Tespit Mühendisliği ve Log Analizi (Detection Engineering)
Tespitleri kod gibi yönetmek: doğru telemetri, Sigma ile taşınabilir kurallar, yanlış pozitif ayarı ve ATT&CK kapsamıyla ölçülebilir bir tespit programı.
Tespit mühendisliği; tehditleri yakalayan kuralları, bir yazılım gibi tasarlayıp test eden, sürümleyen ve sürekli iyileştiren disiplindir. Amaç, “alarm üretmek” değil; doğru tehdidi, az gürültüyle, güvenilir biçimde yakalamaktır.
Önce telemetri
Hiçbir tespit, üzerinde çalışacağı veri olmadan var olamaz. Kaliteli telemetri tespit programının temelidir:
- Uç nokta↗: Süreç oluşturma ve komut satırı (Windows için Sysmon Event ID 1), modül yükleme, ağ bağlantıları, kayıt defteri değişiklikleri.
- Kimlik: Oturum açma olayları, ayrıcalık kullanımı, dizin hizmeti değişiklikleri.
- Ağ ve bulut: DNS, proxy, akış (flow) verileri ve bulut denetim günlükleri (CloudTrail vb.).
Loglar; merkezî, zaman damgalı, normalize edilmiş ve yeterince uzun süre saklanmış olmalıdır (SIEM↗’in görevi budur).
Tespit-as-code ve Sigma
Tespitleri sürüm kontrolünde, kod gibi yönetin. Sigma, SIEM’den bağımsız, taşınabilir bir tespit kuralı formatıdır; aynı kuralı farklı arka uçlara (Splunk, Elastic, Sentinel) çevirmenizi sağlar. Bu yaklaşım; gözden geçirme (code review), test ve CI/CD ile tespitlere yazılım kalitesi kazandırır.
- Her kurala ATT&CK tekniği etiketi ekleyin; kapsamınızı ölçülebilir kılın.
- Her kural için yanlış pozitif kaynaklarını ve müdahale notlarını (runbook) belgeleyin.
Yanlış pozitif ile gürültü dengesi
Çok hassas bir kural ekibi alarm yorgunluğuna boğar; çok gevşek bir kural tehdidi kaçırır. Bu dengeyi yönetmek için kuralları gerçek ortam verisiyle ayarlayın (tuning), istisnaları dar ve gerekçeli tutun, kural performansını (tetiklenme, doğruluk) düzenli ölçün.
Olgunluk: kapsam ve sürekli iyileştirme
Tespit programının olgunluğu, ATT&CK üzerindeki kapsamı ve bu kapsamın gerçekten çalıştığının kanıtıyla ölçülür. Atomic Red Team↗ gibi araçlarla teknikleri kontrollü biçimde tetikleyip tespitlerinizin gerçekten ateşlendiğini doğrulayın (detection validation). Mavi takımın kırmızı takımla çalışması (mor takım) bu döngüyü hızlandırır.
