İşletmeler, güvenlik olaylarını tespit etmek ve hızlı müdahale sağlamak için Elastic SIEM ve ELK Stack kullanırken, sistemler arasındaki log akışının sürekliliği kritik öneme sahiptir. Ancak zaman zaman syslog iletilerinde kopmalar veya gecikmeler yaşanabilir. Bu durumlar, olayları gözden kaçırmaya veya yanlış alarm üretimine neden olabilir. Bu noktada, gelişmiş kural ve imza (signature) yazımı, olayların doğru tespiti ve otomatik müdahale süreçleri için hayati rol oynar.
İlk olarak, syslog mesajlarının zaman damgalarını ve kaynak IP bilgilerini kullanarak, belirli bir süre boyunca gelen iletilerde tutarsızlık veya eksiklik olup olmadığını tespit etmek gerekir. Örneğin, belirli bir kaynak IP’den gelen loglar belli bir sürede beklenmedik oranda azalırsa, bu bir kopma veya iletişim sorunu göstergesidir. Bu durumu tespit etmek için, Elastic SIEM’de şu temel kurallar oluşturulabilir:
- Zaman Damgası ve Kaynak Kontrolü:
Belirli bir kaynak IP’den gelen logların son gönderim zamanı, önceden belirlenmiş eşik süreden eskiyse, alarm tetiklenir.
- Log Akış Hızı Analizi:
Belirli zaman aralıklarında gelen log sayısı normal seviyelerin altına düşmüşse, bu durumu yakalayacak bir kural oluşturulur.
- Kopma veya Senkronizasyon Hatası Belirleme:
Syslog iletisi içeriğinde, “connection lost”, “syslog timeout” veya benzeri anahtar kelimeler aranır ve bu ifadelerin belirli sayıda veya belirli zaman diliminde tekrarlanması durumunda alarm tetiklenir.
Örneğin, Elastic Security ve SIEM’de kullanılabilecek basit bir kural örneği şu şekilde olabilir:
1234567891011121314
{
"name": "Syslog Senkronizasyon Kopma Tespiti",
"description": "Syslog iletiminde kopma veya iletişim hatası durumlarını tespit eder.",
"severity": "high",
"type": "query",
"index": ["logs-*"],
"language": "kuery",
"query": "event.category:network AND (message:('connection lost' OR 'syslog timeout')) AND event.ingested >= now-15m",
"threshold": {
"count": 1,
"value": ">=1"
}
}
Bu örnekte, son 15 dakika içerisinde herhangi bir syslog mesajında “connection lost” veya “syslog timeout” ifadeleri varsa, alarm tetiklenir. Daha gelişmiş uygulamalarda, bu kurallara zaman filtreleri, kaynak IP bazlı analizler veya log yoğunluğu kontrolleri eklenebilir.
Sonuç olarak, Elastic SIEM ve ELK Stack kullanırken, kopma ve senkronizasyon hatalarını tespit etmek için detaylı ve esnek kurallar tasarlamak, olayların erken saptanmasını ve otomatik müdahaleyi sağlar. Ayrıca, bu kurallar düzenli test edilmeli ve sistemin farklı senaryolara göre uyum sağlayacak şekilde optimize edilmesi gerekir. Bu sayede, güvenlik altyapısının sürekliliği ve etkinliği artırılmış olur.
