soc'un çöp kutusu: uyarılar arasında kaybolan saldırılar

Posted on 26 Eki 2026

arkadaşlar, işin komik tarafı şu: soc ekibiniz günde binlerce uyarı alıyor, hepsi de “kritik” diye çığlık atıyor. ama bu uyarıların çoğu birbirleriyle hiçbir alakası yok. sonuç? saldırgan tam ortada yürüyüp gidiyor, uyarılar arasındaki boşluklarda saklanıyor. işte bu yazıda bundan bahsedeceğiz.

problem: uyarılar yalnız başına anlamsız

düşünün: saat 14:23’te bir network aktivitesi algılandı. 14:25’te bir login denemesi. 14:27’de dosya transferi. hepsi ayrı ayrı uyarı. ama kimse bunları bir hikayeye bağlamıyor. saldırgan işte bunu biliyor ve faydalanıyor.

klasik bir soc’un sorunu budur:

  • Endpoint detection and response (EDR) uyarı veriyor: “şüpheli process başladı”
  • Firewall uyarı veriyor: “dış IP’den bağlantı”
  • SIEM uyarı veriyor: “anomali tespit edildi”

ama bunların arasında hiçbir bağlantı yok. her sistem kendi dünyasında yaşıyor. saldırgan da bunu biliyor ve bu boşluklarda hareket ediyor.

network detection and response (NDR): bütünü görmek

işte burada network detection and response (NDR) platformları devreye giriyor. nedir bu NDR? kısacası, ağ üzerindeki tüm trafiği izleyen, her paketi analiz eden, ve en önemlisi olayları birbirine bağlayan bir sistem.

NDR’nin gücü budur:

  • Zaman çizelgesi oluşturma: “saat 14:23’ten 14:35’e kadar ne oldu?” sorusunun cevabını verir
  • Saldırı akışını görmek: Saldırgan A makinasından başladı, B makinasına geçti, C makinasında veri çaldı - tüm hikaye bir çizgide
  • Uyarıları bağlantılandırma: Ayrı ayrı anlamsız olan uyarıları bir “saldırı deseni"ne dönüştürür

saldırganlar uyarılar arasında neler yapıyor?

spoiler: çok şey.

lateral movement (yatay hareket) Saldırgan sisteme girdi ama hedefi başka bir makinada. o yüzden ağ üzerinde sessizce hareket ediyor. EDR bunu görmeyebilir (çünkü endpoint seviyesinde değil), ama NDR bunu yakalar.

data exfiltration (veri kaçakçılığı) Dosyaları dışarı çıkartıyor ama küçük parçalar halinde, uyarı eşiğinin altında. bir parça gidiyor, uyarı yok. bir diğeri gidiyor, uyarı yok. ama NDR bütün trafiği görüyor.

command and control (C2) iletişimi Saldırganın sunucusuyla haberleşiyor. şifreli trafik, normal portlar, karmaşık protokoller. ama NDR davranışsal analiz yaparak bunu tespit ediyor.

persistence (kalıcılık) Arka kapılar kuruyor, cron job’lar ekliyor, scheduled task’ler oluşturuyor. ama bunların hepsi ağ üzerinde iz bırakıyor.

neden soc ekipleri bunu kaçırıyor?

  1. Alert fatigue (uyarı yorgunluğu): Günde 10.000 uyarı alıyorsanız, hangisine bakalım?
  2. Silolara bölünmüş sistemler: EDR, SIEM, Firewall hepsi kendi başına çalışıyor
  3. Zaman eksikliği: Soc ekibi çok az, iş çok fazla
  4. Görünürlük eksikliği: Network trafiğin sadece %30’unu görüyorsunuz belki

NDR ile ne değişiyor?

Koordine bir bakış açısı Tüm uyarılar bir merkezde toplanıyor. saldırganın hareketleri bir film şeridi gibi izlenebiliyor.

Daha az false positive Gerçek saldırıları ayırt etmek daha kolay hale geliyor. çünkü bağlam var.

Hızlı response “Bu uyarılar aslında bir saldırının parçası mı?” sorusunun cevabı saniyeler içinde geliyor.

yapmanız gerekenler

şimdi ne yapacaksınız:

  1. NDR platformu değerlendirin: Darktrace, Cisco Tetration, Zeek gibi çözümlere bakın
  2. Network trafiğini kaydettirin: PCAP veya flow data, her şey önemli
  3. SIEM’inizi NDR ile entegre edin: Uyarılar birbirine bağlansın
  4. Zaman çizelgeleri oluşturun: Her incident’in tam akışını görebilmeniz lazım
  5. Davranışsal analiz yapın: “Normal” diye işaretlediğiniz şeyler belki de anormal

pratik tavsiyeler

# Eğer Zeek kullanıyorsanız, conn.log'u inceleyin:
# Bu log tüm bağlantıları gösterir

zeek -r traffic.pcap

# Suricata ile:
suricata -r traffic.pcap -c /etc/suricata/suricata.yaml

# Ardından SIEM'inize aktarın ve korelasyon kuralları yazın
# Örneğin: "Aynı kaynaktan 5 dakika içinde 3+ farklı hedefe bağlantı = lateral movement"

dikkat: NDR bir çözüm değil, bir araçtır. yine de insanlara ihtiyacınız var. iyi bir soc ekibi, iyi bir NDR platformu ve iyi bir incident response prosedürü = güvenlik.

edit: bu yazı 2026 yazılmış ama sorun hala aynı. soc’lar hala binlerce uyarıyı manuel olarak işlemeye çalışıyor. teknoloji var, ama kullanmayan da var.

kaynaklar

Bu içerik yapay zeka tarafından oluşturulmuştur.