SIEM Alarm Yorgunluğu: AI ile Triage ve Kural Ayarı

Öne çıkanlar

Alarm yorgunluğu çoğunlukla kural tasarımı ve bağlam eksikliğinden kaynaklanır.
AI triage, alarmı kapatmadan önce zenginleştirme ve gruplama ile değer üretir.
Kural ayarı (tuning) sürümlenmeli, gerekçelendirilmeli ve geri alınabilir olmalıdır.
Bastırılan her alarm tipi için kör nokta riski yazılı olarak değerlendirilmelidir.

Alarm yorgunluğu, analistlerin çok sayıda düşük değerli alarm nedeniyle önemli olanları geç fark etmesi veya hiç fark etmemesi durumudur. Çözüm genellikle "daha az alarm" olarak ifade edilir; oysa amaç doğru alarmın doğru bağlamla doğru kişiye ulaşmasıdır. AI ajanları bu hedefe iki yoldan katkı sağlayabilir: alarm geldikten sonra triage, ve alarmı üreten kuralların iyileştirilmesi.

Alarm yorgunluğunun kaynakları

Ortama uyarlanmadan etkinleştirilmiş hazır kural paketleri.
Bilinen ve onaylı davranışları (yedekleme işleri, tarama araçları, yönetim betikleri) dışlamayan kurallar.
Aynı olayın birden fazla kuralı tetiklemesi ve bunların tek bir vakada birleştirilmemesi.
Varlık kritikliği ve kullanıcı rolü gibi bağlamın alarm önceliğine yansımaması.
Kapanan alarmların nedeninin (false positive, beklenen davranış, gerçek olay) yapılandırılmış şekilde kaydedilmemesi.

Son madde özellikle önemlidir: kapanış nedeni kaydedilmezse hangi kuralın gürültü ürettiği veriye dayalı olarak bilinemez ve AI ajanı da öğrenebileceği bir geri bildirime sahip olmaz.

AI ile triage

Zenginleştirme

Ajan, alarmdaki varlık ve kullanıcıyı CMDB, kimlik sağlayıcı ve EDR verisiyle eşleştirir: cihazın sahibi ve kritikliği, kullanıcının rolü, son oturum açma bilgileri, aynı varlıkla ilgili son alarmlar. Bu bilgi, analistin her alarmda manuel olarak topladığı bağlamdır ve otomatikleştirilmesi düşük risklidir.

Gruplama

Aynı varlık, kullanıcı veya gösterge (IP, hash, alan adı) etrafında kısa süre içinde gelen alarmların tek vaka altında toplanması. Gruplama mantığının açık olması gerekir: ajan neden bu alarmları birleştirdiğini göstermelidir ki analist yanlış birleştirmeyi fark edebilsin.

Öncelik önerisi ve kapanış taslağı

Ajan, zenginleştirilmiş bağlam ve geçmiş benzer vakalara dayanarak öncelik önerir ve gerekirse kapanış notu taslağı yazar. Burada iki model vardır: ajan önerir, analist kapatır; ya da tanımlı ve düşük riskli belirli alarm tipleri için ajan kapatır, analist örneklem üzerinden denetler. İkinci model ancak gölge modda yeterli kanıt toplandıktan sonra ve dar kapsamda değerlendirilmelidir.

Korelasyon kuralı ayarı

Triage gürültüyle yaşamayı kolaylaştırır; kural ayarı ise gürültüyü kaynağında azaltır. AI ajanının bu alandaki rolü, kapanış verisini analiz ederek ayar önerisi üretmektir:

Kapanış nedenlerini kural bazında toplayın: hangi kurallar çoğunlukla aynı beklenen davranış nedeniyle kapatılıyor?
Ajanın bu kurallar için ortak örüntüyü (aynı servis hesabı, aynı tarama sunucusu, aynı zaman aralığı) bulmasını isteyin.
Ajan, istisnayı olabildiğince dar tanımlayan bir kural değişikliği önersin: tüm kullanıcılar yerine tek servis hesabı, tüm hedefler yerine belirli bir ağ.
Öneri, kural deposunda sürüm kontrolüyle bir değişiklik olarak açılsın; gerekçe ve kör nokta değerlendirmesi açıklamaya yazılsın.
Değişiklik insan incelemesinden geçtikten sonra uygulansın ve sonraki dönemde kuralın davranışı izlensin.

Kör nokta riskini yönetmek

Her bastırma, bir saldırganın saklanabileceği bir alan açar. Örneğin bir yönetim betiğinin ürettiği alarmları servis hesabı adına göre bastırmak, o hesabın ele geçirilmesi senaryosunda saldırganın davranışını da gizleyebilir. Bu nedenle:

İstisnaları yalnızca tek bir özelliğe (yalnızca kullanıcı adı gibi) değil, birden fazla özelliğin birleşimine dayandırın: kullanıcı ve kaynak sunucu ve süreç adı gibi.
Bastırılan alarmları tamamen silmek yerine düşük öncelikli bir kuyruğa veya istatistiksel izlemeye yönlendirmeyi değerlendirin.
İstisnalara sahip ve gözden geçirme tarihi atayın.
Ajan önerisinin "bu değişiklik hangi saldırı senaryosunu görünmez kılabilir?" sorusuna yanıt içermesini zorunlu tutun.

Ölçmek

Başarıyı yalnızca alarm sayısındaki azalmayla ölçmeyin. Analistin vaka başına harcadığı süre, yanlış kapatılan alarmlar, kapanış nedenlerinin dağılımı ve tespit kapsamı (örneğin MITRE ATT&CK tekniklerine göre kural eşlemesi) birlikte izlenmelidir. Alarm sayısı düşerken tespit kapsamı da daralıyorsa, yapılan iş gürültü azaltma değil görünürlük kaybıdır.

Sık sorulan sorular

AI ajanı alarmları tamamen kendi kapatabilir mi?

Teknik olarak mümkün olsa da önerilen yol, önce gölge modda kanıt toplamak, sonra yalnızca dar ve düşük riskli alarm tiplerinde, örneklem denetimiyle uygulamaktır.

Kural ayarı için ajana SIEM'de yazma yetkisi gerekir mi?

Gerekmez. Önerilerin bir kural deposuna değişiklik olarak açılması ve normal inceleme sürecinden geçmesi daha izlenebilir bir yöntemdir.

Hangi SIEM ürünleri için geçerli?

Yaklaşım üreticiden bağımsızdır; kural dili ve API farklılıkları uygulamayı etkiler, ilkeleri değil.

İlgili çözümler

İlgili rehberler

confidenya

Bu adımları kendi ortamınızda planlayalım

Hiçbir değişiklik insan onayı olmadan canlıya alınmaz. Güvenlik ürünlerinizin yönetimini AI ajanlarına kademeli ve denetlenebilir şekilde devretmek için ekibimizle görüşün.

Ekibimizle görüşün

Bu içerik genel bilgilendirme amaçlıdır. Kurumunuza özel kararlar için uzman değerlendirmesi önerilir.

SIEM'de alarm yorgunluğu: AI ile triage ve korelasyon kuralı ayarı