TREN
Görüşme PlanlayınGörüşme Planlayın

SOC ve Tehdit Tespiti

Tespit ve Korelasyon Kuralı Geliştirme

Gerçek saldırgan davranışlarını tespit eden kural ve korelasyon kuralları yazıyoruz. Her kuralı aynı davranışla test edip yanlış alarmları azaltacak şekilde ayarlıyoruz.

Görüşme PlanlayınAlanın tüm hizmetleri

Nedir?

Tespit kuralı, loglardaki belirli bir saldırgan davranışını alarma dönüştüren mantıktır. Korelasyon kuralı ise birden fazla olayı zaman ve bağlam içinde ilişkilendirir. İyi bir kural tek bir IP adresine veya dosya hash değerine değil, değişmesi zor bir davranışa dayanır. Kurallar sürüm kontrolünde tutulur ve her değişiklikte yeniden test edilir.

Kapsam

  • Tehdit senaryoları ve MITRE ATT&CK tekniklerine göre kural ihtiyacının belirlenmesi
  • SIEM ve EDR sorgu dillerinde, uygun olduğunda Sigma formatında kural yazımı
  • Her kuralın aynı davranışın kontrollü tekrarıyla test edilmesi
  • Ortamınızın olağan davranışına göre ayar ve istisna tanımları
  • Her kural için analist yönergesi: amacı, olası yanlış alarmlar ve ilk adımlar

İhtiyaç

Hangi durumlarda ihtiyaç duyulur?

  • Ürünün hazır kuralları çok sayıda yanlış alarm ürettiğinde ve analistler gerçek alarmları gözden kaçırdığında.
  • Sektörünüzü hedef alan yeni bir saldırı kampanyası duyurulduğunda ve buna karşı bir kuralınız olup olmadığını bilmediğinizde.
  • Kural seti yıllardır gözden geçirilmediğinde ve hangi kuralın neyi yakaladığı bilinmediğinde.

Yöntem

Nasıl çalışıyoruz?

  1. İhtiyaç

    Hangi davranış için kural gerektiğini tehdit senaryoları ve mevcut kapsam boşluklarından belirleriz.

  2. Yazım

    Kuralı ürününüzün sorgu dilinde yazar, mantığını ve varsayımlarını belgeleriz.

  3. Test

    Davranışı test ortamında kontrollü olarak tekrarlar, kuralın tetiklendiğini gösteririz. Kuralı geçmiş verilerde çalıştırarak yanlış alarmları ölçeriz.

  4. Ayar ve devir

    İstisnaları ekler, kuralı analist yönergesiyle birlikte ekibinize devrederiz.

Sonuç

Çalışmanın sonunda elinizde olan

Her biri test edilmiş, belgelenmiş ve sürüm kontrolünde tutulan bir kural setine sahip olursunuz. Analistler, her alarmda ne yapacaklarını kuralın yanında bulur.

Sık sorulan sorular

Ürünün hazır kuralları yeterli değil mi?

Hazır kurallar genel bir ortama göre yazılır ve sizin ortamınızın olağan davranışını bilmez. Bu yüzden ayarlanmadıklarında çoğu zaman fazla alarm üretir veya kritik bir davranışı kaçırır.

Kurallar hangi formatta teslim edilir?

Kurallar kullandığınız SIEM veya EDR ürününün dilinde teslim edilir. Uygun olduğunda Sigma formatında da verilir.

Kurallar zamanla eskir mi?

Ortamınız ve saldırgan yöntemleri değiştikçe kuralların gözden geçirilmesi gerekir. Test senaryoları da teslim edildiği için ekibiniz her kuralı yeniden sınayabilir.

SOC ve Tehdit Tespiti

Bu alandaki diğer hizmetler

Bu hizmet için görüşelim.

İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.

Görüşme Planlayın