EDR ve SIEM Görünürlük Mimarisi

EDR ve SIEM Görünürlük Mimarisi

Endpoint sensöründen SIEM korelasyonuna kadar olay akışını ve alan bütünlüğünü doğrulama. Test yalnızca yazılı olarak yetkilendirilmiş ve geri dönüş planı bulunan laboratuvar ortamında yürütülür.

Giris ve Temel Akis

Endpoint sensöründen SIEM korelasyonuna kadar olay akışını ve alan bütünlüğünü doğrulama. Test yalnızca yazılı olarak yetkilendirilmiş ve geri dönüş planı bulunan laboratuvar ortamında yürütülür.

Bu bölümün pratik akışı şu sırayla ilerler:

• Sensörleri listele
• Olay kaynaklarını haritala
• İletim yolunu doğrula
• Test olayını üret
• EDR kaydını bul
• SIEM alanlarını karşılaştır

Temel Kavram Eslesmeleri

EDR ve SIEM Görünürlük Mimarisi kapsamında kullanılan araçlar ve yönetişim bileşenleri farklı görevleri destekler.

• EDR Console: Birincil test, analiz veya telemetri doğrulama aracı
• SIEM: İkinci veri kaynağı veya bağımsız doğrulama aracı
• Rules of Engagement: İzinleri, sınırları ve durdurma koşullarını belirler
• Cleanup Plan: Test artefactlarının güvenli biçimde geri alınmasını tanımlar

Ilk Cekirdek Kavram

Bu bölümde öne çıkan çekirdek kavram Telemetry Pipeline olarak verilir. Endpoint sensöründen SIEM korelasyonuna kadar olay akışını ve alan bütünlüğünü doğrulama. Amaç gerçek güvenlik kontrollerini aşmak değil, bu davranışlara karşı görünürlük ve detection dayanıklılığını ölçmektir.

Arac, Komut veya Inceleme Akisi

Konuya uygun güvenli gözlem veya lab komutları: Get-Service | Where-Object Name -Match "sense|sysmon" Get-WinEvent -LogName Security -MaxEvents 10

Bu bölümün pratik akışı şu sırayla ilerler:

• Komutu İncele
• Lab Hedefini Doğrula
• Telemetriyi Aç
• Komutu Çalıştır
• Çıktıyı Kaydet
• Cleanup Yap

Kanit ve Bilesen Iliskileri

Komut ve araç çıktıları, evasion davranışlarının savunma tarafındaki izlerini doğrulamak için kullanılır.

• Get-Service | Where-Object Name -Match "sense|sysmon": Birincil güvenli kontrol veya sentetik test komutu
• Get-WinEvent -LogName Security -MaxEvents 10: Olay, durum veya cleanup doğrulama komutu
• EDR Console: Ana analiz veya emülasyon çıktısını sağlar
• SIEM: Sonucu ikinci bir veri kaynağında doğrular

Ikincil Odak Noktasi

Bu bölümde öne çıkan çekirdek kavram EDR Console olarak verilir. Bu derste birincil araç olarak EDR Console, yardımcı doğrulama aracı olarak SIEM kullanılır.

Operasyonel Dogrulama ve Raporlama

Evasion testinin öğretici olması için beklenen telemetri, gözlenen olay ve detection sonucu aynı zaman çizelgesinde karşılaştırılır.

Bu bölümün pratik akışı şu sırayla ilerler:

• Beklenen Olayı Tanımla
• Test Zamanını Kaydet
• Endpoint Verisini Topla
• Ağ veya Kimlik Verisini Topla
• SIEM Sonucunu Karşılaştır
• Detection Boşluğunu Yaz

Cikti ve Kullanım Amaci

Evasion testi çıktıları farklı savunma ekiplerine farklı kanıtlar sunar.

• Endpoint Telemetry: Süreç, dosya ve yapılandırma davranışlarını doğrular
• Network Telemetry: Bağlantı, DNS ve proxy görünürlüğünü doğrular
• Detection Result: Kuralın alarm üretip üretmediğini gösterir
• Cleanup Evidence: Test artefactlarının kaldırıldığını kanıtlar

Son Kavram ve Cikis

Bu bölümde öne çıkan çekirdek kavram Cleanup olarak verilir. Test tamamlandığında sentetik artefactlar kaldırılır, değişiklikler geri alınır ve güvenlik araçlarının başlangıç durumunda olduğu doğrulanır.

Bu Egitimden Ne Kazanirsiniz?

Bu icerik, EDR ve SIEM Görünürlük Mimarisi konusunu SOC L3 - Adversary Emulation - Savunma Atlama (Evasion) Testleri baglaminda parcali degil, butunlu bir ogrenme akisina donusturur. Yalnizca kavramlari ezberlemek yerine surec sirasini, bilesenler arasi iliskiyi ve hangi kanitin neden onemli oldugunu kavramayi hedefler.

Ozet

Bu ders kapsaminda one cikan basliklar: EDR Console, SIEM, Rules of Engagement, Cleanup Plan, Get-Service | Where-Object Name -Match "sense|sysmon", Get-WinEvent -LogName Security -MaxEvents 10, Endpoint Telemetry, Network Telemetry, Detection Result, Cleanup Evidence. Egitimin mantigi; once temel akis kurmak, sonra eslestirme ve kavram netlestirme yapmak, en sonda ise bulguyu operasyonel bir sonuca baglamaktir.