Bir hesabın gece 03:00'te oturum açması her zaman saldırı değildir; ama o hesap bunu ilk kez yapıyorsa bilmeniz gerekir.
Güvenlik ekiplerinin en sık duyduğu itiraflardan biri şudur: "Log vardı, ama kimse bakmadı." Parolası ele geçirilmiş bir hesap normal kullanıcı gibi oturum açar, hiçbir imza tetiklenmez ve olay ancak haftalar sonra fark edilir.
Mesai dışı oturum açma tespiti, bu sessiz senaryoyu yakalamanın en somut başlangıç noktasıdır. Ancak "saat 20:00'den sonra açılan her oturumu uyar" diye yazılan bir kural, nöbetçi ekibi, yurt dışındaki çalışanları ve gece çalışan servis hesaplarını da aynı torbaya atar. Log360 UEBA nedir ve hangi lisansla gelir sorusunun cevabı da tam bu noktada önem kazanır: ürün, saatin kendisine değil, o saatin o kullanıcı için olağan olup olmadığına bakar.
Kısaca: Mesai dışı oturum açma tespiti, bir kullanıcının çalışma saatleri dışında açtığı oturumun o kişinin kendi davranış tabanına göre olağan dışı olup olmadığını ölçmektir. ManageEngine Log360 UEBA, her kullanıcı ve varlık için normal davranışı öğrenir, sapmayı zaman, sayı ve desen anomalisi olarak işaretler ve risk puanına yansıtır.
Mesai dışı oturum açma tespiti neden tek bir eşik kuralıyla yapılamaz?
Klasik SIEM korelasyonu önceden tanımlanmış bir deseni arar: "5 dakikada 10 başarısız oturum", "yönetici grubuna üye eklendi" gibi. Bu kurallar bilinen saldırı adımlarında işe yarar. Mesai dışı oturum açma tespitinde ise sorun, aynı olayın bir kullanıcı için tamamen normal, diğeri için alarm niteliğinde olmasıdır.
Sabit saat eşiğiyle çalışan bir kural iki uçta da kaybeder. Eşik geniş tutulursa nöbet tutan sistem yöneticileri, farklı saat diliminden bağlanan ekipler ve gece çalışan yedekleme hesapları her gece onlarca uyarı üretir. Eşik daraltılırsa saldırgan, ele geçirdiği hesabın olağan çalışma penceresine yakın saatleri seçerek kuralın altında kalır.
MITRE ATT&CK bu davranışı T1078 Valid Accounts (geçerli hesapların kötüye kullanımı) tekniği olarak tanımlar. Saldırgan geçerli kimlik bilgisiyle hareket ettiğinde imza tabanlı tespit büyük ölçüde körleşir. Olağan dışı kullanıcı davranışı ancak "bu kişi için normal ne?" sorusunun cevabı elinizdeyse görünür hale gelir.
Davranış tabanı (baseline): Log360 UEBA normali nasıl öğrenir?
UEBA (User and Entity Behavior Analytics, kullanıcı ve varlık davranış analitiği), her kullanıcı ve her varlık için bir davranış tabanı oluşturur. Bu tabanda kişinin hangi saatlerde oturum açtığı, hangi sunuculara bağlandığı, ne kadar dosyaya eriştiği ve hangi işlemleri yaptığı yer alır. Log360, Active Directory, sunucu, dosya ve bulut loglarını birlikte değerlendirdiği için taban tek bir kaynağa dayanmaz.
Taban yalnız bireysel değildir. Log360 UEBA kullanıcıları davranış özelliklerine göre otomatik olarak eş gruplara (peer group) yerleştirir. Dinamik eş grup analizi etkinleştirildiğinde bir kullanıcının risk puanı, benzer işi yapan meslektaşlarının davranışı da hesaba katılarak hesaplanır. Üretici dokümantasyonu bunun bağlamı güçlendirdiğini ve false positive sayısını azalttığını belirtir.
Öğrenme dönemi boyunca hangi veri kaynaklarının beslendiği sonucu doğrudan belirler. Yalnız etki alanı denetleyicisi logları gelen bir ortamda dosya erişimi tabanı oluşmaz; dosya sunucusu ve kritik uygulama sunucuları bu döneme dahil edilmelidir. Dönemin süresi ortamın büyüklüğüne ve kurulum biçimine göre değişir, devreye alma planında netleştirilir.
Zaman, sayı ve desen anomalileri: olağan dışı kullanıcı davranışının üç yüzü
Log360 UEBA anomalileri üç eksende sınıflar. Mesai dışı oturum, alışılmadık sunucuya erişim ve toplu dosya erişimi bu eksenlerin sahadaki en tanıdık karşılıklarıdır.
- Zaman anomalisi: Mesai dışı oturum açma tespitinin temelidir. Her sabah 09:00 civarında oturum açan bir muhasebe uzmanının hesabı Pazar günü 03:12'de oturum açıyor. Saat tek başına değil, kişinin kendi tabanından sapma ölçülür.
- Sayı anomalisi: Günde birkaç düzine dosyaya erişen bir kullanıcı kısa sürede binlerce dosya okuyor. Bu, toplu kopyalama ya da veri sızdırma girişiminin tipik işaretidir.
- Desen anomalisi: Kullanıcı daha önce hiç bağlanmadığı bir veritabanı sunucusuna ya da başka bir departmanın dosya paylaşımına erişiyor. Erişim yetkisi olsa bile bu yeni bir davranıştır.
Senaryo: Bir üretim şirketinde satın alma uzmanının hesabı cumartesi gecesi VPN üzerinden oturum açıyor. Tek başına bu olay düşük risklidir; kişi zaman zaman hafta sonu çalışmaktadır. Ancak aynı oturumda hesap, finans ekibinin kullandığı ve daha önce hiç erişmediği bir dosya sunucusuna bağlanıyor, ardından olağan hacminin çok üzerinde dosya okuyor. UEBA bu üç sapmayı aynı kullanıcı altında toplar ve risk puanı adım adım yükselir. Analist sabah ekranı açtığında üç ayrı uyarı yerine yükselen tek bir kullanıcı profili görür ve önce o hesabın parolasını sıfırlatıp oturumlarını sonlandırır.
Bu tablo, hesap ele geçirme tespiti ile içeriden tehdit tespiti arasındaki farkı da ortaya koyar. Ele geçirilmiş hesapta davranış kişinin alışkanlıklarından aniden kopar; işten ayrılmaya hazırlanan bir çalışanda ise oturum saati normal kalabilirken erişim hacmi ve deseni değişir. Active Directory tarafındaki ayrıntılı iz için ADAudit Plus ile AD anomali tespiti yazısı bu tabloyu tamamlar.
UEBA risk puanı nasıl hesaplanır ve neden önemlidir?
Tek tek anomaliler bir SOC ekibini yine uyarı yığınına boğabilir. Log360 UEBA bu yüzden sapmaları kullanıcı ve varlık bazında 0 ile 100 arasında bir risk puanına çevirir. Puan bir sapma gerçekleştiğinde ilgili tehdit kategorisinde artar ve zaman içindeki eğilimi izlenebilir.
Üretici dokümantasyonu risk puanını beş tehdit kategorisinde ayrı ayrı tutar:
- İçeriden tehditler (insider threats)
- Veri sızdırma (data exfiltration)
- Ele geçirilmiş hesaplar (compromised accounts)
- Oturum açma anomalileri (logon anomalies)
- Genel anomaliler (overall anomalies)
Yönetici, her etkinliğin puana katkısını ağırlık ile, zamanla etkisinin azalmasını da zaman sönümleme (time decay) katsayısıyla ayarlayabilir. Böylece bir kez yaşanmış ve açıklanmış mesai dışı oturum aylarca puanı şişirmez; aynı hafta içinde tekrarlanan sapmalar ise puanı belirgin şekilde yükseltir. Analistin sorusu "kaç uyarı var?" olmaktan çıkar, "bugün en riskli beş kullanıcı kim?" olur.
Korelasyon kuralı ile UEBA farkı
İki yaklaşım birbirinin rakibi değildir. Log360 SIEM özellikleri içinde korelasyon motoru bilinen saldırı zincirlerini yakalarken UEBA bilinmeyen ya da meşru hesapla yapılan hareketleri yakalar. Fark şu tabloda özetlenebilir:
| Ölçüt | Eşik tabanlı korelasyon kuralı | Log360 UEBA |
|---|---|---|
| Referans noktası | Herkes için aynı sabit eşik | Her kullanıcı ve varlığın kendi davranış tabanı |
| Güçlü olduğu alan | Bilinen saldırı adımları, kaba kuvvet, yetki değişikliği | Geçerli hesapla yapılan olağan dışı hareketler |
| Mesai dışı oturum | Saat aralığına göre herkese uyarı | Yalnız o kişi için olağan dışıysa sapma |
| Çıktı | Tekil uyarı | Kategorilere ayrılmış risk puanı ve eğilim |
| Bakım | Kuralların elle güncellenmesi | Tabanın davranışla birlikte güncellenmesi, eşiklerin ayarı |
Pratikte en iyi sonuç, kesin kötü niyet göstergeleri için korelasyon kuralı, belirsiz ve kişiye bağlı davranışlar için UEBA kullanılarak alınır.
Mesai dışı oturum açma tespitinde false positive'i azaltma ve otomatik yanıt
Mesai dışı oturum açma tespitinde UEBA'nın değeri, uyarıların ne kadarının gerçekten bakılmaya değer olduğuyla ölçülür. Log360 UEBA'da uyarı profilleri bir rapora, bir varlığa (kullanıcı, sunucu ya da AD grubu) veya bir risk kartına bağlanabilir. Profilde zaman aralığı olarak mesai içi ya da mesai dışı seçilebilir; yani mesai dışı oturum anomalileri için ayrı ve daha hassas bir profil kurmak mümkündür.
Eşik, belirli bir zaman aralığında kaç anomali görülünce uyarı üretileceğini belirler ve iki biçimde ayarlanır. Elle eşikte değer yönetici tarafından girilir. Akıllı eşikte (smart threshold) değer makine öğrenmesiyle atanır ve davranış değiştikçe güncellenir. Uyarı önem derecesi kritik, sorun (trouble) ve dikkat (attention) olarak sınıflanır; uyarı incelemesi için teknisyen atanabilir.
Gürültüyü azaltmak için sahada işe yarayan adımlar şunlardır:
- Servis ve yedekleme hesaplarını ayrı izleyin; bu hesapların "normal"i insan kullanıcılardan farklıdır.
- Nöbet ve vardiya düzeni olan ekipler için eş grupları kurumun organizasyon yapısıyla eşleştirin.
- İlk haftalarda gelen uyarıları tek tek etiketleyip ağırlıkları ve eşikleri buna göre ayarlayın.
- Tek bir zaman anomalisini değil, aynı kullanıcıda birden fazla kategorideki yükselişi kritik sayın.
Yanıt tarafında Log360, uyarılara iş akışı (workflow) ve playbook bağlayarak hesabı devre dışı bırakma, şüpheli işlemi sonlandırma ya da sistemi kapatma gibi adımları otomatikleştirebilir; uyarılar harici talep yönetimi araçlarına da aktarılabilir. UEBA uyarısının hangi otomatik yanıt adımına bağlanacağı sürüm ve yapılandırmaya göre değiştiği için bu eşleme, kurumun kendi logları üzerinde yapılan bir PoC'de netleştirilmelidir. Mesai dışı oturumda ilk adımın hesabı kapatmak yerine kullanıcıdan MFA ile doğrulama istemek olması çoğu zaman iş sürekliliği açısından daha dengelidir.
Sıkça Sorulan Sorular
UEBA mesai dışı her oturum için uyarı üretir mi?
Hayır. UEBA mesai dışı oturumu, o kullanıcının kendi davranış tabanıyla ve eş grubuyla karşılaştırır. Düzenli olarak gece çalışan bir nöbetçi yöneticinin oturumu sapma sayılmaz; hiç gece çalışmamış bir hesabın ilk gece oturumu ise zaman anomalisi olarak işaretlenir ve risk puanına yansır. Uyarı üretilip üretilmeyeceğini uyarı profilindeki eşik belirler.
Servis hesapları mesai dışı oturum uyarısı üretir mi?
Yedekleme, zamanlanmış görev ve entegrasyon için kullanılan servis hesapları doğası gereği gece çalışır; bu hesapların davranış tabanı da bu düzeni içerir. Yine de servis hesaplarını insan kullanıcılardan ayrı bir eş grup ve uyarı profiliyle izlemek gürültüyü azaltır. Bir servis hesabının etkileşimli oturum açması ya da yeni bir sunucuya bağlanması ise ayrıca dikkat gerektiren bir desen anomalisidir.
Hesap ele geçirme UEBA ile nasıl tespit edilir?
Ele geçirilmiş bir hesap genellikle sahibinin alışkanlıklarından kopar: farklı saatte oturum açar, daha önce erişilmemiş sunuculara bağlanır, olağan dışı sayıda başarısız oturum ya da dosya erişimi üretir. Log360 UEBA bu sapmaları "ele geçirilmiş hesaplar" kategorisindeki risk puanında toplar, böylece tek tek zayıf sinyaller aynı kullanıcı altında güçlü bir göstergeye dönüşür.
UEBA korelasyon kurallarının yerini alır mı?
Hayır. Korelasyon kuralları bilinen saldırı desenlerini kesin biçimde yakalar; UEBA ise her kullanıcının normalini öğrenerek meşru hesapla yapılan, imzası olmayan hareketlerde erken sinyal verir. İki yaklaşım aynı Log360 konsolunda birlikte kullanıldığında hem bilinen hem bilinmeyen senaryolar kapsanmış olur.
Sonuç: ne zaman kural, ne zaman UEBA?
Kesin kötü niyet göstergesi olan olaylar, örneğin kaba kuvvet denemesi ya da kritik gruba yetkisiz üye eklenmesi, korelasyon kuralıyla yakalanmalıdır. Olayın anlamı kullanıcıya göre değişiyorsa, yani mesai dışı oturum, alışılmadık sunucuya erişim ya da hacmi artan dosya okuma söz konusuysa, mesai dışı oturum açma tespitini davranış tabanına dayandırmak gerekir. Kurumunuzda geçerli hesap kötüye kullanımı ve içeriden tehdit en büyük endişeyse, Log360 UEBA özellikleri ve lisans kalemleri bu ihtiyaca doğrudan karşılık gelir.
Technodus, ManageEngine Log360 ve UEBA eklentisini devreye alırken öğrenme dönemi boyunca beslenmesi gereken veri kaynaklarını belirler, eş grupları organizasyon yapınıza göre tanımlar ve risk eşiklerini ilk haftalardaki sonuçlara bakarak sizinle birlikte ayarlar. Log360 SIEM kurulum ve destek kapsamında lisans, kurulum ve destek aynı ekipte kalır. Mesai dışı oturum ve olağan dışı kullanıcı davranışı senaryolarını kendi loglarınız üzerinde denemek için bizimle iletişime geçerek PoC talep edebilirsiniz.