Bir SOC analisti, kurumların bilgisayar sistemlerini, ağlarını ve güvenlik kayıtlarını izleyerek olası siber tehditleri tespit eder, alarmları inceler ve doğrulanan olayların çözülmesine yardımcı olur. Bu iş yalnızca alarm görmekten ibaret değildir: log analizi, araştırma, olay müdahalesi ve otomasyon da günlük çalışmanın parçasıdır. Bu yazıda görevleri, kullanılan araçları ve kendi deneyimlerimi anlatıyorum.
SOC analisti nedir? SOC ekibi ne yapar?
SOC, Security Operations Center ifadesinin kısaltmasıdır; Türkçede Güvenlik Operasyon Merkezi olarak kullanılır. Bir SOC ekibi, kurumun güvenlik durumunu sürekli takip eder, şüpheli aktiviteleri araştırır ve güvenlik olaylarına müdahale edilmesine yardımcı olur.
SOC analisti, bu çalışmaların teknik tarafında görev alan kişidir. Sistemlerden gelen logları, güvenlik ürünlerinin ürettiği alarmları ve kullanıcı aktivitelerini değerlendirir. Amacı, normal bir aktiviteyle olası bir saldırıyı birbirinden ayırmak ve gerektiğinde doğru kişileri devreye sokmaktır.
Örneğin bir kullanıcı hesabından kısa sürede çok sayıda başarısız oturum açma denemesi yapıldığını düşün. Bu, yanlış parola girilmesinden kaynaklanabilir. Ancak denemeler farklı IP adreslerinden geliyorsa veya ardından başarılı bir oturum açma geliyorsa daha ayrıntılı inceleme gerekir.
SOC analistinin işi, tek bir alarmdan kesin sonuca varmak yerine farklı kayıtları bir araya getirerek olayın ne anlama geldiğini belirlemektir. Bir siber güvenlik analisti farklı alanlarda çalışabilir; SOC analistliği özellikle güvenlik izleme, alarm değerlendirme, tehdit araştırması ve olay müdahalesine odaklanır.
SOC analisti günlük olarak hangi görevleri yapar?
Görevler kurumun büyüklüğüne, SOC ekibinin yapısına ve kullanılan teknolojilere göre değişir. Ancak birçok SOC ortamında şu çalışmalarla karşılaşılır:
- Güvenlik ürünlerinden gelen alarmları takip etmek.
- Şüpheli oturum açma ve kullanıcı aktivitelerini incelemek.
- SIEM üzerinde log sorguları çalıştırmak.
- EDR üzerinden uç noktalardaki şüpheli davranışları değerlendirmek.
- Olayın kapsamını ve önem derecesini belirlemek.
- Gerektiğinde olayı üst seviye analistlere aktarmak.
- Yapılan araştırmaları ve alınan aksiyonları belgelemek.
- Tekrarlanan işlemler için otomasyon fırsatlarını belirlemek.
Bunların hepsi her analistin her gün yaptığı işler değildir. Örneğin L1 analist daha çok ilk değerlendirme ve önceliklendirmeye odaklanırken L2 analist daha derin araştırmalar yürütür.
SOC çalışmalarının amacı yalnızca alarm sayısını azaltmak değildir. Gerçek tehditleri zamanında belirlemek, olayların etkisini sınırlamak ve güvenlik süreçlerini sürekli iyileştirmek de önemlidir.
L1, L2 ve L3 SOC analisti arasındaki farklar
SOC ekipleri çoğu zaman L1, L2 ve L3 gibi seviyelere ayrılır. Bu sınıflandırma görev dağılımını kolaylaştırır, ancak her kurumda sorumluluklar aynı şekilde belirlenmez.
| Seviye | Temel sorumluluklar | Örnek çalışma |
|---|---|---|
| L1 analist | Alarm triage, önceliklendirme, ilk kontroller ve eskalasyon | Şüpheli oturum açma alarmının ilk değerlendirmesini yapmak |
| L2 analist | Ayrıntılı araştırma, olayın kapsamını belirleme ve müdahale süreçleri | Kullanıcı, cihaz ve ağ kayıtlarını ilişkilendirerek olayı incelemek |
| L3 analist | Karmaşık olaylar, tehdit avcılığı ve tespit mekanizmalarının geliştirilmesi | Birden fazla sistemi etkileyen saldırı belirtilerini araştırmak |
L1 analist, güvenlik operasyonlarına giriş için en uygun rollerden biridir. Bu seviyede alarmları doğru sınıflandırmak, prosedürleri takip etmek ve gerekli bilgileri eksiksiz kaydetmek önemlidir.
L2 seviyesinde araştırma derinliği artar. Analist farklı log kaynaklarını karşılaştırır, olayın başlangıcını ve kapsamını belirlemeye çalışır ve müdahale adımlarını koordine eder. L3 tarafında ise karmaşık tehditlerin araştırılması, tehdit avcılığı ve tespit kurallarının iyileştirilmesi öne çıkar.
Bu seviyeler kesin bir kariyer merdiveni değildir. Bazı kurumlarda analistler birden fazla seviyenin görevlerini üstlenir. Önemli olan unvandan çok sorumluluklar ve karar yetkisidir.
SOC analistinin bir günü nasıl geçer?
Bir SOC analistinin günü yalnızca ekran başında alarm beklemekten oluşmaz. Alarmları değerlendirmek, araştırma yapmak, ekiplerle iletişim kurmak ve önceki olaylardan öğrenilenleri süreçlere aktarmak da işin parçasıdır. Aşağıdaki akış genel bir örnektir; her kurumda aynı sırayla ilerlemez.
1. Alarm geldi: İlk değerlendirme
SIEM veya EDR gibi bir güvenlik ürünü şüpheli bir aktivite tespit ettiğinde incelenmesi gereken bir alarm oluşur. Örneğin bir uç noktada alışılmadık bir süreç çalıştırılmış olabilir. İlk aşamada alarmın kaynağına, zamanına, ilgili kullanıcıya, cihaza ve alarmın neden üretildiğine bakılır.
Amaç, alarmı hemen gerçek saldırı kabul etmek değil, araştırmaya nereden başlanacağını belirlemektir.
2. Alarm triage: Önceliği belirleme
Alarm triage, gelen alarmların ilk değerlendirmeden geçirilmesi, sınıflandırılması ve önem sırasına konulmasıdır. Analist şu soruları sorar:
- Alarm hangi davranış nedeniyle üretildi?
- Etkilenen cihaz veya kullanıcı ne kadar kritik?
- Aynı aktiviteyle ilişkili başka alarmlar var mı?
- Alarm bilinen bir sistem işlemiyle açıklanabiliyor mu?
- Daha fazla araştırma veya acil müdahale gerekiyor mu?
Tek bir alarmın anlamı çevresindeki olaylara bağlıdır. Aynı kullanıcı hesabıyla farklı cihazlarda görülen şüpheli aktiviteler, tek başına önemsiz görünen bir alarmın önemini artırabilir. Bu yüzden triage sırasında bağlamı anlamak önemlidir.
3. Araştırma: Logları ve uç nokta kayıtlarını inceleme
İlk değerlendirmede şüpheli bir durum görülürse ayrıntılı araştırmaya geçilir. Analist SIEM üzerinde ilgili zaman aralığını sorgular, oturum açma kayıtlarını inceler ve EDR üzerinden cihazdaki süreçleri değerlendirir. Gerekirse IP adresi, alan adı veya dosya özeti gibi IOC'ler (Indicators of Compromise, ihlal göstergeleri) araştırılır.
Şüpheli bir süreç için şu bilgiler anlamlıdır:
- Süreci hangi kullanıcının başlattığı.
- Sürecin hangi dosyadan çalıştığı.
- Aynı zaman aralığındaki ağ bağlantıları.
- Öncesinde veya sonrasında görülen diğer aktiviteler.
Araştırmanın kapsamı alarmın türüne ve eldeki verilere göre belirlenir; her olayda bu bilgilerin hepsine erişmek mümkün olmayabilir.
4. Eskalasyon: Olayı doğru ekibe aktarma
Olay analistin yetki alanını aşıyorsa veya daha ileri inceleme gerektiriyorsa ilgili ekibe eskalasyon yapılır. Aktarımda yalnızca alarmın ekran görüntüsü yetmez: olayın özeti, ilgili kullanıcı ve cihazlar, zaman bilgileri, yapılan kontroller ve bulgular da paylaşılmalıdır.
Eskalasyon sorumluluğu başkasına bırakmak değil, olayın doğru uzmanlık ve yetki düzeyinde ele alınmasını sağlamaktır. Acil durumlarda kurumun prosedürlerine göre hesap kısıtlama veya cihazı ağdan izole etme gibi adımlar gündeme gelebilir; bunlar yetki ve onay süreçlerine uygun yürütülmelidir.
5. Kapanış: Bulguları kaydetme ve süreci iyileştirme
Araştırma bitince olayın sonucu kaydedilir: gerçek bir tehdit mi, beklenen bir aktivite mi, yoksa yanlış pozitif mi? Kapanış notlarında yapılan kontroller, alınan aksiyonlar ve kararın gerekçesi yer almalıdır.
Bir olayın kapanması işin tamamen bittiği anlamına gelmez. Aynı alarm sürekli tekrarlanıyorsa tespit kuralının iyileştirilmesi veya yeni bir otomasyon geliştirilmesi gerekebilir.
SIEM nedir? SOC analistleri Splunk'ı nasıl kullanır?
SIEM, Security Information and Event Management ifadesinin kısaltmasıdır. Farklı sistemlerden gelen güvenlik kayıtlarını merkezi olarak toplayan, arama ve analizi sağlayan, kurallara göre alarm üretebilen bir güvenlik teknolojisidir.
Bir kurumda Windows sunucuları, uç noktalar, ağ cihazları ve güvenlik ürünleri farklı loglar üretir. SIEM bu kayıtların birlikte incelenmesini kolaylaştırır.
Splunk, log arama, analiz ve güvenlik izleme için kullanılan platformlardan biridir. SOC analisti SPL adlı arama diliyle belirli olayları bulabilir, zaman aralıklarını karşılaştırabilir ve şüpheli aktiviteleri araştırabilir. Ancak sorgunun doğru sonuç vermesi, logların sisteme gerçekten ulaşmasına ve alanların doğru ayrıştırılmasına bağlıdır.
Kendi deneyimim: Log göndermeyen sistemleri tespit etmek
Hepsiburada'da Ekim 2024 ile Ekim 2025 arasında siber güvenlik stajı yaptım. Bu dönemde üzerinde çalıştığım konulardan biri, log göndermeyi bırakan sistemlerin tespit edilip Splunk ile izlenmesiydi.
Kurduğum izleme, log akışı kesilen sistemlerin fark edilmesini ve gerekli kontrollerin yapılmasını sağlıyordu. Amaç yalnızca SIEM'de görünen alarmları incelemek değil, izlenmesi gereken bir sistemden beklenen logların gelmediğini de fark edebilmekti.
Bir sistemin log göndermeyi bırakması her zaman saldırı anlamına gelmez; bağlantı sorunu, servis arızası veya yapılandırma değişikliği de sebep olabilir. Ama fark edilmezse güvenlik ekibi o sistemi gerektiği gibi izleyemez. Bu çalışma bana güvenlik izlemesinde gelen alarmlar kadar verinin sürekliliğinin de önemli olduğunu gösterdi.
SOC araçları: SIEM, EDR ve SOAR arasındaki fark
SOC ekipleri farklı amaçlara hizmet eden araçları birlikte kullanır. Bu araçlar birbirinin yerine geçmekten çok farklı aşamalarda birbirini tamamlar.
| Teknoloji | Açılımı ve amacı | SOC içindeki kullanım |
|---|---|---|
| SIEM | Security Information and Event Management | Logları toplama, arama, ilişkilendirme ve alarm üretme |
| EDR | Endpoint Detection and Response | Uç noktalardaki şüpheli süreçleri tespit etme ve desteklenen müdahaleleri yapma |
| SOAR | Security Orchestration, Automation and Response | Araçları bir araya getirme, tekrarlanan işleri otomatikleştirme, iş akışlarını yönetme |
| Splunk | Log analizi ve güvenlik izleme platformu | Log sorguları, araştırma ve tespit çalışmaları |
| Cortex XSOAR | Güvenlik operasyonları düzenleme ve otomasyon platformu | Incident yönetimi, entegrasyonlar ve playbook çalıştırma |
Bu araçların birlikte çalışmasına bir örnek:
- EDR, bir uç noktada şüpheli davranış tespit eder.
- Alarm SIEM üzerinde diğer kayıtlarla birlikte incelenir.
- SOAR platformu tanımlı iş akışını başlatır ve ilgili bilgileri toplar.
- Analist bulguları değerlendirir ve aksiyona karar verir.
Bu akış her ortamda aynı kurulmaz; entegrasyonlar, lisanslar, veri kaynakları ve kurum politikaları mimariyi belirler.
SOAR ve otomasyon: Cortex XSOAR deneyimim
SOAR'ın en önemli faydalarından biri, analistlerin sürekli tekrarladığı işlemleri standart bir iş akışına dönüştürmesidir. Böylece aynı kontroller her alarmda sıfırdan yapılmaz.
Hepsiburada'daki stajımda CrowdStrike EDR alarmlarını Cortex XSOAR üzerinde otomatik incident kayıtlarına dönüştüren triage akışları geliştirdim ve analist değerlendirmesi için örnek bir playbook hazırladım. Burada incident, araştırma ve takip için açılan olay kaydı; playbook ise adımları ve koşulları tanımlayan iş akışıdır.
Böyle bir yapı alarmların düzenli ele alınmasını kolaylaştırır. Ama otomasyonun her alarmı doğru yorumladığı varsayılmamalıdır; kritik kararlar kanıta dayanmalı ve gerektiğinde bir insan tarafından değerlendirilmelidir.
Bir diğer çalışma alanım Windows log kesintileriydi. Bu kesintilere WinRM, WEF, ticket süreçleri ve Slack bildirimleriyle çalışan otomatik müdahale akışları geliştirdim. Amaç log akışındaki sorunları daha erken fark edip çözümü hızlandırmaktı. Otomasyon analistin araştırma ihtiyacını ortadan kaldırmaz; tekrarlanan işleri azaltarak dikkat gerektiren konulara zaman bırakır.
SOAR platformlarının olay kayıtları ve playbook'larla nasıl çalıştığını Cortex XSOAR resmî dokümantasyonunda inceleyebilirsin.
SOC analisti olmak için hangi beceriler gerekiyor?
SOC analistliğine hazırlanırken tek bir araca odaklanmak yerine farklı teknik alanlar arasında bağlantı kurabilmek önemlidir.
- Ağ temelleri: TCP/IP, DNS, HTTP/HTTPS, portlar ve temel ağ trafiği. Bir alarmı araştırırken bağlantının nereden geldiğini ve hangi hizmetle ilgili olduğunu anlaman gerekir.
- Windows ve Linux: İşletim sistemi loglarını okumak, kullanıcı aktivitelerini takip etmek ve süreçleri anlamak. Windows Event Log, Linux kimlik doğrulama kayıtları ve süreç yönetimi iyi başlangıç konularıdır.
- SIEM ve log analizi: Arama yapmak, alanları yorumlamak ve zaman aralıklarını karşılaştırmak. Splunk kullanıyorsan SPL sorguları yazmak ve farklı log kaynaklarını ilişkilendirmek.
- EDR ve tehdit araştırması: EDR alarmlarını yorumlamak, süreç ilişkilerini anlamak, IOC araştırmak ve bilinen saldırı davranışlarını tanımak.
- Olay müdahalesi ve raporlama: Ne zaman eskale edileceğini bilmek, kontrolleri belgelemek ve bulguları anlaşılır aktarmak. Bu, teknik bilgi kadar önemlidir.
- Programlama ve otomasyon: Python gibi bir dil tekrarlanan işleri otomatikleştirmek için çok faydalıdır. API kullanımı, JSON işleme ve hata yönetimi günlük işte avantaj sağlar.
- Analitik düşünme ve iletişim: Farklı olasılıkları değerlendirmek, kanıtları karşılaştırmak ve sonucu açık yazmak.
SOC analisti olmak için hangi eğitim ve sertifikalar değerlendirilebilir?
Önce ağ, işletim sistemi, güvenlik temelleri ve log analizini öğrenmeni, sonra bunları uygulamalı laboratuvarlarla pekiştirmeni öneririm.
Ben TryHackMe SOC Level 1 yolunu tamamladım; SOC operasyonları, alarm triage, SIEM, EDR ve olay araştırması üzerine çalıştım. Ayrıca Splunk Power User (SPLK-1002) sertifikam var.
Başlangıç için değerlendirebileceğin kaynaklar:
- TryHackMe SOC Level 1: SOC işleyişini ve savunma araçlarını uygulamalı öğrenmek için.
- Splunk Core Certified Power User: Splunk ve SPL bilgisini belgelemek için.
- Microsoft Security Operations Analyst (SC-200): Microsoft güvenlik araçlarıyla izleme, araştırma ve olay müdahalesi için.
Sertifika seçimini hedeflediğin iş ilanlarına ve kullanmak istediğin teknolojilere göre yap. Sertifikalar öğrenmeyi destekler ama uygulamalı deneyimin ve yaptığın işi açıklayabilmenin yerini tutmaz.
Bu alanda nasıl çalışıyorum?
Benim için SOC analistliği, güvenlik araçlarını kullanmanın yanında sistemlerin normal davranışını anlamak ve olağan dışı durumları araştırmak demek.
Hepsiburada'da Splunk ile log sürekliliği, CrowdStrike alarmlarının Cortex XSOAR'a aktarılması ve Windows log kesintilerinin otomatik ele alınması üzerinde çalıştım. Bu işler bana izleme ile otomasyonun birbirini nasıl tamamladığını gösterdi.
Bu alanda ilerlemek için araç isimlerini bilmek yetmez: bir alarmın neden oluştuğunu açıklayabilmek, doğru veriyi bulabilmek ve sonucu anlaşılır belgelemek gerekir. Yazılım ve güvenliği birleştiren projeler bu becerileri geliştirmenin iyi bir yolu; örneğin ft_transcendence projesinde uygulamanın sırlarını HashiCorp Vault'a taşıdım ve önüne ModSecurity WAF kurdum.
SOC operasyonları, güvenlik izleme veya otomasyon ihtiyaçların için siber güvenlik hizmetleri sayfama göz atabilirsin.
Sonuç
SOC analistliği; alarmları incelemeyi, logları araştırmayı, tehditleri değerlendirmeyi ve olayların doğru ele alınmasına yardımcı olmayı kapsar. SIEM, EDR ve SOAR bu süreçleri destekler, ama etkili bir güvenlik operasyonu için teknik bilgi, analitik düşünme ve iyi dokümantasyon birlikte gerekir.
Bu alana yeni başlıyorsan ağ ve işletim sistemi temelleriyle başla, ardından Splunk gibi bir SIEM üzerinde pratik yap ve uygulamalı laboratuvarlarla ilerle. Otomasyona ilgin varsa Python ve API entegrasyonları sana yeni kapılar açar.
SOC süreçlerini geliştirmek veya güvenlik operasyonlarında otomasyon kurmak isteyen şirketler iletişim sayfamdan bana ulaşabilir.