Tanım
SOC (Security Operations Center, güvenlik operasyon merkezi), bir kurumun ya da sağlayıcının sistemlerindeki güvenlik olaylarını sürekli izleyen, saldırıları tespit eden, analiz eden ve müdahaleyi koordine eden güvenlik ekibi ve birimidir. Günlük kayıtları, ağ trafiğini ve uyarıları merkezi olarak değerlendirir.
SOC nasıl çalışır?
SOC, farklı kaynaklardan gelen güvenlik verisini tek bir yerde toplayıp ilişkilendirerek çalışır. Güvenlik duvarları, sunucu günlükleri, kimlik doğrulama sistemleri ve saldırı tespit araçlarından gelen kayıtlar genellikle bir SIEM (Security Information and Event Management) platformunda birleştirilir. Analistler bu veride anormallikleri arar ve olayları önem derecesine göre sınıflandırır.
- Tespit: Kural ya da davranış tabanlı uyarı oluşur (ör. kısa sürede binlerce başarısız giriş).
- Analiz: Uyarının gerçek bir saldırı mı yanlış alarm mı olduğu incelenir.
- Müdahale: Kaynak IP engellenir, etkilenen sistem yalıtılır, ilgili ekipler bilgilendirilir.
- Kayıt ve iyileştirme: Olay belgelenir, benzerini önlemek için kurallar güncellenir.
SOC izlemesi müşteriyi nasıl korur?
Altyapı düzeyindeki SOC izlemesi, ağ ve veri merkezi seviyesindeki tehditleri (DDoS, tarama, altyapıya yönelik saldırılar) erken fark ederek tüm müşterileri korur. LIONFIN altyapısı 7/24 NOC ve SOC izlemesiyle işletilir. Ancak bu izleme, sanal sunucunuzun içindeki zayıf parolaları ya da güncellenmemiş yazılımları sizin yerinize düzeltmez; paylaşılan sorumluluk modelinde sunucu içi güvenlik müşteridedir. Bunun için güvenlik duvarı, SSH anahtarı ve düzenli güncelleme gibi temel önlemleri uygulayın; bir kontrol listesi için sunucu güvenliği kontrol listesi yazısına bakabilirsiniz. Operasyonel izlemenin diğer yarısı için NOC maddesine bakabilirsiniz.