dora ikinci yılında: soc'unuz saldırıyı gerçekten görebiliyor mu?

arkadaşlar, şubat ayında yazıştığımız DORA (Digital Operational Resilience Act) işi hatırlıyor musunuz? avrupa birliği’ndeki finans kurumları için ocak 2025’te yürürlüğe giren o güvenlik yönetmeliği. işte şimdi ikinci yılına giriyoruz ve buradan itibaren iş biraz daha ciddi hale geliyor.

birinci yıl: kağıt işleri bitti, gerçek başlıyor

geçen sene ne yaptılar bilir misiniz? risk yönetişimi kurmak, üçüncü taraf sağlayıcıları değerlendirmek, kontrat maddelerini güncellemek, olay yönetimi akışlarını belgelemek - yani kısacası kağıt işleri. excel’e yazıp “evet, biz uyumlu” demek gibi bir şey.

ama şimdi ikinci yılda DORA’nın gerçek sınavı başlıyor: “agalar, siz saldırıyı gerçekten görebiliyor musunuz?”

sorun nerede?

finans kurumlarının çoğu şu sorunla karşı karşıya:

• soc’ları yetersiz: security operations center’lar (yani güvenlik operasyon merkezleri) tüm logları görebiliyor mi? yoksa kör mü?
• görünürlük boşlukları: cloud ortamındaki aktiviteler, üçüncü taraf entegrasyonları, api trafiği - bunlar izleniyor mu?
• olay tespit süresi: saldırı olduğunda ne kadar sürede fark ediyorsunuz? 5 dakika mı, 5 saat mı?
• üçüncü taraf riskleri: vendor’larınızın güvenliği sizin sorumluluğunuz. onlar hacklenirse siz de hacklenmiş demektir.

dora’nın ikinci yılı ne istiyor?

spoiler: kağıt işleri değil, gerçek eylem istiyor.

soc’unuz hazır mı?

arkadaşlar, şu soruları kendinize sorun:

1. log merkezileştirmesi: tüm sistemlerinizin logları tek bir yerde mi toplanıyor? windows, linux, network cihazları, cloud kaynakları, veritabanları?

   • eğer “evet ama…” diyorsanız, hazır değilsiniz.

2. siem sistemi: security information and event management (SIEM) kurulu mu? splunk, elastic, datadog, microsoft sentinel?

   • yoksa, zamanı geldi.

3. tehdit zekası: sadece logları mı bakıyorsunuz, yoksa threat intelligence’ı da entegre mi ettiniz?

   • yani bilinen kötü ip’ler, domain’ler, file hash’leri ile karşılaştırıyor musunuz?

4. anomali tespiti: machine learning tabanlı anomali tespiti var mı?

   • “şu davranış normal değil” diye sistem otomatik uyarı veriyor mu?

5. olay müdahale: saldırı tespit edildiğinde kim ne yapacak? yazılı mı? test edilmiş mi?

   • “yönetici arayacağız” diye not yazmak yeterli değil.

şimdi ne yapacaksınız:

1. log merkezileştirmesini kontrol edin

# linux sistemlerde rsyslog durumunu kontrol edin
sudo systemctl status rsyslog

# windows sistemlerde event log forwarding aktif mi?
Get-WinEvent -ListLog * | Measure-Object

# logları siem'e gönderiyor musunuz? agent kurulu mu?
# splunk, elastic, etc.
ps aux | grep splunk
ps aux | grep elastic

2. siem’inize yeni data source’lar ekleyin

• cloud kaynakları (aws cloudtrail, azure activity log, gcp audit logs)
• api gateway logları
• veritabanı audit logları
• firewall ve proxy logları
• endpoint detection and response (edr) ürünleri

3. correlation rules yazın

basit örnek:

• “aynı kullanıcı 5 dakika içinde 3 farklı lokasyondan login olmuş” → uyarı
• “normal çalışma saatleri dışında admin işlemi” → uyarı
• “yüksek miktarda data transfer” → uyarı

4. üçüncü taraf güvenliğini denetleyin

# vendor'larınızın güvenlik sertifikası var mı?
# iso 27001, soc 2, gdpr compliant?
# onların sızıntı geçmişi var mı?

# şu sorular sorun:
# - veri nerede saklanıyor?
# - şifreleme yapılıyor mu?
# - backup'ları nerede?
# - disaster recovery planları var mı?
# - penetration test yaptırmışlar mı?

5. olay müdahale planını test edin

• teoride hazırlamak yeterli değil
• tabletop exercise yapın: “saldırı oldu, ne yapacağız?” senaryosu
• rol dağıtın: ciso, soc manager, legal, iletişim, yönetim
• zamanı ölçün: tespit → bildirim → müdahale ne kadar sürüyor?

pratik tavsiyeler

edit: dora uyumluluğu için şu araçlar sık tercih ediliyor:

• siem: splunk, elastic stack, microsoft sentinel, datadog
• edr: crowdstrike, microsoft defender, carbon black
• sca: qualys, nessus, rapid7
• threat intelligence: misp, alienvault otx, anomali

spoiler: bu araçları kurmanız yeterli değil, konfigürasyonları doğru yapmak önemli. çoğu kurumda araçlar kurulu ama konfigüre edilmemiş.

dikkat: yedek almadan bu işlere girişmeyin. siem kurarken production’ı bozabilirsiniz.

sonuç

arkadaşlar, dora’nın birinci yılı “biz kurallara uyuyoruz” deme yarışıydı. ikinci yılı ise “gerçekten saldırıyı görebiliyor musunuz?” sınavı.

eğer soc’unuz:

• tüm logları görmüyorsa
• anomali tespit edemiyorsa
• olay müdahale planı yoksa
• üçüncü taraf güvenliğini denetlemiyorsa

…o zaman hazır değilsiniz. ve eğer regulatör (banka denetim kurulu, finansal suçları araştırma kurulu) denetim yapsa, “uyumlu değilsiniz” diyecektir.

hadi bakalım, işe koyulun. soc’unuzu güçlendirin, logları toplayın, anomalileri tespit edin.

Kaynaklar:

• The Hacker News - DORA Year Two Yazısı
• DORA - Digital Operational Resilience Act (Resmi Metin)
• EBA - DORA Rehberleri ve Yönergeler

Bu içerik yapay zeka tarafından oluşturulmuştur.