İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

SIEM Nedir?

Yayın: · Son güncelleme:

SIEM Nedir? Kısaca

SIEM (Security Information and Event Management), sunucu, güvenlik duvarı, uygulama ve kullanıcı sistemlerinden gelen kayıtları tek merkezde toplayıp ilişkilendiren, şüpheli olaylar için uyarı üreten güvenlik bilgi ve olay yönetimi sistemidir.

SIEM nedir?
İçindekiler
  1. SIEM nedir?
  2. Nasıl çalışır?
  3. Nelere dikkat etmeli?

SIEM nedir?

SIEM, güvenlik bilgi ve olay yönetimi anlamına gelen Security Information and Event Management ifadesinin kısaltmasıdır. Kurumdaki onlarca farklı sistemin kayıtlarını (log) tek bir yerde toplar. Böylece dağınık hâldeki küçük işaretler bir araya getirilip anlamlı bir resim çıkarılır.

Bir güvenlik operasyon merkezinin (SOC) temel aracıdır. Analistler günlerini büyük ölçüde SIEM ekranındaki uyarıları inceleyerek geçirir.

Nasıl çalışır?

Süreç dört adımda özetlenebilir: Kayıtlar toplanır, ortak bir biçime çevrilir, kurallarla ilişkilendirilir ve uyarıya dönüştürülür. İlişkilendirme kuralları, farklı kaynaklardaki olayları birbirine bağlar.

Örneğin bir kural şöyle olabilir: "Aynı kullanıcı adıyla 10 dakika içinde 20 başarısız giriş, ardından başarılı bir giriş ve hemen sonra yönetici yetkisi talebi." Bu olayların her biri tek başına sıradan görünebilir. Birlikte ise kaba kuvvet saldırısı ve ardından yetki yükseltme girişimine işaret eder.

SIEM ayrıca kayıtları belirli bir süre saklar. Bu da olay sonrası inceleme ve yasal denetimler için önemlidir.

Nelere dikkat etmeli?

Her şeyi toplamak hem pahalı hem verimsizdir. Önce hangi tehditleri yakalamak istediğinizi belirleyip buna göre kaynak seçin. Hazır kurallar başlangıç için iyidir ama ortamınıza göre ayarlanmazsa yanlış alarm yağmuruna yol açar.

Lisanslama çoğu zaman günlük veri hacmine göre yapılır, bu yüzden kayıt miktarını planlamak bütçeyi doğrudan etkiler. Otomatik müdahale ihtiyacı için SOAR maddesine bakabilirsiniz.

Sıkça Sorulan Sorular

SIEM ile log yönetimi arasındaki fark nedir?

Log yönetimi kayıtları toplayıp saklamaya odaklanır. SIEM ise bunun üzerine olayları ilişkilendirip güvenlik uyarısı üretir ve analiz imkânı sunar.

Küçük bir işletme SIEM kurmalı mı?

Kendi başına yönetmek zor ve maliyetli olabilir. Küçük işletmeler çoğu zaman bulut tabanlı ya da yönetilen bir hizmet olarak SIEM yeteneklerini almayı tercih eder.

İlgili terimler

SOC(Security Operations Center)SOC (Security Operations Center), bir kurumun ağlarını, sistemlerini ve kullanıcı etkinliğini sürekli izleyen, güvenlik olaylarını tespit edip analiz eden ve müdahaleyi koordine eden güvenlik operasyon merkezidir.SOARSOAR (Security Orchestration, Automation and Response), güvenlik araçlarını birbirine bağlayan, tekrar eden müdahale adımlarını otomatikleştiren ve olay yönetimini tek bir iş akışında toplayan güvenlik orkestrasyonu, otomasyonu ve yanıt platformudur.Log Yönetimi(Log Management)Log yönetimi, sunucu, ağ cihazı ve uygulamaların ürettiği kayıtların merkezi olarak toplanması, saklanması, korunması ve analiz edilmesi sürecidir. Sorun giderme, güvenlik izleme ve yasal uyum için kullanılır.XDR(Extended Detection and Response)XDR (Extended Detection and Response), uç nokta, ağ, e-posta, kimlik ve bulut gibi farklı kaynaklardan gelen güvenlik verilerini tek platformda birleştirerek saldırıları bütüncül şekilde tespit etmeyi ve yanıtlamayı amaçlayan yaklaşımdır.LogLog, bir yazılımın ya da sistemin çalışırken gerçekleşen olayları tarih ve saatiyle kaydettiği kayıttır. Hataları bulmak, kullanıcı hareketlerini izlemek ve güvenlik olaylarını incelemek için kullanılır.Kaba Kuvvet Saldırısı(Brute Force Attack)Kaba kuvvet saldırısı (brute force), bir şifreyi ya da şifreleme anahtarını, doğru olanı bulana kadar olası tüm kombinasyonları otomatik olarak deneyerek kırmaya çalışan saldırı yöntemidir.Yetki Yükseltme(Privilege Escalation)Yetki yükseltme (Privilege Escalation), bir saldırganın ya da zararlı yazılımın hakkı olandan daha fazla izin elde etmesidir. Sınırlı bir kullanıcı hesabından yönetici ya da sistem yetkisine geçiş tipik örnektir.