SOC OPERATIONS · ÖRNEK İÇERİK

Alert triage: tek IOC neden yetmez?

Bir alarmın ne ifade ettiğini anlamak, gözlem ile yorumun birbirinden ayrılmasını gerektirir.

Örnek eğitim metnidir. Gerçek olay kayıtlarını anonimleştirmeden yayınlama.

1. İlk veri

Alarm neyi tespit ediyor? Hangi kaynak loglarla oluştu? Kaynak ve hedef kim, zaman dilimi ne ve kuralın kapsamı nasıl tanımlanmış?

2. Baseline

Aynı hareket normalde ne zaman görülür? Kullanıcıya, host'a veya uygulamaya göre beklenen davranış farklı olabilir.

3. Korelasyon

Process tree, kimlik doğrulama kayıtları, ağ akışı ve endpoint telemetry'nin ortak hikâye anlatıp anlatmadığına bak. Tek IOC, tek process adı veya tek HTTP status code yeterli kanıt sayılmaz.

4. Sonraki adım

Elde edilen kanıtı, belirsizlikleri ve önerilen aksiyonu not et. Ek doğrulama gerekiyorsa kapsamı en dar ve en güvenli sorgularla ilerle.

5. Kayıt tut

Analist kararının tekrarlanabilir olması için sorguların zaman aralığını, işlenen varlıkları, karar nedenini ve false-positive açıklamasını kaydet.

← Tüm yazılara dön