Uçtan Uca SOC İş Akışı, Otomasyon (SOAR), Kalite Yönetimi ve Öz-Denetim

Kazanimlar:

• Toplama, tespit, triyaj, soruşturma, müdahale, iyileştirme, raporlama ve geri beslemeden oluşan uçtan uca bir SOC iş akışını, yapay zekanın ve insan kapılarının yerini belirterek tasarlayabilme
• Otomasyonu risk düzeyine göre ayırıp (düşük riskli/geri dönülebilir adımlar otomatik, yüksek riskli/geri dönülemez adımlar insan kapısında) her otomatik eyleme geri alma yolu tasarlayabilme
• Yanlış pozitif/negatif oranı, MTTD/MTTR, çıktı doğruluğu ve model kaymasını düzenli ölçen bir öz-denetim ve geri besleme döngüsü kurabilme

Bu son ünite, modül boyunca ayrı ayrı öğrendiğimiz parçaları — log analizi, tehdit avı, zafiyet yönetimi, olay müdahale, phishing, kod incelemesi, istihbarat, raporlama — tek bir uçtan uca iş akışında birleştirir. Gerçek bir güvenlik operasyon merkezinde (SOC) bu adımlar birbirinden kopuk değildir; bir alarm bir soruşturmayı, o bir müdahaleyi, o bir raporu ve o da bir iyileştirmeyi tetikler. Yapay zeka bu zincirin her halkasında yer alır, ama zinciri tutan ve her kritik kapıda karar veren insandır.

Ayrıca bu ünite iki kritik konuyu işler. Birincisi otomasyon: SOAR (Security Orchestration, Automation and Response — güvenlik süreçlerini otomatikleştiren ve düzenleyen platform) ile YZ birleşince güç de risk de artar; neyin otomatikleştirilebileceğini ve neyin asla insan onayından çıkarılamayacağını ayırmak gerekir. İkincisi kalite yönetimi ve öz-denetim: YZ destekli bir güvenlik operasyonu bir kez kurulup bırakılmaz; sürekli izlenir, ölçülür, geri beslenir ve düzeltilir. Otomasyon hızı artırır ama sorumluluğu ortadan kaldırmaz; bir güvenlik programı ancak düzenli öz-denetimle güvenli kalır.

Uçtan uca SOC iş akışı

Tipik bir olay yaşam döngüsünde YZ'nin nerede devreye girdiğini ve kimin onayladığını görelim:

1. Toplama ve izleme: Loglar SIEM'e akar; YZ gürültüyü azaltır, özetler. (Otomatik, düşük risk.)
2. Tespit ve alarm: Kural + anomali + YZ örüntü tespiti. (Otomatik üretim; triyaj insanda.)
3. Triyaj: Alarm gerçek mi, yanlış pozitif mi? YZ gerekçe ve öncelik önerir; analist doğrular. (İnsan kapısı.)
4. Soruşturma: YZ kanıtı toplar, timeline kurar, kök neden sıralar; analist ham kanıtla teyit eder. (İnsan kapısı.)
5. Müdahale: İzolasyon, kilitleme, temizleme. YZ seçenek/etki sunar; karar yetkili analistte. (Kritik insan kapısı.)
6. İyileştirme: Zafiyet kapatma, kök neden giderme. YZ plan taslağı; onay değişiklik yönetiminde. (İnsan + süreç.)
7. Raporlama: YZ taslak yazar, izleyiciye uyarlar; uzman kanıtla doğrular ve imzalar. (İnsan kapısı.)
8. Ders çıkarma ve geri besleme: YZ örüntüleri çıkarır; ekip tespit kurallarını ve playbook'ları günceller. (İnsan + süreç.)

Bu zincirin kuralı: düşük riskli, tekrarlı, geri dönülebilir adımlar otomatikleştirilebilir; yüksek riskli, geri dönülemez, yargı gerektiren adımlar insan kapısından geçer.

Otomasyon karar tablosu

Adım

Otomatikleştirilebilir mi

Koşul

İnsan onayı

Log toplama, normalleştirme

Evet, tam

—

Gerekmez

Alarm zenginleştirme (IOC arama)

Evet

Kaynak güvenilir

Gözden geçirilir

Yanlış pozitif eleme (bilinen iyi)

Kısmen

Sıkı kural

Örnekleme ile denetlenir

Phishing e-postayı karantinaya alma

Kısmen

Yüksek kesinlik

İnceleme + geri alma yolu

Bir hesabı otomatik kilitleme

Dikkatli

Sadece net kriter

Hızlı insan teyidi

Sunucuyu izole etme

Genelde hayır

Kritik altyapı hariç

Zorunlu insan kararı

Yama uygulama (üretim)

Hayır

—

Test + değişiklik yönetimi

Resmi rapor / bildirim

Hayır

—

Uzman + hukuk

Kalite yönetimi ve öz-denetim

YZ destekli bir güvenlik operasyonu canlı bir sistemdir; performansı zamanla değişir (yeni saldırılar, değişen ortam, model güncellemeleri). Bunu güvenli tutmak için düzenli ölçüm gerekir:

• Yanlış pozitif ve yanlış negatif oranı: YZ ne sıklıkla boşuna alarm üretiyor, ne sıklıkla gerçek tehdidi kaçırıyor? Yanlış negatif özellikle izlenir çünkü sessizce zarar verir.
• MTTD / MTTR: Ortalama tespit ve müdahale süresi iyileşiyor mu?
• YZ çıktı doğruluğu: Örnekleme ile YZ'nin özet/bulgu/atıflarının ne kadarı doğrulamayı geçiyor?
• Otomasyon güvenliği: Otomatik eylemler beklendiği gibi mi çalışıyor, yanlış tetiklenme var mı, geri alma yolları çalışıyor mu?
• Geri besleme döngüsü: Bulunan gerçek olaylar yeni tespit kurallarına, boşa çıkan alarmlar istisna listelerine dönüşüyor mu?

Terimler: MTTD (Mean Time To Detect — ortalama tespit süresi). Geri besleme döngüsü (feedback loop), operasyonun kendi sonuçlarından öğrenip kurallarını güncellemesidir. Model kayması (drift), YZ'nin ortam değiştikçe eski kalması ve performans düşmesidir. Öz-denetim (self-audit), ekibin kendi süreçlerini düzenli, eleştirel gözden geçirmesidir.

Üç mini vaka

Vaka 1 — Doğru otomasyon. Bir SOC, "bilinen zararlı IOC'lerle eşleşen ve düşük riskli bir kategoride olan alarmları otomatik zenginleştirip önceliklendirme" adımını otomatikleştirir; ama "bir sunucuyu izole etme" adımını daima insan onayında bırakır. Sonuç: analistler günde 400 rutin alarmdan kurtulup gerçek soruşturmalara zaman ayırır, kritik kararlar insanda kalır. Zincirin doğru yeri otomatik, doğru yeri insan.

Vaka 2 — Otomasyonun ters tepmesi. Başka bir SOC, "şüpheli girişte hesabı otomatik kilitle" kuralını çok geniş tanımlar. Bir gün bir yapılandırma hatası yüzünden kural 1.200 meşru kullanıcıyı aynı anda kilitler ve iş durur; üstelik geri alma yolu tanımlanmamıştır. Ders: yüksek etkili otomasyonun sıkı kriteri, kademeli devreye alması ve mutlaka bir geri alma yolu olmalıdır. Otomasyon geri dönülebilir olmalı ve öz-denetimle izlenmelidir.

Vaka 3 — Öz-denetimin yakaladığı kayma. Bir ekip üç aylık öz-denetimde, YZ'nin phishing tespit doğruluğunun düştüğünü fark eder: yeni bir phishing dalgası eski örüntülere uymadığı için kaçırılmaktadır (model kayması). Ekip örnekleri toplar, tespit kurallarını günceller ve YZ'ye verilen bağlamı yeniler. Düzenli öz-denetim olmasaydı bu sessiz kaçırma aylarca sürebilirdi. Ders: performans bir kez iyi diye hep iyi kalmaz; ölçüm ve geri besleme şarttır.

Zayıf prompt / Güçlü prompt

Zayıf prompt:

SOC'umuzu tamamen otomatikleştir, YZ her şeyi halletsin.

Bu istem otomasyonu risk ayrımı yapmadan istiyor, insan kapılarını yok sayıyor, geri alma ve denetimi düşünmüyor. Uygulanırsa yüksek riskli kararlar denetimsiz otomatikleşir ve ilk hatada felakete döner.

Güçlü prompt:

Rolün: SOC süreç tasarımında danışman. Şu olay yaşam döngüsü adımlarını[listele] risk düzeyine göre üçe ayır: (A) tam otomatikleştirilebilir(düşük risk, geri dönülebilir, tekrarlı), (B) YZ önerir + insan onaylar,(C) daima insan kararı (yüksek risk, geri dönülemez). Her (A) ve (B) içinzorunlu bir geri alma yolu ve bir izleme metriği öner. Ayrıca üç aylık biröz-denetim kontrol listesi taslağı çıkar: yanlış pozitif/negatif oranı,MTTD/MTTR, YZ çıktı doğruluğu örneklemesi, model kayması işaretleri.

Güçlü istem otomasyonu risk düzeyine göre ayırır, geri alma ve izleme ister, öz-denetim çerçevesini kurar.

Kopyalanabilir prompt şablonları

OTOMASYON RİSK AYIRMA ŞABLONUŞu güvenlik iş akışı adımlarını üçe ayır: (A) tam otomatik uygun, (B) YZönerir insan onaylar, (C) daima insan kararı. Her adım için gerekçe, geridönülebilirlik ve iş etkisi yaz. Yüksek etkili adımlar için zorunlu gerialma yolu öner. Adımlar: [listele]

GERİ ALMA (ROLLBACK) TASARIM ŞABLONUŞu otomatik eylem için [örn. hesap kilitleme] bir güvenli tasarım öner:tetikleme kriteri (dar mı), kademeli devreye alma, yanlış tetiklenmedegeri alma adımı, uyarı ve insan teyidi noktası. Kör otomasyondan kaçınacakşekilde tasarla. Eylem: [yaz]

ÖZ-DENETİM KONTROL LİSTESİ ŞABLONUBir YZ destekli SOC için üç aylık öz-denetim kontrol listesi taslağı çıkar:yanlış pozitif/negatif oranı, MTTD/MTTR eğilimi, YZ çıktı doğruluğuörneklemesi, otomasyon yanlış tetiklenmeleri, model kayması işaretleri,geri besleme döngüsünün işleyişi, gizlilik/anonimleştirme uyumu. Her maddeiçin nasıl ölçüleceğini yaz.

GERİ BESLEME DÖNGÜSÜ ŞABLONUŞu gerçek olaydan / boşa çıkan alarmdan öğrenilecekleri çıkar: (1) yeni birtespit kuralına dönüşecek örüntü, (2) istisna listesine eklenecek yanlışpozitif, (3) güncellenecek playbook adımı, (4) YZ'ye verilecek yeni bağlam.Olay/alarm özeti: [yapıştır]

Sık yapılan hatalar

• Yüksek riskli adımı otomatikleştirmek. Sunucu izolasyonu, üretim yaması, resmi bildirim gibi geri dönülemez adımlar insan kapısından çıkarılmaz.
• Geri alma yolu tasarlamamak. Her otomatik eylemin yanlış tetiklenmesi mümkündür; geri alma ve teyit noktası olmadan otomasyon tehlikelidir.
• Kurup unutmak. YZ performansı ortam değiştikçe kayar; düzenli öz-denetim ve ölçüm olmadan sessiz kaçırmalar birikir.
• Sadece yanlış pozitifi izlemek. Yanlış negatif (kaçırılan gerçek tehdit) daha tehlikelidir ama daha zor görülür; onu özel olarak izleyin.
• Geri beslemeyi ihmal etmek. Bulunan olaylar yeni kurala, boşa çıkan alarmlar istisnaya dönüşmezse operasyon öğrenmez ve aynı hatayı tekrarlar.

İpucu: Otomasyon kararında altın soru: "Bu eylem yanlış tetiklenirse geri alınabilir mi ve iş etkisi ne?" Cevap "kolayca geri alınır, düşük etki" ise otomatikleştirin; "geri alınamaz ya da yüksek etki" ise insan kapısında tutun.

Dikkat: Otomasyon sorumluluğu ortadan kaldırmaz, yalnızca hızlandırır. Yanlış tasarlanmış bir otomatik eylem, bir insanın yapabileceğinden çok daha hızlı ve geniş zarar verir. Her otomasyon dar kriter, geri alma yolu ve düzenli denetimle çevrilir; nihai sorumluluk her zaman insandadır.

Özetle

Bu ünite modülün tüm parçalarını uçtan uca bir SOC iş akışında birleştirdi: toplama, tespit, triyaj, soruşturma, müdahale, iyileştirme, raporlama ve geri besleme. YZ her halkada yer alır ama zinciri tutan ve her kritik kapıda karar veren insandır. Otomasyon (SOAR + YZ) gücü artırır; kural nettir: düşük riskli, geri dönülebilir, tekrarlı adımlar otomatikleşir, yüksek riskli ve geri dönülemez adımlar insan kapısından geçer, ve her otomasyonun bir geri alma yolu olur. Son olarak, YZ destekli bir güvenlik programı canlıdır: yanlış pozitif/negatif, MTTD/MTTR, çıktı doğruluğu ve model kayması düzenli ölçülür; bulunanlar geri besleme döngüsüyle kurallara ve playbook'lara döner. Otomasyon sorumluluğu hızlandırır, kaldırmaz; öz-denetim güvenliği canlı tutar.

Uygulama görevi

Kendi kurumunuzun (ya da örnek bir SOC'un) olay yaşam döngüsünü yazın. "Otomasyon Risk Ayırma" şablonuyla her adımı A/B/C olarak sınıflayın ve en az bir "yüksek etkili" adım için "Geri Alma Tasarım" şablonuyla güvenli bir otomasyon tasarımı çıkarın. Sonra "Öz-Denetim Kontrol Listesi" şablonuyla üç aylık bir denetim listesi hazırlayın ve her metriği kendi ortamınızda nasıl ölçeceğinizi belirleyin.

Kontrol listesi

• [ ] Olay yaşam döngüsünün her adımını A/B/C risk sınıfına ayırdım.
• [ ] Yüksek riskli, geri dönülemez adımları insan kapısında tuttum.
• [ ] Her otomatik eyleme dar kriter ve geri alma yolu tasarladım.
• [ ] Yanlış pozitif ve özellikle yanlış negatif oranını izleme planına aldım.
• [ ] MTTD/MTTR ve YZ çıktı doğruluğunu düzenli ölçmeyi planladım.
• [ ] Model kayması için üç aylık öz-denetim kontrol listesi kurdum.
• [ ] Bulunan olayları ve boşa çıkan alarmları geri besleme döngüsüne bağladım.

Modul Sinavi

1. Bir SIEM triyaj yapay zekası bir alarmı 'düşük öncelik, muhtemelen yanlış pozitif' diye işaretleyip listenin sonuna attı. Analist bu alarm için ne yapmalıdır?

• A) Alarmı yine de bağımsız kontrol eder ve ham kanıtla doğrular; kapatma kararını analist olarak verir ve kayda geçer ✔
• B) Yapay zeka düşük öncelik dediği için alarmı incelemeden otomatik kapatır
• C) Alarmı bir sonraki vardiyaya olduğu gibi devreder
• D) Sadece yapay zekanın verdiği özete bakıp raporu geçer

Aciklama: Yapay zekanın önceliklendirmesi bir öneridir, bir tanı değildir; 'düşük öncelik' işareti gerçek bir saldırıyı örtebilir (yanlış negatif). Analist alarmı yine de bağımsız kontrol etmeli, ham kanıtla doğrulamalı ve kapatma kararını kendisi vererek kayda geçmelidir. Negatif bir yapay zeka çıktısı 'tehdit yok' garantisi değildir.

2. Yapay zekanın gerçek bir saldırıyı 'normal' diye etiketlemesi ve analistin buna güvenip kendi analizini gevşetmesi hangi risklerin birleşimidir?

• A) Yalnızca yanlış pozitif ve alarm yorgunluğu
• B) Yanlış negatif ve otomasyon yanlılığı (yapay zekaya aşırı güven) ✔
• C) Yalnızca log kaynağı eksikliği
• D) Yalnızca SIEM kural hatası

Aciklama: Modelin gerçek tehdidi kaçırması bir yanlış negatiftir; analistin yapay zekaya aşırı güvenip bağımsız incelemesini bırakması ise otomasyon yanlılığıdır. İkisi birleştiğinde insan denetiminin varlık nedeni ortadan kalkar ve saldırı tümüyle atlanabilir. Bu yüzden yapay zekanın 'temiz' dediği alanlar da mutlaka incelenir.

3. Yapay zeka bir önceliklendirme sırasında 'CVE-2024-88888, CVSS 9.8, hemen yamalayın' dedi. Analist ilk olarak ne yapmalıdır?

• A) CVE'yi güvenilir sayıp yamalama planını hemen başlatır
• B) Yalnızca CVSS 9.8 olduğu için başka hiçbir zafiyete bakmadan bunu ilk sıraya koyar
• C) CVE numarasını ve puanını NVD/satıcı kaydında doğrular; kayıt yoksa uydurma olabileceğini bilerek listeye almaz ✔
• D) CVE'yi doğrulamadan yönetici raporuna 'kritik tehdit' olarak yazar

Aciklama: Dil modelleri var olmayan bir CVE numarasını ve puanı akıcı biçimde uydurabilir (halüsinasyon). Analist yamalama planına almadan önce CVE'yi NVD/satıcı kaydında doğrulamalı, gerçekliğini ve puanını teyit etmelidir. Doğrulanmamış bir CVE önce kaynağa bağlanır; yoksa ekip var olmayan bir yamanın peşinde zaman kaybeder.

4. Bir uzman, bir olay incelemesini hızlandırmak için ham güvenlik duvarı logunu gerçek iç IP'ler, kullanıcı adları ve VPN sunucu isimleriyle birlikte herkese açık bir yapay zeka aracına yapıştırıyor. Buradaki temel sorun nedir?

• A) Yapay zeka log formatını okuyamaz, bu yüzden analiz işe yaramaz
• B) Logun çok uzun olması modeli yavaşlatır
• C) Güvenlik duvarı logları zaten analiz için uygun değildir
• D) Gerçek IP, kullanıcı ve sunucu isimleri anonimleştirilmeden paylaşılıyor; bu hem KVKK ihlali hem de kuruma ait ağ haritasının dışarı sızmasıdır ✔

Aciklama: Güvenlik verisi hem kişisel veri (kullanıcı, IP) hem de kurumun saldırı yüzeyini ele veren kurumsal istihbarattır (ağ topolojisi, sunucu isimleri). Bunu anonimleştirmeden kurum dışı bir araca vermek hem KVKK ihlalidir hem de saldırgana yarayacak bir ağ haritasını dışarı taşır. Önce gerçek değerler tutarlı yer tutucularla maskelenir.

5. Bir tehdit avı hangi özelliğiyle iyi tasarlanmış sayılır?

• A) Somut, sınanabilir bir hipotezle başlar ve bulunan iz ham kanıtla doğrulanır ✔
• B) Yapay zekaya 'ağımda saldırgan var mı bul' diyerek başlar
• C) Bulunan her aykırı/nadir olayı otomatik olarak saldırı ilan eder
• D) Sadece bir alarm geldiğinde çalışır, proaktif değildir

Aciklama: İyi bir tehdit avı alarmla değil, doğru ya da yanlış çıkabilecek somut ve sınanabilir bir hipotezle başlar (örneğin 'X hesabı iş dışı saatte 50'den fazla iç IP'ye bağlandı mı'). 'Ağımda kötü bir şey var mı' gibi belirsiz bir soru sınanamaz ve yapay zekayı tahmine iter. Bulunan iz ham kanıtla doğrulanmadan tehdit sayılmaz.

6. Bir zafiyet, iç ağdaki izole bir test sunucusunda CVSS 9.1 puanına sahip; aynı listede internete açık bir sunucuda CVSS 7.5 ama KEV listesinde (fiilen istismar edilen) bir zafiyet daha var. Doğru önceliklendirme nedir?

• A) Her zaman en yüksek CVSS'li olan (9.1) önce yamalanır
• B) İnternete açık ve KEV listesindeki 7.5'lik zafiyet öne alınır; CVSS tek ölçüt değil, maruziyet ve fiili istismar belirleyicidir ✔
• C) İkisi de aynı anda ve aynı öncelikle yamalanır, ayrım gereksizdir
• D) Test sunucusundaki zafiyet olduğu için hiçbiri yamalanmaz

Aciklama: CVSS tek başına öncelik belirlemez; gerçek risk EPSS (istismar olasılığı), KEV (fiili istismar) ve kurum bağlamıyla (maruziyet, kritiklik, telafi edici kontrol) belirlenir. İnternete açık ve fiilen istismar edilen (KEV) zafiyet, izole ve düşük olasılıklı yüksek-CVSS'li zafiyetin önüne geçer.

7. Bir olay müdahalesinde yapay zeka 'IC_HOST_7 kaynaklı trafik şüpheli, bu sunucuyu izole edin' diyor. IC_HOST_7 ise kurumun ana kimlik doğrulama sunucusudur. Analist ne yapmalıdır?

• A) Yapay zeka söylediği için sunucuyu hemen izole eder
• B) İzolasyon kararını tümüyle yapay zekaya bırakır
• C) Önce iş etkisini ve trafiğin nedenini değerlendirir; kritik altyapıyı etkisini ölçmeden izole etmez ve kararı analist olarak verir ✔
• D) Sunucuyu izole edip ardından tüm logları siler

Aciklama: İzolasyon geri dönüşü zor ve iş kesintisine yol açabilen kritik bir karardır; yapay zekaya devredilemez. Kimlik doğrulama sunucusunu izole etmek tüm çalışanların girişini durdurabilir. Analist önce iş etkisini ve trafiğin nedenini (meşru bir işlem olabilir) değerlendirmeli, kararı kendisi vermeli; yapay zekanın önerisini emir gibi uygulamamalıdır.

8. Bir fidye yazılımı olayında ekip, etkilenen bir makineyi hızlıca temizlemek için yeniden kurmak istiyor; ancak makinede henüz toplanmamış adli kanıt (bellek dökümü, saldırgan araçları) var. Doğru yaklaşım nedir?

• A) Makine hemen yeniden kurulur; kanıt önemsizdir
• B) Yapay zekaya 'en hızlı temizleme' sorulup çıkan talimat körlemesine uygulanır
• C) Kanıt zaten logda vardır diye makine kapatılıp atılır
• D) Önce adli imaj ve bellek dökümü alınıp kanıt korunur, ardından temizlik/kurtarma yapılır ✔

Aciklama: Kurtarma hızı, kanıt korumanın önüne geçemez. Makineyi kanıt toplamadan yeniden kurmak kanıt zincirini (chain of custody) yok eder ve adli/hukuki süreci sakatlar. Önce adli imaj ve bellek dökümü alınır, sonra temizlik/kurtarma yapılır. Adli adımlar yapay zekaya devredilmez.

9. Bir şüpheli phishing e-postasını analiz ederken en güvenilir teknik doğrulama katmanlarından biri hangisidir ve nasıl teyit edilmelidir?

• A) E-posta başlıklarındaki SPF/DKIM/DMARC sonuçları; yapay zekanın özetinden değil ham başlıktan teyit edilir ✔
• B) E-postanın rengi ve yazı tipi; görsel tasarımdan karar verilir
• C) Şüpheli bağlantıya canlı sistemde tıklayıp açılan sayfaya bakmak
• D) Yapay zekanın 'phishing' demesi tek başına yeterli kanıttır

Aciklama: E-posta başlıklarındaki SPF/DKIM/DMARC sonuçları, e-postanın gerçekten iddia ettiği alandan gelip gelmediğini gösteren güçlü göstergelerdir; üçü birden başarısızsa ve gönderen alanı taklitse şüphe güçlenir. Ancak bu, yapay zekanın özetinden değil ham başlıktan teyit edilmelidir. Ayrıca şüpheli bağlantılar canlı sistemde asla tıklanmaz.

10. Yapay zeka bir kod incelemesinde bir XSS zafiyeti için düzeltme önerdi ve 'bu açığı kapatır' dedi. Analist/geliştirici ne yapmalıdır?

• A) Düzeltmeyi güvenilir sayıp doğrudan üretime alır
• B) Düzeltmeyi gözden geçirir, açığı gerçekten kapattığını ve yeni açık/hata getirmediğini teyit eder ve test yazar; ancak öyle depoya alır ✔
• C) Emin olmadığı için tüm dosyayı yapay zekaya yeniden yazdırıp onu kullanır
• D) Düzeltmeyi uygular ama hiçbir test yazmadan geçer

Aciklama: Yapay zekanın önerdiği düzeltme otomatik olarak güvenli değildir; açığı tam kapatmayabilir, yanlış katmanda temizleme yapabilir ya da yeni bir açık/işlevsel hata getirebilir. Her yama gözden geçirilir, açığı gerçekten kapatıp kapatmadığı ve yeni sorun getirip getirmediği değerlendirilir, pozitif ve negatif test durumları yazılır; ancak ondan sonra depoya girer.

11. Yapay zeka bir saldırıyı analiz ederken 'bu kesinlikle APT-Karanlık Kartal grubunun işidir' dedi. Tehdit istihbaratı açısından doğru yaklaşım nedir?

• A) Atfı olduğu gibi kabul edip rapora 'kesin fail' olarak yazar
• B) Grup adını hiç sorgulamadan tüm savunmayı o gruba göre kurar
• C) Kesin atıf yerine 'tekniklerle uyumlu' dilini kullanır, grubu bilinen kaynakta doğrular ve uydurma olabileceğini hesaba katar ✔
• D) Atıf her zaman gereksizdir, hiç değerlendirmeye almaz

Aciklama: Grup atfı istihbaratın en zor ve en çok yanılan alanıdır; yapay zeka var olmayan bir grup adı bile uydurabilir. Kesin atıf yerine 'şu tekniklerle uyumlu' dili kullanılır ve grup adı bilinen istihbarat kaynaklarında doğrulanır. Ayrıca savunma kısa ömürlü IOC'lere değil, kalıcı TTP tespitine kurulur.

12. Yapay zeka bir olay raporu taslağına 'saldırgan büyük olasılıkla üç haftadır içerideydi ve müşteri verisini dışarı sızdırdı' cümlesini yazdı; oysa bu iddiaları destekleyen kesin log kanıtı yok. Analist ne yapmalıdır?

• A) Cümleyi olduğu gibi bırakır çünkü dramatik ve etkileyicidir
• B) Cümleyi bırakır ama sonuna 'yapay zeka yazdı' notu ekler
• C) Raporu tümüyle yapay zekaya yeniden yazdırıp doğrulamadan imzalar
• D) İddiaları kanıta göre düzeltir; 'olası/kanıtlandı/araştırılıyor' ayrımını net yapar ve kanıtsız kesin ifadeyi çıkarır ✔

Aciklama: Resmi bir güvenlik raporunda her iddia kanıta bağlanmalı ve 'olası' ile 'kanıtlandı' asla karıştırılmamalıdır. Kanıtsız bir iddia hukuki, mali ve itibar sonuçları doğurur. Analist cümleyi kanıta göre düzeltmeli (örneğin tespit edilen ilk erişim tarihini yazıp, veri sızıntısı için 'kesin kanıt bulunamadı, araştırma sürüyor' demeli).

13. Bir yönetici, bir çalışanın 'sadık olup olmadığını' anlamak için güvenlik loglarından o kişinin tüm aktivitesini yapay zekayla profilletmek istiyor. Güvenlik uzmanı ne yapmalıdır?

• A) Talebi reddeder ve uygun kanala (İK/hukuk/tanımlı soruşturma) yönlendirir; güvenlik verisi kişisel gözetim aracı değildir ✔
• B) Yönetici istediği için profili çıkarır ve teslim eder
• C) Sadece bazı logları çıkarıp kısmi bir profil verir
• D) Profili yapay zekaya çıkarttırır çünkü sorumluluk yapay zekaya geçer

Aciklama: Güvenlik verisi güvenlik amacıyla toplanır; bir kişiyi izlemek/profillemek amaç dışı kullanımdır, kişisel gözetime dönüşür ve KVKK'yı ihlal eder. Uzman bu talebi reddetmeli ve uygun kanala (İK, hukuk, tanımlı ve meşru bir soruşturma çerçevesi) yönlendirmelidir. İyi niyet veya yöneticinin isteği bu sınırı meşru kılmaz.

14. Bir SOC, güvenlik iş akışının hangi adımlarını otomatikleştireceğine karar veriyor. Otomasyon için en doğru ilke hangisidir?

• A) En yüksek riskli kararlar önce otomatikleştirilmeli, böylece insan hiç karışmaz
• B) Düşük riskli/geri dönülebilir adımlar otomatikleşir; yüksek riskli/geri dönülemez adımlar insan kapısında kalır ve her otomasyonun bir geri alma yolu olur ✔
• C) Tüm SOC tamamen otomatikleştirilmeli ve öz-denetim gereksizdir
• D) Otomatik eylemlerin geri alma yoluna gerek yoktur çünkü yapay zeka hata yapmaz

Aciklama: Düşük riskli, tekrarlı ve geri dönülebilir adımlar (log toplama, alarm zenginleştirme) otomatikleştirilebilir; yüksek riskli, geri dönülemez ve yargı gerektiren adımlar (sunucu izolasyonu, üretim yaması, resmi bildirim) insan kapısından geçer. Ayrıca her otomatik eylemin dar bir kriteri ve bir geri alma yolu olmalıdır. Otomasyon sorumluluğu kaldırmaz, yalnızca hızlandırır.