Geleneksel Korelasyon Kuralları SIEM’iniz için Neden Yeterli Değil?

Eğer bir şeyi yönetiyorsanız SIEM (Güvenlik Bilgileri ve Olay Yönetimi) sistemi, merkezi tehdit tespitinin ne kadar hayati olduğunu biliyorsunuz.

SIEM birden fazla kaynaktan (güvenlik duvarlarınız, uygulamalarınız, sunucularınız) verileri toplayıp analiz eder ve güvenlik tehdidi oluşturabilecek kalıpları arar.

Ancak olay şu: Yalnızca önceden oluşturulmuş kurallara güvenmek, güvenlik konusunda herkese uyan tek bir yaklaşım gibidir. Bazı bariz tehditleri yakalayacaktır ancak size tam kapsama sağlamaya yetmeyecektir.

Bu makalede, varsayılan SIEM kurallarının neden başarısız olduğunu ve bunları özelleştirmenin nasıl büyük fark yaratabileceğini açıklayacağız. Ayrıca SIEM’inizi MITRE ATT&CK çerçevesiyle uyumlu hale getirmenin gerçek çok aşamalı tehditleri tespit etmede neden önemli olduğunu da göreceksiniz.

SIEM’de Korelasyon Kuralları

Bir SIEM sistemi özünde veri toplamak, analiz etmek ve uyarmak için tasarlanmıştır. Verilerde belirli modeller bulunduğunda tetikleyici görevi gören korelasyon kurallarını kullanarak çalışır.

Örneğin, olağandışı bir oturum açma girişimi meydana gelirse, önceden oluşturulmuş bir kurala dayalı olarak bir uyarı tetiklenir. Bu, güvenlik ekiplerinin büyük miktarda ham veriyi derinlemesine incelemek yerine eyleme geçirilebilir içgörülere odaklanmasına olanak tanır.

Ancak gerçek şu ki çoğu eski SIEM, bireysel olaylardan uyarı oluşturmaya çok fazla odaklanıyor.

Güvenlik tehdidinin tüm kapsamını size göstermek için görünüşte ilgisiz uyarılar arasındaki noktaları birleştirme konusunda yeterince ileri gitmezler.

SIEM’iniz doğru şekilde yapılandırılmazsa ekibiniz uyarılara boğulacak ve gürültünün içinde gizlenen saldırıyı kaçıracaktır.

Varsayılan SIEM kuralları

Çoğu SIEM çözümü, başlamanıza yardımcı olacak varsayılan kurallarla birlikte gelir, ancak bunlar yalnızca bir başlangıç ​​noktasıdır. Yalnızca bu alışılmışın dışında kurallara güveniyorsanız aşağıdakilerle karşı karşıya olabilirsiniz:

1. Kural yinelemesi ve kapsam boşlukları

Önceden oluşturulmuş korelasyon kuralları sıklıkla işlevsellik açısından örtüşür. Aynı türde uyarılar birden fazla kural tarafından tetiklendiğinden verimsiz değildir. Daha da kötüsü, bu kurallar ileri düzey saldırganların kullandığı tüm taktik ve teknikleri bile kapsamayabilir. Sonuç? Tehdit algılamanızdaki boşluklar.

2. Kaliteden ziyade miktar

Ne kadar çok kuralın o kadar iyi olduğunu düşünebilirsiniz ancak durum her zaman böyle değildir. Bazı satıcılar binlerce kural sunar ancak bunların çoğu ilgisizdir veya ortamınıza uygun şekilde ayarlanmamıştır. Kurallar nitelik yerine niceliğe öncelik verdiğinde, bu durum çok fazla sayıda uyarıya yol açabilir ve bunların çoğu yanlış pozitiftir.

3. Her yerde yanlış pozitifler

Çok fazla genel kuralın etkinleştirilmesi, yanlış pozitiflerin seli anlamına gelir. Değerli zaman ve kaynakları tüketen her uyarının araştırılması gerekir. Yanlış pozitiflerle uğraşmak zamanla güvenlik ekibinizi tüketecek ve gerçek tehditler tespit edilmeyecektir.

4. Yavaş ve acı verici bir başlangıç

SIEM sisteminin kurulması zaman alır, ortamınıza göre ayarlanması ise daha da uzun sürer. İster şirket içinde yapıyor olun, ister bir şirketle çalışıyor olun Yönetilen Güvenlik Hizmet Sağlayıcısı (MSSP), tüm bu kuralların eklenmesi ve yapılandırılması günler veya haftalar sürebilir ve tehditlere yanıt verme yeteneğinizi geciktirebilir.

5. Tutarsız kural güncellemeleri

SIEM’iniz çalışır duruma geldiğinde kuralları güncel tutmanız gerekir. Ancak, birden fazla istemciyi yöneten MSSP’ler için, bir ortama ilişkin kuralların güncellenmesi diğerlerine otomatik olarak uygulanmaz. Bu tutarlılık eksikliği, farklı ortamlarda verimsizlik ve güvenlik açıkları anlamına gelir.

SOC ve MSP/MSSP bu zorlukları nasıl çözüyor?

MITRE ATT&CK çerçevesine uyum sağlamak neden önemlidir?

SIEM sisteminizin tehdit tespitini geliştirmek için onu MITRE ATT&CK çerçevesiyle uyumlu hale getirmeniz gerekir. Bu çerçeve, saldırganların kullandığı teknikleri ve taktikleri ayrıntılı bir şekilde ele alır, böylece saldırganların nasıl çalıştığına dair tam bir görüşe sahip olursunuz. Çoğu varsayılan SIEM kurulumu, MITRE ATT&CK çerçevesinin yalnızca yaklaşık %20’sini kapsar. Bu, ayrıcalık yükseltme veya yanal hareket gibi önemli saldırı aşamalarını kaçırdığınız anlamına gelir.

SIEM kurallarınızı MITRE ATT&CK ile uyumlu hale getirerek %90 kapsama alanı elde edebilirsiniz. Bu, daha gelişmiş saldırıları yakalayacağınız ve yanlış pozitiflerden kaynaklanan gürültüyü azaltacağınız anlamına gelir. Ekibiniz yanlış pozitiflerle boğulmak yerine önemli tehditlere odaklanabilir.

SIEM’inizi özelleştirme: Faydaları

Peki, varsayılan kuralların ötesine geçerek ve SIEM’inizi özelleştirerek ne elde edersiniz?

1. Daha iyi tehdit tespiti

SIEM kurallarınızı özelleştirdiğinizde yalnızca bireysel olaylara tepki vermekle kalmaz, aynı zamanda çok aşamalı saldırıları da tespit edersiniz. Bu, büyük resmi kaçırmadığınız ve tehditlere daha etkili bir şekilde yanıt verebileceğiniz anlamına gelir.

2. Daha az yanlış pozitif

Özel kurallar gürültüyü filtrelemenize olanak tanır, böylece yalnızca önemli olan konularda uyarı alırsınız. Daha az hatalı pozitif sonuç, ekibinizin vahşi kaz kovalamacalarına daha az, gerçek tehditlere daha fazla zaman harcaması anlamına gelir.

3. Olaylara daha hızlı müdahale

SIEM’inizi özelleştirmek yalnızca algılamayı iyileştirmekle kalmaz, aynı zamanda yanıt sürelerini de hızlandırır. Ayarlama yapıldığında sisteminiz, kritik uyarılar için yanıt sürelerini %42’ye kadar azaltabilir. Bu, bir saldırıdan kaynaklanan hasarın en aza indirilmesinde büyük bir farktır.

4. Daha hızlı katılım

İyi ayarlanmış bir SIEM, birden fazla müşteriniz veya ortamınız varsa, katılım süresini haftalardan günlere indirebilir. Böylece hızlı bir şekilde çalışmaya başlayabilir ve böylece tehditlerin hızlı bir şekilde algılanıp ele alınmasını sağlayabilirsiniz.

SIEM zorluklarını çözme: Gerçek dünyadan örnekler

Özel SIEM kurallarının ne kadar fark yaratabileceğini bilmek ister misiniz? Size göstermek için gerçek dünyadan bir örnek alalım.

A Yönetilen Güvenlik Hizmeti Sağlayıcısı (MSSP) kullanıma hazır SIEM çözümünü kullandı. Çoğu kuruluş gibi onlar da sistemle birlikte gelen 500 önceden oluşturulmuş korelasyon kuralını kullandılar.

Bu kurallar iyi bir başlangıç ​​noktasıydı ancak MSSP büyüdükçe ve daha fazla müşteri kabul ettikçe bazı ciddi sınırlamaların olduğunu fark ettiler. Sistem bazı tehditleri tespit ediyordu ama hepsini değil.

Güvenlik ekibi birçok önemli olayın gözden kaçırıldığını veya bir gürültü dağının altına gömüldüğünü tespit etti.

Bu konuyu ele almak için, MSSP SIEM sistemlerini performans açısından optimize etmeye karar verdiler. 500 yerleşik kuralın etkinliğini değerlendirerek başladılar ve ardından bunları müşterilerinin ortamlarına göre özelleştirip geliştirdiler.

Bu yalnızca yüzeysel bir güncelleme değildi; özel kurallarını, tehdit tespitine daha sağlam ve kapsamlı bir yaklaşım sağlayan MITRE ATT&CK çerçevesiyle uyumlu hale getirdiler.

Bu optimizasyonun bir parçası olarak, her biri varsayılan kuralların eksik olduğu tehditleri yakalamak için tasarlanmış 275 yeni kural eklediler. Bu yeni kurallar, tehdit algılamayı iyileştirmek ve güvenlik analistlerini bunaltan hatalı pozitif sonuçların sayısını azaltmak için tasarlandı.

Sonuçlar dramatikti.

İşte elde ettikleri:

• MITRE ATT&CK kapsamı %20’den %90’a çıkarıldı
• Özel kurallarla, daha önce görünmez olan çok daha kapsamlı karmaşık saldırıları tespit edebildiler. MITRE ATT&CK ile uyum, artık saldırganları yalnızca izole olaylar değil, bir saldırının birden fazla aşaması boyunca takip edebilecekleri anlamına geliyordu.
• Kritik uyarılara yanıt süreleri %42 düştü ve yüksek önem derecesine sahip uyarılara yanıt süreleri %29 azaldı
• Özel kurallar, güvenlik ekiplerinin artık gürültü dağından geçmek zorunda olmadığı anlamına geliyordu. Daha az hatalı pozitif sonuçla, gerçek tehditlere daha hızlı yanıt verebilir ve bir saldırıdan kaynaklanan hasarı en aza indirebilirler. Kritik uyarılara (en acil ve ciddi olanlar) neredeyse iki kat daha hızlı yanıt verildi; bu, müşterilerinin genel güvenliği açısından büyük bir kazançtı.
• Yeni müşteriler için katılım süresi 7-10 günden 1-2 güne düşürüldü
• Özel kurallar uygulanmadan önce, yeni istemcilerin katılımı, her ortamın kendine özgü gereksinimlerini karşılamak için SIEM sisteminin kapsamlı kurulumunu ve ayarlanmasını gerektiriyordu ve bu, 10 güne kadar sürebiliyordu. Sistemlerini optimize ettikten sonra katılım çok daha sorunsuz ve hızlı hale geldi. Çeşitli ortamlar için geliştirilmiş önceden özelleştirilmiş kuralları uygulayarak, yeni müşterileri 1-2 gün içinde kabul edebildiler ve onların daha hızlı korunmasını ve değer görmesini sağladılar.

Bu değişiklikler SIEM sisteminin güvenliğini artırdı ancak aynı zamanda tüm süreç boyunca domino etkisi yarattı; mevcut müşteriler için işleri basitleştirdi, güvenlik analistlerinin iş yükünü azalttı ve tüm sistemi daha verimli ve ölçeklenebilir hale getirdi.

Örneğin, yanlış pozitiflerdeki azalma, analistlerin yalnızca yanıt süresine değil, güvenlik hizmetinin genel kalitesine de odaklanabilecekleri anlamına geliyordu. MSSP, gürültüyü azaltarak ve sistemi müşterilerinin karşılaştığı gerçek tehdit ortamına uyacak şekilde iyileştirerek, kuruluşları çok aşamalı karmaşık saldırılara karşı daha iyi koruyabildi.

Bu sadece tespit ve tepki süreleriyle ilgili değildi. Bu aynı zamanda SIEM’in MITRE ATT&CK çerçevesindeki bilinen davranışlara dayalı olarak saldırı modellerini tahmin edebildiği daha otomatik ve proaktif tehdit yönetiminin de temelini oluşturdu.

Bu düzeydeki özelleştirmeyle SIEM artık yalnızca reaktif bir araç olmaktan çıktı; mevcut ve gelecekteki tehditleri gerçek zamanlı olarak ele alabilen proaktif bir savunma mekanizması haline geldi.

SIEM’lerini özelleştirmeye ve yerleşik tehdit çerçeveleriyle uyumlu hale getirmeye zaman ayırarak, MSSP Güvenlik performansı ve genel hizmet sunumu iyileştirildi ve müşterileri kendilerini daha güvende hissettiler.

UnderDefense Tarafından Yönetilen Hizmetler

Savunmasız sağlar yönetilen Bütçenize uygun ve kuruluşunuzun güvenlik duruşuna güven veren hizmetler. Hizmetlerimiz sık karşılaşılan zorlukların üstesinden gelmenize şu şekilde yardımcı olabilir:

• Anında, kişiselleştirilmiş destek: İşinizi bilen ve size hızlı bir şekilde geri dönüş yapan özel analistlere 7/24 erişim.
• Kapsamlı saldırı tespiti: 7/24 izlemenin ötesinde, proaktif bir şekilde bağlam ve iyileştirme önerileri sunarak tehditleri tespit ediyoruz.
• Takım optimizasyonu: Güvenlik araçlarınızı uyarı gürültüsünü %82 oranında azaltacak şekilde ayarlıyoruz ve tek bir cam panel için mevcut tüm araçlarınızla entegre oluyoruz.
• Müşteri sahipliği: Sözleşmenin sonunda tüm ince ayarlı araçlara ve süreçlere sahip olursunuz, böylece kontrol ve değer sizde olur.
• Operasyonel şeffaflık: Uyarı zaman çizelgelerine, tehdit bağlamına ve düzenli raporlara ilişkin tam görünürlük.

Sonuç: Varsayılanla yetinmeyin

Günün sonunda bir SIEM sistemi ancak onu güçlendiren kurallar kadar iyidir. Yalnızca kullanıma hazır korelasyon kurallarına güvenirseniz, güvenliğinizde kolayca istismar edilebilecek boşluklar bırakmış olursunuz.

SIEM’inizi özelleştirerek, MITRE ATT&CK gibi çerçevelerle uyumlu hale getirerek ve kuralları güncel tutarak tehdit tespitinizde büyük bir etki yaratabilirsiniz.

How to Choose an ultimate Managed SIEM solution for Your Security Team -> Download Free Guide(PDF)