Ağ Güvenliğinde Zengin Verinin Önemi: Uyarıların Ötesine Geçmek

Ağ Güvenliğinde Zengin Verinin Önemi: Uyarıların Ötesine Geçmek

Güvenlik sistemlerinizin bir noktada başarısız olacağı kaçınılmaz bir gerçektir. Bu, ekibinizin veya kullandığınız araçların yetersiz olduğu anlamına gelmez; aksine, tespit mekanizmalarının varlık nedenidir. Önlemenin sınırları olduğunu kabul ettiğimizde, müdahale stratejisine ulaşırız: içeri sızan tehditleri bulmak ve etkisiz hale getirmek.

Uyarı Sonrası Durum

Bir uyarı, bir olayın meydana geldiğini bildirir. Ancak, ağınıza erişim sağlamış olması, saldırganların veri çaldığı veya hedefledikleri sistemleri bozduğu anlamına gelmez. Ek erişim elde etmeleri, başka bir makineye geçmeleri veya ağı daha fazla keşfetmeleri gerekebilir. Bu tür faaliyetleri görebilmek ve anlayabilmek, müdahale için kritik bir fırsat sunar.

Ürün değerlendirmeleri sırasında insanlar doğal olarak tespit mekanizmalarına yönelirler. Bunlar somut, karşılaştırılması ve nicelleştirilmesi kolaydır ve herkesin cevabını merak ettiği şu soruyu ele alır: Saldırıyı yakalayacaklar mı? Genellikle, tespitler iyiyse, soruşturmanın da iyi olacağı varsayılır, değil mi?

Saldırıyı takip edip edemeyeceğiniz, kapsamını anlayıp anlayamayacağınız ve zamanında müdahale edip edemeyeceğiniz büyük ölçüde bu tespitin arkasındaki verilere bağlıdır. Ağ güvenliğinde, bir ürün iyi tespitlere sahip olabilir ve yine de bir analisti soruşturma yaparken zor durumda bırakabilir. Belki analist, uyarıyı tetikleyen bağlantıyı görebilir ancak sonra ne olduğunu takip edemez. Bir arama hiçbir sonuç döndürmezse, bu etkinliğin gerçekleşmediği anlamına mı gelir, yoksa onu görmek için gerekli kanıtları toplamadığınız anlamına mı gelir?

Bu durum ve yapay zeka destekli savunmanın yükselişi, veri kalitesinin son zamanlarda bu kadar çok dikkat çekmesinin nedenidir.

Veri ve Veri Arasındaki Fark

Soruşturma başarısı, hem saldırgan davranışları hem de kendi ortamınız hakkındaki bilgiyi gerektirir. Ne aradığınızı anlamanız gerektiği gibi, verilerinizin size gerçekten ne söyleyebileceğini de bilmeniz gerekir.

Ağ verilerindeki fark, bir uyarıyı araştırırken ortaya çıkar. Hem yüzeysel hem de zengin veriler, soruşturmalara bir başlangıç noktası sağlar, ancak biri hızla çıkmaza yol açabilir. Yüzeysel veri genellikle yalnızca zaman damgaları, IP’ler ve temel bağlantı bilgilerinden oluşur. Zengin veri, daha fazla işlem ayrıntısını korur ve bağlam ekler. Korelasyon sağlar, pivot yapmanıza ve yeniden yapılandırmanıza olanak tanır, sadece uyarıyı neyin tetiklediğini değil, önce, sonra ve başka yerlerde ne olduğunu da yanıtlar.

Bir güvenlik aracının veri kalitesini değerlendirmek için aşağıdaki temel soruları göz önünde bulundurun:

• Tam işlem ayrıntıları mı, yoksa sadece bir özet mi sağlanıyor?
• Paket içeriği veya dosya çıkarma mevcut mu?
• Ne kadar geriye dönük arama yapabiliriz ve ne kadar hızlı?
• Bir bağlantıyı ana bilgisayarlar ve zaman boyunca takip edebilir miyim?

Yapay Zeka ve Veri İlişkisi

Yapay zeka destekli SOC araçları artık insan ekiplerinin eşleşemeyeceği bir ölçekte verileri işleyebilir. Yapay zekanın ne kadar çok veri noktasına sahip olursa, olayları o kadar etkili bir şekilde ortaya çıkarabilir. Yüzeysel veri, yapay zekanın korelasyon kurabileceği şeyleri sınırlarken, daha zengin veri, ana bilgisayarlar ve davranışlar arasında ince desenleri tanımlamasına olanak tanır, potansiyel olarak daha önce görülmemiş ihlal göstergelerini ortaya çıkarır veya bir saldırı tırmanmadan önce müdahale etme fırsatı sunar.

Yapay zeka, tanıdık olmayan bir şeyle karşılaşıldığında yardımcı olabilir. Kimse her hizmeti, süreci veya günlük formatını bilmez. Bir asistan, neye baktığınızı açıklamaya, takip edilecek sorular önermeye veya büyük bir veri kümesini incelemeyi kolaylaştıracak bir komut dosyası yazmaya yardımcı olabilir. Bu, çok fazla araştırma süresinden tasarruf sağlayabilir. Ayrıca, bir analistin aksi takdirde takılıp kalacağı bir noktayı aşmasına da yardımcı olabilir.

Ancak, yapay zekanın iddialarına her zaman %100 güvenebileceğimiz bir noktada değiliz. Verdiği şeyleri yine de test etmeniz gerekir. Bir asistan bir açıklama önerirse, kanıtların bunu destekleyip desteklemediğini kontrol edin. Bir sorgu veya komut dosyası üretirse, ne yaptığını test edin. Ve önerilen bir komutu çalıştırmadan önce, başka neleri etkileyebileceğini sorun. Bir model, anlık sorunu çözmeye o kadar odaklanabilir ki, sistemin geri kalanını gözden kaçırabilir.

Yapay zeka daha fazla soruşturma işini üstlendikçe, temel kanıtları inceleme yeteneği, modern veri kalitesinin bir başka önemli yönü haline gelmektedir.

Bilinmeyen Bölge Testi

Ağ güvenliği ürünlerinden – özellikle NDR’den – gelen verileri değerlendirirken, bir gösterimden bir uyarı alın ve bunu düzgün bir şekilde araştırın. Ancak rehberli yolu takip etmeyin. Derinlemesine inceleyin ve kendinizi tanıdık olmayan bir bölgeye sokun. Bu şekilde, ürünün analistlere daha önce görmedikleri bir olayla uğraşırken nasıl yardımcı olduğunu çok daha iyi anlayacaksınız.

• Uyarının arkasındaki işlemlere bakın.
• Hangi paket içeriğinin veya çıkarılan dosyaların mevcut olduğunu sorun.
• Etkinliği zaman içinde ileri ve geri takip edin.
• Beklenmeyen bir soru sorun.

Bu sorular ve görevler muhtemelen tipik bir demoda yer almayacaktır. Önemli olan da budur. Verilerin, soruşturmaları gerçekten çözmek için gereken doğruluğu, erişimi ve bağlamı sağlayıp sağlamadığını veya sadece gidilecek hiçbir yer olmayan bir başlangıç noktası olup olmadığını görmenizi sağlayacaklardır.

Tespitler dikkat çeker, ancak sonucu veri belirler. Asıl soru, ekibinizin bir olayı tam olarak anlamak ve ne yapacağına karar vermek için verileri kullanıp kullanamayacağıdır.