Uç Nokta Güvenlik Olaylarını Korelasyon Kuyruğuna Alan Sistem

Sorun

Günlük operasyonda EDR olayları, varlık ve kullanıcı bağlamı farklı sistem ve olay kayıtlarında geldiği için ekip vakayı tek zaman çizgisinde göremez.

Bu da ilişkili olay grubu ile kanıt özeti hazırlanırken kaynak bağının kopmasına, yanlış ekibe yönlendirmeye ve teknik kararın dayanağının belirsiz kalmasına yol açar.

Eksik otomasyon telemetri eksik veya kritik kullanıcı etkilenmişse durumunu atlayabilir; yanlış otomasyon ise cihazın hatalı karantinaya alınması riski taşır.

Neyi iyileştirmeye söz verdik

• İlişkili olay grubu ile kanıt özeti taslağının uzman incelemesine hazır olma süresi
• Telemetri eksik veya kritik kullanıcı etkilenmişse kayıtların doğru uzman kuyruğuna taşınması
• SOC analisti tarafından düzeltilen veya reddedilen önerilerin kaydı

Sistem nasıl işliyor

1. 01 EDR olayları, varlık ve kullanıcı bağlamı verisinin yetkili kaynaktan alınması
2. 02 Kaynak, zaman damgası ve kayıt kimliğinin doğrulanması
3. 03 İlgili varlık, kullanıcı, mağaza, araç veya içerik bağlamının eklenmesi
4. 04 İlişkili olay grubu ile kanıt özeti taslağının hazırlanması
5. 05 Taslağın teknik kurallar ve yetki sınırlarıyla karşılaştırılması
6. 06 İstisna kontrolü: telemetri eksik veya kritik kullanıcı etkilenmişse
7. 07 SOC analisti onayı, düzeltmesi veya reddi
8. 08 Girdi, öneri, değişiklik ve son kararın denetim kaydına yazılması

Kullandığımız yöntemler

• EDR olayları, varlık ve kullanıcı bağlamı için kaynak ve zaman izli veri çıkarımı
• İlişkili olay grubu ile kanıt özeti alanlarını teknik kurallarla sınırlayan yapılandırılmış çıktı
• Telemetri eksik veya kritik kullanıcı etkilenmişse durumunu otomatik işlemden ayıran istisna kapısı
• SOC analisti için kanıt ve öneriyi birlikte gösteren yetkili kuyruk
• Cihazın hatalı karantinaya alınması riskine karşı mükerrer işlem kontrolü ve geri alma kaydı

İnsan nerede devrede

Veri ve güvenlik

Yalnız EDR olayları, varlık ve kullanıcı bağlamı içindeki görev için gerekli alanlar işlenir. Kaynak sistem yetkileri korunur; kişisel, teknik ve güvenlik açısından hassas veri modele verilmeden önce azaltılır. Her okuma, öneri, insan değişikliği ve hedef sistem işlemi denetim kaydına yazılır.

Kime uygun

Sık sorulanlar