'Yönetilen SIEM' ve 'MDR' için teklif aldık — farkı nedir, 12 kişilik firmaya hangisi uyar?

Teknik açıdan SIEM veri tabanlıdır, MDR ise süreç ve davranış odaklıdır. SIEM farklı kaynaklardan gelen olay günlüklerini korelasyon motorundan geçirir. MDR ise işletim sistemi çekirdeğine kadar inen sensörlerle bellek enjeksiyonu veya yetki yükseltme gibi şüpheli aktiviteleri yakalar. Log saklama mecburiyetiniz yoksa MDR doğrudan hedefe götürür.

Geçen yıl 18 kişilik ekibimiz için benzer ikilemde kaldık. SIEM için aylık 2.100 dolar artı log hacmi aşım ücreti öngörülmüştü. MDR tarafında ise 22 uç nokta için aylık 1.100 dolara anlaştık. İlk altı ayda üretilen 14 şüpheli vakanın tamamını sağlayıcı firma bizim ekibi uyandırmadan çözdü.

Müşterinizle yaptığınız gizlilik veya denetim sözleşmesine bakın. Eğer şartnamede açıkça 'Tüm sistem günlükleri en az 1 yıl boyunca SIEM üzerinde tutulmalıdır' gibi bi regülasyon maddesi yoksa SIEM'e hiç bulaşmayın. valla doğrudan MDR sözleşmesi yapın, kafanız rahat etsin.

MDR satan bazı firmalar aslında bildiğiniz antivirüs paneline iki stajyer oturtup bildirim gelince size e-posta atıyor. Teklifteki SLA metnini inceleyin: Müdahale süresi kaç dakika ve tehdit anında makineyi ağdan koparma yetkisini kendileri alıyor mu, yoksa onay için sizi mi bekliyorlar?

siem alırsanız yazılımcılarınız birkaç hafta sonra gelen alarmlardan bıkıp bildirimleri sessize alır. snra ilk gerçek olayda hiç bi şey fark edilmez ama mdr seçin işi bileen devredin derim.

not: bunu kendi deneyimim olarak yazdım, herkeste böyle olmayabilir.

Müşteriniz denetim için SOC 2 veya ISO 27001 standardı üzerinden mi bu izlemeyi talep ediyor? Eğer öyleyse MDR sağlayıcınızın SOC 2 Type 2 belgesi olup olmadığını ve denetçiye sunulacak aylık olay müdahale rapor formatlarını önceden istediniz mi?

Hizmet seviyesi taahhüdünde yer alan müdahale sürelerinin (MTTD ve MTTR) sözleşme maddesi olarak eklenmesini öneririz. Tespit süresi ile aksiyon süresi arasındaki fark kriz anında hukuki sorumluluğunuzu doğrudan etkiler.

peki MDR aldığıız zamn çalışanların dizüstü bilgisayarlarına ayrıca klasik antivirüs programı yüklememiz gerekiyor mu yoksa o ajanlar her iki işi de tek başına görüyor mu?

ayni durumdayim, o yuzdeen soruyorum. yonetilen SIEM ve MDR konusunda acle eden herkez ayni yerde takiliyor.

baka tüürlü yapan varsa onu da merak ederim.

Deneyeceğim. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Tecrübeyle sabit.

Bir ayrım yapmak gerekiyor burada. Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

Bu cevabı okuyunca rahatladım, demek sadece bende değilmiş. Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Başka türlü yapan varsa onu da merak ederim.

Kavramları ayıralım, karıştırılıyor. yani ilk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.

Yanlışım varsa düzeltin.

Acele etmeyin derim. Bunu tek başına yapmaya çalışmak en pahalı yol.

Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor. Sonucu buraya yazarsanız başkalarına da faydası olur.

Bir uyarı bırakayım. Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Uygulamada nasıl yapıldığını yazayım. Olayların çoğu zafiyetten değil sızmış bir paroladan başlıyor.

yönetilen SIEM ve MDR tarafında yapılan hata genelde geri dönülebilir ama pahalı. Başka türlü yapan varsa onu da merak ederim.

Doğru.

yönetilen SIEM ve MDR konusunda en çok atlanan nokta şu: Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Bunu tek başına yapmaya çalışmak en pahalı yol. Umarım işinize yarar.