Sıkça Sorulan Sorular

EASM sistemlerimize zarar verir mi?

Keşif büyük ölçüde pasif kaynaklarla yapılır; aktif kontroller ise hafif ve yetkilendirilmiş taramalarla sınırlıdır. Tarama kapsamı ve zamanlaması sizinle önceden belirlenir.

Sonuçlar ne sıklıkla güncellenir?

Dış yüzey sürekli izlenir ve yeni varlıklar ya da kritik değişiklikler tespit edildiğinde bildirilir. Özet raporların sıklığı ihtiyacınıza göre belirlenir.

Siber tehdit istihbaratı ile tehdit beslemesi arasındaki fark nedir?

Tehdit beslemesi (feed) genellikle bağlamı sınırlı IP, alan adı ve hash listeleridir. Tehdit istihbaratı ise bu verileri analiz eder, kurumunuzla ilişkilendirir ve kimin, neden ve nasıl saldırabileceğini açıklayan önceliklendirilmiş bilgiye dönüştürür.

STIX ve TAXII nedir?

STIX, tehdit istihbaratını yapılandırılmış ve makine tarafından okunabilir biçimde tanımlayan bir dil ve veri modelidir. TAXII ise bu verilerin HTTPS üzerinden kurumlar ve sistemler arasında paylaşılmasını sağlayan protokoldür; her ikisi de OASIS tarafından yayımlanmıştır.

TLP etiketleri ne anlama gelir?

Traffic Light Protocol, paylaşılan bilginin hangi kitleye iletilebileceğini renk kodlarıyla belirtir. Örneğin TLP:RED yalnızca bilginin doğrudan iletildiği kişilere, TLP:CLEAR ise herkese açık paylaşıma izin verir.

İstihbarat raporları hangi sıklıkta hazırlanır?

Rapor sıklığı ihtiyaçlarınıza göre belirlenir; düzenli dönemsel raporların yanı sıra sizi doğrudan etkileyebilecek kritik gelişmelerde ayrıca bildirim yapılır.

SOC ile MDR arasındaki fark nedir?

SOC hizmeti tehditleri izler, analiz eder ve size önceliklendirilmiş bildirim gönderir. MDR ise buna ek olarak, önceden onaylanan senaryolar çerçevesinde uç noktada cihaz izolasyonu gibi sınırlama adımlarını doğrudan uygular.

Bu hizmetler için kendi SIEM ürünümüz olmalı mı?

Zorunlu değildir. Mevcut SIEM veya EDR altyapınız varsa onunla çalışırız; yoksa ihtiyacınıza uygun mimariyi markadan bağımsız olarak birlikte belirleriz.

İçeride saldırgan olduğundan şüpheleniyoruz, nereden başlamalıyız?

Bu durumda ilk adım genellikle ihlal değerlendirmesidir. Değerlendirme, ortamınızda aktif ya da geçmiş bir ihlal izinin olup olmadığını kanıta dayalı olarak ortaya koyar ve sonraki adımları netleştirir.

İhlal değerlendirmesi ile sızma testi arasındaki fark nedir?

Sızma testi, saldırganın içeri nasıl girebileceğini bulmak için açıkları arar. İhlal değerlendirmesi ise saldırganın zaten içeri girip girmediğini, girdiyse hangi izleri bıraktığını araştırır.

İhlal değerlendirmesi ne kadar sürer?

Süre, incelenecek cihaz sayısı ve veri kaynaklarına bağlı olarak değişir. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız.

Değerlendirme sistemlerimizi yavaşlatır mı?

Veri toplama araçları hafif çalışacak şekilde yapılandırılır ve kritik sistemlerde zamanlama sizinle birlikte planlanır. Amaç, iş sürekliliğini etkilemeden görünürlük elde etmektir.

Hiçbir ihlal bulunmazsa rapor ne işe yarar?

Temiz bir sonuç, incelenen kapsamda ihlal izine rastlanmadığını belgeleyen bir referans oluşturur. Rapor ayrıca değerlendirme sırasında tespit edilen görünürlük eksikleri ve güvenlik zafiyetleri için öneriler içerir.

MDR için EDR ürünümüz olması şart mı?

MDR'ın uç noktada aksiyon alabilmesi için bir EDR veya XDR platformu gereklidir. Mevcut ürününüzle çalışabiliriz; yoksa ihtiyacınıza uygun çözümü markadan bağımsız olarak birlikte değerlendiririz.

MDR ekibi sistemlerimize onaysız müdahale eder mi?

Hayır. Hangi aksiyonların doğrudan alınabileceği, hangilerinin onay gerektirdiği hizmet başlamadan önce yazılı bir müdahale matrisinde belirlenir. Bu matrisin dışında bir adım atmayız.

MDR olay müdahalesi hizmetinin yerine geçer mi?

MDR, tehdidin hızlı tespiti ve ilk sınırlaması için tasarlanmıştır. Kapsamlı inceleme ve kurtarma gerektiren büyük olaylarda bulgularımızı paylaşır, kurumunuzun belirlediği olay müdahale ekibiyle koordinasyon sağlarız.

MDR hangi kurumlar için uygundur?

Kendi 7/24 müdahale ekibi bulunmayan, ancak tehditlerin mesai saatini beklemeden durdurulmasını isteyen kurumlar için uygundur. Küçük ve orta ölçekli BT ekipleri en çok fayda sağlayan gruptur.

OT SOC izlemesi üretimi durdurabilir mi?

Pasif izleme yalnızca trafiğin kopyasını dinlediği için kontrol sistemlerine paket göndermez ve üretimi etkilemez. Sensör yerleşimi, saha ekibinizle planlanan bakım pencerelerinde yapılır.

OT SOC ile kurumsal SOC aynı ekip tarafından yürütülebilir mi?

Evet, BT ve OT olaylarını birlikte görmek, kurumsal ağdan üretim ağına geçen saldırıları fark etmek için avantaj sağlar. Bununla birlikte OT olayları, endüstriyel süreçleri bilen analistler tarafından değerlendirilir.

Hangi sektörler için uygundur?

Enerji üretim ve dağıtımı, su ve atık su, imalat, kimya, ilaç ve gıda üretimi gibi fiziksel süreçleri endüstriyel kontrol sistemleriyle yöneten tüm sektörler için uygundur.

SIEM nedir, ne işe yarar?

SIEM, sunucu, ağ cihazı, güvenlik ürünü ve uygulamalardan gelen logları tek merkezde toplar, ilişkilendirir ve şüpheli örüntüler için alarm üretir. Olay araştırmaları ve denetimler için log kayıtlarının merkezi olarak saklanmasını da sağlar.

Mevcut SIEM'imiz çok fazla yanlış alarm üretiyor, ne yapılabilir?

Genellikle kuralların ortama göre ayarlanmaması, varlık ve kullanıcı bağlamının eksikliği veya gereksiz log kaynakları bu soruna yol açar. Mevcut kuralları gözden geçirir, ayarlar ve önceliklendirerek aksiyon gerektirmeyen alarmları azaltırız.

SIEM yönetimi ile SOC hizmeti arasındaki fark nedir?

SIEM yönetimi, platformun ve tespit içeriğinin doğru çalışmasını sağlar. SOC hizmeti ise bu platformun ürettiği alarmları 7/24 izleyen ve analiz eden analist hizmetidir; iki hizmet birlikte veya ayrı ayrı alınabilir.

SOC hizmeti için hangi logları paylaşmamız gerekir?

Genellikle kimlik doğrulama (Active Directory, bulut kimlik servisleri), güvenlik duvarı, EDR/XDR, e-posta güvenliği ve kritik sunucu logları ile başlanır. Kapsam, risk profilinize ve mevcut altyapınıza göre birlikte belirlenir.

Mevcut SIEM ürünümüzle çalışabilir misiniz?

Evet. Mevcut SIEM'inizi kullanarak hizmet verebiliriz; Sigma formatındaki kurallarımız farklı SIEM sorgu dillerine dönüştürülebilir. SIEM'iniz yoksa uygun mimariyi markadan bağımsız olarak birlikte belirleriz.

Dış kaynak SOC kendi ekibimizin yerine mi geçer?

Zorunlu olarak hayır. Birçok kurum mesai saatlerinde kendi ekibiyle, mesai dışında ise dış kaynak SOC ile çalışan hibrit bir model tercih eder. Model ihtiyacınıza göre şekillendirilir.

Yanlış alarm sayısını nasıl azaltıyorsunuz?

Kuralları ortamınızın normal davranışına göre ayarlar, varlık ve kullanıcı bağlamıyla zenginleştirir ve düzenli olarak gözden geçiririz. Amaç, ekibinize yalnızca aksiyon gerektiren bildirimlerin ulaşmasıdır.

Tehdit avcılığı ile SOC izlemesi arasındaki fark nedir?

SOC, kurallar ve ürünler tarafından üretilen alarmları değerlendirir. Tehdit avcılığı ise alarm olmayan yerde, analistin kurduğu hipotezle saldırgan izlerini arar ve bulgularını yeni kurallar olarak SOC'a kazandırır.

Tehdit avcılığı ne sıklıkla yapılmalı?

Bu, risk profilinize ve mevcut görünürlüğünüze bağlıdır. Bazı kurumlar sürekli bir program yürütürken bazıları dönemsel kampanyalar veya kritik bir tehdit duyurusu sonrasında odaklı avlar tercih eder.

Tehdit avcılığı için hangi veriler gerekir?

En verimli sonuçlar EDR telemetrisi, kimlik doğrulama logları, DNS ve proxy kayıtları ile bulut denetim loglarıyla alınır. Veri eksikse av raporunda bu boşlukları ve kapatılma yollarını belirtiriz.