Siber Güvenlikte SOAR : Security Orchestration, Automation, and Response

Modern siber güvenlik operasyonlarında, Güvenlik Operasyon Merkezleri (SOC) her gün binlerce, bazen milyonlarca güvenlik alarmı ile karşı karşıya kalır. Bu durum, analistler üzerinde ciddi bir "alarm yorgunluğu" (alert fatigue) yaratır ve kritik tehditlerin gözden kaçma riskini artırır. Bu sorunu çözmek ve operasyonları hızlandırmak için geliştirilen en etkili teknolojilerden biri SOAR'dır.

SOAR, Security Orchestration, Automation, and Response (Güvenlik Orkestrasyonu, Otomasyonu ve Yanıtı) kelimelerinin baş harflerinden oluşur. Temel amacı, güvenlik ekiplerinin tehditlere daha hızlı, daha akıllı ve daha verimli bir şekilde müdahale etmesini sağlamaktır.

SOAR'ın Üç Temel Bileşeni

SOAR mimarisi, adından da anlaşıldığı gibi üç ana sacayağı üzerine kuruludur:

1. Orkestrasyon (Orchestration) Kurumların ağlarında genellikle birbirinden bağımsız çalışan onlarca farklı güvenlik aracı bulunur (Güvenlik Duvarları, Antivirüsler, E-posta filtreleme sistemleri, Tehdit İstihbarat platformları vb.).

• İşlevi: Orkestrasyon, bu farklı ve bağımsız araçların API'ler aracılığıyla birbirleriyle iletişim kurmasını ve entegre çalışmasını sağlar.

• Örnek: Şüpheli bir IP adresi tespit edildiğinde, orkestrasyon motoru bu IP'yi aynı anda hem tehdit istihbarat havuzunda sorgulayabilir hem de güvenlik duvarına iletebilir.

2. Otomasyon (Automation) Güvenlik analistlerinin vaktini alan, manuel ve tekrarlayan süreçlerin makinelere devredilmesidir.

• İşlevi: Önceden tanımlanmış kurallar zinciri olan "Playbook" (Oyun Kitabı) veya "Runbook" yapılarını kullanarak görevleri insan müdahalesi olmadan otomatik olarak yürütür.

• Örnek: Oltalama (phishing) şüphesi taşıyan bir e-posta geldiğinde, otomasyon bu e-postadaki ekleri analiz için sanal bir ortama (sandbox) gönderebilir ve zararlıysa gönderenin adresini tüm şirket ağında engelleyebilir.

3. Yanıt (Response) Bir güvenlik ihlali veya saldırı tespit edildiğinde, olaya nasıl müdahale edileceğinin (Incident Response) merkezi olarak yönetilmesidir.

• İşlevi: Analistlere, olayın kök nedenini anlamaları ve anında aksiyon almaları için tek bir ekran sunar. Tehdidin izole edilmesi, etkisiz hale getirilmesi ve sistemin normal durumuna döndürülmesi adımlarını kapsar.

SOAR ve SIEM Arasındaki Fark Nedir?

Genellikle karıştırılan bu iki teknoloji aslında birbirini tamamlar:

• SIEM (Security Information and Event Management): Ağdaki tüm cihazlardan log (kayıt) toplar, bunları analiz eder, anormallikleri tespit eder ve alarm üretir. (Bir nevi güvenlik kamerası ve yangın alarmıdır).

• SOAR: SIEM'den (veya diğer kaynaklardan) gelen bu alarmları alır, doğrular, zenginleştirir ve aksiyon alır. (Yangın alarmı çaldığında otomatik olarak itfaiyeyi arayan ve fıskiyeleri çalıştıran sistemdir).

SOAR Kullanımının Temel Avantajları

• Tepki Süresini (MTTR) Düşürür: Ortalama Yanıt Süresi (Mean Time to Respond) dakikalardan saniyelere iner.

• İnsan Hatasını Minimizasyon: Standartlaştırılmış Playbook'lar sayesinde, stres altında yapılabilecek manuel hatalar ortadan kalkar.

• Analist Verimliliği: Analistler, basit alarmları kapatmak yerine "Tehdit Avcılığı" (Threat Hunting) gibi daha ileri düzey, zihinsel efor gerektiren görevlere odaklanabilirler.

• Bağlam ve Zenginleştirme: Bir alarm düştüğünde, SOAR o IP veya dosya hakkındaki tüm arka plan bilgisini toplayarak analistin önüne hazır getirir.

Özetle; SOAR, siber güvenlik dünyasının orkestra şefi ve yorulmak bilmeyen dijital asistanıdır. Doğru kurgulandığında, bir kurumun siber savunma kapasitesini eksponansiyel olarak artırır.

SOAR süreçlerinin kalbini oluşturan otomatik müdahale senaryoları (Playbook'lar) hakkında, örneğin bir "Oltalama E-postası" olayının adım adım nasıl otomatikleştirildiğini gösteren spesifik bir örnek görmek ister misiniz?

Harika. Güvenlik Operasyon Merkezi (SOC) mimarisinde ve "Mavi Takım" (Blue Team) operasyonlarında en sık karşılaşılan senaryolardan biri olan "Oltalama (Phishing) E-postası" olayını bir SOAR Playbook'u (Otomatik Müdahale Senaryosu) üzerinden adım adım inceleyelim.

Bu senaryoda, bir kullanıcının şüpheli bir e-posta aldığını ve sürecin insan eli değmeden saniyeler içinde nasıl yönetildiğini göreceğiz. Sistemlerin birbiriyle konuşmasını sağlayan temel yapının API'ler olduğunu unutmamak önemlidir.

Oltalama Müdahale Playbook'u (Adım Adım Otomasyon)

Adım 1: Tetikleyici (Trigger) ve Vakayı Başlatma

• Olay: Bir kurum çalışanı, gelen kutusundaki şüpheli bir e-postayı "Oltalama Bildir" butonuna tıklayarak güvenlik ekibine raporlar (veya E-posta Güvenlik Ağ Geçidi otomatik bir alarm üretir).

• SOAR Aksiyonu: SOAR platformu bu bildirimi anında yakalar, Vaka Yönetim Sisteminde (Case Management) otomatik olarak yeni bir "Phishing Şüphesi" bileti (ticket) açar.

Adım 2: Veri Çıkarma (Parsing)

• SOAR Aksiyonu: Sistem, e-postanın kaynak kodunu ve başlık (header) bilgilerini otomatik olarak parçalarına ayırır.

• Elde Edilen Bulgular (IOC - Indicator of Compromise):

  • Gönderici e-posta adresi ve IP adresi.

  • E-posta gövdesindeki tüm URL'ler (bağlantılar).

  • E-postaya eklenmiş dosyalar (örneğin .pdf, .docx, .zip) ve bu dosyaların Hash (SHA-256) değerleri.

Adım 3: Zenginleştirme (Enrichment) ve OSINT Sorguları

• SOAR Aksiyonu: Çıkarılan IOC'ler, analistin manuel olarak yapacağı araştırma işlemlerini taklit ederek çeşitli araçlara API üzerinden gönderilir.

  • IP ve URL Analizi: Tespit edilen IP ve domain adresleri Shodan, Censys veya VirusTotal gibi tehdit istihbaratı kaynaklarında sorgulanarak itibar (reputation) puanları çekilir.

  • Dosya Analizi: E-posta ekindeki dosya, dinamik analiz için otomatik olarak bir Sandbox (sanal, izole test ortamı) sunucusuna gönderilir ve burada çalıştırılarak zararlı bir aktivite (örneğin komuta kontrol merkezine bağlanma girişimi) yapıp yapmadığı izlenir.

Adım 4: Karar Mekanizması (Condition / Logic)

• SOAR Aksiyonu: SOAR, 3. adımdan dönen API yanıtlarını değerlendirir.

  • Senaryo A (Temiz): İstihbarat kaynakları ve Sandbox temiz yanıtı verirse, bilet "Yanlış Alarm" (False Positive) olarak işaretlenir ve kullanıcıya "E-postanız güvenlidir" mesajı gönderilerek süreç kapatılır.

  • Senaryo B (Zararlı): URL oltalama sitesi olarak listelenmişse veya Sandbox dosyayı "Malware" olarak etiketlemişse sistem derhal 5. adıma (Müdahale) geçer.

Adım 5: Müdahale ve İzolasyon (Containment & Response)

• SOAR Aksiyonu (Tehdidi Etkisiz Hale Getirme):

  1. Arama ve Yok Etme: Microsoft Exchange veya Google Workspace API'sine bağlanılarak, aynı e-postanın kurum içindeki diğer kullanıcılara gidip gitmediği taranır. Gittiyse, tüm posta kutularından otomatik olarak silinir.

  2. Ağ Engellemesi: Tespit edilen zararlı IP adresi ve domain, kurumun Güvenlik Duvarı (Firewall) ve web filtreleme (örneğin e2guardian veya benzeri vekil sunucular) kara listelerine saniyeler içinde eklenir.

  3. Uç Nokta İzolasyonu: Eğer SOAR, kullanıcının bu zararlı URL'ye tıkladığını veya dosyayı indirdiğini loglardan tespit ederse, kullanıcının bilgisayarı EDR (Endpoint Detection and Response) aracı üzerinden anında şirket ağından izole edilir.

Adım 6: Raporlama ve Kapanış

• SOAR Aksiyonu: Yapılan tüm işlemler, API yanıtları, engellenen IP'ler ve silinen e-posta kayıtları açılan ilk bilete not olarak eklenir. SOC analistinin önüne "Kritik bir oltalama saldırısı tespit edildi ve otomatik olarak önlendi. Karantinaya alınan makineyi inceleyiniz." şeklinde hazır, zenginleştirilmiş ve izole edilmiş bir rapor düşer.

Bu senaryo sayesinde, eskiden bir analistin 30-40 dakikasını alacak olan IP sorgulama, mail silme, kural yazma işlemleri, SOAR sayesinde 10-15 saniye içinde sıfır hatayla gerçekleştirilmiş olur.