Arcsight

Büyük bir kurumda her saniye yüz binlerce log satırı üretilir ve bunların neredeyse tamamı sıradan gürültüdür. Asıl saldırı, tek başına anlamsız görünen birkaç olayın belirli bir sırayla bir araya gelmesidir: başarısız bir oturum açma, ardından bir yetki yükseltme, sonra alışılmadık bir veri aktarımı. ArcSight’ın varlık nedeni bu ilişkiyi kurmaktır — dağınık logları toplamak değil, içlerindeki anlatıyı gerçek zamanlı çözmek. Korelasyon motoru saniyede yüz binlerce olayı işleyerek, insan gözünün asla yakalayamayacağı bu zincirleri tehdit hâline gelmeden öne çıkarır.

Önce ortak bir dil: SmartConnectors

Korelasyonun çalışabilmesi için farklı satıcılardan gelen verilerin tek bir dilde konuşması gerekir. SmartConnectors, 480’den fazla olay kaynağından — güvenlik duvarından bulut servisine, sunucudan uygulamaya — gelen ham veriyi toplar, normalleştirir ve zenginleştirir. Bu sayede heterojen bir altyapıdaki her ürün, korelasyon motorunun anlayabileceği ortak bir formata dönüşür. SIEM’in kalitesi, bu temel katmanın kapsamıyla doğrudan orantılıdır.

Korelasyondan harekete

Normalleştirilmiş akış Enterprise Security Manager (ESM) içindeki korelasyon motoruna girer. Yüzlerce ayarlanabilir kural ve MITRE ATT&CK eşlemesiyle olaylar tekniklere haritalanır; tehditle ilişkili zincir tespit edildiği anda analiste bildirilir. Buradan üç çıktı doğar:

• ArcSight Recon — ölçeklenebilir log analitiği; sezgisel sorgu diliyle geçmişe dönük hızlı arama ve PCI, GDPR, OWASP dâhil 100’den fazla hazır uyumluluk panosu.
• ArcSight SOAR — playbook’larla olay zenginleştirme, önceliklendirme ve tekrarlayan müdahale adımlarını otomatikleştirip ortalama müdahale süresini kısaltır.
• Intelligence (UEBA) — makine öğrenmesiyle kullanıcı ve varlık davranışını modelleyerek hiçbir statik kurala takılmayan içeriden tehdit ve anomalileri ortaya çıkarır.

Kuralın göremediğini yakalamak

Korelasyon kuralları bildiğiniz saldırıları yakalar; ya bilmediklerinizi? Yetkili bir hesabın çalınıp normal görünen ama olağandışı bir ritimle kullanılması hiçbir imza tetiklemez. Intelligence katmanı tam da burada devreye girer: her kullanıcı için bir davranış temel çizgisi öğrenir ve bu çizgiden sapmayı risk puanına çevirir. Böylece statik kuralların kör noktası — sessiz içeriden tehdit — görünür hâle gelir.

Veri egemenliği ve ölçek

ArcSight, olgun korelasyon motoru ve geniş entegrasyon ekosistemiyle yüksek hacimli, 7/24 SOC operasyonları için kurgulanmıştır. Logların kurum sınırları içinde kalmasını gerektiren düzenlemeler için şirket içi (on-prem) dağıtım seçeneği sunar; ISO 27001, KVKK, GDPR ve HIPAA için denetime hazır raporlama bu kurguyu tamamlar.

Infosec ile

Infosec, ArcSight’ın Türkiye’deki konumlandırmasında lisanslama, kavram kanıtı (PoC) ve devreye almada yer alır. SIEM projelerinde en sağlıklı yol, önce kritik kaynakların SmartConnectors ile doğru toplandığından emin olmak; ardından korelasyon kurallarını kurumun risk profiline göre olgunlaştırmaktır. Kurumun kendi SOC’u ya da Infosec yönetilen hizmetiyle operasyonun sürdürülmesini birlikte planlarız.