Hizmete neler dahil?
- Güvenlik duvarı, EDR, e-posta ve kimlik loglarının izlenmesi
- Alarm ön değerlendirmesi (triage) ve yanlış pozitif ayıklama
- Önem derecesine göre tanımlı kanallardan olay bildirimi
- Sözleşmede tanımlı yetkilerle müdahale veya müdahale rehberliği
- Ortama göre alarm kurallarının ayarlanması
- Eskalasyon ve iletişim planı
- Periyodik rapor ve gözden geçirme toplantıları
Yönetilen güvenlik hizmeti nedir?
Yönetilen güvenlik hizmeti, güvenlik sistemlerinizin ürettiği alarm ve logların sizin adınıza takip edilmesi ve şüpheli durumların değerlendirilip size anlamlı bir bildirim olarak iletilmesidir. Güvenlik ürünleri çok sayıda uyarı üretir; bu uyarıların hangisinin gerçek bir tehdit olduğunu ayırt etmek zaman ve uzmanlık ister.
Bu alanda kullanılan bazı kavramlar:
- SOC (Security Operations Center, güvenlik operasyon merkezi): Güvenlik olaylarının izlendiği ve değerlendirildiği ekip ve süreçlerin bütünü.
- MSSP (Managed Security Service Provider): Güvenlik izleme ve yönetim hizmetini dışarıdan sunan hizmet sağlayıcı.
- MDR (Managed Detection and Response): Tespit ve müdahaleye odaklanan, genellikle EDR/XDR ürünleri üzerinden sunulan yönetilen hizmet.
- SIEM: Farklı kaynaklardan gelen logları toplayan, ilişkilendiren ve alarm üreten platform.
SOC hizmetinde neler izlenir?
İzlenecek kaynaklar, işletmenin altyapısına ve risklerine göre kapsam görüşmesinde belirlenir. Sık kullanılan kaynaklar şunlardır:
- Güvenlik duvarı logları: Engellenen saldırı denemeleri, şüpheli bağlantılar, VPN oturumları, yönetim arayüzüne erişimler. Altyapı için FortiGate firewall sayfasına bakabilirsiniz.
- Uç nokta (EDR) alarmları: Bilgisayar ve sunucularda zararlı yazılım, şüpheli süreç ve davranış tespitleri. Ayrıntı için uç nokta güvenliği (EDR/XDR).
- E-posta güvenliği olayları: Oltalama, zararlı ek ve şüpheli yönlendirme kuralları. Ayrıntı için kurumsal e-posta güvenliği.
- Kimlik olayları: Başarısız oturum açma denemeleri, olağan dışı konumlardan girişler, yetki değişiklikleri, MFA reddi.
- Sunucu ve bulut servis logları: Kritik sistemlerde yapılan değişiklikler, yönetici işlemleri.
Tespitten müdahaleye süreç nasıl işler?
Yönetilen güvenlik hizmetinde her alarm aynı yoldan geçer: tespit, ön değerlendirme, bildirim ve müdahale. Bu akışın her adımında kimin ne yapacağı baştan tanımlanır.
- Tespit: Kaynak sistemlerden gelen loglar ve alarmlar toplanır, kurallar ve korelasyonlarla şüpheli durumlar belirlenir.
- Ön değerlendirme (triage): Alarm analist tarafından incelenir; yanlış pozitifler ayıklanır, gerçek olaylar önem derecesine göre sınıflandırılır.
- Bildirim: Önem derecesine göre tanımlanmış kanal ve kişilere, ne olduğunu, etkilenen sistemleri ve önerilen adımları içeren bir bildirim gönderilir.
- Müdahale: Sözleşmede tanımlı yetkiler çerçevesinde cihazın izole edilmesi, hesabın kilitlenmesi veya kuralın engellenmesi gibi adımlar uygulanır ya da müşterinin ekibine yol gösterilir.
- Kapanış ve raporlama: Olay kayıt altına alınır; periyodik raporlarda eğilimler ve iyileştirme önerileri paylaşılır.
Kurum içi SOC mu, yönetilen hizmet mi?
Karar, işletmenin büyüklüğüne, bütçesine ve güvenlik ekibinin olgunluğuna bağlıdır. Aşağıdaki tablo iki modeli nitel olarak karşılaştırır.
| Kriter | Kurum içi SOC | Yönetilen hizmet (MSSP / MDR) |
|---|---|---|
| Kurulum süresi | Personel, araç ve süreç kurulumu gerektirir, uzun sürer | Mevcut süreç ve araçlarla daha hızlı başlanabilir |
| Personel | Analist işe alımı, eğitim ve vardiya planı kurum tarafından yönetilir | Analist ekibi hizmet sağlayıcı tarafından sağlanır |
| Kurum bilgisi | İç süreçleri ve sistemleri yakından bilir | Kurum bilgisi zamanla ve iyi dokümantasyonla oluşur |
| Kontrol | Tüm kararlar ve veriler kurum içinde kalır | Yetki ve veri paylaşımı sözleşmeyle tanımlanır |
| Maliyet yapısı | Personel, lisans ve altyapı yatırımı | Kapsama göre belirlenen hizmet bedeli |
| Uygun olduğu yapı | Büyük, olgun güvenlik ekibi olan kurumlar | KOBİ'ler ve orta ölçekli kurumlar, ya da iç ekibi destek isteyenler |
Bazı kurumlar hibrit model tercih eder: iç ekip kritik kararları verirken izleme ve ilk değerlendirme yönetilen hizmetle yürütülür.
Hizmet saatleri ve müdahale süreleri nasıl belirlenir?
Hizmet saatleri, bildirim süreleri ve müdahale kapsamı sözleşmede ve hizmet seviyesi tanımında (SLA) yazılı olarak belirlenir. Kapsam görüşmesinde şu sorular netleştirilir:
- Hangi saatlerde izleme yapılacak ve mesai dışı olaylar nasıl ele alınacak?
- Hangi önem derecesindeki olaylar hangi kanal ve sürede bildirilecek?
- Hizmet sağlayıcının hangi müdahaleleri doğrudan yapmaya yetkisi olacak?
- Olay anında müşteri tarafında kimlere ulaşılacak?
- Raporlar hangi sıklıkta ve hangi içerikle paylaşılacak?
Hizmete başlamadan önce neler hazırlanmalı?
Yönetilen güvenlik hizmetinin değeri, bağlanan kaynakların kalitesine ve olay anında doğru kişilere ulaşılabilmesine bağlıdır. Başlangıçta şu bilgiler hazırlanmalıdır:
- [ ] Kritik sistemlerin ve verilerin listesi (ör. ERP, dosya sunucusu, muhasebe, müşteri veritabanı)
- [ ] Güvenlik duvarı, uç nokta, e-posta ve kimlik ürünlerinin envanteri
- [ ] Bu ürünlerin log gönderme ve saklama ayarları
- [ ] Olay anında aranacak kişiler, yedekleri ve karar yetkileri
- [ ] Bakım pencereleri ve planlı işler (yanlış alarmların ayıklanması için)
- [ ] Varsa mevcut olay müdahale planı
Yönetilen hizmetin sınırları nelerdir?
Yönetilen güvenlik hizmeti, eksik veya yanlış yapılandırılmış güvenlik ürünlerinin yerini tutmaz; izlenen kaynakların doğru çalışmasını varsayar. Log üretmeyen bir sistemdeki olay görülemez, yetki verilmemiş bir müdahale yapılamaz. Bu nedenle kapsam dışı kalan sistemler ve müşteri tarafında kalan sorumluluklar sözleşmede açıkça yazılır. İlk aylarda alarm kurallarının ortama göre ayarlanması, hizmetin olgunlaşması için gereken doğal bir süreçtir.
Kimler için uygun?
- Güvenlik alarmlarını takip edecek ayrı bir ekibi olmayan KOBİ'ler
- Güvenlik duvarı ve EDR ürünlerine yatırım yapmış ancak alarmları düzenli inceleyemeyen işletmeler
- KVKK kapsamında log izleme ve ihlal tespiti kabiliyetini güçlendirmek isteyen kurumlar; ayrıntı için KVKK teknik tedbirler
- İç güvenlik ekibini mesai dışı veya yoğun dönemlerde desteklemek isteyen kurumlar
- Müşteri veya denetim gereği güvenlik izleme yaptığını gösterebilmesi gereken firmalar
Süreç nasıl işler?
- Kapsam görüşmesi: İzlenecek kaynaklar, kritik varlıklar, hizmet saatleri ve müdahale yetkileri belirlenir.
- Entegrasyon: Güvenlik duvarı, EDR, e-posta ve kimlik sistemlerinin logları izleme platformuna bağlanır.
- Ayar ve iyileştirme: Alarm kuralları ortamınıza göre ayarlanır, gereksiz uyarılar azaltılır.
- İletişim planı: Önem derecelerine göre bildirim kanalları, irtibat kişileri ve eskalasyon adımları yazılır.
- İzleme ve bildirim: Sözleşmede tanımlı saatlerde izleme ve olay bildirimi yapılır.
- Raporlama ve gözden geçirme: Periyodik raporlar ve toplantılarla eğilimler, açık riskler ve iyileştirmeler değerlendirilir.
Kaynak sistemlerin düzenli bakımı için güvenlik altyapısı bakım ve destek hizmetiyle birlikte planlama yapılabilir. İzlenecek kaynakları ve hizmet saatlerini birlikte belirlemek için yönetilen güvenlik hizmetleri teklifi isteyin.
Yönetilen Güvenlik Hizmetleri (SOC / MSSP): sık sorulanlar
SOC, MSSP ve MDR arasındaki fark nedir?
SOC, güvenlik olaylarının izlendiği ve değerlendirildiği ekip ve süreçlerin genel adıdır; kurum içinde veya dışarıdan sağlanabilir. MSSP, güvenlik izleme ve yönetimini dışarıdan sunan hizmet sağlayıcıyı ifade eder. MDR ise tespit ve müdahaleye odaklanan, genellikle EDR/XDR ürünleri üzerinden sunulan yönetilen hizmettir.
Yönetilen güvenlik hizmeti kesintisiz izleme içerir mi?
İzleme saatleri ve mesai dışı olayların nasıl ele alınacağı, hizmet sözleşmesinde tanımlanır. Farklı ihtiyaçlar için farklı hizmet saatleri ve bildirim süreleri planlanabilir. Kapsam görüşmesinde işletmenizin risklerine uygun model birlikte belirlenir.
Hangi sistemlerin logları izlenebilir?
Güvenlik duvarı, uç nokta güvenliği (EDR), e-posta güvenliği, kimlik sistemleri (ör. Active Directory, bulut kimlik servisleri) ve kritik sunucular sık izlenen kaynaklardır. Hangi kaynakların bağlanacağı, mevcut ürünlerinize ve log gönderme yeteneklerine göre belirlenir. Önce en kritik kaynaklarla başlanıp kapsam zamanla genişletilebilir.
Bir olay tespit edildiğinde ne olur?
Alarm önce analist tarafından değerlendirilir ve yanlış pozitif olup olmadığı kontrol edilir. Gerçek bir olaysa, önem derecesine göre tanımlı kişilere ne olduğu ve önerilen adımlarla birlikte bildirilir. Sözleşmede yetki verildiyse cihaz izolasyonu veya hesap kilitleme gibi müdahaleler doğrudan uygulanabilir.
Yönetilen hizmet için yeni ürün almamız gerekir mi?
Her zaman gerekmez; mevcut güvenlik duvarı ve uç nokta ürünlerinizin logları çoğu durumda izlemeye dahil edilebilir. Ancak bazı eski ürünler yeterli log üretmeyebilir veya uç noktalarda EDR bulunmayabilir. Kapsam görüşmesinde mevcut altyapı incelenip gerekli eklemeler ayrıca belirtilir.
Verilerimiz ve loglarımız nerede tutulur?
Logların nerede saklanacağı, ne kadar süre tutulacağı ve kimlerin erişebileceği hizmet sözleşmesinde tanımlanır. Kişisel veri içeren loglar için KVKK açısından yurt dışı aktarım gibi konular hukuk danışmanınızla birlikte değerlendirilmelidir. Bu sorular kapsam görüşmesinin parçasıdır.
