SOC Vardiya

SOC Vardiya nedir

SOC Vardiya, tarayıcıda çalışan bir güvenlik operasyon merkezi simülasyonu. SOC, bir kurumun güvenlik alarmlarını gece gündüz izleyen ekiptir. Burada o ekibin analistisin. Alarm kuyruğundan bir vaka seçer, kuralın neden tetiklendiğine, ağ bağlantılarına, süreç ağacına ve cihaz kayıtlarına bakarsın. Sonra kararını verir, gerekçeni yazar ve müdahale edersin.

Bir SOC analistinin günü de böyle geçer: kuyruğu okur, gürültüyü ayıklar ve gerçek olayı kaçırmamaya çalışır. Burada hata yapmak serbest. Yanlış kararın nedenini görür, sonraki alarmda düzeltirsin. Ücretsizdir, kurulum istemez. İlerlemen bu tarayıcıda saklanır.

Nasıl oynanır

İlk kez geliyorsan İlk alarm turuyla başla. İlk alarmı bitirince istersen iki alarm daha çözersin. Her alarmda olayı okur, üç kanıta bakar ve iki soruyu cevaplarsın: Bu ne, ne yaparsın? Her cevaptan sonra nedenini hemen görürsün.

Tam vardiyada üç mod var. Sınırsız modda süre yoktur, aynı anda en çok 8 açık alarm durur ve vardiyayı duraklatabilirsin. Süreli modda 20 dakikan var. Alarmlar zamanla düşer, 2 müşterinin onayını ve raporunu yönetirsin. Hayatta kalma modunda yük artar, bekleyen ve hatalı kapanan olaylar operasyon sağlığını düşürür. Kural görünümünü Splunk ya da QRadar biçiminde seçebilirsin. Kural laboratuvarında kendi kuralını dener, senaryo stüdyosunda kendi vakanı yazarsın.

Ne öğretir

SOC analistinin günlük işinin üç temelini çalıştırır. İlki triyaj: alarmın gerçek bir saldırı mı, izinli bir iş mi, yoksa yanlış alarm mı olduğuna karar vermek. İkincisi kanıt: kararını tek bir işarete değil, kayıtların birlikte söylediğine dayandırmak. Üçüncüsü sınırlama: saldırının yayılmasını durduracak en dar müdahaleyi seçmek.

Müdahalede cihazı ağdan izole etmek, süreci durdurmak, göstergeyi engellemek ya da olayı müdahale ekibine yükseltmek arasında seçim yaparsın. Yanlış alarmı saldırı sanmak da, gerçek saldırıyı kaçırmak da sonucu etkiler. Vardiya sonunda kararlarının özetini görürsün.

Kural laboratuvarı tespitin öbür yüzünü gösterir. Bir kuralın koşulunu, eşiğini ya da istisnasını değiştirir, sonra örnek senaryolarda alarm üretip üretmediğine bakarsın. İstisnayı fazla geniş tutarsan önceden yakalanan saldırı kaçırılır. Koşulu fazla gevşek tutarsan izinli iş de alarma döner. Bu dengeyi kurmak tespit mühendisliğinin temelidir.

Konuyu derinleştirmek istersen Mavi Takım yolundaki log okuma derslerine geç ya da SOC analisti nedir yazısını oku.