SOC ve Tehdit Tespiti
Log Kaynağı ve Görünürlük Boşluk Analizi
Hangi sistemden hangi logun eksik olduğunu ve bu nedenle hangi saldırgan davranışının tespit edilemediğini gösteriyoruz.
Nedir?
Bir davranışın tespiti için önce onu gösteren logun toplanması gerekir. Ancak log kaynakları sessizce kesilebilir, yeni sistemler kapsama alınmayabilir. Analiz, varlık envanterinizi SIEM'e ulaşan verilerle karşılaştırır. Sonuç olarak, MITRE ATT&CK üzerinde hangi saldırgan tekniklerinin görülemediği gösterilir.
Kapsam
- Varlık envanteri ile SIEM'e log gönderen sistemlerin karşılaştırılması
- İşletim sistemi denetim politikalarının ve uygulama log ayarlarının kontrolü
- Ayrıştırma hatalarının ve boş kalan alanların tespiti
- Zaman damgası tutarlılığının ve saat senkronizasyonunun kontrolü
- Saklama sürelerinin inceleme ve mevzuat ihtiyaçlarıyla karşılaştırılması
- Kesilen log kaynaklarını fark edecek sağlık izleme önerileri
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bir olay incelemesinde ihtiyaç duyulan logların hiç toplanmadığı anlaşıldığında.
- Bir veri ihlalinin kapsamını loglardan hızla çıkarabileceğinizden emin olmadığınızda.
- Bir log kaynağı haftalarca sessiz kaldığında ve kimse bunu fark etmediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter eşleme
Varlık envanterinizi, SIEM'e son dönemde log gönderen kaynaklarla karşılaştırırız.
-
Kalite kontrolü
Gelen logların ayrıştırıldığını, alanların dolu ve zaman damgalarının tutarlı olduğunu kontrol ederiz.
-
Teknik kapsam
Her log kaynağını görebildiği ATT&CK teknikleriyle eşleştirir, görülemeyen teknikleri listeleriz. Eşlemeyi örnek davranışlarla sahada test ederiz.
-
Öncelik listesi
Eksik kaynakları, kapatacakları görünürlük boşluğuna ve maliyetlerine göre sıralarız.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi sistemden hangi logun eksik olduğunu ve bunun hangi davranışları görünmez kıldığını bilirsiniz. Eksik log kaynakları, sağlayacakları görünürlüğe göre sıralanır.
Sık sorulan sorular
SIEM'imiz zaten çok log topluyor. Yine de boşluk olabilir mi?
Olabilir. Log hacmi kapsamı göstermez. Hacim birkaç gürültülü kaynaktan gelirken kritik sistemler eksik kalabilir.
Analiz için hangi erişim gerekir?
SIEM'de okuma yetkisi ve varlık envanterinizin bir kopyası yeterlidir. Sistemlerinize ajan kurulmaz.
SOC ve Tehdit Tespiti
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın