SOC · Eylül 2026 · 6 dk okuma

SOC Alarm Yorgunluğunu Bitiren 5 Korelasyon Kuralı

Sahte alarm hacmini düşüren tuning yaklaşımı ve MITRE ATT&CK eşlemesi.

Giriş

Özet

SOC analistlerinin en büyük düşmanı saldırgan değil, gürültüdür. Günde binlerce alarmın aktığı bir konsolda gerçek saldırı, sıradan bir yanlış alarmın arasında kaybolur. Alarm yorgunluğu bir motivasyon sorunu değil, bir mühendislik sorunudur — ve mühendislik sorunları kuralla çözülür.

Aşağıdaki 5 kural, alarm hacmini “daha az görmek” için değil, “doğru şeyi görmek” için yazıldı. Hepsini bir haftada uygulayabilirsiniz.

Yazar: Aras Akyasan · Eylül 2026 · 6 dk okuma

Bölüm 1

1. Bağlamsız kural yazmayın: önce zenginleştirme

IP ve kullanıcı adından ibaret bir alarm, analiste iş değil yük bindirir. Her kural tetiklendiğinde olay; varlık kritiği, kullanıcının departmanı ve rolü, saat dilimi ve coğrafi olağandışılık bilgisiyle birlikte gelmelidir.

Pratik eşik: analist, alarmı anlamak için başka bir ekrana geçmek zorunda kalıyorsa kural eksiktir. Zenginleştirme, triyaj süresini en hızlı düşüren yatırımdır.

Bölüm 2

2. Sabit eşik yerine davranış sapması kullanın

“5 başarısız giriş = alarm” kuralı, şifresini unutan herkesi saldırgan ilan eder. Aynı kuralı kullanıcının kendi geçmişine göre yazın: normalde gece çalışmayan bir hesapta gece 03.00'te görülen 5 deneme, gündüz görülen 50 denemeden daha şüphelidir.

Her kritik kural için önce iki hafta sessiz modda baz ölçümü alın. Gürültü seviyesini bilmeden eşiği tartışmak fal bakmaktır.

Bölüm 3

3. Tekil olayları değil, zincirleri alarmlayın

Oltalama tıklaması tek başına düşük öncelikli olabilir; ama aynı hesapta 10 dakika içinde olağandışı oturum açma ve toplu dosya erişimi görülüyorsa bu bir zincirdir. MITRE ATT&CK taktiklerini zincir adımı olarak kullanın: ilk erişim → kalıcılık → keşif → sızdırma.

Kural tasarımını değiştirin: “X olursa alarm” yerine “X'ten sonra Y de olursa ve Z yoksa alarm”. Koşul eklemek, alarm sayısını değil isabet oranını artırır.

Bölüm 4

4. Her alarmın bir sahibi ve bir playbook'u olsun

Sahipsiz alarm, kapatılmaya mahkûm alarmdır. Her kuralda sorumlu rol (analist seviyesi), ilk 15 dakikada atılacak adımlar ve ne zaman üst seviyeye taşınacağı yazılı olmalıdır.

Playbook'u yazarken “tehlike geçti” kararının kriterini de yazın. Kapatma kriteri belirsizse analistler ya erken kapatır ya da hiç kapatamaz — ikisi de yorgunluğu büyütür.

Bölüm 5

5. Yanlış alarmları sisteme geri besleyin

Kapatılan her yanlış alarm, tuning kuyruğuna düşmelidir. Haftada 30 dakikalık bir ritüel yeter: en çok gürültü üreten 5 kuralı çıkarın, birini düzeltin ya da emekli edin.

Ölçün: kural başına haftalık tetik sayısı, gerçek pozitif oranı, ortalama triyaj süresi. Sayıya dökmek, “bence bu kural işe yarıyor” tartışmalarını bitirir.

MTTD (tespit süresi) ve MTTR (müdahale süresi) trendi
Kural başına gerçek pozitif oranı
Analist başına günlük triyaj yükü

Kapanış

Son söz

Bu 5 kuralın ortak fikri basit: analistin önüne daha az ekran değil, daha çok karar bilgisi koyun. Yorgunluk, bilgi eksikliğinin yorgunluğudur.

Mevcut kural setinizin sağlık kontrolünü birlikte yapabiliriz — en gürültülü 10 kuralınızı gönderin, hangisinin emekli edileceğini söyleyelim.

SSS

Sık sorulan sorular

Yapay zekâ SOC'ta gerçekten işe yarıyor mu?

Doğru yerde evet: log ön-eleme, varlık bağlamı zenginleştirme ve benzer olay gruplamada çok güçlü. Ama son kararı ve zincir yorumunu hâlâ analist verir. Biz AI'ı analistin yerine değil, önüne koyuyoruz.

Kaç kural idealdir?

Sayının önemi yok, isabetin var. 30 isabetli kural, 300 gürültülü kuraldan iyidir. Hedefiniz kural sayısı değil, kural başına gerçek pozitif oranı olmalı.

Küçük ekiple SOC kurulur mu?

Kurulur — ama her şeyi izlemeye çalışarak değil. En kritik 3 varlık grubuna odaklanın, yukarıdaki kuralları uygulayın, gerisini yönetilen SOC (MDR) ile kapatın.