SIEM Çözümlerinde Korelasyon ve Yapay Zeka

Korelasyon, makine öğrenmesi ve tehdit avcılığı modern SOC ların 3 kritik teknolojisidir.

Korelasyon kuralları, bilgisayar korsanlarının kaynaklarınıza erişmeyi denemek için sık sık kullandığı yaygın tehditleri kolayca algılayabilir. Kurallar, belirli bir davranışı bulmak için kullanılan ayrımcılardır.

Korelasyonun amacı, bir saldırganın belirli bir yolu ne zaman izlediğini bulmak ve onu durdurmaktır.
Güvenliği duvarlar ve hendekler olarak düşünmek yerine, güvenliği üzerlerinde çanlar olan teller olarak düşünün. Düşman korelasyon kurallarına uygun hareketler sergilediği zaman çanlar çalar. Bu çanlar IR ekibiniz için çalar ve IR ekibiniz harekete geçebilir.

Sadece arama yapmak da yeterli değildir. Tehditleri tespit etmek için her gece planlı bir arama yapmak şu anda en çok kullanılan tekniktir. Ancak, bir adım daha ileri gidebilir ve gerçek zamanlı olarak tespit ederseniz, gerçek zamanlı olarak saldırıyı durdurma şansınız olacaktır. Arama dillerinin öğrenme eğrisi, çoklu arama yapmak için sistem gereksinimleri, gerçek zamanlı algılama ve arama mantığı sorun olacaktır [1].

Yalnızca Makine Öğrenmesi veya yapay zeka kullanmak yeterli değildir. Günümzde siber güvenlikte uygulanan makina öğrenmesi tekniği çok büyük oranda anomali tespitidir. Bu da sıkça outlier detection olarak veya sınıflandırma (classification) olarak uygulanır. Ama sadece anomali tespiti tek başına %100 güvenilir midir?
Anomali sadece bir iz veya sinyaldir. Toplam risk skoru bile bir kullanıcı tarafından onaylanmadan kesin sonuç değildir. Ayrıca yapay zeka kullanıyorum diyen ürünlerin çoğu yapay zeka kullanmıyor [2,3].

Dolayısı ile korelasyon hala SOC ve SIEM için en kritik ve uygulanabilir (özellikle maliyetler de hesaba katılınca) teknoloji olarak
önümüzde durmaktadır.

Bununla birlikte bu üç teknolojinin birlikte uygulanması en kesin sonucu üretecektir.

Referanslar
1-https://www.peerlyst.com/posts/comparison-of-detection-methodologies-in-siem-correlation-and -search-ertugrul-akbas
2-https://www.livemint.com/technology/tech-news/a-lot-of-what-is-sold-as-ai-is-simply-marketing-says-eugene-kaspersky-1566899810319.html
3-https://www.theverge.com/2019/3/5/18251326/ai-startups-europe-fake-40-percent-mmc-report