SIEM mimarisi, güvenlik verisinin kaynaktan analistin inceleyebileceği bir olaya dönüşmesini sağlayan bileşenlerin düzenidir. Sağlıklı bir tasarım yalnızca çok log toplamaz; verinin zamanını, anlamını, erişimini ve işleme kapasitesini de kontrol eder.
Veri hangi aşamalardan geçer?
- Kaynak: Kimlik sistemi, işletim sistemi, uygulama veya ağ cihazı olay üretir.
- Toplama: Ajan, syslog veya API gibi uygun yöntemle veri alınır. Kesinti ve gecikme izlenir.
- Ayrıştırma ve normalizasyon: Kullanıcı, kaynak IP, olay türü ve zaman gibi alanlar anlaşılır hâle getirilir.
- Depolama ve arama: Veri, erişim ve saklama gereksinimlerine göre tutulur.
- Analiz: Kurallar ve aramalar, belirlenmiş kullanım senaryolarını değerlendirir.
- İnceleme: Analist, alarmın bağlamını ve gerekli müdahaleyi belirler.
Toplama başarısı ile tespit başarısı aynı değildir
Bir cihazdan log gelmesi, doğru ayrıştırıldığı anlamına gelmez. Örneğin laboratuvar senaryosunda başarısız oturum açma olayları ulaşıyor, fakat kullanıcı adı boş kalıyorsa kullanıcıya göre korelasyon beklenen sonucu vermeyebilir. Önce ham olayın alındığını, sonra alanların doğru çıktığını, en son kuralın beklenen davranışı yakaladığını kontrol edin.
Kapasite ve saklama nasıl planlanır?
Kaynak sayısı tek başına yeterli ölçü değildir. Ortalama ve yoğun saatlerdeki olay hacmi, sorguların yükü, depolama büyümesi ve bağlantı kesildiğinde oluşan kuyruk dikkate alınmalıdır. Her ortam için geçerli tek bir saklama süresi yoktur; iş ihtiyacı ve uygulanabilir yükümlülükler birlikte değerlendirilir.
Devreye alma kontrol listesi
- Kaynak envanteri ve her kaynak için sorumlu kişi tanımlı mı?
- Saat dilimi ve zaman senkronizasyonu tutarlı mı?
- Log kesintisi, ayrıştırma hatası ve kapasite sorunu görünür mü?
- Analistlerin erişimi görevleriyle sınırlı mı?
- Örnek olayın ham kaydı, normalleştirilmiş alanları ve alarm sonucu eşleştirilebiliyor mu?
- Yedekleme ve geri yükleme süreci doğrulanmış mı?
Dağıtık bileşenler veya yüksek erişilebilirlik seçenekleri ürün ve lisansa bağlıdır. Genel mimariyi doğrudan belirli bir ürünün kurulum talimatı olarak kullanmayın.
Resmî kaynak
NIST SP 800-92, log yönetiminin planlanması için temel bir kaynaktır; ürün kurulum kılavuzu değildir.
İlgili rehberler
