdahale matrisini kullanması, vardiya devirlerinde bilgi kaybını önler.

Alarmdan müdahaleye SOC hizmeti akışı

1. Alarm: SIEM korelasyon kuralı veya EDR tespiti bir olay üretir.
2. Ön eleme (triage): analist alarmın gerçek bir tehdit mi, yanlış pozitif mi olduğunu bağlam bilgisiyle değerlendirir.
3. Analiz: etkilenen kullanıcı, cihaz ve zaman çizelgesi çıkarılır; saldırının yayılıp yayılmadığı incelenir.
4. Müdahale: onaylı aksiyon planına göre cihaz izolasyonu, hesap kilitleme veya firewall kuralı gibi adımlar uygulanır ya da kurumla birlikte yürütülür.
5. Kapanış ve iyileştirme: olay raporlanır, aynı senaryonun tekrarını önlemek için kural ve politika güncellemeleri önerilir.

Kritik öncelikli olaylarda ilk müdahale hedefi 15 dakikadır; öncelik seviyelerine göre hedef süreler SLA sayfasında yer alır.

SOC, SIEM ve EDR arasındaki ilişki

Bu üç kavram birbirinin alternatifi değil, aynı yapının parçalarıdır. EDR/XDR uç noktada olanı görür ve müdahale imkânı verir. SIEM ve log yönetimi tüm kaynaklardan gelen kayıtları ilişkilendirip alarm üretir. SOC ise bu araçların ürettiği sinyali okuyan, önceliklendiren ve aksiyona dönüştüren ekip ve süreçtir. Araçlar olmadan SOC kör, SOC olmadan araçlar sessiz kalır.

Hizmet başlarken bu ilişki somut kararlara dönüştürülür. İzlenecek log kaynakları ve öncelikleri belirlenir; hangi olay türünde SOC ekibinin doğrudan aksiyon alabileceği, hangisinde kurumdan onay isteneceği yazılı bir müdahale matrisiyle tanımlanır. Mesai dışında ulaşılacak kişiler ve yedekleri, eskalasyon sırası ve iletişim kanalı listelenir. Kurumun kendine özgü süreçleri (örneğin gece çalışan toplu işler, düzenli bakım pencereleri, dış kaynaklı yazılım firmalarının uzaktan bağlantıları) kural setine işlenir; böylece bilinen ve meşru etkinlikler gereksiz alarm üretmez.

Düzenli raporlarda yalnızca alarm sayısı değil, hangi senaryoların tekrarladığı, hangi yapılandırma zayıflıklarının olaylara zemin hazırladığı ve bir sonraki dönem için önerilen iyileştirmeler yer alır. Bu geri besleme, SOC hizmetinin zamanla daha az ama daha anlamlı alarm üretmesini sağlar.