SIEM'deki tespit kurallarının log kaynağı, alarm ve performans açısından gerçekten çalışıp çalışmadığını sürekli sınamanın ve tespit kapsamındaki boşlukları MITRE ATT&CK üzerinde görmenin yolu.
SOC panosunda yüzlerce kural "etkin" görünür. Ama bu kuralların kaçının son değişiklikten sonra hâlâ alarm ürettiğini çoğu ekip bilmez; bir log kaynağı sessizce kopar, kural hata vermez, yalnızca susar. SIEM kural doğrulama bu sessizliği görünür kılar. Picus Detection Rule Validation nedir ve nasıl çalışır sorusunun cevabı da tam burada başlar: kural envanterini okur, her kuralı log kaynağı, alarm ve performans açısından puanlar.
Kısaca: SIEM kural doğrulama, tespit kurallarının etkin görünmekle kalmayıp gerçekten veri aldığını, hatasız çalıştığını ve analiste alarm ulaştırdığını düzenli olarak kanıtlama işidir. Picus Detection Rule Validation bu kontrolü Splunk, Microsoft Sentinel ve IBM QRadar kurallarında zamanlanmış olarak yapar, bozuk kurallara kural düzeyinde düzeltme önerisi verir.
SIEM Kural Doğrulama Neden Gerekir: Etkin Kural, Çalışan Kural Değildir
Bir tespit kuralı üç şeye bağlıdır: doğru log kaynağından veri gelmesi, sorgunun hatasız çalışması ve üretilen alarmın analiste ulaşması. Bu üçünden biri bozulduğunda SIEM çoğu zaman uyarı vermez. Kural listede yeşil görünmeye devam eder, ama tespit yeteneği fiilen kaybolmuştur.
Klasik yöntem, kural setini yılda bir iki kez elle gözden geçirmektir. Arada geçen aylarda log toplayıcılar güncellenir, yeni sunucular eklenir, bulut hesapları taşınır. Elle yapılan inceleme bu değişim hızına yetişemez ve kör noktalar birikir.
SOC ekip lideri için sorun yalnız teknik değildir. Yönetime "şu saldırı tekniğini tespit ediyoruz" demek, o tekniği karşılayan kuralın bugün çalıştığını kanıtlamayı gerektirir. Tespit kuralı doğrulama, bu iddiayı varsayımdan ölçüme taşır.
Sessiz Bozulan Kurallar: Log Kaynağı Kopması, Parser Değişikliği ve Gürültü
Sahada tespit kurallarını bozan nedenler birkaç kalıba ayrılır. Her biri farklı bir belirti verir, ama hiçbiri kendiliğinden alarm üretmez:
- Log kaynağı kopması: Bir etki alanı denetleyicisinin ya da güvenlik duvarının log gönderimi durur; yetki yükseltme gibi teknikleri izleyen kural veri alamadığı için hiçbir zaman tetiklenmez.
- Parser ve alan eşlemesi değişikliği: Toplayıcı ajan güncellenince alan adı ya da biçim değişir; sorgu hata vermeden boş sonuç döndürür.
- Atlanan arama ve sorgu hatası: PowerShell yürütme davranışını izleyen bir zamanlanmış arama kaynak sınırına takılır, atlanır ya da hata alır; analist bunu çoğu zaman fark etmez.
- Performans sorunlu sorgu: Çok geniş zaman aralığı, serbest metin ve joker karakter kullanımı SIEM kaynaklarını tüketir, diğer kuralları da yavaşlatır.
- Gürültülü kural: Aşırı false positive üreten kural, analistin yorulmasına ve gerçek alarmın gözden kaçmasına yol açar.
Bu hataların ortak noktası sessiz olmalarıdır. Sessiz bozulan kurallar, ancak bir saldırı gerçekleştiğinde ya da bir sızma testi raporu geldiğinde ortaya çıkar. SIEM kural doğrulama, bu keşfi olaydan önceye çeker.
Picus Detection Rule Validation ile Log Kaynağı, Alarm ve Performans Kontrolü
Picus Detection Rule Validation (DRV), Picus platformu içinde bir tespit kuralı doğrulama kullanım senaryosu olarak sunulur. Üreticinin Detection Rule Validation sayfasına göre bir entegrasyon ajanı Splunk Enterprise Security, Splunk Cloud Platform, Microsoft Sentinel veya IBM QRadar'a salt okunur erişimle bağlanır ve canlı kural envanterini otomatik olarak çeker. Değerlendirme istendiğinde ya da zamanlanmış olarak çalışır; her kural tek geçişte üç boyutta puanlanır.
| Boyut | Neyi kontrol eder? | Yakaladığı tipik sorun |
|---|---|---|
| Log kaynağı | Kuralı besleyen log kaynaklarının erişilebilir ve sağlam olup olmadığı | Kopmuş veya bozuk log kaynağına bağlı kural |
| Alarm | Kuralın hata vermeden, atlanmadan çalışıp alarmı analiste ulaştırması | Atlanan veya hata alan zamanlanmış arama |
| Performans | Sorgunun verimliliği | Geniş zaman aralığı, serbest metin ve joker karakter kullanımı |
Sonuç yalnız bir puan değildir. DRV her bozuk kural için boşluğu kapatacak somut bir düzeltme yönlendirmesi verir; düzeltmeden sonra kural yeniden değerlendirilir ve iyileşmenin kalıcı olup olmadığı izlenir. Böylece kural bakımı, yılda bir yapılan bir proje olmaktan çıkar ve sürekli bir kontrole dönüşür.
Senaryo: Bir finans kurumunun SOC ekibi, Windows sunucularındaki log toplama ajanını güncelliyor. Güncellemenin ardından birkaç sunucu grubunun logları SIEM'e ulaşmaz hale geliyor. Kimlik bilgisi dökümüne yönelik kurallar panoda etkin görünmeye devam ediyor ama hiç tetiklenmiyor. Haftalık zamanlanmış DRV değerlendirmesi bu kuralları log kaynağı boyutunda başarısız işaretliyor; ekip hangi kaynağın koptuğunu kural düzeyindeki ayrıntıdan görüyor ve toplayıcı yapılandırmasını düzeltiyor. Bir sonraki değerlendirmede kurallar yeniden sağlıklı görünüyor.
MITRE ATT&CK Eşlemesi ile Tespit Kapsamı Boşluklarını Görmek
SIEM kural doğrulama yalnız kural sağlığıyla sınırlı kalmamalıdır; sağlıklı kuralların hangi saldırı tekniklerini karşıladığı da bilinmelidir. MITRE ATT&CK, saldırgan taktik ve tekniklerini ortak bir dille tanımlayan açık bir bilgi tabanıdır. DRV, tespit kapsamını bu çerçeveye eşler ve kapsamın nerede sağlam, nerede kırık olduğunu teknik bazında gösterir.
Üretici, eşlenmemiş kuralların yapay zeka destekli teknik eşlemeyle karşılayabilecekleri tekniklere bağlandığını ve her eşlemenin kapsam puanına etkisinin gösterildiğini belirtir. Bu, özellikle yıllar içinde farklı kişilerin yazdığı, açıklaması eksik kural setlerinde değerlidir. Hangi kuralın hangi tekniği karşıladığı bilinmeden kapsam raporu çıkarmak mümkün değildir.
Kapsam haritasının ikinci ayağı saldırı simülasyonudur. Picus Security Control Validation (BAS) gerçekçi saldırı davranışlarını güvenli biçimde simüle eder ve bu davranışların SIEM ile EDR tarafında log ve alarm üretip üretmediğini ölçer. Üreticiye göre bu yaklaşım, loglanan ama alarm üretmeyen olayları ve olay ile alarm arasındaki gecikmeleri ortaya çıkarır. DRV kuralın yapısal sağlığını, simülasyon ise gerçek bir tekniğe karşı davranışını gösterir; ikisi birlikte "bu tekniği tespit ediyoruz" iddiasını kanıtlanabilir kılar.
Detection Engineering Döngüsünde SIEM Kural Doğrulama ve SOC Metrikleri
Detection engineering, yani tespit mühendisliği, tespit kurallarını yazılım gibi ele alan disiplindir: ihtiyaç belirlenir, kural yazılır, test edilir, devreye alınır, ölçülür ve bakımı yapılır. SIEM kural doğrulama bu döngünün test ve ölçüm adımlarını otomatikleştirir. Döngü genellikle şu adımlarla işler:
- Tehdit ve kapsam önceliği: Kurum için kritik MITRE ATT&CK teknikleri seçilir.
- Kural yazımı veya uyarlama: Picus Mitigation Library'deki üreticiye özgü ve Sigma biçimindeki hazır tespit kuralları başlangıç noktası olabilir.
- Simülasyonla test: BAS simülasyonu çalıştırılır, kuralın alarm üretip üretmediği görülür.
- Sürekli doğrulama: DRV zamanlanmış değerlendirmeyle log kaynağı, alarm ve performans boyutlarını izler.
- Düzeltme ve yeniden ölçüm: Bozuk kural onarılır, bir sonraki değerlendirmede sonuç doğrulanır.
Bu döngü, SOC yönetimine anlamlı metrikler de üretir. Sağlıklı kural oranı, kritik tekniklerde doğrulanmış tespit kapsamı, bozulan bir kuralın fark edilmesine kadar geçen süre ve performans sorunu çözülen sorgu sayısı, "kaç kuralımız var" sorusundan çok daha fazlasını anlatır. Kural sayısı bir envanter bilgisidir; doğrulanmış kapsam ise bir güvenlik ölçüsüdür.
SOC ve SIEM ilişkisinin temellerini SOC ve SIEM yazımızda ele almıştık. Bu yazının odağı, o yapının içindeki kuralların zamanla aşınmasını önlemektir.
Sıkça Sorulan Sorular
SIEM kuralları nasıl test edilir?
SIEM kuralları iki yoldan test edilir. İlki, kuralın yapısını ve bağımlılıklarını kontrol etmektir: log kaynağı veri gönderiyor mu, arama hatasız çalışıyor mu, sorgu verimli mi. İkincisi, kuralın hedeflediği saldırı davranışını güvenli biçimde simüle edip alarm üretilip üretilmediğine bakmaktır. Elle test mümkündür ama tekrarlanabilirliği düşüktür; bu nedenle kurumlar zamanlanmış ve otomatik SIEM kural doğrulamaya yönelir.
Tespit kuralı neden sessizce çalışmayı bırakır?
En sık neden, kuralı besleyen log kaynağının kopmasıdır. Toplayıcı ajan veya parser güncellemesi sonrası alan adlarının değişmesi, zamanlanmış aramanın kaynak sınırı nedeniyle atlanması ve sorgu hataları da aynı sonucu doğurur. Bu durumların hiçbiri kendiliğinden alarm üretmez; kural etkin görünür ama tetiklenmez. Bu yüzden kural sağlığı düzenli olarak ölçülmelidir.
Picus Detection Rule Validation hangi SIEM'lerle çalışır?
Üreticinin 2026 itibarıyla yayımladığı bilgilere göre Picus Detection Rule Validation, Splunk Enterprise Security, Splunk Cloud Platform, Microsoft Sentinel ve IBM QRadar ile çalışır. Entegrasyon ajanı kural envanterini salt okunur erişimle çeker. Farklı bir SIEM kullanılıyorsa güncel destek durumunun kurulum öncesinde üreticiyle birlikte kontrol edilmesi gerekir.
Detection engineering ile BAS arasındaki fark nedir?
Detection engineering, tespit kurallarının tasarlandığı, yazıldığı ve bakımının yapıldığı süreçtir. BAS (Breach and Attack Simulation) ise saldırı davranışlarını güvenli biçimde simüle ederek güvenlik kontrollerinin tepkisini ölçer. BAS, tespit mühendisliği döngüsünün test adımında kullanılır; kuralın gerçek bir tekniğe karşı alarm üretip üretmediğini gösterir. İkisi birbirinin yerine değil, birbirinin tamamlayıcısı olarak çalışır.
Sonuç: Hangi Doğrulama, Ne Zaman?
Kural setiniz büyükse ve kaç kuralın hâlâ çalıştığını bilmiyorsanız ilk adım kural sağlığını ölçmektir; log kaynağı, alarm ve performans boyutları burada öne çıkar. Kurallarınızın belirli saldırı tekniklerine karşı gerçekten alarm ürettiğini kanıtlamanız gerekiyorsa saldırı simülasyonu devreye girer. Olgun bir SOC ikisini birlikte ve sürekli çalıştırır; SIEM kural doğrulama da bu sürekliliğin adıdır.
Technodus, Picus Security projelerinde lisans, kurulum ve destek sorumluluğunu aynı ekipte tutar. SIEM bağlantısı kurulur, kural setinin ilk sağlık taraması çalıştırılır ve bozuk ya da verimsiz kuralların düzeltme listesi birlikte çıkarılır. Lisans kapsamı ve teknik ayrıntılar için Picus Detection Rule Validation özellikleri sayfasına bakabilir, kendi SIEM ortamınızda bir PoC için bizimle iletişime geçebilirsiniz.