Netsec 01.2017

1. SOC EKİPLERİNİN PROBLEMLERİNE
GÜNCEL YAKLAŞIMLAR
O N U R A L A N B E L
N E T S E C T R

2. 2
Hakkımda
• Bilgisayar Mühendisi (İYTE)
• Kurucu @cricomtr (cri.com.tr)
• Geliştirici @TaintAll (taintall.com)
• Uygulama Güvenliği Araştırmacısı
• Github: github.com/onura
• Twitter : @onuralanbel
• https://packetstormsecurity.com/search/?q=onur+alanbel

3. Görev ve
Sorumluluklar
SİBER OLAY ÖNCESİ
• Logların merkezi olarak yönetilmesi
• Farkındalık çalışmaları
• SızmaTesti vb sonuçlarının analizi
SİBER OLAY ESNASINDA
• Operasyonel birimlerle koordinasyon
• Adli birimler, basın vb. koordinasyon
SİBER OLAY SONRASI
• Raporlama
• Ders çıkarma ve iyileştirme

4. 4
DETAY ANALİZLER YAPMAK
İHTİYAÇ DURUMUNDA AKSİYON ALMAK
ALARMLARA BAKMAK
LOGLAMA ALTYAPISININ BAKIMI VE DEVAMLILIĞINI SAĞLAMAK
Pratikte Olan

5. 5
01 02 03 04 05
WEB
APPLICATION
ATTACK
MISC EXPLOIT
Problem I
Ekibin analiz gücünden çok daha fazla alarm oluşması
VIRUS FOUND
PORT SCANINTRUSION
ATTEMPT

6. 6
01
02
03
Çözüm I
Daha iyi korelasyon
Optimizasyon /Tuning
Ekibin gücünü arttırma

7. 7
Birbiriyle ilişkisi olabilecek alarmları
farklı ekip üyelerinin analiz etmesi
AHMET
1
MUSTAFA
3
AHMET
4
KADİR
6
GİZEM
2
MURAT
5
CANAN
8
HAKAN
7
Problem II

8. 8
01
Çözüm II
Ekip içinde koordinasyonu arttırma

9. 9
01 02 03 04 05
Problem III
Biriken alarmlardan önce hangisine bakılmalı

10. 10
Çözüm III
01
02
Alarmları önceliklendirme
SIEM skorlaması ne kadar detaylı ?

11. 11
05:09 05:12 10:30 11:45
Olayın gerçekleşme
zamanı
1
2
SOC ekibine alarmın
düşmesi
SOC ekibinin alarmı
incelemeye başlaması
3
4
Delillerin toplanması
Problem IV
Olayın olduğu zaman ile analiz zamanı arasında geçen süreden dolayı delil kaybı

12. 12
01
Çözüm IV
Otomasyon

13. 13
77%
63%
50%
37%
22%
Problem V
Güvenlik ürünlerine yapılan yatırım
ne kazandırdı ?

14. 14
01
Çözüm V
Ürünlerden elde edilen çıktının analizi ve raporlanması

15. 0
40
80
120
160
April May June July August
15
SOC ekiplerine yapılan yatırım
ne kazandırdı ?
Problem VI

16. 16
Çözüm VI
01
02
Ticketing sisteminden elde edilen çıktının analizi ve
raporlanması
Gerçek olaylarla karşılaştırma imkanı

17. Bonus
Şirketin kendine has güvenlik
risklerine göre yatırım alanlarını
önceliklendirebilir.
17

18. 18
SIEM’de oluşan alarmları analiz et
ve tehditleri belirle
Bizim Çözümümüz
Kill Chain adımları ve sızma
senaryolarının parçalarını
yakalayabilmek için tehditleri
analiz et
Tehditler üzerinden IP
repütasyonundan host IoC’lerinin
toplanmasına kadar farklı veri
zenginleştirme adımları gerçekleştir
Tehditleri önceliklendirmek için
risk skorlama algoritmasını çalıştır

22. Teşekkürler
SOC EKİPLERİNİN PROBLEMLERİNE GÜNCEL YAKLAŞIMLAR
www.cri.com.tr