Ağ görünürlüğü neyi kapsar?
Ağ görünürlüğü üç katmandan beslenir. İlki akış verisidir: switch ve yönlendiricilerin ürettiği NetFlow, IPFIX ve sFlow kayıtları, her bağlantının kaynağını, hedefini, protokolünü, hacmini ve süresini özetler. İkincisi paket yakalamadır: TAP (Test Access Point · pasif hat kopyalama) ya da SPAN (Switched Port Analyzer · port yansıtma) ile alınan tam paket kopyaları, akışın içeriğine ve protokol detaylarına iner. Üçüncüsü bağlam verisidir: DNS ve DHCP kayıtları, kimlik bilgisi ve cihaz envanteri, akışları "hangi kullanıcı, hangi cihaz" sorusuyla eşler.
Bu katmanlar birleştiğinde ağın canlı bir haritası çıkar: hangi sistemler birbiriyle konuşuyor, doğu-batı trafik nerede yoğunlaşıyor, hangi cihaz envanterde yer almadan ağa bağlanmış. Segmentasyon, erişim kontrolü ve kapasite kararları bu haritaya dayanır.
Loglar varken trafiğe neden bakılır?
Log, kaynağın kendini anlatmasıdır; doğru yapılandırılmış ve ele geçirilmemiş bir kaynak için değerlidir. Trafik ise bağımsız bir tanıktır. Ele geçirilen bir sunucu loglarını susturabilir, ama ağdaki konuşması sensörde görünür. Kamera, yazıcı, OT (Operational Technology · operasyonel teknoloji) denetleyicisi gibi log üretimi sınırlı cihazların davranışı da yalnızca trafikten okunur.
Yatay hareket en iyi örnektir: bir saldırganın ele geçirdiği kullanıcı cihazından sunucuları taraması, uç noktada silinen bir izden ibaret kalabilir; akış verisinde ise onlarca hedefe kısa bağlantılar olarak açıkça görünür. Trafik, olayın tam zaman çizelgesini geriye dönük kurmanın da en güvenilir yoludur.
NDR nasıl çalışır?
NDR, önce normali öğrenir: her cihaz ve segment için olağan konuşma desenlerinden bir taban çizgisi çıkarır. Ardından sapmayı arar; alışılmadık hedefler, olağandışı saatlerde yüksek hacim, tarama benzeri bağlantı dizileri, bilinen kötü altyapıyla temas ve protokol kullanımındaki tuhaflıklar puanlanır. Tehdit istihbaratı ve kurallar bu davranış analizini tamamlar.
Tespit yanıtla bütünleşince değer üretir: şüpheli cihaz NAC üzerinden karantina segmentine alınır, ilgili akış güvenlik duvarında kesilir, olay kanıtlarıyla birlikte SIEM'e ve servis masasına düşer. Analist, tam paket kaydına inip olayın ne olduğunu dakikalar içinde doğrular.
| Kaynak | Ne görür | Sınırı | Tipik kullanım |
|---|---|---|---|
| Sistem logları | Kaynağın kendi olayları: oturum, hata, yapılandırma | Kaynağın yapılandırmasına ve bütünlüğüne bağlı | Denetim izi, uyum, olay ilişkilendirme (SIEM) |
| Akış verisi (NetFlow, IPFIX) | Kim kiminle, ne kadar, ne zaman | İçerik görünmez; örnekleme oranına bağlı | Taban çizgisi, yatay hareket, kapasite |
| Paket yakalama (TAP, SPAN) | Protokol detayı ve içerik | Depolama maliyeti; şifreli içerik kapalı | Olay doğrulama, adli inceleme |
| NDR analitiği | Davranış sapması ve tehdit puanı | Öğrenme dönemi ve ayar ister | Erken tespit, otomatik yanıt tetikleme |
Nereden başlanır?
Sensör yerleşimi ilk karardır. Üç nokta çoğu kurumda yeterli başlangıçtır: internet çıkışı, veri merkezi omurgası ve kritik segmentlerin sınırları. Çevre ve omurgada pasif TAP, kenar noktalarında SPAN yaygın bir dengedir. Akış verisi zaten üretiliyorsa, ilk hafta yalnızca toplamak bile envanter için sürpriz sonuçlar verir.
- Envanter ve taban çizgisi: İlk haftalar öğrenme dönemidir; cihazlar, segmentler ve olağan desenler çıkarılır.
- Bağlam bağlama: DNS, DHCP ve kimlik kaynakları eklenir; akışlar kullanıcı ve cihazla eşleşir.
- Ayar: Yanlış alarmlar sınıflandırılır, taban çizgisi düzeltilir, öncelikler belirlenir.
- Yanıt entegrasyonu: NAC ve güvenlik duvarı bağlantısı kurulur; otomasyon öneriden onaylıya, sonra otomatiğe kademeli açılır.
İlk kurulumda en çok şaşırtan şey envanter oluyor: sensörler açılır açılmaz ağda kimsenin listelemediği cihazlar ve konuşmalar görünüyor. Bu yüzden ilk haftaları tespit yerine öğrenme dönemi olarak planlıyoruz; taban çizgisi otururken yanlış alarmlar azalıyor, ardından yanıt otomasyonu kademeli devreye giriyor. Aceleyle açılan otomatik karantina, öğrenme dönemi tamamlandığında çok daha güvenilir çalışıyor.
SIEM ve segmentasyonla ilişkisi nedir?
NDR, SIEM'in yerine geçmez; onu besler. SIEM ve log yönetimi olayları kaynak loglarından ilişkilendirir, NDR aynı olaya trafik tarafından bakar; iki kaynak birleştiğinde resim tamamlanır. Segmentasyon ise görünürlükten beslenir: hangi sistemin kiminle konuştuğunu ölçmeden çizilen segment sınırı ya çok gevşek kalır ya işi durdurur. Bütünü Network Güvenliği çözümleri sayfasında ele alıyoruz.
