Korelasyon kuralı, farklı olayları ilişkilendirerek tek başına anlamsız görünen etkinliklerden saldırıları ortaya çıkaran bir tespit kuralıdır. Bir saldırı, çoğu zaman tek bir olayla değil bir dizi olayla kendini gösterir. Bu olaylar tek tek bakıldığında zararsız görünebilir. Korelasyon kuralları, bu olayları ilişkilendirerek saldırının bütününü ortaya çıkarır. Bu kurallar, güvenlik tespitinin güçlü bir aracıdır.

Alanın önemi, saldırıların çok aşamalı doğasından gelir. Modern saldırılar, birden fazla adımda gerçekleşir. Her adım tek başına dikkat çekmeyebilir. Korelasyon kuralları, bu adımları birleştirerek saldırıyı bütünsel olarak yakalar. Bu yetenek, korelasyon kurallarını değerli kılar.

Korelasyon Kuralı Nedir?

Korelasyon kuralı, farklı kaynaklardan gelen olayları birbiriyle ilişkilendirerek, tek başına dikkat çekmeyen etkinliklerden bir saldırının bütününü ortaya çıkaran bir tespit kuralıdır.

Korelasyon kuralı, olayları birleştirir. Farklı olaylar, belirli bir örüntüye göre ilişkilendirilir. Bu birleştirme, saldırının bütününü ortaya çıkarır. Tek tek olaylar, birlikte anlam kazanır. Olay birleştirme, korelasyon kuralının özüdür.

Bu kurallar, işlenmiş kayıtlara dayanır. Korelasyon, normalize edilmiş ve zenginleştirilmiş kayıtlarla mümkün olur. Log normalizasyonu, korelasyonun ön koşuludur. Tutarlı kayıtlar, olayların ilişkilendirilmesini sağlar. İşlenmiş kayıt, korelasyonun temelidir.

Nasıl Çalışır?

Korelasyon kuralı, bir örüntü tanımlar. Kural, hangi olayların hangi sırayla bir saldırıyı gösterdiğini belirtir. Bu örüntü, tespitin temelini oluşturur. Örüntüye uyan olay dizileri, uyarı üretir. Örüntü tanımı, korelasyon kuralının yapısıdır.

Kural, olay akışını değerlendirir. Gelen olaylar, sürekli olarak kurala karşı değerlendirilir. Kuralın örüntüsü tamamlandığında, bir uyarı üretilir. Bu değerlendirme, gerçek zamanlı olarak gerçekleşir. Akış değerlendirme, korelasyon kuralının çalışma biçimidir.

Kurallar, zaman penceresi kullanır. Olaylar, belirli bir zaman aralığında gerçekleştiğinde ilişkilendirilir. Bu zaman penceresi, ilgisiz olayların yanlışlıkla ilişkilendirilmesini önler. Doğru zaman penceresi, kuralın doğruluğunu belirler. Zaman penceresi, korelasyon kuralının bir bileşenidir.

• Olayların ilişkilendirilmesi
• Örüntü tanımı
• Zaman penceresi
• Çok aşamalı saldırı tespiti
• Uyarı üretimi

Ne Sağlar?

Korelasyon, çok aşamalı saldırıları yakalar. Tek bir olayla fark edilemeyen saldırılar, korelasyonla ortaya çıkar. Bu yetenek, karmaşık saldırılara karşı savunmayı güçlendirir. SIEM, korelasyon kurallarını uygular. Çok aşamalı tespit, korelasyonun başlıca yararıdır.

Korelasyon, yanlış uyarıları azaltır. Tek olaya dayanan tespit, çok sayıda yanlış uyarı üretebilir. Korelasyon, birden fazla koşul gerektirerek yanlış uyarıları azaltır. Bu azalma, analistlerin gerçek tehditlere odaklanmasını sağlar. Yanlış uyarı azaltma, korelasyonun bir yararıdır.

Korelasyon, bağlamsal tespit sağlar. Olayların birlikte değerlendirilmesi, daha zengin bir bağlam sunar. Bu bağlam, tehdidin ciddiyetinin daha iyi değerlendirilmesini sağlar. Böylece tespit, daha akıllı hale gelir. Bağlamsal tespit, korelasyonun bir katkısıdır.

Kural Türleri

Korelasyon kuralları, farklı türlerde olabilir. Bazı kurallar, belirli bir sırada gerçekleşen olayları arar. Bazıları ise belirli bir eşiği aşan olay sayısını izler. Bu çeşitlilik, farklı saldırı türlerinin yakalanmasını sağlar. Kural türü, tespit hedefine göre seçilir. Tür çeşitliliği, korelasyonun esnekliğini gösterir.

Eşik tabanlı kurallar, hacim anormalliklerini yakalar. Örneğin çok sayıda başarısız giriş denemesi, bir saldırı işareti olabilir. Eşik kuralı, bu tür hacim anormalliklerini tespit eder. Bu kurallar, kaba kuvvet saldırılarını yakalamada etkilidir. Eşik tabanlı tespit, korelasyonun bir türüdür.

Sıra tabanlı kurallar, saldırı adımlarını izler. Bir saldırının belirli adımları, belirli bir sırayla gerçekleşir. Sıra kuralı, bu adım dizisini tespit eder. Bu kurallar, çok aşamalı saldırıları yakalamada etkilidir. Sıra tabanlı tespit, korelasyonun bir türüdür.

Kural Tasarımı

Korelasyon kuralları, dikkatle tasarlanmalıdır. Kötü tasarlanmış kurallar, yanlış uyarılar üretebilir ya da tehditleri kaçırabilir. Bu nedenle kurallar, gerçek saldırı davranışlarına dayanmalıdır. Kullanım senaryosu yönetimi, bu kuralların yönetimini kapsar. Dikkatli tasarım, korelasyonun etkinliğinin temelidir.

Kurallar, saldırı çerçevelerine dayanmalıdır. Tanınmış saldırı taktikleri, korelasyon kurallarına yön verir. MITRE ATT&CK çerçevesi, kuralların saldırgan davranışlarına hizalanmasını sağlar. Bu hizalanma, kapsamlı bir tespit sağlar. Çerçeve temelli tasarım, korelasyonun bir gereğidir.

Kurallar, sürekli iyileştirilmelidir. Tehditler değiştikçe, korelasyon kuralları da güncellenmelidir. Bu güncelleme, kuralların etkin kalmasını sağlar. Durağan kurallar, yeni saldırıları kaçırabilir. Sürekli iyileştirme, korelasyon kurallarının bir gereğidir.

Privia Security olarak tespit kuralı tasarımı ve güvenlik izleme yapılandırmalarının değerlendirilmesini SOC olgunlaştırma kapsamında ele alıyoruz.