Tespit mühendisliğinde test otomasyonu, bir güvenlik ekibinin yazdığı tespit kurallarının bilinen saldırı davranışlarıyla otomatik olarak sınanıp beklenen uyarıyı üretip üretmediğinin düzenli biçimde doğrulanmasıdır. Bir kural yazıldığı gün sorunsuz tetiklense bile, kaynak logun formatı değiştiğinde, bir alan yeniden adlandırıldığında ya da izlenen yazılımın sürümü yükseltildiğinde sessizce körelir. Otomasyon, bu körelmeyi bir analist gerçek bir saldırıda fark etmeden önce yakalamayı amaçlar.

Test otomasyonu, yazılan her tespit kuralının gerçek bir saldırı davranışı karşısında insan eli değmeden tetiklenip tetiklenmediğini kanıtlayan bir kontrol katmanıdır.

Kurallar Neden Sessizce Bozulur?

Bir kural, belirli bir log alanının belirli bir değeri taşıdığı varsayımı üzerine kuruludur. Tespit mühendisliği pratiğinde bu varsayımlar zamanla kayar: bir EDR ajanı komut satırını farklı bir alanda raporlamaya başlar, bir uygulama sürüm yükseltmesiyle olay şemasını değiştirir ya da bir normalleştirme kuralı araya girer. Kural artık tetiklenmez ama hiçbir hata da vermez; panelde her şey yolunda görünürken tespit boşluğu çoktan açılmıştır.

Otomasyon Döngüsü Nasıl İşler?

Döngü, kontrollü bir ortamda saldırgan davranışını taklit etmekle başlar. Bir simülasyon aracı, örneğin şüpheli bir PowerShell komutu ya da yetki yükseltme girişimi üretir; bu eylem gerçek log kaynağına düşer, SIEM veya EDR platformuna akar ve ilgili kuralın uyarı üretip üretmediği programatik olarak okunur. Sonuç beklenenle karşılaştırılır: uyarı geldiyse kural sağlıklı, gelmediyse bir regresyon işaretlenir. Bu akış çoğu ekipte bir CI/CD hattına benzer biçimde, kod deposuna kural işlendikçe otomatik koşar.

• Kontrollü ortamda tek bir saldırı davranışını çalıştırma
• Üretilen telemetrinin log kaynağına ve tespit platformuna ulaşmasını bekleme
• Beklenen uyarının tetiklenip tetiklenmediğini programatik doğrulama
• Sonucu bir önceki koşumla karşılaştırıp regresyonları işaretleme
• Bulguları kural sahibine geri bildirme ve kapsam metriğini güncelleme

Simülasyon Araçları ve Kapsam

Bu testleri besleyen en yaygın açık kaynak çerçeve Atomic Red Team‘dir; küçük, izole ve geri alınabilir saldırı davranışlarını komut düzeyinde çalıştırır. Her atomik testin MITRE ATT&CK çerçevesi tekniğine eşlenmiş olması, otomasyonun yalnızca tekil kuralları değil tekniklere göre kapsam haritasını da ölçmesini sağlar. Böylece ‘hangi ATT&CK tekniklerine karşı doğrulanmış tespitimiz var’ sorusu somut bir yüzdeye dönüşür.

SOC İçin Pratik Kazanım

Otomasyonun en görünür getirisi, yanlış negatiflerin artık raporlarda değil test panosunda ortaya çıkmasıdır. Bir kuralın çalışmadığı, gerçek bir olayın kaçırılmasıyla değil, gece koşan bir testin kırmızıya dönmesiyle anlaşılır. Bu, kural kalabalığını da disipline eder: hiç tetiklenmeyen veya artık taklit edilebilen bir davranışı yakalayamayan kurallar temizlenir, kalanlar güvenle korunur.

Testlerin sürekli koşması, ekibin tespit yeteneğini bir varsayım olmaktan çıkarıp ölçülebilir bir güvenceye dönüştürür; her sürüm, her platform güncellemesi sonrası kapsamın hâlâ ayakta olduğu kanıtlanabilir. Bu olgunluğu kurum genelinde kurmak ve sürdürmek, SOC olgunlaştırma çalışmalarımızın merkezinde yer alır.