Bir kurumda saldırı belirtileri güvenlik araçlarının önünden geçip kimse tarafından birleştirilmeyebilir; başka bir kurum aynı başlangıç girişimini dakikalar içinde karantinaya alabilir. CISA’nın iki kırmızı takım değerlendirmesini karşılaştıran yeni raporu, “hangi ürünü satın alalım?” sorusundan daha önemli bir şeyi gündeme getiriyor: Uyarıyı kim görecek, kim karar verecek ve olay büyümeden hangi yetkiyle müdahale edecek?

CISA’nın iki SOC karşılaştırması ne söylüyor?

Doğrulanmış bilgi: ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, “A Tale of Two SOCs: Insights From Two Red Team Assessments” başlıklı AA26-237A danışmanlığını 25 Ağustos 2026’da yayımladı. Belge, iki kuruluşta yürütülen eşzamanlı kırmızı takım değerlendirmelerinden çıkarılan dersleri karşılaştırıyor ve bilgi teknolojileri, bulut ve operasyonel teknoloji ortamlarında tespit ile müdahale yeteneğini güçlendirmeyi amaçlıyor.

Birincil belgenin özeti ile CISA’nın duyurusu, aynı sınıftaki saldırgan davranışların iki güvenlik operasyon merkezinde farklı sonuçlar doğurduğunu vurguluyor. CISA; normal davranış için güçlü bir taban çizgisi oluşturmayı, anlamlı uyarıları gürültüden ayırmayı, ekipler arası engelleri kaldırmayı ve bulut ortamına uygun kontroller kurmayı öneriyor.

Editoryal değerlendirme: Raporun Türkiye’deki küçük ve orta ölçekli işletmeler için en değerli yanı, pahalı bir SOC kurmadan da uygulanabilecek organizasyon dersleri sunmasıdır. Bir uyarının var olmasıyla işe yaraması arasında sahiplik, bağlam ve müdahale yetkisi bulunur.

Uyarı yorgunluğu neden teknik bir borçtur?

Antivirüs, güvenlik duvarı, bulut hesabı ve e-posta hizmeti her gün farklı uyarılar üretebilir. Hepsi aynı kanala akıyor, önem seviyeleri gelişigüzel kalıyor ve hiçbirinde “bu sistem ne işe yarıyor?” bilgisi yoksa analist gerçek olayı rutin gürültü sanabilir. Sorun yalnız insan dikkati değildir; varlık envanteri, önem sınıfı ve olay bağlamı eksiktir.

İlk hedef daha çok alarm açmak değil, en kritik beş saldırı davranışını seçip bunların uçtan uca işlenmesini sağlamaktır. Örneğin yönetici hesabında olağandışı giriş, yeni kalıcılık mekanizması, hassas sistemden dışarı veri aktarımı, beklenmeyen uzak yönetim ve güvenlik aracının kapatılması.

Küçük ekipler için “mini SOC” düzeni

Varlığı sahibine bağlayın

Her sunucu, alan adı, yönetici hesabı ve bulut projesinin bir iş sahibi ile teknik sahibi olmalı. Uyarı geldiğinde “bu cihaz kimin?” sorusunu cevaplamak için saat kaybedilmemeli. sertifika ve kod imzalama envanterinde olduğu gibi son kullanım tarihi ve sorumlu kişi de kayıt altında tutulmalıdır.

Karar eşiğini önceden yazın

Bir cihaz ne zaman ağdan izole edilir? Yönetici hesabı hangi durumda askıya alınır? Müşteriye ve yönetime kim haber verir? Bu kararlar saldırı sırasında ilk kez tartışılırsa teknik ekip gereksiz izin turuna girer. Üç seviyeli basit bir matris yeterlidir: izle, sınırla, izole et.

Kimlik ve bulutu aynı olayda görün

Şirket içi dizin hesabı ile Microsoft 365, Google Workspace veya bulut konsolu ayrı ekiplerin ekranında kalıyorsa saldırgan aradaki güven ilişkisini kullanabilir. Aynı kullanıcı için uç nokta, kimlik ve bulut oturumu zaman çizelgesini birleştirebilecek kayıtları en azından kritik hesaplarda saklayın.

İlk 15 dakika için müdahale kartı

  1. Uyarının cihaz, kullanıcı, kaynak IP ve zaman bilgisini tek kayda toplayın.
  2. Hesabın yönetici ya da hassas sistem erişimi olup olmadığını kontrol edin.
  3. Kanıtı silmeden şüpheli cihazı ağdan izole edin.
  4. Aktif oturumları ve erişim belirteçlerini iptal etme kararını değerlendirin.
  5. Aynı davranışı diğer cihazlarda arayın; tek cihazla sınırlı varsaymayın.
  6. Yapılan her işlemi saat ve sorumlu kişiyle kaydedin.

Bu kart hukuki veya adli bilişim prosedürünün yerine geçmez. Amacı ilk dakikalarda unutulan temel adımları azaltmak ve doğru kişiyi hızla devreye sokmaktır.

Aylık masa başı tatbikatı

Gerçek saldırı yapmadan da süreç test edilebilir. “Muhasebe bilgisayarında beklenmeyen PowerShell çalıştı ve aynı kullanıcı buluta farklı ülkeden giriş yaptı” senaryosunu masaya koyun. Ekipten ilk 30 dakikayı anlatmasını isteyin. Hangi logun olmadığı, kimin telefonunun bilinmediği ve hesabı kapatma yetkisinin kimde kaldığı hemen ortaya çıkar.

  • Uyarı doğru kişiye beş dakikada ulaştı mı?
  • Varlığın önemi ve sahibi bulundu mu?
  • İzolasyon kararı için gereksiz onay bekleniyor mu?
  • Bulut oturumları ve cihaz kayıtları birlikte incelendi mi?
  • Normal işe dönüş ölçütü açık mı?

Raporu yanlış okumamak

Kırmızı takım çalışması belirli koşullarda yapılan kontrollü bir değerlendirmedir; her kuruma aynı saldırı zincirinin uygulanacağını kanıtlamaz. Ayrıca “hızlı karantina her şeyi çözer” sonucu da çıkarılmamalı. CISA’nın mesajı katmanlıdır: tespit, bağlam, yetki, ekip koordinasyonu, kimlik güvenliği ve bulut kontrolleri birlikte çalışmalıdır.

Satın alınan güvenlik ürünlerinin listesi yerine, uyarının ilk sinyalden kapatılmış olaya kadar izlediği yolu ölçün. En yararlı metrik alarm sayısı değil; doğrulama süresi, izolasyon süresi, yanlış pozitif oranı ve aynı olayın başka sistemlerde aranıp aranmadığıdır.

KOBİ ölçeğinde haftanın her saati vardiyalı SOC kurmak gerçekçi olmayabilir. Buna rağmen kritik uyarılar için nöbet zinciri, dışarıdan olay müdahale desteği ve yönetici hesaplarında daha sıkı oturum politikası kurulabilir. En kritik beş varlığı belirlemek, hepsini eşit korumaya çalışmaktan daha etkili bir başlangıçtır. Tatbikatta ulaşılamayan kişi veya bulunamayan log, gerçek olaydan önce kapatılabilecek somut bir borçtur.

Kaynaklar