SOAR Nedir? Güvenlik Orkestrasyon ve Otomasyon Rehberi

Hızlı cevap: SOAR (Security Orchestration, Automation and Response, güvenlik orkestrasyon otomasyon ve yanıt), bir güvenlik ekibinin gelen alarmlara verdiği tepkiyi otomatikleştiren teknolojidir. Bir güvenlik operasyon merkezi (SOC) her gün binlerce alarmla boğulur; analistlerin çoğu zamanı, aynı tekrarlı adımları (alarmı zenginleştir, bilgi topla, karar ver, aksiyon al) elle yapmakla geçer. SOAR bu adımları playbook adı verilen otomatik iş akışlarına döker: bir alarm geldiğinde SOAR onu otomatik zenginleştirir, kurala göre karar verir ve aksiyonu (hesabı kilitle, cihazı izole et, bilet aç) kendisi uygular. Böylece analistler tekrarlı işten kurtulup yalnızca gerçek insan kararı gereken olaya odaklanır. SOAR, SIEM ile karıştırılır ama farklıdır: SIEM görür ve alarm üretir, SOAR ise yanıt verir ve aksiyon alır.

Modern bir güvenlik ekibinin en büyük düşmanı saldırgan değil, alarm yorgunluğudur: o kadar çok uyarı gelir ki gerçek tehdit gürültüde kaybolur. SOAR bu sorunu çözer: tekrarlı işi makineye devredip insanı en değerli olduğu yere, karara odaklar. Bu rehber, SOAR'ı ve SIEM'den farkını dünya standardında bir netlikle anlatır.

SOAR nasıl çalışır

SOAR'ın kalbi playbook'tur: "eğer bu tür bir alarm gelirse, şu adımları otomatik uygula" biçiminde yazılmış bir iş akışı. Basit ve kesin olaylar tam otomatik çözülür; belirsiz olaylar zenginleştirilip analiste hazır sunulur. Böylece hem hız artar hem insan hatası azalır.

SOAR ile SIEM farkı

Yön	SIEM	SOAR
Ana işi	Log toplar, korelasyon, alarm	Alarma otomatik yanıt
Çıktısı	Uyarı üretir	Aksiyon uygular
Rolü	Görme (tespit)	Yapma (yanıt)
İnsan yükü	Analist alarmı inceler	Playbook çoğunu halleder

İkisi rakip değil, birlikte çalışır: SIEM tehdidi görür ve alarm üretir, SOAR o alarmı otomatik yanıtlar. Modern SOC ikisini birlikte kullanır.

SOAR ne kazandırır

• Hız. Bir olaya insan dakikalarca bakarken, SOAR saniyeler içinde yanıt verir.
• Tutarlılık. Her olay aynı doğrulanmış adımlarla ele alınır; unutma ve insan hatası azalır.
• Ölçek. Analist sayısını artırmadan çok daha fazla alarmı işleyebilirsiniz.
• Odak. İnsan, tekrarlı işten kurtulup tehdit avcılığı gibi gerçek değer üreten işe yönelir.

SOAR kurulum adımları

1. En sık ve en tekrarlı olayları belirleyin. Otomasyona buradan başlayın; en yüksek getiri en sık iştedir.
2. Playbook yazın. Her olay türü için adım adım iş akışı; önce yarı otomatik (insan onaylı) başlayın.
3. Araçları entegre edin. SIEM, EDR, güvenlik duvarı, kimlik sistemleri SOAR'a bağlanır ki aksiyonlar uygulanabilsin.
4. Kademeli otomatikleştirin. Güven arttıkça insan onayını azaltıp tam otomasyona geçin.
5. Ölçün ve iyileştirin. Yanıt süresi (MTTR) ve otomasyon oranını izleyin; playbook'ları sürekli geliştirin.

Sık sorulan sorular

SOAR analistlerin yerini alır mı? Hayır. SOAR tekrarlı işi devralır, insanı değil. Gerçek karar, bağlam ve yaratıcılık gereken olaylar hâlâ insana kalır; SOAR insanı bu değerli işe boşaltır.

Küçük SOC'un SOAR'a ihtiyacı var mı? Alarm yükü arttıkça değeri artar. Küçük ekipte bile birkaç temel playbook (oltalama e-postası, kötü amaçlı dosya) büyük zaman kazandırır.

SOAR ile SIEM'den hangisi önce gelir? Genelde önce SIEM (görünürlük) kurulur; SOAR onun ürettiği alarmları otomatikleştirmek için üzerine gelir. Görünürlük olmadan otomatikleştirilecek bir şey yoktur.

Tam otomasyon riskli değil mi? Kritik aksiyonlarda insan onayı bırakılır. Basit ve kesin olaylar tam otomatik, belirsiz ve yüksek etkili olaylar insan onaylı yürütülür; denge doğru kurulur.

Kaynaklar

• Gartner, SOAR tanımı: https://www.gartner.com
• NIST SP 800 61, Incident Handling: https://csrc.nist.gov
• MITRE ATT&CK: https://attack.mitre.org
• SANS, Security Operations: https://www.sans.org

Kurumunuzda SOC otomasyonu, SOAR playbook tasarımı ve olay müdahale olgunlaştırma için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan siber güvenlik ve olay müdahale hizmeti veriyoruz.