Veri gölü ve güvenlik analitiği, kurumun her köşesinden akan büyük hacimli güvenlik verisini işlenmemiş haliyle merkezi bir depoda biriktirip, sorgu ve modelleme teknikleriyle bu ham yığından tehdit sinyali çıkaran bir yaklaşımdır. Veri gölü, verinin önceden şemaya sokulmadan olduğu gibi saklandığı depolama katmanıdır; analitik ise bu katmanın üzerinde çalışan sorgulama ve tespit mantığıdır.

Veri gölü, önce sakla sonra sorgula ilkesiyle çalışır; hangi sorunun ne zaman sorulacağı önceden bilinmese de verinin ham hali her zaman erişilebilir kalır.

Şemanın Sonradan Uygulanması

Geleneksel bir depoda veri, yazılırken belirli bir şemaya sokulur ve o şemaya uymayan alanlar atılır. Veri gölünde ise ham kayıt olduğu gibi tutulur, yapı ancak sorgu anında uygulanır. Bu ‘okuma anında şema’ modeli, bugün önemsiz görünen bir alanın aylar sonra bir saldırı araştırmasında kritikleşmesine olanak tanır; veri baştan budanmadığı için geriye dönük avlanma mümkün kalır.

SIEM ile İlişkisi

Bir SIEM, gerçek zamanlı korelasyon ve uyarı için optimize edilmiştir ama pahalı depolaması nedeniyle veriyi çoğu zaman haftalar ölçeğinde tutar. Veri gölü, bu kısıtı tamamlayıcı bir katman olarak açar: sıcak, aksiyon alınan veri SIEM’de kalırken, aylar hatta yıllar geriye giden soğuk veri gölde ekonomik biçimde birikir. Uzun soluşlu bir kampanyanın izi ancak bu geniş zaman penceresinde görünür hale gelir.

Analitiğin Kattığı Derinlik

Ham verinin üzerine kurulan analitik, basit eşleşme kurallarının ötesine geçer. Log yönetimi ile toplanan farklı kaynaklar birbirine bağlandığında, tek başına anlamsız görünen olaylar bir zincire dizilir. UEBA teknikleri her kullanıcı ve varlık için bir davranış temeli çıkarır ve bu temelden sapmaları işaretler; gölde biriken tarihsel derinlik, bu temelin sağlam kurulması için gereken örneklem hacmini sağlar.

Avlanma ve Kurumsal Değer

Geniş, esnek bir veri katmanı Tehdit avcılığı için doğal bir zemindir; avcı, önceden tanımlı bir kurala bağlı kalmadan hipotezini gölün tamamında sınayabilir. Bir göstergenin ilk ne zaman ortaya çıktığını aylar geriye giderek bulmak, ancak veri budanmadan saklandığında mümkündür.

Bu mimarinin kurumsal karşılığı, güvenlik ekibinin dün fark edilmeyeni bugün geriye dönük görebilmesidir; olay sonrası soruşturmalar tahmine değil kayda dayanır. Böyle bir analitik katmanı kurumun tespit yeteneğine oturtmak, SOC olgunlaştırma hizmetimizin kapsamındaki başlıklardandır.