Güvenlik bilgileri ve olay yönetimi (SIEM)/log korelasyon kurallarının yazılması
Writing security information and event management (SIEM)/log correlation rules
Yazar: DİLEK GÖKÇEOĞLU
Danışman: DOÇ. DR. ŞENGÜL DOĞAN
Fırat Üniversitesi / Fen Bilimleri Enstitüsü / Adli Bilişim Mühendisliği Ana Bilim Dalı / Adli Bilişim Bilim Dalı
Derece: Yüksek Lisans, 2021
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control ; Bilim ve Teknoloji = Science and Technology ; Mühendislik Bilimleri = Engineering Sciences
Dizin: Adli bilişim = Computer forensics ; Siber güvenlik = Cyber security

Özet:
Saldırı tespit sistemleri, bilgisayar sistemlerine ve ağlarına veya genel olarak bilgi sistemlerine yönelik saldırıları tespit etmeyi amaçlar. Günümüzde bilgi güvenliği açısından en önemli problemlerden biri de siber saldırıları tespit etmektir. İnternet ağlarına bağlı bilgisayarlar sömürülmeye açık bir ortam yarattığından çeşitli gizli bilgilerin açığa çıkmasına ve zarar görmesine ortam hazırlarlar. Bu nedenlerden dolayı kurumlar için önemli olabilecek verilere yönelik gerçekleştirilebilecek siber saldırıların tespit edilmesi ve bu tür saldırılara karşı önlem alınması bilgi güvenliği açısından kritik öneme sahiptir. Neredeyse çoğu kurum bu durumun farkında olmakla beraber kendi Siber Güvenlik Operasyon Merkezlerini kurmaktadır. Bu düşünceye sahip kurumlarda SIEM ürünü bulunmakta ve yazılan korelasyon kuralları ile saldırı aktiviteleri, şüpheli aktiviteler ve anomali durumlar önceden tespit edilebilmektedir.  
Bu çalışmada çeşitli güvenlik cihazlarından,  işletim sistemlerinden, ağ sistemlerinden, web uygulama sunucularından alınan logların(iz kayıtları) formatları araştırılmıştır. Alınan loglar bir SIEM ürününde birleştirilerek anormalliklerin tespiti, web uygulamalarına yönelik saldırıların tespiti, uç nokta sistemlerdeki şüpheli aktivitelerin belirlenmesi, işletim sistemi kategorisindeki anormallikleri yakalama özelindeki durumların tespit edilmesi için örnek korelasyon kuralları yazılmıştır.

Anahtar Kelimeler: Log, Korelasyon kuralları, SIEM

Abstract:
Intrusion detection systems aim to detect attacks against computer systems and networks or information systems in general. Today, one of the most critical problems in terms of information security is to detect cyber attacks. Since computers connected to internet networks create an environment that is susceptible to exploitation, they prepare the environment for various confidential information to be exposed and damaged. Due to these reasons, information security must detect cyber attacks that may be carried out against the importants datas of the institutions and take precautions against such attacks. Although many institutions are aware of this issue, they establish their own Cyber Security Operations Centers. Institutions with this mindset have SIEM products, and through the written correlation rules; attack activities, suspicious activities, and anomalies can be detected beforehand.
In this study, the formats of the logs (trace records) taken from various security devices, operating systems, network systems, and web application servers are investigated. By combining the received logs in a SIEM product, sample correlation rules are written to detect anomalies. These rules can detect intrusions in web applications or abnormalities in the operating system category.


Keywords: Log, Correlation rules, SIEM