SIEM: güvenlik verisini tek ekranda toplayıp uyarıya çeviren sistem
SIEM, farklı sistemlerden gelen güvenlik kayıtlarını tek yerde toplar, birbiriyle ilişkilendirir ve analistin karar verebileceği uyarılara çevirir. Asıl farkı, tek başına zararsız görünen olayları birlikte okuyabilmesidir.
Bir bakışta
- SIEM, güvenlik verisini farklı kaynaklardan toplayıp tek arayüzde sunan yazılımdır. Güvenlik Bilgi ve Olay Yönetimi (Security Information and Event Management) adının kısaltmasıdır.
- Asıl değeri, ayrı görünen olayları birbirine bağlamasıdır. Tek başına zararsız görünen kayıtlar birlikte okununca bir saldırı izi olabilir.
- Üretilen şey bir uyarıdır, karar değil. Uyarıyı inceleyip yanıtlayan kişi ya da ekip hâlâ analisttir.
- Log yönetimi kayıtları saklar, SIEM onları güvenlik gözüyle yorumlar. İkisi aynı kurulumda yan yana çalışabilir.
SIEM nedir?
SIEM, bir kurumun güvenlikle ilgili verisini farklı sistemlerden toplayıp tek bir arayüzde izlenebilir hâle getiren yazılım kategorisidir. NIST'in tanımı da aynı noktaya varır: bilgi sistemi bileşenlerinden güvenlik verisini toplayan ve bu veriyi tek bir arayüz üzerinden eyleme dönüştürülebilir bilgi olarak sunan uygulama.
Burada iki kelime önemlidir. Toplamak, güvenlik duvarı, sunucu, kimlik sistemi, uç nokta koruması ve uygulama gibi birbirinden bağımsız kaynakların kayıtlarını aynı yere getirmek demektir. Eyleme dönüştürülebilir bilgi ise ham kayıt yığınının değil, bir analistin bakıp karar verebileceği uyarıların ve panoların sunulması demektir.
SIEM nasıl çalışır?
Çalışma akışı kabaca şöyledir. Önce kaynaklardan kayıtlar toplanır. Her kaynak kendi biçiminde yazdığı için kayıtlar normalleştirilir: kullanıcı adı, kaynak adres, zaman ve olay türü gibi alanlar ortak bir yapıya oturtulur. Ardından korelasyon kuralları çalışır ve belirli bir olay düzeni görülürse uyarı üretir. Analist uyarıyı açar, ilgili kayıtlara iner, gerekirse başka kaynaklarla karşılaştırır ve olayı kapatır ya da müdahale sürecine devreder.
Tek bir kaynağın göremediği şey bu yöntemle görünür hâle gelir. Güvenlik duvarı yalnız ağ trafiğini, kimlik sistemi yalnız oturum açmaları bilir. SIEM bu iki bilgiyi aynı kişi ve aynı zaman çizgisinde bir araya getirir.
SIEM, ham kaydı adım adım uyarıya çevirir
Her aşama bir öncekinin çıktısı üzerine kurulur
- ToplamaSunucu, ağ cihazı, kimlik sistemi ve uygulama kayıtları tek noktaya akar.
- NormalleştirmeFarklı biçimdeki kayıtlar ortak alanlara dönüştürülür.
- KorelasyonOlaylar zaman, kullanıcı ve adres üzerinden birbirine bağlanır.
- UyarıKurala uyan düzen analistin önüne öncelikli bir kayıt olarak gelir.
- İncelemeAnalist kayıtlara iner; olay kapatılır ya da müdahaleye devredilir.
Küçük bir örnek: tek tek zararsız, birlikte şüpheli
Bir kullanıcı hesabı için kısa sürede çok sayıda başarısız oturum açma denemesi, farklı ülkelerden gelen adreslerden yapılıyor. Biraz sonra aynı hesap başarılı bir girişle açılıyor ve hemen ardından hesapta alışılmadık bir dosya indirme başlıyor.
Kimlik sistemi başarısız denemeleri tek tek kaydeder, ağ cihazı indirmeyi kaydeder, ama hiçbiri tek başına alarm gerektirmez. Bir korelasyon kuralı bu dizilimi, yani çok sayıda başarısız deneme, ardından yeni bir yerden başarılı giriş, ardından olağandışı veri çıkışı, tek bir uyarıda toplar. Analist de olaya tek ekrandan, doğru sırayla bakar.
SIEM ile log yönetimi arasındaki fark
Log yönetimi, kayıtları toplama, saklama, arama ve raporlama işidir. Amacı genellikle kaydı kaybetmemek ve gerektiğinde bulabilmektir. SIEM bu altyapının üstüne güvenlik amaçlı bir katman ekler: kuralla ilişkilendirir, öncelik verir, uyarı üretir ve olay incelemesi için bağlam sunar.
Bu yüzden pratikte ikisi iç içe geçer. Bir kurum önce merkezi log toplamayı kurup güvenlik kullanım senaryolarını sonradan bunun üzerine ekleyebilir. Ayrımı akılda tutmanın kolay yolu şudur: log yönetimi sorusu ‘Bu kayıt nerede?’, SIEM sorusu ‘Bu kayıtlar birlikte bir şey anlatıyor mu?’ sorusudur.
Log yönetimi kaydı saklar, SIEM kaydı yorumlar
| Log yönetimi | SIEM | |
|---|---|---|
| Temel soru | Kayıt nerede, nasıl aranır? | Bu kayıtlar birlikte şüpheli mi? |
| Ana çıktı | Aranabilir arşiv ve rapor | Önceliklendirilmiş güvenlik uyarısı |
| Kullanıcı | Operasyon ve sistem ekipleri | Güvenlik analistleri |
| Ek ihtiyaç | Saklama ve erişim düzeni | Kural, ayarlama ve izleme emeği |
SIEM'in sınırları
SIEM kurulduğu anda koruma getirmez. Kaynaklar bağlanmazsa göremediği şeyi uyarıya çeviremez; kurallar kuruma göre ayarlanmazsa ya çok fazla yanlış pozitif ya da sessizlik üretir. Uyarı yağmuru analisti yorar ve gerçek bir olayın gözden kaçmasına yol açabilir.
Bu nedenle SIEM bir ürün olduğu kadar bir işletim düzenidir: hangi kaynakların bağlanacağı, hangi senaryoların öncelikli olduğu, uyarıların kimin önüne ne sürede düştüğü ve kuralların düzenli gözden geçirilmesi. Bu işi kurumlarda genellikle bir güvenlik operasyon merkezi (SOC) üstlenir. Yapay zeka destekli analiz de benzer bir çerçevede, uyarıların önceliklendirilmesine yardım eder ama ayarlama ve doğrulama ihtiyacını ortadan kaldırmaz.
SIEM bilgisi hangi rollerde işe yarar?
SOC analistleri uyarı incelemede, olay müdahale ekipleri zaman çizgisi çıkarmada, uyumluluk ekipleri ise denetim izi ve raporlamada SIEM'i kullanır. Sistem ve ağ yöneticileri de kendi kaynaklarını doğru bağlamak için çalışma mantığını bilmek zorundadır.
Siber Güvenlik Bootcamp Programı güvenlik operasyonları ve güvenlik değerlendirme konularını içerir; SOC Analist Sertifika Programı ise bu işin analist tarafına odaklanır. Uyarıyı okumayı öğrenmek, aracı bilmekten önce gelir.
Resmî kaynaklardan bilgiler
| NIST SIEM aracı tanımı | Bilgi sistemi bileşenlerinden güvenlik verisini toplama ve bu veriyi tek bir arayüz üzerinden eyleme dönüştürülebilir bilgi olarak sunma yeteneği sağlayan uygulama (NIST SP 800-128)kaynak |
|---|
Bilgiler resmî kaynaklarla doğrulandığı tarihte günceldir; değişiklik olabilir.
İlgili Mindset programı
Siber Güvenlik Bootcamp Programı
Sık sorulan sorular
SIEM tek başına bir güvenlik duvarının yerini tutar mı?
Hayır. Güvenlik duvarı trafiği engelleyen ya da geçiren bir koruma katmanıdır. SIEM ise engellemez, yalnız güvenlik duvarı dahil birçok kaynaktan gelen kayıtları toplayıp yorumlar. İkisi birbirini tamamlar; SIEM olayı görünür kılar, güvenlik duvarı ise saldırıyı kaynağında durdurmaya çalışır.
Küçük bir kurumun SIEM'e ihtiyacı var mı?
Bu, izlenecek kaynak çokluğuna, düzenleyici beklentilere ve bu işi yürütecek insana bağlıdır. Uyarıyı okuyup yanıtlayacak kimse yoksa SIEM değer üretmez. Küçük yapılar önce merkezi log toplama ve temel uyarılarla başlayıp ihtiyaç doğdukça SIEM kullanım senaryolarını genişletebilir.
Yanlış pozitifler nasıl azaltılır?
Kurallar kurumun gerçek davranışına göre ayarlanır: bilinen yönetici hesapları, planlı bakım pencereleri ve güvenilir adresler için istisnalar tanımlanır. Her uyarının sonucu kayda geçirilir; sürekli zararsız çıkan kurallar sadeleştirilir ya da önceliği düşürülür. Ayarlama tek seferlik değil sürekli bir iştir.
SIEM ile SOC aynı şey midir?
Hayır. SIEM bir yazılım kategorisidir, SOC ise güvenlik olaylarını izleyen ve yanıtlayan ekip ya da merkezdir. SOC çalışanları SIEM'i başlıca araçlarından biri olarak kullanır, ama SOC'un işi yalnız SIEM ekranına bakmaktan ibaret değildir.