SOC temelleri: SIEM, uyarı sınıflandırma ve oyun kitapları
Wazuh ve Elastic ile logları toplar, uyarıları sınıflandırır ve zenginleştirir, oyun kitaplarıyla müdahale eder, vardiyayı düzgün devredersin.
Seviye 201 · 21 ders · 21 pratik lab
Dersler
SOC’u tanımak
- SOC nedir: insan, süreç, teknoloji: Güvenlik operasyon merkezinin ne yaptığını, gününün nasıl geçtiğini ve kurumdaki yerini açıklayabilirsin.
- SOC kademeleri ve rolleri: Birinci, ikinci ve üçüncü kademe analistin, tehdit avcısının ve SOC yöneticisinin sorumluluklarını ayırt edebilirsin.
- Log kaynakları: uç nokta, ağ, kimlik, bulut: Hangi log kaynağının hangi soruya yanıt verdiğini bilir, eksik kaynakları bir izleme kapsamı tablosunda gösterebilirsin.
- Kısa görev: bir kurumun log kaynaklarını çıkar ve önceliklendir
SIEM
- SIEM nedir: toplama, normalleştirme, ilişkilendirme: Farklı biçimlerdeki logların ortak alanlara çevrilip ilişkilendirilerek nasıl uyarıya dönüştüğünü açıklayabilirsin.
- Wazuh mimarisi: yönetici, ajan, gösterge paneli: Wazuh bileşenlerinin görevlerini ve verinin ajandan gösterge paneline nasıl aktığını çizebilirsin.
- Wazuh ajanı kurmak ve log toplamak: Bir Linux sunucusuna Wazuh ajanı kurar, kimlik doğrulama ve sistem loglarının yöneticiye ulaştığını doğrulayabilirsin.
- Elastic’te kayıt aramak: Kibana ve KQL: Kibana’da KQL sorgularıyla belirli bir kullanıcının, IP adresinin ya da olay türünün izini zaman aralığında sürebilirsin.
- Algılama kuralları ve Sigma ile ortak dil: Bir Sigma kuralını okuyup ne yakaladığını anlar, kendi ortamına uyarlanmış basit bir algılama kuralı yazabilirsin.
- Uyarıları MITRE ATT&CK ile eşleştirmek: Uyarıları ATT&CK tekniklerine eşleyerek hangi davranışları görebildiğini, hangilerinde kör kaldığını gösterebilirsin.
- Kısa görev: Kibana’da başarısız SSH girişlerini bul ve kaynağa göre say
Uyarı sınıflandırma
- Uyarı sınıflandırma yöntemi: doğru, yanlış ve zararsız pozitif: Bir uyarıyı belirli sorularla inceleyip gerçek tehdit mi, hatalı alarm mı, beklenen bir iş mi olduğuna karar verebilirsin.
- Zenginleştirme: IP, alan adı ve özet değer itibarı: Uyarıdaki IP, alan adı ve dosya özetini itibar kaynaklarında sorgulayıp kararını kanıtla destekleyebilirsin.
- Önem derecesi ve önceliklendirme: Varlığın kritikliğini ve davranışın ciddiyetini birleştirerek uyarı kuyruğunu doğru sıraya koyabilirsin.
- Gürültüyü azaltmak: kural ayarı ve istisnalar: Sürekli yanlış alarm üreten bir kuralı, gerçek tehditleri kaçırmadan daraltıp gerekçesini belgeleyebilirsin.
- Kısa görev: beş uyarıyı sınıflandır ve gerekçesini yaz
Süreçler
- Oyun kitapları: oltalama, şüpheli giriş, zararlı yazılım: Sık görülen üç uyarı türü için adım adım ilerleyen, karar noktaları belli oyun kitapları uygulayabilirsin.
- Vaka kaydı ve üst kademeye aktarma: Bulgularını tekrar edilebilir biçimde vakaya yazar, ne zaman ve kime aktaracağını ölçütlere göre belirlersin.
- Vardiya devri: ne yazılır, nasıl devredilir: Açık vakaları, izlenen göstergeleri ve bekleyen işleri eksiksiz aktaran bir vardiya devir notu yazabilirsin.
- SOC ölçütleri: tespit ve müdahale süresi: Ortalama tespit ve müdahale süresini, yanlış alarm oranını hesaplayıp ekibin gelişimini izleyebilirsin.
- Bitirme görevi: bir vardiyanın uyarı kuyruğunu sınıflandır ve devret: Wazuh ve Kibana’daki kurgusal bir uyarı kuyruğunu sınıflandırır, birini üst kademeye aktarır ve devir notunu yazarsın.
Pratik lablar
- Bu olay için hangi günlük kaynağına bakacağını seç: Beş kısa senaryo için uç nokta, ağ, kimlik ya da bulut kaynağından doğru olanı seç ve nedenini yaz.
- Eksik günlük kaynağını kapsam tablosundan bul: Kuruluşun varlık listesini SIEM’e bağlı kaynaklarla karşılaştır ve kör noktaları önem sırasına koy.
- Günlük göndermeyi kesen ajanı SIEM’de tespit et: Kaynak başına olay sayılarını saatlik izle ve sessizleşen sunucuyu ve sustuğu anı bul.
- Kibana’da bir kullanıcının tüm girişlerini listele: KQL ile kullanıcı adına ve olay türüne göre süz, zaman aralığını daralt ve sonuçları kaydet.
- Wazuh alarmlarını kural seviyesine göre süz ve say: Seviye 10 ve üzeri alarmları ajan başına grupla ve en çok alarm üreten makineyi bul.
- Başarısız girişlerin ardından başarılı olanı KQL ile bul: Aynı kaynaktan gelen başarısız ve başarılı oturumları iki sorguyla eşleştir ve ele geçirilen hesabı yaz.
- Alarmı ATT&CK tekniğiyle eşle ve eksik veriyi belirle: Üç alarmı teknik kimliğiyle etiketle ve doğrulamak için hangi günlük alanının eksik olduğunu yaz.
- Beş alarmı gerçek, yanlış ya da zararsız diye sınıfla: Her alarmın kanıtını incele ve kararını tek cümlelik gerekçeyle kaydet.
- Alarmdaki IP ve alan adını itibar verisiyle zenginleştir: Verilen çevrimdışı itibar listesinden göstergeleri sorgula ve alarm notuna sonucu ekle.
- Bu olay kümesinde gerçek alarmı ayıkla: Yirmi benzer alarmın içinden bağlamı farklı olan tek gerçek saldırıyı bul ve neden farklı olduğunu açıkla.
- Alarm kuyruğunu önem ve varlık değerine göre sırala: On alarmı varlık kritikliği ve tehdit ciddiyetiyle puanla ve ilk üç sırayı gerekçelendir.
- Zararsız görünen alarmın arkasındaki zinciri bul: Düşük seviyeli bir alarmı aynı makinedeki önceki ve sonraki olaylarla birleştir ve saldırı zincirini göster.
- Gürültü yapan kurala dar bir istisna yaz: Yedekleme sunucusunun tetiklediği alarmları yalnızca o kaynak ve süreç için dışla ve saldırı testinin hâlâ yakalandığını göster.
- İstisnanın gizlediği saldırıyı bul: Fazla geniş bir istisna yüzünden hiç alarm üretmeyen olayları ham kayıtlarda bul ve istisnayı düzelt.
- En çok alarm üreten üç kuralı bul: Bir haftalık alarmları kurala göre say ve gürültü adaylarını listele.
- Bu alarm için doğru playbook adımını uygula: Şüpheli giriş playbook’unu aç, alarm için sıradaki adımı uygula ve sonucu vaka kaydına yaz.
- Vardiya devir notunu eksiksiz yaz: Açık üç vakanın durumunu, bekleyen işleri ve dikkat edilecekleri sonraki vardiyanın sorusuz anlayacağı biçimde yaz.
- Tespit ve müdahale sürelerini vaka kayıtlarından hesapla: Bir aylık vaka verisinden ortalama tespit ve müdahale süresini hesapla ve ortalamayı bozan vakayı açıkla.
- Birbiriyle çelişen itibar sonuçlarından karar çıkar: Bir adres için üç kaynağın farklı söylediği itibar verisini, pasif DNS geçmişini ve iç kayıtları tartarak uyarıyı kapat ya da yükselt ve gerekçeni yaz.
- KQL ile bir kullanıcının başarısız girişlerini say: Kimlik doğrulama kayıtlarını kullanıcıya ve sonuca göre süz ve saat başına sayıyı göster.
- Çok hesaba yayılan denemelerden sonra gelen başarıyı tek sorguda yakala: Aynı kaynaktan on dakikada beşten fazla hesaba başarısız deneme ve ardından başarılı giriş kalıbını arayan sorguyu yaz, VPN çıkış adresini dışarıda bırak.
Kurs hakkında
Wazuh ve Elastic ile logları toplar, uyarıları sınıflandırır ve zenginleştirir, oyun kitaplarıyla müdahale eder, vardiyayı düzgün devredersin.
Ne öğreneceksin
- SOC’u tanımak
- SIEM
- Uyarı sınıflandırma
- Süreçler
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.