Siber Guvenlik Olay Mudahale ve SOC Rehberi [2026]

Giris: Siber Tehditler Karsisinda Proaktif Savunma

Dijital donusum sureclerinin hiz kazanmasiyla birlikte siber tehditler hem sayi hem de karmasiklik acisindan benzeri gorulmemis seviyelere ulasti. 2025 yilinda kuresel siber saldiri maliyetlerinin 10 trilyon dolari astigini gosteren raporlar, kurumlarin artik reaktif degil proaktif bir guvenlik yaklasimi benimsemesi gerektigini acikca ortaya koyuyor.

Bu noktada Security Operations Center (SOC) ve yapilandirilmis bir olay mudahale (Incident Response) sureci, kurumsal siber guvenligin temel taslarini olusturuyor. Bir guvenlik ihlali yasandiginda ilk dakikalarda alinan kararlar, olayun etkisini minimize etmek ile felaket boyutuna ulasmasi arasindaki farki belirliyor.

Bu rehberde SOC yapilanmasindan olay mudahale yasam dongusune, kullanilan araclardan Turkiye'deki mevzuat gereksinimlerine kadar kapsamli bir cerceve sunuyoruz.

SOC (Security Operations Center) Nedir?

SOC, bir kurumun bilgi teknolojileri altyapisini 7/24 izleyen, siber tehditleri tespit eden, analiz eden ve mudahale eden merkezi guvenlik operasyon birimidir. SOC ekibi, guvenlik olaylarini gercek zamanli olarak takip ederek potansiyel saldirilarini erken asamada durdurmayi hedefler.

SOC'un Temel Islevleri

• Surekli Izleme: Ag trafigi, endpoint aktiviteleri, log kayitlari ve bulut ortamlarinin kesintisiz gozlemlenmesi
• Tehdit Tespiti: Anomali tespiti, imza tabanli tespit ve davranis analiziyle tehditlerin belirlenmesi
• Olay Mudahale: Tespit edilen guvenlik olaylarina yapilandirilmis sureclerle mudahale edilmesi
• Tehdit Istihbarati: Guncel tehdit bilgilerinin toplanmasi, analiz edilmesi ve operasyonlara entegre edilmesi
• Uyumluluk Izleme: Yasal ve sektorel duzenlemelere uyumun takip edilmesi

Neden SOC Gerekli?

Kucuk ve orta olcekli isletmeler dahil her kurum siber saldiri hedefi olabilir. SOC'un gerekliligi su faktorlerden kaynaklanir:

• Saldiri yuzeyinin bulut, mobil ve IoT cihazlariyla genislemesi
• Duzenleyici kurumlarin zorunlu kildigi guvenlik izleme gereksinimleri
• Siber sigorta policelerinin aktif izleme kanitlari talep etmesi
• Ortalama tespit suresinin (MTTD) SOC olmayan kurumlarda 200 gunun uzerine cikmasi

SOC Olgunluk Seviyeleri

Her SOC ayni kapasitede degildir. Kurumlar, mevcut kaynaklari ve risk profilleri dogrultusunda farkli olgunluk seviyelerinde konumlanir.

Seviye	Tanim	Ozellikler	Tipik Araclar
Seviye 0	Olgunluk Oncesi	Ad hoc izleme, dokumantasyon yok	Temel firewall loglari
Seviye 1	Reaktif	Temel log toplama, manuel analiz	SIEM (temel), antivirus
Seviye 2	Proaktif	Otomasyon baslangici, playbook kullanimi	SIEM, SOAR, EDR
Seviye 3	Optimize	Tehdit avciligi, ileri analitik	SIEM, SOAR, XDR, TIP
Seviye 4	Inovatif	Yapay zeka destekli, tam otomasyon	AI/ML platformlari, XDR

Cogu kurum Seviye 1 veya 2 arasinda bulunur. Smart Maple olarak Ankara merkezli projelerimizde, kurumlarin mevcut olgunluk seviyelerini degerlendirerek kademeli bir SOC gelisim yol haritasi olusturuyoruz.

Olay Mudahale Yasam Dongusu: NIST Framework

NIST (National Institute of Standards and Technology) tarafindan tanimlanan olay mudahale cercevesi, en yaygin kabul goren metodoloji olarak one cikar. Bu cerceve dort temel asamadan olusur.

1. Hazirlik (Preparation)

Hazirlik asamasi, etkili bir olay mudahalenin temelini olusturur. Bu asamada yapilmasi gerekenler:

• Olay mudahale plani ve politikalarinin olusturulmasi: Roller, sorumluluklar ve eskalasyon prosedurlerinin tanimlanmasi
• Ekip egitimi ve tatbikatlar: Masa basi egitimler (tabletop exercises) ve canli simulasyonlar
• Arac ve altyapi hazirligi: Forensik araclar, iletisim kanallari ve yedek sistemlerin kurulmasi
• Iletisim plani: Ic ve dis paydas bilgilendirme sablonlarinin hazirlanmasi
• Tehdit istihbarati entegrasyonu: Guncel tehdit bilgilerinin operasyonel sureclere dahil edilmesi

2. Tespit ve Analiz (Detection & Analysis)

Bu asama, bir guvenlik olayinin tanimlanmasi ve kapsaminin belirlenmesini icerir:

• Gostergeler (IoC): IP adresleri, dosya hash'leri, domain bilgileri gibi somut kanitlarin toplanmasi
• Onceliklendirme: Olaylarin kritiklik derecesine gore siniflandirilmasi
• Kok neden analizi: Saldirinin giris noktasi ve yayilma yonteminin belirlenmesi
• Kapsam degerlendirmesi: Etkilenen sistemlerin ve verilerin tespiti

Oncelik Seviyesi	Tanim	Yanit Suresi	Ornek
P1 - Kritik	Is surekliligi tehdit altinda	15 dakika	Ransomware saldirisi
P2 - Yuksek	Hassas veri sizintisi riski	1 saat	Yetkisiz erisim tespit
P3 - Orta	Sinirli etki alani	4 saat	Malware tespit (izole)
P4 - Dusuk	Minimal etki	24 saat	Politika ihlali

3. Sinirdirma, Temizleme ve Kurtarma (Containment, Eradication & Recovery)

Olay teshis edildikten sonra uc adimli bir mudahale sureci baslar:

Sinirdirma (Containment):

• Kisa vadeli sinirdirma: Etkilenen sistemlerin agdan izole edilmesi
• Uzun vadeli sinirdirma: Gecici cozumlerle is surekliligin saglanmasi
• Forensik kanit toplama: Delillerin bozulmadan muhafaza edilmesi

Temizleme (Eradication):

• Zararli yazilimin tamamen kaldirilmasi
• Guvenlik aciklarinin yamalanmasi
• Ele gecirilen hesaplarin sifirlanmasi

Kurtarma (Recovery):

• Sistemlerin temiz yedeklerden geri yuklenmesi
• Kademeli olarak uretime alinmasi
• Yogunlastirilmis izleme ile normal operasyona donus

4. Olay Sonrasi Degerlendirme (Post-Incident Activity)

En sik atlanan ancak en degerli asama olay sonrasi degerlendirmedir:

• Ogrenilen dersler toplantisi: Tum paydaslarin katilimiyla surecin gozden gecirilmesi
• Dokumantasyon: Olayin baslangicindan sonuna kronolojik kayit
• Metrik analizi: MTTD, MTTR ve diger performans gostergelerinin degerlendirilmesi
• Iyilestirme plani: Tespit edilen eksikliklerin giderilmesi icin somut adimlar

SIEM, SOAR ve XDR: Temel Guvenlik Araclari

Modern SOC operasyonlari, birbirine entegre calisacak bir dizi guvenlik aracina dayanir.

SIEM (Security Information and Event Management)

SIEM, farkli kaynaklardan gelen log ve olay verilerini merkezi bir noktada toplayan, korelasyon kurallariyla anlamli uyarilara donusturen platformdur.

Temel Yetenekler:

• Merkezi log toplama ve normalizasyon
• Gercek zamanli korelasyon ve uyari olusturma
• Uyumluluk raporlama
• Forensik arastirma ve arama

Oncu Cozumler: Splunk, Microsoft Sentinel, IBM QRadar, Elastic Security

SOAR (Security Orchestration, Automation and Response)

SOAR, tekrarlayan guvenlik operasyonlarini otomatiklestirerek analistlerin daha karmasik olaylara odaklanmasini saglar.

Temel Yetenekler:

• Playbook tabanli otomasyon
• Farkli guvenlik araclarinin orkestrasyonu
• Olay yonetimi is akislari
• Metrik ve raporlama

Otomasyon Ornekleri:

• Phishing e-posta analizi ve karantina
• IoC'lerin otomatik zenginlestirilmesi
• Kullanici hesabi devre disi birakma
• Firewall kurallarinin otomatik guncellenmesi

XDR (Extended Detection and Response)

XDR, endpoint, ag, e-posta ve bulut gibi birden fazla guvenlik katmanini birlestiren entegre bir tespit ve mudahale platformudur.

SIEM vs XDR Karsilastirmasi:

Ozellik	SIEM	XDR
Veri Kaynaklari	Genis (her turlu log)	Odakli (guvenlik verileri)
Kurulum Karmasikligi	Yuksek	Orta
Korelasyon	Kural tabanli	AI/ML destekli
Mudahale	Sinirli (SOAR gerektirir)	Yerlesik mudahale
Maliyet	Yuksek (log hacmine bagli)	Daha onceden kestirilebilir

Tehdit Istihbarati ve Tehdit Avciligi

Tehdit Istihbarati (Threat Intelligence)

Tehdit istihbarati, siber tehditlere iliskin verilerin toplanmasi, islenmesi ve operasyonel kararlara donusturulmesi surecidir. Uc ana kategoride incelenir:

• Stratejik Istihbarat: Ust yonetim icin risk ortami degerlendirmesi
• Taktik Istihbarat: Saldiri teknikleri, taktikleri ve prosedurlerinin (TTP) analizi
• Operasyonel Istihbarat: Somut IoC'ler ve gercek zamanli tehdit verileri

MITRE ATT&CK cercevesi, tehdit istihbaratinin yapilandirilmasinda standart referans noktasi olarak kullanilir. Saldirgan davranislarini taktik ve teknik olarak kategorize eden bu cerceve, savunma stratejilerinin olusturulmasinda temel rehber niteligindedir.

Tehdit Avciligi (Threat Hunting)

Tehdit avciligi, mevcut guvenlik araclari tarafindan tespit edilemeyen tehditleri proaktif olarak arayan hipotez odakli bir yaklasimdir.

Tehdit Avciligi Sureci:

1. Hipotez olusturma (istihbarat veya anomali tabanli)
2. Veri toplama ve analiz
3. Bulgu dogrulama
4. Tespit kurallarinin guncellenmesi

Etkili bir tehdit avciligi programi, SOC olgunlugunu onemli olcude artiran bir yetkinliktir. Ancak deneyimli analistler ve yeterli veri erisilebilirligi gerektirir.

Tehdit avciligi icin kullanilan yaygin veri kaynaklari arasinda endpoint telemetrisi, ag akis verileri (NetFlow), DNS loglari, kimlik dogrulama kayitlari ve bulut denetim izleri (audit trails) yer alir. Bu verilerin merkezi bir platformda sorgulanabilir olmasi, avciligin etkinligini dogrudan etkiler.

SOC Ekibi Yapisi ve Roller

Basarili bir SOC operasyonu, dogru yetkinliklere sahip bir ekip yapisina dayanir.

Katmanli SOC Modeli

Rol	Sorumluluklar	Gereken Yetkinlikler
SOC Muduru	Strateji, butce, ekip yonetimi	Liderlik, risk yonetimi
Tier 3 Analisti	Tehdit avciligi, ileri forensik	Malware analizi, reverse engineering
Tier 2 Analisti	Derinlemesine olay analizi	Ag forensik, SIEM ileri kullanim
Tier 1 Analisti	Uyari izleme, ilk triage	Temel ag bilgisi, SIEM kullanimi
Tehdit Istihbarat Uzmani	TI toplama, analiz, raporlama	OSINT, MITRE ATT&CK
SOAR Muhendisi	Otomasyon ve playbook gelistirme	Python, API entegrasyonu

Yaygin Zorluklar ve Cozumler

Analist Yorgunlugu: Asiri uyari sayisi (alert fatigue) analistlerin verimliligi dusurur. Cozum olarak uyari onceliklendirme, otomasyon ve SOAR playbook'lari devreye alinmalidir.

Yetenek Eksikligi: Siber guvenlik alanindaki kuresel yetenek acigi 3.5 milyonun uzerindedir. Ic egitim programlari, sertifikasyon destekleri ve yonetilen guvenlik hizmetleri (MSSP) bu boslugun kapatilmasina yardimci olur.

Vardiya Yonetimi: 7/24 operasyon icin en az 5-6 tam zamanli analist gerekir. Kucuk ekipler icin hibrit modeller veya MSSP ortakliklari degerlendirilmelidir.

Ic SOC vs MSSP Karsilastirmasi: Kurumlar kendi SOC'larini kurma veya yonetilen guvenlik hizmeti saglayicilarindan (MSSP) destek alma arasinda karar vermek durumundadir. Ic SOC daha fazla kontrol ve ozellestirme imkani sunarken, MSSP modeli daha dusuk baslangic maliyeti ve hazir uzmanlik kadrosu avantaji saglar. Hibrit yaklasimda ise Tier 1 izleme MSSP'ye devrederken kritik olay mudahale ic ekipte kalir.

Olay Mudahale Plani Olusturma

Etkin bir olay mudahale plani, saldiri aninda kaos yerine koordineli bir yanit saglar. Plan olusturulurken dikkat edilmesi gereken temel unsurlar:

Plan Icerigi

1. Kapsam ve amac tanimi: Planin hangi olay turlerini kapsadigi
2. Roller ve sorumluluklar: RACI matrisi ile gorev dagilimi
3. Olay siniflandirma kriterleri: Oncelik seviyesi belirleme olcutleri
4. Iletisim proseduru: Ic ve dis bilgilendirme surecleri, KVKK kapsaminda veri ihlal bildirimi
5. Eskalasyon matrisi: Hangi durumlarda kimin bilgilendirilecegi
6. Teknik prosedurler: Senaryo bazli playbook'lar
7. Ucuncu taraf koordinasyonu: Hukuk danismani, siber sigorta, adli bilisim firmasi iletisim bilgileri

Tatbikat ve Test

Olay mudahale planinin etkinligi ancak duzenli tatbikatlarla dogrulanabilir:

• Masa basi egitimler: Ceyrekte bir senaryo bazli tartismalar
• Canli simulasyonlar: Yilda en az bir kez kontrolllu saldiri simulasyonu
• Kirmizi takim tatbikatlari: Bagimsiz ekip tarafindan gerceklestirilen saldiri testleri
• Purple team calismalari: Saldiri ve savunma ekiplerinin birlikte calisarak bosluk analizi yapmasi

Turkiye'de Siber Guvenlik Mevzuati

Turkiye'de siber guvenlik alaninda uyulmasi gereken temel duzenlemeler sunlardir:

KVKK (Kisisel Verilerin Korunmasi Kanunu)

6698 sayili KVKK, kisisel veri isleme ve koruma yukumlulukleri getirir. Veri ihlali durumunda:

• Kisisel Verileri Koruma Kuruluna 72 saat icinde bildirim zorunlulugu
• Ilgili kisilerin en kisa surede bilgilendirilmesi
• Idari para cezalari (2026 itibariyle 10 milyon TL'ye kadar)

BTK ve USOM Duzenlemeleri

Bilgi Teknolojileri ve Iletisim Kurumu (BTK) bunyesindeki USOM (Ulusal Siber Olaylara Mudahale Merkezi):

• Kritik altyapi operatorleri icin zorunlu olay bildirimi
• SOME (Sektorel/Kurumsal Siber Olaylara Mudahale Ekibi) kurma zorunlulugu
• Yillik siber guvenlik denetim gereksinimleri

Cumhurbaskanligi Dijital Donusum Ofisi

Ulusal Siber Guvenlik Stratejisi ve Eylem Plani cercevesinde kurumsal yukumlulukler belirlenmistir. Kamu kurumlari ve kritik altyapi isletmecileri icin ek gereksinimler mevcuttur.

Sektorel Duzenlemeler

Sektor	Duzenleyici	Temel Gereksinimler
Bankacilik	BDDK	Bilgi sistemleri yonetmeligi, siber guvenlik tatbikatlari
Saglik	Saglik Bakanligi	SBYS guvenlik standartlari
Enerji	EPDK	SCADA guvenlik gereksinimleri
Telekomunikasyon	BTK	ISO 27001 zorunlulugu

Smart Maple olarak Ankara merkezli projelerimizde, musterilerimizin hem teknik guvenlik gereksinimlerini hem de yerel mevzuat uyumlulugunu birlikte ele alan butunlesik cozumler sunuyoruz.

Temel Metrikler ve KPI'lar

SOC ve olay mudahale sureclerinin etkinligini olcmek icin takip edilmesi gereken metrikler:

• MTTD (Mean Time to Detect): Tehdidin tespit edilme suresi. Hedef: 24 saatten az
• MTTR (Mean Time to Respond): Tespit edildikten sonra mudahale suresi. Hedef: 1 saatten az
• MTTC (Mean Time to Contain): Sinirdirma suresi. Hedef: 4 saatten az
• Yanlis Pozitif Orani: Toplam uyarilardaki yanlis alarm yuzdesi. Hedef: %20'nin altinda
• Otomasyon Orani: Otomatik olarak kapanan uyari yuzdesi. Hedef: %60'in uzerinde
• Olay Tekrarlama Orani: Ayni kok nedenden kaynaklanan tekrar eden olaylar. Hedef: %5'in altinda

Sonuc ve Oneriler

Siber guvenlik olay mudahale ve SOC operasyonlari, teknolojiyle birlikte insan ve sureclerin uyumlu calismasini gerektiren kapsamli bir disiplindir. Basarili bir yapilanma icin oneriler:

1. Mevcut durumu degerlendirin: SOC olgunluk seviyenizi belirleyin ve gercekci hedefler koyun
2. Temellerden baslayin: Pahali araclardan once surecleri ve dokumantasyonu olusturun
3. Otomasyona yatirim yapin: Tekrarlayan gorevleri otomatiklestirerek analist verimliligini artirin
4. Duzenli tatbikat yapin: Planlar kagit uzerinde kalmamali, gercege yakin senaryolarla test edilmeli
5. Mevzuati takip edin: Turkiye'deki hizla degisen siber guvenlik mevzuatina uyumu saglayin
6. Metriklerle yonetin: Olcemediginiz seyi iyilestiremezsiniz; temel KPI'lari duzenli takip edin

Siber tehditler surekli evrilirken, kurumsal savunma stratejileri de dinamik ve uyumlu olmak zorundadir. Yapilandirilmis bir SOC ve etkin bir olay mudahale sureci, bu savunmanin en kritik bilesenlerini olusturur.