Tespit kapsam haritası, bir kurumun mevcut tespit yeteneklerinin hangi saldırı tekniklerini gördüğünü, hangilerini kaçırdığını tek bir görünümde ortaya koyan bir araçtır. Her teknik bir hücreye karşılık gelir ve o teknik için bir tespit mantığı var mı, varsa ne kadar güvenilir olduğu renklerle işaretlenir. Sonuç, savunmanın güçlü bölgeleri ile kör noktalarını aynı anda gösteren bir yol haritasıdır.

Tespit kapsam haritası, bir kurumun neyi gördüğünü değil, en çok neyi göremediğini itiraf etmesini sağlayan araçtır.

Harita Neyi Görselleştirir?

Haritanın omurgası, saldırgan tekniklerini ortak bir dille sıralayan MITRE ATT&CK çerçevesi‘dir. Her teknik için kurum kendine üç soru sorar: bu tekniği yakalayacak bir tespitim var mı, bu tespit ne kadar güvenilir ve onu besleyen telemetriyi topluyor muyum. Yanıtlar renk kodlarına dönüştürüldüğünde, geniş bir yeşil alanın ortasında beliren kırmızı ve gri hücreler doğrudan öncelik listesini oluşturur.

Renklerin dürüstlüğü, haritanın değerini belirler. Bir teknik için bir kural var diye onu ‘kapsanmış’ saymak, o kuralın gerçekte saldırıyı yakalayıp yakalamadığı test edilmediyse yanıltıcıdır. Bu yüzden olgun kapsam haritaları, yalnızca bir tespitin varlığını değil, denetlenmiş güvenilirliğini işaretler; sınanmamış bir kural, güvenli bir yeşil değil temkinli bir sarıdır.

Boşlukları Kapatmak

Haritadaki her boşluk aynı yolla kapatılamaz. Bazı tekniklerde eksik olan bir tespit kuralıdır; bazılarında ise kural yazılabilir ama onu besleyecek telemetri hiç toplanmamaktadır ve önce görünürlük sorunu çözülmelidir. Kural yazmanın mümkün olmadığı, ancak insan yorumuyla yakalanabilecek teknikler ise düzenli bir Tehdit avcılığı programına devredilir. Harita, hangi boşluğun hangi yöntemle kapatılacağını ayırt etmeyi sağlar.

Kapsam haritası aynı zamanda bir yönetişim aracıdır. Soyut ‘daha iyi güvenlik’ talebini, üzerinde çalışılabilecek somut ve sayılabilir bir hedef listesine çevirir; yönetime sunulduğunda yatırımın nereye gitmesi gerektiğini tartışılmaz biçimde gösterir. Bu yönüyle harita, bir SOC olgunluk modeli değerlendirmesinin en somut çıktılarından biri haline gelir.

Yaşayan Bir Belge

Harita bir kez çizilip rafa kaldırılan bir resim değildir. Yeni tespitler devreye girdikçe, telemetri kaynakları eklendikçe ve saldırganlar yeni teknikler benimsedikçe hücreler değişir; bu yüzden bir Güvenlik operasyon merkezi haritayı düzenli olarak günceller ve ilerlemesini bu görünüm üzerinden izler. Privia Security’nin SOC olgunlaştırma hizmeti, kapsam haritasını çıkarıp önceliklendirerek tespit boşluklarını planlı biçimde kapatır.