SIEM mühendisliği: veri modeli, korelasyon, kapasite
Bir SIEM’i yalnızca kullanmakla kalmaz, tasarlarsın: hangi verinin toplanacağına, nasıl normalleştirileceğine, korelasyon kurallarının ve kapasitenin nasıl yönetileceğine karar verirsin.
Seviye 401 · 13 ders · 15 pratik lab
Dersler
Veri stratejisi
- Kullanım senaryosuna göre log toplamak
- Yeni log kaynağını devreye alma süreci
- Ayrıştırma kalitesi: eksik alanları ve bozuk zamanları yakalamak
- Log kaynağı sağlığı: sessizleşen kaynakları fark etmek
- Kısa görev: bir güvenlik duvarını devreye al ve sessizlik uyarısı kur
Korelasyon
- Korelasyon kuralı tasarımı: birden çok kaynaktan tek uyarı
- Risk tabanlı uyarı: puan biriktirmek
- Zenginleştirme tabloları: varlık, kullanıcı, kritiklik
- Kısa görev: VPN girişini ve ardından gelen olağandışı erişimi tek uyarıda topla
Kapasite ve işletim
- Kapasite planlama: günlük hacim, saklama, maliyet
- Sıcak, ılık ve soğuk katmanlar
- SIEM erişim denetimi ve denetim izi
- Bitirme görevi: orta ölçekli bir kurum için SIEM tasarım belgesi ve kanıt ortamı
Pratik lablar
- Güvenlik duvarı günlüğünü SIEM’e bağla ve alanları doğrula: Kaynağı bağla, kaynak, hedef, port ve eylem alanlarının doğru ayrıştığını örnek olaylarla kanıtla.
- Ayrıştırma hatası olan olayların oranını ölç: Ayrıştırma hatası etiketli olayları say, en sık bozulan biçimi bul ve ayrıştırıcıyı düzelt.
- Sessizleşen kaynak için alarm kur: Kaynak başına beklenen olay hızını belirle ve on beş dakika sessiz kalan kaynağı alarmlayan kuralı test et.
- Kullanım senaryosundan gereken günlük alanlarını çıkar: Veri sızdırma senaryosu için hangi kaynak ve alanların şart olduğunu yaz ve mevcut veride eksikleri göster.
- VPN girişi ile ardından gelen sıra dışı erişimi birleştir: İki kaynağı kullanıcı üzerinden bağlayan kuralı yaz ve tek alarmda iki olayı göster.
- Risk puanı biriktiren alarmı kur: Düşük seviyeli olaylara puan ver, kullanıcı başına topla ve eşik aşıldığında tek alarm üret.
- Varlık kritikliğiyle alarmı zenginleştir: Varlık tablosunu lookup olarak yükle, alarmlara sahip ve kritiklik ekle ve ciddiyeti buna göre ayarla.
- İki kaynakta aynı kullanıcıyı farklı yazan alanı eşitle: Alan adı ve biçim farkını gider, iki kaynağın olaylarını tek sorguda aynı kullanıcıyla getir.
- Günlük hacminden saklama alanını hesapla: Kaynak başına günlük boyutu topla, 90 günlük saklama için gereken alanı hesapla.
- En çok yer kaplayan gereksiz olayı bul ve süz: Hacmi olay türüne göre sırala, tespitte kullanılmayan gürültülü türü kaynakta süz ve kazancı ölç.
- SIEM’de kimin neyi sildiğini denetim izinden bul: Denetim kayıtlarından bir tespit kuralını devre dışı bırakan hesabı ve zamanı bul ve rol yetkisini daralt.
- Yeni bir log kaynağı için kabul formunu doldur: Bir vekil sunucu logu için kaynak sahibi, biçim, günlük hacim, saklama süresi ve beklenen alanları içeren kabul formunu örnek kayıtlara bakarak doldur.
- Saat dilimi yanlış gelen kaynağı bul: Üç kaynağın olay zamanı ile alınma zamanı arasındaki farkı karşılaştır ve üç saat kayık gelen kaynağı belirle.
- Bir uyarıda hangi bağlam bilgisinin eksik olduğunu belirle: Üç uyarı için sahibi, kritiklik ve konum alanlarından hangilerinin boş kaldığını işaretle.
- Varlık listesini arama tablosu olarak SIEM’e yükle: Makine adı, sahibi ve kritiklik sütunlu dosyayı arama tablosu yap ve bir sorguda kayıtlarla birleştir.
Kurs hakkında
Bir SIEM’i yalnızca kullanmakla kalmaz, tasarlarsın: hangi verinin toplanacağına, nasıl normalleştirileceğine, korelasyon kurallarının ve kapasitenin nasıl yönetileceğine karar verirsin.
Ne öğreneceksin
- Veri stratejisi
- Korelasyon
- Kapasite ve işletim
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.