SIEM (Security Information and Event Management, güvenlik bilgisi ve olay yönetimi), bir kurumdaki güvenlik duvarı, sunucu, bilgisayar ve uygulamalardan gelen kayıtları (logları) tek merkezde toplayan, birbiriyle ilişkilendiren ve şüpheli durumlarda alarm üreten güvenlik sistemidir. Tek tek bakıldığında sıradan görünen olayları bir araya getirerek bir saldırının izini sürmeyi mümkün kılar.
Son yıllarda SIEM’in yanına EDR ve XDR gibi kavramlar eklendi. Bu yazıda SIEM’in nasıl çalıştığını, EDR ve XDR’ın ne olduğunu, aralarındaki farkları ve kurumunuz için hangisinin gerekli olduğunu bulacaksınız.
SIEM nasıl çalışır?
- Log toplama: Güvenlik duvarları, sunucular, etki alanı denetleyicileri, VPN ve e-posta sistemleri gibi kaynaklardan kayıtlar syslog ya da kurulu ajanlar aracılığıyla merkeze gönderilir.
- Ayrıştırma ve normalleştirme: Her üreticinin log biçimi farklıdır. SIEM bu kayıtları ayrıştırır ve kullanıcı, kaynak IP, hedef, işlem gibi ortak alanlara dönüştürür.
- Korelasyon: Kurallar farklı kaynaklardan gelen olayları birbirine bağlar. Örneğin bir hesaba art arda başarısız giriş denemelerinin ardından başarılı bir giriş gelmesi ve aynı hesabın kısa süre sonra başka sunuculara bağlanması tek bir saldırı olayı olarak raporlanır.
- Alarm ve inceleme: Kuralı tetikleyen durumlar önem derecesiyle birlikte güvenlik ekibine bildirilir; ekip ilgili kayıtları tek ekrandan inceler.
- Saklama ve raporlama: Kayıtlar mevzuatın ve iç politikaların gerektirdiği süre boyunca saklanır; denetimler için uyum raporları üretilir.
Neden tek tek log incelemek yetmez?
Orta ölçekli bir kurumda bile günde milyonlarca log satırı oluşur. Bir saldırının izleri genellikle farklı cihazlara dağılmıştır: güvenlik duvarında bir bağlantı, etki alanı denetleyicisinde bir oturum açma, bir sunucuda yeni bir hizmet. Bu parçalar ayrı ayrı bakıldığında masum görünür; ancak bir araya getirildiğinde saldırının adımlarını gösterir. SIEM’in değeri bu bağlantıyı otomatik olarak kurmasındadır.
EDR nedir?
EDR (Endpoint Detection and Response, uç nokta tespit ve müdahale), bilgisayar ve sunuculara kurulan bir ajan aracılığıyla o cihazda olup bitenleri ayrıntılı olarak izleyen ve gerektiğinde müdahale eden güvenlik yaklaşımıdır. Çalışan süreçleri, açılan dosyaları, ağ bağlantılarını ve sistem ayarlarındaki değişiklikleri takip eder.
Klasik antivirüs bilinen zararlı dosyaları imzalarına göre yakalar. EDR ise davranışa bakar: Bir ofis belgesinin komut satırı açması, kısa sürede çok sayıda dosyanın şifrelenmesi ya da yedeklerin silinmeye çalışılması gibi şüpheli davranışları tespit eder. Tespit edildiğinde cihazı ağdan izole etmek ya da süreci sonlandırmak gibi müdahaleler yapılabilir.
XDR nedir?
XDR (Extended Detection and Response, genişletilmiş tespit ve müdahale), uç nokta, ağ, sunucu ve diğer kaynaklardan gelen verileri tek bir platformda birleştirip tespit ve müdahaleyi bu birleşik görünüm üzerinden yapan yaklaşımdır. EDR’ın tek cihazdaki derin görünürlüğünü, SIEM’in kurum genelindeki korelasyonuyla bir araya getirir.
XDR’da bir uyarı yalnızca “bu bilgisayarda şüpheli bir süreç var” demekle kalmaz; aynı kullanıcının hangi VPN bağlantısıyla geldiğini, güvenlik duvarında hangi adreslerle konuştuğunu ve başka hangi cihazlara eriştiğini de gösterir. Müdahale de aynı ekrandan yapılır.
SIEM, EDR ve XDR arasındaki farklar
| SIEM | EDR | XDR | |
|---|---|---|---|
| Odak noktası | Kurum genelindeki loglar | Tek tek uç noktalar | Uç nokta, ağ ve loglar birlikte |
| Veri kaynağı | Syslog, cihaz ve uygulama logları | Uç noktadaki ajan | Ajanlar ve loglar |
| Güçlü yanı | Korelasyon, uyum ve uzun süreli saklama | Cihaz üzerindeki ayrıntılı davranış analizi | Saldırının tamamını tek görünümde izleme |
| Müdahale | Genellikle alarm üretir; müdahale ayrı araçlarla yapılır | Cihaz üzerinde müdahale | Uç nokta ve ağ genelinde müdahale |
| Tipik soru | “Ağımızda ne oldu?” | “Bu bilgisayarda ne oluyor?” | “Saldırı nereden girdi, nereye yayıldı?” |
Bu alanda sık geçen bir kavram da SOAR’dır (Security Orchestration, Automation and Response). SOAR, belirli bir uyarı geldiğinde yapılacak işlemleri, örneğin bir IP adresini engellemeyi ya da bir cihazı izole etmeyi, önceden tanımlanmış senaryolarla otomatikleştirir.
Kurumunuz için hangisi gerekli?
- Yalnızca yasal log saklama ihtiyacınız varsa: 5651 kapsamındaki erişim kayıtları için 5651 uyumlu bir firewall yeterlidir.
- Birden fazla sunucu ve güvenlik cihazınız varsa: Logların tek merkezde toplanıp ilişkilendirilmesi için SIEM gerekir. KVKK, ISO 27001 ve PCI DSS gibi düzenlemelerde istenen kayıt ve raporlama da SIEM ile yönetilir.
- Fidye yazılımı ve hedefli saldırılar başlıca endişenizse: Uç noktalarda davranış analizi yapan EDR ve bunu ağ verisiyle birleştiren XDR, saldırıyı şifreleme başlamadan durdurma şansı verir.
- Güvenlik ekibiniz küçükse: Ayrı ayrı SIEM, EDR ve SOAR ürünleri yerine bunları tek panelde birleştiren bir XDR platformu, yönetim yükünü ve alarm yorgunluğunu azaltır.
PONIVA XDR: SIEM, XDR ve SOAR tek platformda
PONIVA XDR, PONA Teknoloji tarafından geliştirilen yerli SIEM ve XDR platformudur. Güvenlik duvarı, sunucu, bilgisayar ve NAS cihazlarından gelen olayları tek merkezde ilişkilendirir ve müdahaleyi tek panelden yapmanızı sağlar.
- MITRE ATT&CK ile eşlenmiş yaklaşık 400 hazır korelasyon kuralı
- 20’den fazla üretici için hazır log desteği; Fortinet, Palo Alto, Cisco, Check Point, Sophos, MikroTik ve CEF biçimindeki kaynaklar dahil
- Windows, Linux, FreeBSD ve Synology NAS için uç nokta ajanı; fidye yazılımı tespiti ve VSS anlık görüntüsünden geri yükleme
- Cihaz izolasyonu, süreç sonlandırma ve IP engelleme gibi tek tıkla ve otomatik müdahaleler
- USOM zararlı bağlantı listesi dahil tehdit istihbaratı beslemeleri
- Tamamen kurum içinde çalışır; veriler kurum dışına çıkmaz
PONIVA XDR’ın tüm özelliklerini inceleyin ya da kendi ortamınızda görmek için demo talep edin.
