SOAR nedir?
SOAR, güvenlikte düzenleme, otomasyon ve müdahale (Security Orchestration, Automation and Response) kelimelerinin kısaltması. Tek bir üründen çok, üç işlevi aynı yerde buluşturan bir çalışma biçimi: farklı araçlardan gelen sinyalleri bir araya toplamak, tekrarlayan işleri insan eli değmeden yürütmek ve olaylara tanımlı adımlarla karşılık vermek.
Kısa tanımı kolay, pratik karşılığı daha zor. Bu yazıda SOAR'ın hangi sorunun cevabı olduğunu, hangi işi devraldığını ve nereden başlanması gerektiğini anlatıyoruz.
SOAR bir tespit aracı olarak konumlanmaz. Tespit edilmiş bir olayın ele alınış biçimini standartlaştırır. Amaç daha çok alarm üretmek değil, üretilen alarmın ilk dakikalarını otomatikleştirmek.
Neden ihtiyaç duyuluyor?
Kurumsal güvenlik yıllar içinde katman katman büyüdü. Uç nokta koruması bir yerden, güvenlik duvarı başka bir yerden, e-posta güvenliği üçüncü bir üreticiden alındı. Her araç kendi konsolunda kendi alarmını üretiyor.
Sonuç, teknik olarak iyi ama operasyonel olarak dağınık bir yapı oluyor: aynı kişi hem kimlik sağlayıcıya hem uç nokta konsoluna hem güvenlik duvarına bakmak zorunda kalıyor. Araç sayısı arttıkça sinyal de artıyor, ama sinyali okuyacak zaman artmıyor.
- Alarm hacmi: Bir olay tek başına anlamsız görünen parçalara bölünüyor; her araç kendi payına düşeni "önemsiz bir uyarı" olarak kaydediyor.
- Tutarsızlık: Aynı tür olay bu hafta farklı kişide, farklı adımlarla ele alınıyor. Kapanışın nasıl yapıldığı kişiye bağlı kalıyor.
- Kayıt boşluğu: Yapılan işlemler farklı sistemlerde dağılıyor; "ne yapıldı" sorusu sonradan cevaplanamıyor.
Bu üçü birleştiğinde ortaya çıkan tablo şudur: ekip çalışıyor, ancak çalışmanın nereye gittiği görünmüyor. SOAR tam olarak bu noktada devreye giriyor.
Üç işlev: düzenleme, otomasyon, müdahale
Kaynak tanımı SOAR'ı üç yetenek alanının birleşimi olarak çerçeveliyor: tehdit ve zafiyet yönetimi, güvenlik olayı müdahalesi ve güvenlik operasyonlarının otomasyonu. Pratikte bu üç alan aynı olayın farklı anlarına karşılık gelir.
- Düzenleme: kimlik sağlayıcı, uç nokta, güvenlik duvarı, e-posta ağ geçidi ve bilet sisteminin birbirini tanıması. Sinyaller tek bir akışta buluşmadan otomasyon kurulamaz.
- Otomasyon: aynı işi her seferinde aynı sırayla yapan yürütülebilir adımlar. Playbook denen bu akışlar, düşük seviyeli olayları insan katkısı olmadan sonuçlandırabilir.
- Müdahale: olayın kayda geçmesi, sahibinin atanması, sürenin izlenmesi ve kapanışın belgelenmesi. Otomasyonun ürettiği sonucun yazılacağı bir kayıt yoksa müdahale yarım kalır.
Bu sıralama keyfi değil. Düzenleme olmadan otomasyon ayrı adalarda çalışır; otomasyon olmadan müdahale kişilerin hatırlamasına bağlı kalır. Üçü birlikte kurulduğunda olayın nasıl ele alındığı kişiye bağlı olmaktan çıkıyor.
SOAR'ın sorusu "bu olay gerçekten bir saldırı mı" değil. Sorusu şu: "bu olay tespit edildiğinde ilk on dakikada kim, ne yapıyor?"
SOAR ile SIEM arasındaki fark
İkisi sık sık birbirine karıştırılır, çünkü aynı veriyle çalışır ve aynı ekiplere hizmet eder. Fark işlevlerinde: biri görünürlük kurar, diğeri o görünürlüğün üzerine eylem ekler.
| SIEM | SOAR | |
|---|---|---|
| Yaptığı iş | Kayıtları toplar, ilişkilendirir, alarm üretir. | Üretilen alarmı alır, adımları yürütür. |
| Cevapladığı soru | "Ne oldu?" | "Şimdi ne yapılıyor?" |
| Durduğu yer | Alarm ürettiği yerde durur. | Kaydı zenginleştirir, hesabı sorgular, gerekirse oturumu kapatır, bilet açar. |
| Yoksa | Olay görünmez. | Görünür olay sıraya dizilmiş bir işe dönüşür. |
İkisi birlikte çalıştığında döngü tamamlanır: alarm üretilir, standart adımlarla ele alınır ve sonuç aynı yere yazılır. Yalnız başına SIEM, iyi bir alarmı bile sahibi belirsiz bir işe dönüştürür.
Piyasada bu ikisi çoğu zaman aynı ürün içinde sunulur. Bir üretici hem kayıt toplama hem de otomasyon katmanını tek konsolda veriyorsa, satın alma kararı kolaylaşır; buna karşılık kurumun hangi adımı hangi araca bıraktığı belirsizleşir. Bu belirsizlik kriz anında "bunu kim yapacaktı" sorusuna dönüşür.
Bu konuda yayımladığımız yönetim araçlarının kendi riski yazısında aynı çizgiyi çizmiştik: en yüksek yetkiyle çalışan araç, en çok görünürlük gerektiren araçtır. SOAR da bu tanıma uyar; yürüttüğü adımlar ayrıcalıklı işlemler olduğu için kendi kayıtları tutulmalıdır.
SIEM, olayı görünür yapar. SOAR, olayı aynı biçimde ele alınır hâle getirir. Görünürlük olmadan otomasyon kurulamaz; otomasyon olmadan görünürlük ekibin sırtına biner.
Otomasyon hangi işleri devralır?
Otomasyonun en kolay kurulduğu yer, insanın katma değer üretmediği adımlardır. Pratikte bu adımlar şunlardır:
- Olayı zenginleştirme: alarmın içindeki hesabı, cihazı ve adresi tek tek elle aramak yerine ilgili kayıtlarla birlikte getirme.
- Ön kontrol: hesabın son oturumlarını, kayıtlı cihazlarını ve yetkilerini sorgulayıp gereksiz olayları eleme.
- Geçici önlem: şüpheli oturumu kapatma, parola sıfırlama veya ağ tarafında erişimi kısıtlama gibi geri alınabilir adımları uygulama.
- Bildirim ve kayıt: olayı sahibine atama, ilgili ekibe haber verme, zaman damgalarını ve alınan kararları aynı yerde tutma.
En sık kurulan ilk akış oltalama bildirimidir: kullanıcının ilettiği e-postanın başlıkları ve bağlantıları otomatik çıkarılır, adres itibar kayıtlarıyla karşılaştırılır ve aynı göndericiden gelen diğer iletiler aranır. İkinci sırada önceliklendirme gelir; varlığın kritikliği, hesabın yetkisi ve alarmın kaynağına göre olay sıralanır, düşük riskli olanlar kapatılır, kalanlar doğru ekibe atanır.
Devredilmemesi gereken yer de aynı ölçüde net. Kullanıcıyı veya sistemi tamamen kapatmak, kalıcı yetki değişikliği yapmak ve hukuki bildirim yükümlülüğü doğuran kararlar otomasyona bırakılmamalı. Bu adımlar bir insanın onayına bağlanmalı; otomasyon yalnızca karar için gereken veriyi hazırlamalı.
Otomasyonun hedefi ekibi küçültmek değil, aynı ekibin ilk yarım saatte daha fazla olayı anlamlı biçimde ele almasını sağlamak.
Burada ölçülmesi gereken şey adım sayısı değil, süre. Bir olayın ilk tespitten ilk anlamlı müdahaleye kadar geçen zaman, otomasyonun gerçekten işe yarayıp yaramadığını gösterir. Bu ölçüm yoksa playbook'lar kâğıt üzerinde kalır.
Nereden başlamalı?
- En sık tekrarlanan üç olayı yazın. Hangi alarm her hafta geliyor ve her seferinde aynı adımlarla ele alınıyorsa, otomasyon oradan başlamalı.
- Her adımın çıktısının nereye yazılacağını belirleyin. Kayıt tutulmayan bir adım otomasyonda kaybolur; sonradan "ne yapıldı" sorusu cevapsız kalır.
- Geri alınabilir adımlarla başlayın. Oturum kapatma ve geçici erişim kısıtı gibi işlemler düşük risklidir; kalıcı yetki değişikliği ise insan onayına bağlı kalmalı.
- Yönetim arayüzlerini ayrı ele alın. Güvenlik duvarı ve diğer altyapı yönetim arayüzleri internete açık olmamalı; erişim yalnızca tanımlı yönetim ağından ve çok faktörlü doğrulamayla sağlanmalı.
- Süreyi ölçün. Tespitten müdahaleye kadar geçen süreyi haftalık olarak izleyin. Otomasyonun değeri, bu sürenin düşüp düşmediğiyle ölçülür.
- Playbook'ları her büyük değişiklikte gözden geçirin. Yeni bir sistem, yeni bir kimlik sağlayıcı veya yeni bir ekip, adımların yarısını geçersiz kılar.
Bu adımlar büyük bir yatırımla değil, doğru sıralamayla ilgilidir. Kayıt toplamayan bir kurumda otomasyon kurmak, ölçüm yapmayan bir tartıyla kilo takip etmeye benzer.