Kısa yanıt
- SOC (güvenlik operasyon merkezi), kurumun güvenlik sinyallerini tek yerden izleyen, olayı tespit edip tanımlı adımlarla müdahale eden merkezî işlevdir. Bir ürün değil, bir işletim biçimidir.
- Ayırt edici özellik süreklilik: yedi gün yirmi dört saat izleme, net sahiplik ve yazılı müdahale adımları.
- Üç ayak birlikte gerekir: insan, süreç ve teknoloji. Biri eksikse diğer ikisi o boşluğu kapatmaz.
- Kurulum modeli üçe ayrılır: iç ekip, MDR ve hibrit. İzleme devredilebilir, sorumluluk devredilemez.
SOC nedir?
Güvenlik operasyon merkezi (SOC, Security Operations Center), kurumun güvenlik sinyallerini tek yerden izleyen, şüpheli olayı tespit edip araştıran ve tanımlı adımlarla müdahale eden merkezî işlevdir. Kısa tanımı budur; asıl ayırt edici olan, bu işin süreklilik üzerine kurulmuş olması.
SOC çoğu zaman büyük ekranlarla dolu bir oda fotoğrafıyla anlatılıyor. Oda, işin en görünür ama en önemsiz parçasıdır. Soğuk bir ekranı izlemek tek başına değer üretmez; değer, hangi sinyale bakıldığından, o sinyalin neye göre şüpheli sayıldığından ve alarm çıktığında ilk yarım saatte kimin ne yaptığından çıkar.
Microsoft'un güvenlik sözlüğündeki tanım da aynı yere işaret ediyor: SOC, kurumu siber tehditlere karşı korumak için insanları, süreçleri ve teknolojiyi bir araya getiren merkezî bir işlevdir. Yani bir ürün adı değil; bir işletim biçimi.
SOC'un başarısı kaç alarm ürettiğiyle değil, gerçek bir olayı ne kadar sürede fark edip ne kadar sürede sınırladığıyla ölçülür.
SOC hangi işleri yapar?
Bir SOC'un günlük işi beş başlıkta toplanır:
- Görünürlük kurmak: uç nokta, sunucu, kimlik, ağ, e-posta ve bulut kayıtlarını toplayıp merkezî olarak okunabilir hâle getirmek. Kaydı tutulmayan sistem, SOC'un kapsamı dışında kalır.
- Sürekli izlemek: bilinen saldırı kalıplarını kurallarla, bilinmeyenleri davranış sapmasıyla yakalamak. İkisi birlikte çalışmazsa kapsam yarım kalır.
- Önceliklendirmek: alarmı varlığın kritikliği, hesabın yetkisi ve zamanlamayla birlikte puanlamak. Her alarm aynı sıraya konmaz.
- Araştırmak: olayın kapsamını belirlemek. Hangi hesaplar, hangi cihazlar, hangi veriler ve ne kadarı etkilendi?
- Müdahale etmek: yayılmayı durduracak geri alınabilir adımlar atmak, kalıntıyı temizlemek ve sistemi kontrollü biçimde devreye almak.
Bunlara iki iş daha eklenir: tehdit avcılığı ve tehdit istihbaratının günlük akışa bağlanması. Avcılık, alarm beklemek yerine "bu ortamda ne olabilir?" sorusuyla kayıtlara bakmaktır. İstihbarat ise dışarıda görülen bir kampanyanın kendi ortamınızda iz bırakıp bırakmadığını sormaktır.
Bu işlerin tekrar eden kısmı otomasyona uygundur. Alarm zenginleştirme, ön kontrol ve geçici erişim kısıtı devredilebilir; kalıcı yetki değişikliği ve hukuki bildirim insan onayında kalmalıdır. Bu ayrımı SOAR yazımızda ayrıntılı anlatmıştık.
İnsan, süreç ve teknoloji
İyi kurulmuş bir SOC üç ayağın üzerinde durur. Biri eksikse diğer ikisi o boşluğu kapatmaz; yalnızca daha pahalı hâle gelir.
- İnsan ve roller: birinci seviye alarmı ayıklar ve kapatır, ikinci seviye derinlemesine araştırır, üçüncü seviye avcılık ve karmaşık olayları yürütür. SOC yöneticisi vardiyayı ve öncelikleri, dedektör mühendisi ise tespit kurallarını ve veri kalitesini yönetir.
- Süreç: her senaryo için yazılı oynatma kitabı, net eskalasyon eşiği, vardiya devir teslimi ve her olayın kayda geçtiği tek bir yer. Yazılı olmayan süreç, kriz anında kişilerin hafızasına bağlı kalır.
- Teknoloji: kayıtları toplayan SIEM, tekrar eden adımları yürüten SOAR, uç noktada görünürlük sağlayan EDR veya XDR, tehdit istihbaratı akışı ve kimlik sağlayıcı kayıtları. Araç, sürecin hangi adımını hızlandırdığı ölçüde değerlidir.
En pahalı güvenlik ürünü bile, kaydı tutulmayan bir sistemi geriye dönük görünür kılamaz. Kapsam, satın alınan lisansla değil toplanan kayıtla belirlenir.
Tespit ve müdahale arasındaki ilişkiyi daha geniş anlatan TDR yazımız, bu üç ayağın süreç tarafını tamamlıyor.
İç ekip, MDR ve hibrit model
SOC'u kurmanın tek bir doğru yolu yok. Kurumun büyüklüğü, vardiya yükü ve yetkinlik durumu modeli belirler.
- İç ekip (kurum içi SOC): tam kontrol ve kuruma özel bağlam sunar. Buna karşılık yedi gün yirmi dört saat vardiya, sürekli eğitim ve araç yönetimi kurumun üzerinde kalır.
- Yönetilen hizmet (MDR): izleme ve müdahale dışarıdan yürütülür. Kurum kendi ekibini kurmadan süreklilik kazanır; kuruma özel bağlamın bir kısmı sağlayıcıya aktarılır.
- Hibrit model: rutin izleme ve ilk ayıklama dışarıda, kritik varlıklar ve karar gerektiren müdahale içeride yürütülür. Pratikte en sık karşılaşılan yapı budur.
Modeller arasındaki ayrımda sık karıştırılan nokta sorumluluktur. Hizmet sağlayıcı izlemeyi devralır, sorumluluğu devralmaz.
Kişisel verilerin korunması mevzuatı kapsamında bir veri ihlali, öğrenildiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilir. Bu sayaç hizmet sağlayıcıda değil, veri sorumlusu olan kurumda işler. Kurumunuzun kendi süreci için hukuk danışmanınızla birlikte değerlendirme yapmanızda fayda var.
Olgunluk nasıl ölçülür?
Ölçülmeyen iyileşme gösterilemez. Bir SOC'un gerçekten çalışıp çalışmadığını anlatan göstergeler sınırlı sayıdadır ve hepsi birlikte okunmalıdır:
- Tespit süresi: olayın başlamasıyla fark edilmesi arasındaki zaman. Uzunsa sorun kayıt kapsamında ya da tespit kurallarının seyrekliğindedir.
- İlk müdahale süresi: alarmın çıkmasıyla ilgilenilmeye başlanması arasındaki zaman. Uzunsa sorun alarm hacminde ve sahiplik tanımındadır.
- Kapatma süresi: olayın sınırlanmasıyla kapanması arasındaki zaman. Uzunsa yetki, erişim veya karar onayı tıkanıyordur.
- Kapsam oranı: kaydı merkezî olarak toplanan varlıkların toplam envantere oranı. Bu oran bilinmeden diğer süreler eksik okunur.
- Alarm kalitesi: yanlış pozitiflerin toplam alarma oranı. Yüksekse ekip gerçek olaylara bakacak zamanı bulamaz.
Olgunluk sırası da bellidir: envanter, kayıt, tespit, müdahale, ölçüm. Bir adım atlanarak sonrakine geçilirse üstteki adım görünürde var olur ama iş görmez.
Son olarak: SOC bir hedef değil, bir süreklilik. Kurulan yapı ilk yıldan sonra kendiliğinden iyileşmez; kayıt kapsamı büyür, saldırı yöntemi değişir, oynatma kitapları eskir. Bu yüzden sorulacak soru "SOC'umuz var mı" değil, "geçen çeyrekten bu yana hangi ölçüm iyileşti" olmalı.
