EDR ve SIEM Görünürlüğünün Değerlendirilmesi

EDR ve SIEM Görünürlüğünün Değerlendirilmesi

Endpoint olaylarının sensörden SIEM korelasyonuna kadar eksiksiz taşınıp taşınmadığını ölçer.

Giris ve Temel Akis

Endpoint olaylarının sensörden SIEM korelasyonuna kadar eksiksiz taşınıp taşınmadığını ölçer.

Bu bölümün pratik akışı şu sırayla ilerler:

• Test olayını tanımla
• Endpoint sensörünü doğrula
• Olayı kontrollü üret
• EDR kaydını bul
• SIEM kaydını eşleştir
• Gecikme ve alan kaybını ölç

Temel Kavram Eslesmeleri

EDR ve SIEM Görünürlüğünün Değerlendirilmesi kapsamında kullanılan araçlar ve yönetişim bileşenleri farklı görevleri destekler.

• EDR Console: EDR ve SIEM Görünürlüğünün Değerlendirilmesi için birincil analiz veya emülasyon aracıdır
• SIEM: İkinci veri kaynağı veya doğrulama aracı olarak kullanılır
• Rules of Engagement: İzinleri, sınırları ve durdurma koşullarını belirler
• Evidence Log: Test zamanı, komut, çıktı ve gözlemleri kaydeder

Ilk Cekirdek Kavram

Bu bölümde öne çıkan çekirdek kavram Telemetry Visibility olarak verilir. Endpoint olaylarının sensörden SIEM korelasyonuna kadar eksiksiz taşınıp taşınmadığını ölçer. Bu çalışma yalnızca yazılı olarak yetkilendirilmiş laboratuvar veya test ortamında yürütülmelidir.

Arac, Komut veya Inceleme Akisi

Araç kullanımı öncesinde kapsam ve telemetri doğrulanır. Örnek güvenli komutlar: Get-WinEvent -LogName Security -MaxEvents 10 Get-CimInstance Win32_Process | Select-Object -First 5

Bu bölümün pratik akışı şu sırayla ilerler:

• Komutu İncele
• Hedefi Doğrula
• Telemetriyi Aç
• Komutu Çalıştır
• Çıktıyı Kaydet

Kanit ve Bilesen Iliskileri

Komut ve araç çıktıları, savunma doğrulamasında farklı kanıtlar üretir.

• Get-WinEvent -LogName Security -MaxEvents 10: Birincil güvenli kontrol veya gözlem komutu
• Get-CimInstance Win32_Process | Select-Object -First 5: İkinci doğrulama veya kayıt toplama komutu
• EDR Console: Emülasyon veya analiz sonucunu üretir
• SIEM: Sonucu bağımsız veri kaynağında doğrular

Ikincil Odak Noktasi

Bu bölümde öne çıkan çekirdek kavram EDR Console olarak verilir. Bu derste kullanılabilecek temel araçlardan biri EDR Console, yardımcı doğrulama aracı ise SIEM olarak seçilmiştir.

Operasyonel Dogrulama ve Raporlama

Emülasyon sonucunun öğretici olabilmesi için beklenen ve gözlenen telemetri karşılaştırılır.

Bu bölümün pratik akışı şu sırayla ilerler:

• Beklenen Olayı Tanımla
• Test Zamanını Kaydet
• Endpoint Verisini Topla
• Ağ veya Kimlik Verisini Topla
• SIEM Sonucunu Karşılaştır
• Detection Boşluğunu Yaz

Cikti ve Kullanım Amaci

Tatbikat çıktıları farklı ekipler tarafından farklı amaçlarla kullanılır.

• Endpoint Telemetry: Süreç, dosya ve kullanıcı davranışlarını doğrular
• Network Telemetry: Bağlantı ve trafik davranışlarını doğrular
• Detection Result: Kuralın alarm üretip üretmediğini gösterir
• Cleanup Evidence: Test artefactlarının kaldırıldığını kanıtlar

Son Kavram ve Cikis

Bu bölümde öne çıkan çekirdek kavram Cleanup olarak verilir. Yetkili bir emülasyonun tamamlanması için test artefactlarının kaldırılması, geçici erişimlerin kapatılması ve ortamın başlangıç durumunun doğrulanması gerekir.

Bu Egitimden Ne Kazanirsiniz?

Bu icerik, EDR ve SIEM Görünürlüğünün Değerlendirilmesi konusunu SOC L3 - Adversary Emulation - Red Teaming Simülasyonları baglaminda parcali degil, butunlu bir ogrenme akisina donusturur. Yalnizca kavramlari ezberlemek yerine surec sirasini, bilesenler arasi iliskiyi ve hangi kanitin neden onemli oldugunu kavramayi hedefler.

Ozet

Bu ders kapsaminda one cikan basliklar: EDR Console, SIEM, Rules of Engagement, Evidence Log, Get-WinEvent -LogName Security -MaxEvents 10, Get-CimInstance Win32_Process | Select-Object -First 5, Endpoint Telemetry, Network Telemetry, Detection Result, Cleanup Evidence. Egitimin mantigi; once temel akis kurmak, sonra eslestirme ve kavram netlestirme yapmak, en sonda ise bulguyu operasyonel bir sonuca baglamaktir.