Konuyu Açan
#0
KQL (Kusto Query Language), Microsoft'un Azure için geliştirdiği bir sorgulama dilidir ve genellikle büyük veri setleri üzerinde analiz yapmak için kullanılır. IOC (Indicators of Compromise) aramaları ise siber güvenlik alanında, bir sistemin veya ağın ihlal edilip edilmediğini tespit etmek için kritik öneme sahiptir. KQL kullanarak IOC aramak, belirli kötü niyetli aktiviteleri tespit etmenin etkili bir yoludur.
KQL ile IOC arama işlemi genellikle şu adımları içerir:
Bu sorgu, son 7 gün içinde belirli bir kullanıcı hesabıyla ilişkilendirilmiş giriş olaylarını bulur.
KQL ile IOC arama, siber güvenlikte büyük bir öneme sahiptir. Bu tür sorgular, sistemlerin güvenliğini sağlamak ve olası tehditleri önceden tespit etmek için vazgeçilmez bir araçtır. KQL kullanarak deneyimlerinizi veya farklı sorgu örneklerinizi paylaşmanız, bu konuda daha fazla bilgi edinmemizi sağlayabilir.
KQL ile IOC arama işlemi genellikle şu adımları içerir:
- Veri Kaynağını Belirleme: İlk adım olarak, üzerinde işlem yapacağınız veri kaynağını belirlemeniz gerekir. Örneğin, Azure Sentinel'de bir "SecurityEvent" tablosu veya bir "Syslog" kaynağı olabilir.
- Sorgu Yazma: IOC'ları aramak için yazacağınız sorgu, aradığınız belirli kriterlere bağlıdır. Örneğin, IP adreslerini, dosya adlarını veya belirli hash değerlerini içeren IOC'ları arayabilirsiniz. Basit bir örnek aşağıdaki gibidir:
CODE
123456
SecurityEvent
| where TimeGenerated >= ago(7d)
| where EventID == 4624
| where Account == "baduser"
| project TimeGenerated, Account, IPAddress
Bu sorgu, son 7 gün içinde belirli bir kullanıcı hesabıyla ilişkilendirilmiş giriş olaylarını bulur.
- Sonuçların Analizi: Sorgu çalıştırıldığında, sonuçları analiz etmek önemlidir. Belirli bir zaman diliminde olağandışı aktiviteler, belirli IP adresleri veya kullanıcı hesapları üzerinde yoğunlaşarak güvenlik olaylarının kaynağını tespit etmenizi sağlar.
- Raporlama ve Yanıt Verme: IOC'ları tespit ettikten sonra, bu bilgilerle bir rapor oluşturmak ve gerekli önlemleri almak gereklidir. KQL ile elde edilen veriler, güvenlik ekiplerinin olaylara hızlı yanıt vermesine yardımcı olur.
KQL ile IOC arama, siber güvenlikte büyük bir öneme sahiptir. Bu tür sorgular, sistemlerin güvenliğini sağlamak ve olası tehditleri önceden tespit etmek için vazgeçilmez bir araçtır. KQL kullanarak deneyimlerinizi veya farklı sorgu örneklerinizi paylaşmanız, bu konuda daha fazla bilgi edinmemizi sağlayabilir.