Yapay Zeka Destekli SOC Ajanları İçin Hazır mısınız? Olgunluk Kontrolü ve Dağıtım Öncesi Hazırlık

Yapay Zeka Destekli SOC Ajanlarına Hazır mısınız? Olgunluk Kontrolü ve Dağıtım Öncesi Hazırlık

Prophet Security’nin 2026 yılı Güvenlik Operasyonlarında Yapay Zeka Durumu anketine göre, güvenlik ekiplerinin %40’ı yapay zekayı günlük olarak kullanıyor. %56’sı ise test aşamasında. Yalnızca %4’ü yapay zekayı benimseme planı olmadığını belirtmiş. Test aşamasındaki ekipler için bir sonraki karar, Güvenlik Operasyon Merkezi’nin (SOC) yapay zeka ajanlarına hazır olup olmadığıdır.

Yapay zeka destekli SOC hazır oluşu iki ana bölümden oluşur: SOC’un yapay zeka SOC ajanlarının çözmek için tasarlandığı sorunlara sahip olup olmadığı ve yapay zeka ajanlarının ortamdaki uyarıları doğru bir şekilde incelemesi için gerekli veri erişimine, bağlama, yazılı standartlara ve denetim kurallarına sahip olup olmadığı. Bir SOC’un hazır olması için olgunluk modelinde ileri düzeyde olması gerekmez. Yapay zeka ajanları ilk işlerini uyarı yönetimi gibi temel katmanda yapar. Analistlere kazandırdıkları zaman, ekibin üst katmanlardaki işlere odaklanmasını sağlar.

Aşağıdaki bölümde bu sorunlar açıklanmaktadır. Teknik hazır oluş dört alanı kapsar: erişim ve bağlam, temel metriklerle bir soruşturma standardı, ajanın yapabileceği eylemlere ilişkin kurallar ve geri kazanılan zaman için bir plan.

Yapay Zeka Destekli SOC Ajanlarından En Çok Fayda Sağlayan SOC’lar

Yapay zeka destekli SOC ajanlarından en çok fayda sağlayan SOC’lar genellikle aşağıdaki sorunlardan birkaçını tanır. Bu sorunlar ister dış bir sağlayıcı uyarıları işlesin ister kendi analistleri yapsın fark etmez.

MDR veya MSSP Uyarılarınızı İşliyorsa:

• MDR’niz tehditleri çok yavaş işaretler. Sağlayıcı, uyarılarınızı diğer müşterileriyle paylaştığı bir kuyrukta işler. Bu nedenle, gerçek bir saldırı için yükseltme, faaliyet başladıktan saatler sonra gelebilir.
• MDR’niz bağlam eksikliği nedeniyle uyarıları geri gönderir. Kısa bir özet ve “bu giriş bekleniyor mu?”, “bu bir üretim sunucusu mu?” veya “bu kullanıcı seyahat ediyor mu?” gibi sorularla bir yükseltme gelir. Sağlayıcı genellikle kullanıcılarınızı, varlıklarınızı ve işinizi soruşturmayı tamamlamak için yeterince iyi bilmez. Bu nedenle, analistleriniz geri kalanını yapar.
• MDR’niz işini göstermeden uyarıları kapatır. Sağlayıcı bir uyarıyı zararsız olarak işaretlediğinde, not neyi kontrol ettiğini ve bu sonuca nasıl ulaştığını belirtmeyebilir. Bu nedenle, ekibiniz ya karara güvenir ya da soruşturmayı yeniden yürütür.
• MDR’nizin kapsamı desteklediği araçlarla sınırlıdır. Birçok sözleşme EDR’yi ve belirli bir günlük kaynağı listesini kapsar. Bu nedenle, bir SaaS uygulaması veya ikinci bir bulut platformu gibi diğer her şeyden gelen uyarılar ekibinize düşer.

Kendi Analistleriniz Kuyruğu İşliyorsa (Sağlayıcının Geri Gönderdikleri Dahil):

• “Etkilendik mi?” sorusunu yanıtlamak günler sürer. Kritik bir güvenlik açığı veya yeni bir kampanya haberlere çıktığında, liderlik aynı gün içinde bir yanıt ister. Bir yanıt almak, genellikle kuyruğu da işleyen bir analist tarafından ortamda manuel olarak avlanmak anlamına gelir.
• Düşük önem dereceli uyarılar bekler veya toplu olarak kapatılır. Kapsamlı bir soruşturma, SIEM, EDR, kimlik sağlayıcı, bulut konsolu ve e-posta araçları arasında geçiş yapmak anlamına gelir. Bu nedenle, ekip kritik ve yüksek önem dereceli uyarıları takip eder ve geri kalanına fırsat buldukça bakar. Ankette, katılımcıların %60’ı göz ardı ettikleri veya kaçırdıkları bir uyarının daha sonra bir ihlal veya kesinti gibi ciddi bir soruna dönüştüğünü belirtmiştir.
• Gürültülü tespitler kapatılır. Çok sık tetiklenen bir kuralı ayarlamak, ekibin sahip olmadığı zamanı alır. Bu nedenle, kural devre dışı bırakılır ve izlediği teknik kapsanmaz kalır.
• Avcılık ve tespit mühendisliği boş zamanı bekler. Proaktif çalışma, birinin boş bir öğleden sonrası olduğunda gerçekleşir, çünkü uyarı kuyruğu önceliklidir.
• Birkaç kıdemli analist zor vakaları üstlenir. En zorlu soruşturmaları nasıl yürüteceğini yalnızca bir veya iki kişi bilir. Bu nedenle, tek bir istifa ekibi geriye götürebilir.
• Gece ve hafta sonları yetersiz kapsanır. Kuyruğu günün her saati yönetmek, bütçenin karşıladığından daha fazla analist gerektirir. Bu nedenle, mesai saatleri dışında tetiklenen uyarılar sabaha kadar bekler veya nöbetçi olan kişiye gider.

Yapay zeka destekli SOC ajanları bu iş için tasarlanmıştır. Her uyarı geldiğinde, hangi araç tarafından tetiklenirse tetiklensin ve hangi saatte olursa olsun, üzerinde çalışmaya başlamak üzere tasarlanmışlardır. Dış bir sağlayıcının eksik olduğu bağlamı kendi sistemlerinizden çekebilir ve her sonucun arkasındaki kanıtı kaydedebilirler. Böylece ekibiniz bunu kontrol edebilir. Bazıları ayrıca yeni bir tehdit açıklandığı gün bir av başlatabilir. Bu da “etkilendik mi?” sorusunu yanıtlarla dolu bir dizi sorguya dönüştürür. Geri kazandırdıkları analist saatleri, bugün bekleyen tespit ve avcılık işlerine ayrılabilir.

Bu sorunlardan birkaçı tanıdık geliyorsa, ihtiyaç ortadadır. Bir sonraki soru, SOC’unuzun bir dağıtımı destekleyip destekleyemeyeceğidir.

Yapay Zeka Ajanlarının SOC Olgunluk Modelindeki Yeri

Prophet Security’nin SOC olgunluk modeli, SOC İhtiyaçlar Hiyerarşisi, beş seviyeye sahiptir: uyarı yönetimi, tespit kapsamı, tehdit farkındalığı, proaktif avcılık ve duruş iyileştirmeleri. Her seviye bir altındaki seviyeye bağlıdır. Uyarılara gömülmüş bir ekip nadiren avcılığa ulaşır. Tehdit farkındalığı olmadan avlanan bir ekibin ne arayacağı hakkında net bir fikri yoktur.

Birçok SOC henüz ilk seviyeyi stabilize edememiştir. 2026 yılı Güvenlik Operasyonlarında Yapay Zeka Durumu anketinde, katılımcılar uyarılarının %28’inin hiçbir zaman incelenmediğini belirtmiştir.

Yapay zeka destekli SOC ajanları genellikle ilk seviyede, uyarıları geldikçe inceleyerek başlar. Daha yeni platformlar ayrıca avcılık yapar ve tespitler önerir. Bu da ikinci ve dördüncü seviyelere ulaşan bir iştir. Her iki durumda da, geri kazandırdıkları analist saatleri ilk seviyenin üzerindeki işlere gider. Bu nedenle, hazır oluş, ilk seviyenin neye ihtiyacı olduğuna bağlıdır.

Bir Yapay Zeka Ajanı Yalnızca Sorgulayabildiğini İnceleyebilir

Bir yapay zeka ajanı, araçlarınıza karşı sorgular çalıştırarak inceleme yapar. Bu nedenle, erişimi olmayan hiçbir şeyi göremez. EDR’yi sorgulayabilir ancak kimlik sağlayıcıyı sorgulayamazsa, uç noktada ne olduğunu açıklayabilir ancak arkasındaki hesabın ne olduğunu açıklayamaz.

Buradaki hazır oluş üç bölümden oluşur:

• Bir soruşturmanın ihtiyaç duyduğu kaynaklara API erişimi. Bu genellikle SIEM, EDR, kimlik sağlayıcı, bulut platformları, e-posta ve anahtar SaaS uygulamaları anlamına gelir.
• Ajanın okuyabileceği bağlam. Bir ajanın, bir saldırganı meşru bir yöneticiden ayırmak için varlık kritikliği, kullanıcı rolleri, VIP listeleri, iş birimleri ve planlanmış taramalar ve yönetici komut dosyaları gibi bilinen zararsız faaliyetlere ihtiyacı vardır.
• Sağlıklı veri akışları. Sessiz veya gecikmeli bir günlük kaynağı, anahtar kanıtlar eksik olduğunda bir soruşturmanın tamamlanmış gibi görünmesine neden olabilir. Bu nedenle, soruşturmaları besleyen akışların sağlığının izlenmesi gerekir.

Hızlı bir test: Son beş olayı alın ve kıdemli bir analistin bunları kapatmak için çalıştırdığı her sorguyu listeleyin. Ajanın çalıştıramadığı herhangi bir sorgu, bir pilot öncesinde kapatılması gereken bir boşluğu işaret eder.

Veri erişimi aynı zamanda en yaygın itirazı da gündeme getirir. Anketimizde, ekiplerin %44’ü veri gizliliğini ve yapay zeka modellerinin nasıl eğitildiğini, katılımcıların belirttiği en sık engeli göstermiştir. Her satıcıya verilerinizin modellerini eğitip eğitmediğini ve verilerinizin nerede işlendiğini sorun.

Tamamlanmış Bir Soruşturmayı Tanımlayın ve Temel Değerlerinizi Kaydedin

Bir pilot, ajanı değerlendirmek için yazılı bir standarda ihtiyaç duyar. Birçok SOC’ta bu standardı yalnızca kıdemli analistler bilir ve nadiren yazılı olarak bulunur.

Standart, bir kimlik avı vakasını hangi kanıtların kapattığını, bir imkansız seyahat uyarısının ne zaman kullanıcının yöneticisine bir çağrı gerektirdiğini ve bir uyarıyı zararsız olarak adlandırmak için neyin yeterli olduğunu kapsar. En yüksek hacimli uyarı türleriniz için bunu yazılı hale getirmek, yeni analistlere bir başlangıç belgesi de sağlar.

Ayrıca kapatılan tespitlerin bir listesini de tutun. Anketimizde, kuruluşların %40’ına kadarı, kontrol edecek insanları olmadığı için bazı tespitleri kapatmıştı. Bir ajan her uyarıyı incelediğinde, bu kurallardan bazıları geri gelebilir ve liste size nereden başlayacağınızı söyler.

Ardından karşılaştıracağınız sayıları kaydedin: incelenen uyarıların oranı, ortalama inceleme süresi, uyarının ilk bakışa kadar geçen süresi ve kapatılan uyarıların ne sıklıkla yeniden açıldığı. Anket bir referans noktası verir. Kapsamlı bir soruşturma ortalama 75 dakika sürer ve uyarılar genellikle biri açmadan yaklaşık bir saat bekler.

Bir ajan destekli SOC’un tespit mühendisliğine nasıl fayda sağladığı hakkında daha fazla bilgi edinmek için tespit mühendisliği rehberimizi indirebilirsiniz.

Ajanın Ne Yapabileceğine ve Kimin Daha Fazlasını Onaylayacağına Karar Verin

Soruşturma ve eylem farklı riskler taşır ve çoğu ekip bunları farklı şekilde ele alır. Ankette, ekiplerin %57’si bir uyarının kapatılmadan önce her yapay zeka kararının bir insan tarafından incelenmesini gerektirir. Yanıt konusunda, %44’ü yapay zekanın insanların gerçekleştireceği eylemleri önermesine izin verir, %30’u düşük riskli düzeltmeleri kendi başına halletmesine izin verir ve hiçbir katılımcı ona tam, denetimsiz özerklik vermez.

Hazır bir SOC, bir pilot başlamadan önce bu kuralları yazılı olarak belirlemiştir:

• Varsayılan onaylar. Bir ana bilgisayarı izole etmek, bir hesabı devre dışı bırakmak veya bir alanı engellemek gibi insan onaylı kalan eylemlerin bir listesi.
• İzinler nasıl genişler. Ajanın bir eylem kategorisi için daha fazla özerklik vermeye kimin yetkili olduğu ve bunun için hangi geçmişi görmeleri gerektiği.
• Bulguların nereye düştüğü. Ajan bulguları, analistlerin zaten kullandığı vaka yönetimi veya biletleme araçlarında görünmelidir. Böylece kimsenin başka bir konsolu izlemesi gerekmez.
• Geri bildirimin sahibi kim. Adı belirtilen bir kişi, ajanın hatalarını inceler ve düzeltmeleri bir sonraki sefer kullanacağı rehberliğe dönüştürür.

Soruşturmalar için salt okunur erişimle başlamak, ardından güven arttıkça izinleri genişletmek, bir SOC’un yeni bir insan analisti için kullandığı aynı kuralları uygular. Prophet Security’nin bir yapay zeka SOC’unda güven inşa etme çerçevesi aynı aşamalı yaklaşımı izler.

Olgunluk Modeline Göre Bir Hazırlık Kontrol Listesi

Her soruyu evet veya hayır olarak yanıtlayın. Bölüm 1 ihtiyacı kontrol eder ve Bölüm 2 teknik hazır oluşu kontrol eder. Parantez içindeki seviye, SOC İhtiyaçlar Hiyerarşisi’nin hangi katmanına ait olduğunu gösterir.

Bölüm 1: SOC’unuzun Yapay Zeka Destekli SOC Ajanlarına İhtiyacı Var mı?

1. MDR veya MSSP’nizden gelen yükseltmeler, faaliyet başladıktan saatler sonra mı geliyor? (Seviye 1: uyarı yönetimi)
2. Sağlayıcınız, tamamlamak için bağlam eksikliği nedeniyle uyarıları geri mi gönderiyor? (Seviye 3: tehdit farkındalığı)
3. Sağlayıcınız, neyi kontrol ettiğini göstermeden uyarıları mı kapatıyor? (Seviye 1: uyarı yönetimi)
4. Sağlayıcınızın kapsamı dışındaki araçlardan gelen uyarılar ekibinize mi düşüyor? (Seviye 1: uyarı yönetimi)
5. Yeni bir güvenlik açığı veya kampanya tarafından etkilenip etkilenmediğinizi liderliğe bildirmek bir günden fazla mı sürüyor? (Seviye 4: proaktif avcılık)
6. Düşük ve orta önem dereceli uyarılar bekliyor mu, yoksa soruşturma yapılmadan toplu olarak mı kapatılıyor? (Seviye 1: uyarı yönetimi)
7. Gürültülü tespitler, kimsenin ayarlamaya zamanı olmadığı için kapatıldı mı? (Seviye 2: tespit kapsamı)
8. Avcılık ve tespit mühendisliği, birinin boş zamanı olana kadar mı bekliyor? (Seviye 4: proaktif avcılık)
9. En zorlu vakalarınızı nasıl yürüteceğini yalnızca bir veya iki kıdemli analist mi biliyor? (Seviye 1: uyarı yönetimi)
10. Gece veya hafta sonları tetiklenen uyarılar sabaha kadar mı bekliyor? (Seviye 1: uyarı yönetimi)

Her evet, bir yapay zeka destekli SOC ajanının üstlenebileceği bir sorundur. Ne kadar çok evet yanıtı olursa, bir dağıtım için durum o kadar güçlü olur.

Bölüm 2: SOC’unuz Onları Dağıtmaya Hazır mı?

1. Yeni bir araç, SIEM, EDR, kimlik, bulut ve e-posta kaynaklarınızı bir API aracılığıyla sorgulayabilir mi? (Seviye 1: uyarı yönetimi)
2. Varlık kritikliği, kullanıcı rolleri ve bilinen zararsız faaliyetler bir sistemin okuyabileceği bir yerde mi kaydediliyor? (Seviye 3: tehdit farkındalığı)
3. En yüksek hacimli uyarı türleriniz için eksiksiz bir soruşturmanın neleri içerdiğine dair yazılı bir standart var mı? (Seviye 1: uyarı yönetimi)
4. Hangi eylemlerin insan onaylı kalacağına ve ajanın izinlerini kimin genişletebileceğine karar verdiniz mi? (Seviye 1: uyarı yönetimi)
5. Soruşturmalarınızın bağlı olduğu günlük kaynaklarının gelip gelmediğini izliyor musunuz? (Seviye 2: tespit kapsamı)
6. İncelenen uyarıların mevcut oranını ve ortalama inceleme sürenizi biliyor musunuz? (Seviye 1: uyarı yönetimi)
7. Kapasite nedenleriyle kapatılan tespitlerin bir listesini tutuyor musunuz? (Seviye 2: tespit kapsamı)
8. Bir ajanın geri kazandıracağı analist saatleri için, planlanmış avcılıklar veya tespit çalışmaları gibi, adı belirtilmiş sahipleri olan bir plan var mı? (Seviye 4: proaktif avcılık)

İlk dördünden herhangi birine “hayır” yanıtı, bir üretim pilotu öncesinde düzeltmeye değerdir. Diğer dördü ise pilot sırasında üzerinde çalışılabilir.

Cevap Henüz Değilse Ne Yapmalı?

Bölüm 2 listesindeki çoğu madde yapılandırma ve dokümantasyon işidir: API kimlik bilgilerini vermek, varlık ve kullanıcı bağlamını dışa aktarmak ve soruşturma standardını yazmak. Uygulanabilir bir sıra:

1. İlk olarak beş olay testinden kaynaklanan erişim boşluklarını kapatın. Çünkü sonraki her adım ajanın verileri görmesine bağlıdır.
2. En yüksek hacimli uyarı türleriniz için soruşturma standartlarını yazın.
3. Ajanı analistlerinizle birkaç hafta paralel olarak çalıştırın. Başlamadan önce temel değerleri kaydedin ve her analist geçersiz kılmasını, ajanın daha fazla bağlama ihtiyaç duyduğu yerler hakkında veri olarak ele alın.
4. Ajanın izinlerini, geçmişi destekledikçe, her seferinde bir eylem kategorisi için genişletin.

Hazır olmayan bazı ekipler, kendi ajanlarını oluşturmayı düşünür. Anket dikkatli olunmasını öneriyor: Yapay zeka kullanıcılarının %72’si dahili yapay zeka araçları oluşturmayı denemiş ve bu projelerin %46’sı terk edilmiş, hiçbir zaman üretime ulaşmamış veya ticari bir ürünle değiştirilmiştir.

Çalışan bir prototip oluşturmak, işin yalnızca küçük bir kısmıdır. İşin çoğu, oluşturulması haftalar süren ancak bir satıcı bir API’yi değiştirdiğinde bozulan entegrasyonların mühendisliği ve bakımı; aşılması gereken hız sınırları; her altı ila dokuz ayda bir tam bir değerlendirme, koruma ve istem enjeksiyonu testi turunu zorunlu kılan model eskime durumları; ve her uyarının neden kapatıldığını açıklayan denetim izleridir.

Prophet Security Nasıl Çalışır?

Prophet Security, 2026 Yükselen Siber Güvenlik Ödülleri’nde 150’den fazla CISO ve güvenlik lideri tarafından oylanan bir onurla tanınan, kurumsal SOC’lar için önde gelen yapay zeka SOC platformudur. Platformu Prophet AI, bir ekibin zaten çalıştırdığı yığından çalışır. İlk nesil yapay zeka SOC araçları uyarı triyajında duruyordu. Prophet AI, soruşturma, tehdit avcılığı ve tespit mühendisliği için uzman ajanlarla ajan destekli bir SOC sağlar.

Prophet AI SOC Analisti, her önem derecesindeki her uyarıyı, günün her saati, kıdemli bir analistin derinliğiyle inceler. SIEM, EDR, kimlik, bulut ve e-posta araçlarını doğrudan sorgular ve bir belirlemenin arkasındaki her soruyu, sorguyu ve kanıt parçasını kaydeder. Böylece bir analist herhangi bir sorguyu yeniden çalıştırabilir ve işi kontrol edebilir. Yanıt eylemlerini yalnızca müşterinin belirlediği izinler dahilinde gerçekleştirir ve varsayılan olarak insan onayı gerektirir.

Prophet AI Tehdit Avcısı, “etkilendik mi?” sorusunu yanıtlamak için tasarlanmıştır. Her kuruluşun endüstrisi, teknoloji yığını ve onu hedefleyen tehdit aktörlerinin bir profilini tutar. Şiddetli yeni bir tehdit ortaya çıktığında, bunun için avlar arka planda otomatik olarak çalışır. Kapsam boşluklarına ve ekibin basit dilde yazdığı sorulara karşı avlar da dahil olmak üzere planlanmış avlar, ekibin belirlediği sıklıkta çalışır. Şüpheli ipuçları, tam bir soruşturma için SOC Analisti’ne gider.

Prophet AI Tespit Mühendisi, boş zamanı bekleyen tespit mühendisliği işini üstlenir. Kuruluşun kendi soruşturmalarından oluşturulan canlı bir MITRE ATT&CK kapsama haritası tutar. Hangi tekniklerin kapsandığını, hangilerinin sessiz kaldığını ve hangilerinin karanlık olduğunu gösterir. Soruşturmaların, avların ve kapsama boşluklarının ortaya çıkardıklarından tespitler oluşturur ve ayarlar. Bunları çalıştıkları SIEM veya aracın kural dilinde yazar ve her birini kuruluşun kendi geçmişine karşı geriye dönük test eder. Her değişiklik, gerekçesi ve geriye dönük test sonuçlarıyla birlikte incelenebilir bir teklif olarak gelir ve varsayılan olarak ekip onaylayana kadar hiçbir şey üretime ulaşmaz.

Her ürünün bulguları diğerlerini besler. Soruşturmalar hangi tespitlerin gürültülü olduğunu ve kapsamın nerede ince olduğunu gösterir. Avlar bu boşluklarda arama yapar ve avların bulduğu şeyler yeni tespitler haline gelir. Ekip, Prophet AI’yi basit dilde eğitir ve bu rehberlik, soruşturmaların nasıl yürütüldüğünü, avların nasıl kapsandığını ve tespitlerin nasıl yazıldığını şekillendirir. Müşteri verileri modellerini asla eğitmez ve veri düzlemi müşterinin kendi VPC’si içinde çalışabilir.

Burada alıntılanan anket verileri de dahil olmak üzere 2026 yılı Güvenlik Operasyonlarında Yapay Zeka Durumu raporunun tamamı indirilebilir.