Güvenlik bilgileri ve olay yönetimi (SIEM) sistemleri kullanılarak adli bilişim olaylarının tespit yöntemlerinin incelenmesi
Investigation of detection methods of forensics incidents using security information and event management (SIEM) systems
Yazar: MUSTAFA ÇAĞRI FANUSCU
Danışman: PROF. DR. MUSTAFA ALKAN
Gazi Üniversitesi / Bilişim Enstitüsü / Adli Bilişim Ana Bilim Dalı
Derece: Yüksek Lisans, 2023
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Günümüzde siber saldırı tipleri ve yoğunluğu artmıştır, bu durum saldırı tespit yöntemlerinin önemini artırmaktadır. Saldırı tespiti için yıllar boyunca birçok farklı araç ve yöntem geliştirilmiştir. SIEM sistemleri bu amaç için kullanılan araçlardan biridir. Bu sistemler, düzgün bir yapılandırma ve yönetim ile saldırıların tespit edilmesi ve olaya müdahale edilmesi aşamalarında güvenlik analistlerinin işlerini kolaylaştırmaktadır. Ayrıca bu sistem, gerçekleşen bir siber suçun ardından delillerin bulunmasını kolaylaştırmakta ve delil toplama süresini kısaltmaktadır.

Kurumsal altyapılarda yaşanan adli bilişim olaylarının hızlı bir şekilde tespiti büyük önem arz etmektedir. Yaşanan olay sonrasında hangi personelin ne gibi aksiyonları alacağının belirlenmesi de olay müdahale sürelerini kısaltmaktadır. Ortaya çıkan delillerin güvenli bir şekilde saklanması ve ihtiyaç halinde ilgili mercilerle hızlı bir şekilde paylaşılması da önemlidir. Yapılan bu çalışma ile kurumsal bir altyapıda SIEM sistemleri kullanılarak adli bilişim olay tespitinin nasıl yapılabileceği uygulamalı örnekler üzerinden incelenmiştir. Bu inceleme işlemi için gerekli iz kayıt kaynakları ve bu kaynakların özellikleri detaylı bir şekilde aktarılmıştır. Bu kaynaklardan gelen iz kayıtları içerisinde korelasyon kurallarında kullanılabilecek parametrelerin elde edilme yöntemleri ve bu parametrelerin anlamları üzerine araştırmalar yapılmıştır. İz kayıtlarının işlenebilmesi için SIEM sistemine aktarımı gereklidir. Bu çalışmada iz kayıtlarının aktarım yöntemleri hakkında da bilgiler verilmiştir. Tüm bu bilgilerin ışığında örnek olarak seçilen bir SIEM uygulaması üzerinde iz kayıt kaynakları oluşturulmuş, bu kayıtlar üzerinde ayrıştırma ve normalizasyon çalışmaları yapılmış ve korelasyon kuralları yazılarak örnek adli bilişim olaylarının tespitine yönelik çalışmalar yapılmıştır. Ortaya çıkan sonuçlar değerlendirilmiştir. Son olarak yapılan tüm işlem adımları bir şablon üzerinde gösterilmiştir. Bu şablon üzerinde bir siber olayın tespiti için gerekli adımlar ve tespit sonrasında bilişim personelinin olaya müdahale yöntemleri belirlenerek taslak halinde gösterilmiştir.

Abstract:
Today, the types and intensity of cyber attacks have increased, which increases the importance of attack detection methods. Many different tools and methods have been developed over the years for intrusion detection. SIEM systems are one of the tools used for this purpose. These systems make it easier for security analysts to detect attacks and respond to incidents with proper configuration and management. In addition, this system facilitates the discovery of evidence after a cybercrime and reduces evidence collection times.
The rapid detection of forensic incidents in institutional infrastructures is of great importance. Determining which personnel will take what actions after the incident also shortens the incident response times. It is also important that the resulting evidence is kept securely and shared quickly with the relevant authorities in case of need. In this study, how to make forensic incident detection using SIEM systems in an institutional infrastructure has been examined through applied examples. The trace recording resources required for this review process and the characteristics of these resources are explained in detail. Research has been carried out on the methods of obtaining parameters that can be used in correlation rules within the trace records from these sources and the meanings of these parameters. Trace records must be transferred to the SIEM system in order to be processed. In this study, information about the transfer methods of trace records was also given. In the light of all this information, trace recording sources were created on a SIEM application selected as an example, decomposition and normalization studies were carried out on these records, and the results were evaluated by writing the correlation rules and working on the determination of sample forensic events. Finally, all the processing steps were shown on a template. On this template, the necessary steps for the detection of a cyber incident and the intervention methods of the IT personnel after the detection were determined and shown in a draft.