Kısa yanıt
- SecOps (güvenlik operasyonları), kurumun güvenlik olaylarını fark etmek, incelemek ve sınırlamak için yürüttüğü sürekli işin tamamıdır: insan, süreç ve teknoloji birlikte.
- Ayırt edici özellik süreklilik ve yetkidir: kimin hangi saatte izlediği, alarm çıktığında kimin ne yapacağı ve müdahale için kimin onayının gerektiği yazılıdır.
- SOC bir ekip ya da merkezdir; SecOps ise bu işin tamamıdır. SOC, SecOps'un en görünür parçasıdır, tamamı değil.
- Değer üç ölçümle görünür: fark etme, ilk müdahale ve kapatma süresi. Ölçülmeyen bir işleyiş iyileştiğini gösteremez.
SecOps nedir?
Güvenlik operasyonları (SecOps, security operations), bir kurumun siber tehditlere karşı günlük olarak yürüttüğü güvenlik işinin tamamıdır. Bu iş; sinyalleri toplamak, şüpheli olanı fark etmek, kapsamını araştırmak ve yayılmasını durdurmak üzerine kurulur. Bir ürünün adı değil, bir işletim biçimidir.
Microsoft'un güvenlik sözlüğündeki tanım da aynı yere işaret ediyor: güvenlik operasyonları, kurumu tehditlere karşı korumak için insanları, süreçleri ve teknolojiyi bir araya getiren işlevdir. Burada üç unsurun hiçbiri tek başına yeterli değildir.
Uygulamada bu işin ayırt edici özelliği, mesai kavramıyla çalışmamasıdır. Saldırgan, ekip uyurken daha sakin hareket eder. Bu yüzden SecOps'un ilk sorusu "hangi araçlarımız var" değil, "gecenin üçünde alarm çıktığında kimin görevi başında olduğu yazılı mı?" sorusudur.
Güvenlik operasyonlarının başarısı kaç alarm ürettiğiyle değil, gerçek bir olayı ne kadar sürede fark edip ne kadar sürede sınırladığıyla ölçülür.
SecOps'un kapsamı
Güvenlik operasyonları birbirine bağlı altı işten oluşur:
- Görünürlük: uç nokta, sunucu, kimlik, ağ, e-posta ve bulut kayıtlarını toplayıp tek yerden okunabilir hâle getirmek. Kaydı tutulmayan sistem, operasyonun görüş alanına hiç girmez.
- Sürekli izleme: bilinen saldırı kalıplarını kurallarla, bilinmeyenleri davranış sapmasıyla yakalamak. İkisi birlikte çalışmazsa kapsam yarım kalır.
- Önceliklendirme: her alarmı aynı sıraya koymamak. Varlığın kritikliği, hesabın yetkisi ve zamanlama birlikte puanlanır.
- Araştırma: olayın sınırını çizmek. Hangi hesaplar, hangi cihazlar, hangi veriler ve ne kadarı etkilendi?
- Müdahale ve iyileştirme: yayılmayı durduracak geri alınabilir adımlar atmak, kalıntıyı temizlemek ve sistemi kontrollü biçimde devreye almak.
- Geri besleme: her olaydan sonra tespit kuralını, erişim politikasını ya da süreci düzeltmek. Aynı olay ikinci kez aynı şekilde yaşanıyorsa operasyon öğrenmiyor demektir.
Bunlara iki iş daha eklenir: tehdit avcılığı ve tehdit istihbaratı. Avcılık, alarm beklemek yerine "bu ortamda ne olabilir?" sorusuyla kayıtlara bakmaktır. İstihbarat ise dışarıda görülen bir kampanyanın kendi ortamınızda iz bırakıp bırakmadığını sormaktır.
Güvenlik operasyonları yalnızca güvenlik ekibinin işi de değildir. Sistem ekibinin yama takvimi, kimlik ekibinin yetki gözden geçirmesi ve geliştirme ekibinin güvenli kod alışkanlığı, bu işleyişin girdisini belirler. Bu yüzden SecOps çoğu kurumda tek bir departmana değil, ortak bir sorumluluğa dayanır.
SOC ile SecOps arasındaki fark
Bu iki kavram günlük dilde birbirinin yerine kullanılıyor; oysa kapsamları farklı.
- SOC (güvenlik operasyon merkezi) işin yürütüldüğü yerdir: izleyen ekip, vardiya düzeni, alarm kuyruğu ve müdahale masası.
- SecOps ise işin tamamıdır: SOC'un yanında envanter, kayıt kapsamı, tespit kurallarının bakımı, oynatma kitapları, ölçüm ve diğer ekiplerle mutabakat da bu kapsamdadır.
Pratikte bu ayrım şu soruyla görünür hâle gelir: "Alarm çıktığında kim ilgileniyor?" sorusunun cevabı SOC'u anlatır. "Bu alarmın gerçekten çıkması için hangi kayıt toplanıyor, kuralı kim bakıyor, olay kapandıktan sonra ne değişiyor?" sorularının cevabı ise SecOps'u anlatır.
SOC kurmak, güvenlik operasyonlarını kurmak anlamına gelmez. Bir oda ve bir vardiya listesi, kaydı tutulmayan sistemleri görünür kılmaz.
Kurulum modeli de bu ayrımın parçasıdır. İç ekip, yönetilen hizmet (MDR) veya hibrit yapı seçilebilir; üçünde de izleme devredilebilir ama sorumluluk devredilemez. Modellerin ayrıntısını SOC yazımızda ele almıştık.
Çalışma akışı: tespitten müdahaleye
İyi kurulmuş bir güvenlik operasyonunda her olay aynı sırayı izler. Bu sıra kişilerin hafızasına değil, yazılı adımlara dayanır.
- Sinyal: kayıt toplanır ve merkezî akışa aktarılır. Kaynağı belli olmayan bir sinyal, sonraki adımların hiçbirine giremez.
- Tespit: kural veya davranış modeli şüpheli olanı işaretler. Bu aşamanın kalitesi, sonraki iş yükünü belirler.
- Ayıklama: alarm zenginleştirilir; varlığın kritikliği ve hesabın yetkisi eklenir. Yanlış pozitif burada kapatılır.
- Araştırma: aynı hesabın, aynı cihazın ve aynı zaman aralığının kayıtları birlikte okunur. Amaç yorum değil, kapsam çıkarmaktır.
- Sınırlama: yayılmayı durduran ilk adım atılır: oturum kapatma, erişim kısıtı, cihazın ağdan çıkarılması.
- İyileştirme ve kapanış: kalıntı temizlenir, sistem kontrollü devreye alınır; olay kaydı ve düzeltme adımı yazılır.
Bu akışın tekrar eden adımları otomasyona uygundur: zenginleştirme, ön kontrol ve geçici erişim kısıtı devredilebilir. Kalıcı yetki değişikliği, veri silme ve hukuki bildirim insan onayında kalmalı. Bu sınırı SOAR yazımızda ayrıntılı anlattık.
Nereden başlanmalı?
Güvenlik operasyonlarını kurmak bir açılış tarihi değil, sırayla ilerleyen bir olgunlaşma işidir. Sıra atlanırsa üstteki adım görünürde var olur ama iş görmez.
- Envanteri çıkarın. Hangi sistem var, hangisi kritik, hangisi kişisel veri barındırıyor? Bu liste olmadan kapsam da öncelik de tanımlanamaz.
- Kayıt kapsamını ölçün. Envanterdeki varlıkların kaçının kaydı merkezî olarak toplanıyor? Oran düşükse önce bu açığı kapatın.
- Tespit kurallarını sadeleştirin. Az sayıda ama bakımlı kural, çok sayıda bakımsız kuraldan iyidir. Her kuralın bir sahibi olsun.
- Müdahale adımlarını yazın. En sık görülen beş senaryo için kısa oynatma kitabı çıkarın: kim, hangi sırayla, ne yapacak?
- Üç süreyi ölçmeye başlayın. Fark etme, ilk müdahale ve kapatma süresi. Ölçüm yoksa iyileşme de gösterilemez.
- Modeli bilinçli seçin. İç ekip, MDR veya hibrit. Karar, vardiya yüküne ve yetkinlik durumuna göre verilir; moda göre değil.
Son not: güvenlik operasyonları bir kez kurulup bırakılan bir yapı değildir. Kayıt kapsamı büyür, saldırı yöntemi değişir, oynatma kitapları eskir. Bu yüzden doğru soru "operasyonumuz var mı" değil, "geçen çeyrekten bu yana hangi ölçüm iyileşti" olmalı.
Kişisel veri içeren olaylarda bildirim yükümlülükleri de bu işleyişe bağlıdır. Kurumunuzun kendi süreci için hukuk danışmanınızla birlikte değerlendirme yapmanızda fayda var.
