TR / EN

Katmanlı Siber Güvenlik Mimarisi Nasıl Kurulur?

Siber güvenlik yol haritası ürün logolarıyla başladığında genellikle iki sonuç çıkar: aynı olayı gören fakat konuşmayan araçlar ve kimsenin düzenli işletmediği pahalı kontroller. Katmanlı güvenliğin anlamı daha fazla kutu satın almak değildir. Bir saldırı veya hata tek kontrolü geçtiğinde sonraki katmanın bunu önlemesi, tespit etmesi, etkisini sınırlaması ya da sistemi güvenilir biçimde kurtarmasıdır.

8 Haziran 2026 tarihinde orta ölçekli, çok lokasyonlu bir kurumun mimarisini olgunlaştırırken kullanıcıdan veriye kadar güven yollarını çıkardık. NGFW, EDR/XDR, e-posta güvenliği, kimlik, SIEM, MDR/SOC, DLP, PAM, WAF ve yedeklemeyi ayrı satınalma başlıkları yerine risk senaryolarındaki görevleriyle değerlendirdik. Her kontrol için veri kaynağı, sahibi, müdahale süresi, bağımlılık ve başarısızlık halinde telafi edici katman tanımladık.

Sorunun ortaya çıkışı

Kurumda yeni nesil güvenlik duvarı, uç nokta koruması ve yedekleme vardı; buna rağmen yönetim “ne kadar güvendeyiz?” sorusuna kanıtlı cevap alamıyordu. E-posta olayları ayrı, kimlik uyarıları ayrı ekipte kalıyor, kritik sunuculardaki ayrıcalıklı erişim kişisel bilgilerle yürüyordu. Kontrollerin varlığı biliniyor fakat kapsama oranı, alarm sahipliği ve kurtarma testi ortak görünümde izlenmiyordu.

İlk çalışma ürün envanteri değil, kritik iş hizmetleri ve olası etki senaryoları oldu. Kimlik ele geçirilmesi, zararlı e-posta, uç nokta ihlali, web uygulaması saldırısı, veri sızıntısı, ayrıcalık kötüye kullanımı ve fidye yazılımı sonrası kurtarma gibi yollar seçildi. Her senaryoda hangi kontrolün önlediği, hangisinin tespit ettiği ve karar verecek kişinin kim olduğu haritalandı.

İlk belirtiler ve yanlış varsayımlar

İlk yanlış varsayım, EDR kurulu tüm cihazların yönetildiği ve korunduğuydu. Envanter karşılaştırması bazı cihazların ajan dışı, bazılarının güncel olmayan politika ile çalıştığını gösterdi. SIEM’e log göndermek de izleme anlamına gelmiyordu; zaman senkronu, ayrıştırma, use case, alarm eşiği ve müdahale sahibi yoksa veri yalnızca depolanıyordu. Lisans sayısı kontrol etkinliğini ölçmüyordu.

İkinci varsayım yedek varsa fidye yazılımı riskinin kapandığıydı. Aynı kimlik düzleminden silinebilen, geri dönüşü denenmemiş veya iş RTO’sunu karşılamayan kopya kurtarma katmanı değildir. MFA’nın tüm kimlik saldırılarını çözdüğü düşüncesi de eksikti; eski protokoller, hizmet hesapları, oturum çalma ve yardım masası süreçleri ayrıca korunmalıdır. Her güçlü kontrolün sınırı vardır.

Teknik analiz

Mimari altı yetenek etrafında analiz edildi: varlık ve kimlik bilgisi, koruma, tespit, müdahale, kurtarma ve yönetişim. NGFW segment ve kontrollü geçişi; e-posta güvenliği ilk teslim kanalını; EDR uç davranışını; NDR ağ anomalilerini; WAF web uygulama sınırını kapsıyordu. SIEM korelasyon sağlıyor, SOC/MDR insan ve süreçle alarmı karara dönüştürüyordu. Bu rollerin örtüşmesi boşluk kadar görünür kılındı.

Kimlik katmanında MFA, koşullu erişim, ayrıcalıklı hesap ayrımı, PAM ve yaşam döngüsü kontrol edildi. Veri katmanında sınıflandırma, DLP, erişim gözden geçirme, şifreleme ve değiştirilemez yedek ele alındı. Her kontrol için kapsam yüzdesi yerine doğrulanabilir sorular yazıldı: kritik cihaz telemetri gönderiyor mu, alarm denenmiş mi, müdahale runbook’u var mı, geri dönüş iş sahibi tarafından kabul edilmiş mi?

Uygulanan çözüm veya önerilen mimari

Öncelik temel hijyene verildi: güncel varlık envanteri, güvenli yapılandırma, zafiyet ve yama süreci, merkezi kimlik, MFA, en az yetki ve segmentasyon. İnternet sınırında NGFW ile e-posta/web kontrolleri, uçta EDR, kritik ağlarda ek görünürlük konumlandırıldı. Loglar SIEM’de kullanım senaryosuna göre toplandı; her kaynağı sınırsız almak yerine kimlik, endpoint, firewall, e-posta ve kritik uygulama olayları önceliklendirildi.

SOC/MDR için alarm sahipliği ve eskalasyon süreleri tanımlandı. PAM ayrıcalıklı oturumları, WAF internete açık uygulamaları, DLP doğrulanmış hassas veri akışlarını kapsayacak aşamalı plana alındı. Yedekleme ayrı kimlik, değiştirilemez kopya ve düzenli restore testiyle kurtarma katmanına dönüştürüldü. Kontroller masa başında değil güvenli masaüstü tatbikatı ve izinli doğrulama senaryolarıyla ölçüldü.

Alternatifler ve karar gerekçesi

Tek üreticili platform entegrasyon ve yönetim kolaylığı sunabilir, fakat tüm yeteneklerde aynı derinliği sağlamayabilir ve bağımlılık oluşturabilir. Best-of-breed yaklaşımı uzman özellikler getirir; entegrasyon, lisans ve yetkinlik maliyeti yükselir. Kurum için temel katmanlarda mevcut platform entegrasyonlarından yararlanıp kritik boşluklarda bağımsız ürün değerlendiren dengeli model seçildi.

İç SOC kurmak kurum bilgisini içeride tutar ancak vardiya, uzmanlık ve süreklilik gerektirir. Tam MDR dış kaynak modeli hızlı kapasite sağlar; bağlam ve karar hakları iyi tanımlanmazsa yalnızca alarm ileten hizmete dönüşebilir. Hibrit modelde kurum olay sahibi ve iş kararı vereni olarak kaldı, dış ekip 7/24 izleme ve ilk analiz sağladı. Seçim bütçeden önce çalışma modeliyle gerekçelendirildi.

Güvenlik ve operasyonel riskler

Katman sayısı arttıkça yanlış yapılandırma, entegrasyon kesintisi ve alarm yorgunluğu riski büyür. Aynı olayı üç ürünün bildirmesi üç kat güvenlik değil, korelasyon yoksa üç kat iş yüküdür. API ve servis hesapları en az yetkili olmalı, sırlar kasada dönmeli, log aktarımındaki kişisel veri ve saklama süresi hukuki gereksinimlerle yönetilmelidir.

Araçlar operasyon sahibi olmadan raf ömrü dolan lisanslara dönüşür. Her kontrolün RACI’si, bakım penceresi, kapasite izlemesi, sağlık alarmı ve devreden çıkarma planı olmalıdır. Güvenlik ürününün kendisi de yönetim ağı, MFA, yedek ve güncelleme ile korunmalıdır. Kurtarma planı saldırganın kimlik ve yönetim katmanına eriştiği varsayımıyla ayrıştırılmalı; test kanıtları yönetim kuruluna risk diliyle raporlanmalıdır.

Çıkarılan Dersler

Kontrol Listesi

Bir bütçe toplantısında beş farklı kısaltmanın beş ayrı güvenlik katmanı olduğu varsayılmıştı. Sunumlarda hepsi alarm üretiyor, korelasyon yapıyor ve tehditleri görünür kılıyordu; bu yüzden ürün sayısı arttıkça kapsamanın da aynı oranda artacağı düşünülüyordu. Oysa lisans listesini veri akışlarıyla eşleştirdiğimizde bazı kayıtların üç platforma gittiğini, kritik bir ağ bölümünden ise hiçbir anlamlı telemetri gelmediğini gördük.

Bu çalışma ilk olarak 22 Temmuz 2026 tarihinde bir güvenlik yatırım planını sadeleştirirken ele alındı. Temel soru hangi kısaltmanın daha gelişmiş olduğu değil, hangi riskin kim tarafından, hangi veriyle ve ne kadar sürede yönetileceğiydi. Bu ayrım yapılmadığında güçlü bir teknoloji yığını, bakılamayan alarm kuyruklarına dönüşebiliyor.

Sorunun ortaya çıkışı

Çok lokasyonlu kurumda uç nokta koruması yenilenirken eş zamanlı olarak merkezi loglama ve yönetilen izleme hizmeti gündeme geldi. Tedarikçi görüşmelerinde EDR ürününün davranış analizi, XDR platformunun korelasyonu, SIEM çözümünün log toplaması ve NDR sisteminin ağ görünürlüğü aynı olay örnekleriyle anlatılıyordu. Yönetim doğal olarak “Bunlardan biri diğerlerinin yerini tutmuyor mu?” diye sordu.

Sorunu ürün tablosundan önce varlık ve kontrol tablosuna çevirdik. İş istasyonları, sunucular, kimlik altyapısı, e-posta, güvenlik duvarı, bulut hizmetleri ve yönetilemeyen ağ cihazları için hangi telemetrinin üretildiğini işaretledik. Ardından tespit, inceleme, müdahale ve raporlama sorumlularını yazdık. Boşlukların önemli bölümü lisans değil; sahiplik, entegrasyon ve çalışma saatleriyle ilgiliydi.

İlk belirtiler ve yanlış varsayımlar

İlk belirti aynı olayın farklı önem dereceleriyle birden fazla konsolda görünmesiydi. Ekip bir alarmı EDR üzerinde kapatıyor, SIEM kaydı açık kalıyor, hizmet sağlayıcı ise ayrı bir vaka numarası oluşturuyordu. Ortalama müdahale süresi ölçümü güvenilmez hale gelirken vardiya devrinde olayın gerçek sahibi belirsizleşiyordu.

En yaygın yanlış varsayım XDR’nin her üreticiden gelen her veriyi doğal olarak anlayacağıydı. Bir diğeri SIEM kurulunca 7/24 izleme kapasitesinin de satın alınmış sayılmasıydı. MDR bir ürün kutusu değil, insan ve süreç içeren yönetilen hizmettir; kalitesi kapsama, erişim yetkisi, müdahale sınırı ve hizmet seviyesine bağlıdır. NDR ise şifreli trafik ve sensör konumu gibi fiziksel gerçeklerden etkilenir.

Teknik analiz

EDR, uç noktadaki süreç, dosya, kayıt defteri, kullanıcı ve bağlantı davranışını izler; gerektiğinde cihazı izole etme veya süreci durdurma gibi doğrudan müdahaleler sunar. NDR, ağ akışları ve uygun noktalardaki paket veya metadata üzerinden yönetilemeyen cihazları ve doğu-batı trafiğini görmeye çalışır. İkisi farklı kör noktaları kapatır; biri diğerinin basit yükseltmesi değildir.

SIEM çok farklı sistemlerden log alır, normalleştirir, saklar ve korelasyon kuralları çalıştırır. XDR genellikle belirli güvenlik ürünleri arasında daha hazır entegrasyon ve olay odaklı inceleme sağlar; açık ekosistem iddiası ürün bazında doğrulanmalıdır. MDR ise bu teknolojilerden birini veya birkaçını işleten uzman ekiptir. Değerlendirmede günlük veri hacmi, olay başına bağlam, API kısıtları, saklama, sorgu performansı ve müdahale yetkisini ayrı satırlar halinde ölçtük.

Uygulanan çözüm veya önerilen mimari

Önerilen mimaride önce uç nokta ve kimlik telemetrisi güvenilir hale getirildi. Kritik ağ kesimleri için NDR ihtiyacı, mevcut güvenlik duvarı ve akış kayıtlarının görünürlüğüyle karşılaştırıldı. SIEM’e her logu göndermek yerine tespit, denetim veya olay inceleme değeri olan kaynaklar alındı. XDR, doğal entegrasyon sağladığı alanda hızlı müdahale katmanı olarak konumlandı.

Her alarm türü için tek bir vaka sahibi ve kayıt sistemi belirlendi. MDR sağlayıcısının hangi koşulda yalnızca bildirim yapacağı, hangi koşulda cihaz izolasyonu önereceği ve acil durumda kime ulaşacağı yazılı hale getirildi. Üç aylık kullanım senaryoları; kimlik riski, zararlı süreç, olağandışı veri hareketi ve kritik yapılandırma değişikliği üzerinden test edildi. Böylece mimari ürün adlarından değil ölçülebilir kontrol zincirlerinden oluştu.

Alternatifler ve karar gerekçesi

Tek üretici ekosistemi daha az entegrasyon eforu ve daha tutarlı olay görünümü sağlayabilir. Buna karşılık lisans bağımlılığı, desteklenen veri kaynaklarının sınırı ve gelecekte geçiş maliyeti değerlendirilmelidir. En iyi ürünlerin ayrı ayrı seçildiği yaklaşım daha esnek olabilir; fakat entegrasyon, içerik geliştirme ve çoklu konsol yükünü kurum üstlenir.

Küçük bir ekip için iyi tanımlanmış MDR hizmeti, kullanılmayan gelişmiş SIEM özelliklerinden daha fazla sonuç verebilir. Büyük ve yetkin bir SOC ise ham telemetriye, uzun saklamaya ve özel analitik geliştirmeye ihtiyaç duyabilir. Kararı özellik sayısına göre değil, kapsanan senaryo başına toplam işletme yükü, kanıtlanmış entegrasyon ve müdahale süresi üzerinden verdik.

Güvenlik ve operasyonel riskler

Bu platformlar yüksek ayrıcalık, hassas telemetri ve bazen uzaktan müdahale yetkisi taşır. Yönetici hesaplarında güçlü MFA, rol ayrımı, denetim kaydı ve acil erişim prosedürü bulunmalıdır. Sensörlerin performans etkisi pilotta ölçülmeli; otomatik izolasyon gibi aksiyonlar kritik sunucularda kontrollü uygulanmalıdır. Logların bölgesel saklama ve kişisel veri gereksinimleri hukuk ve uyum ekipleriyle değerlendirilmelidir.

En büyük operasyonel risk alarm üretip işleyememektir. Kural bakımının durması, entegrasyon anahtarlarının süresinin dolması veya sensör kapsamının gerilemesi sessiz kör noktalar yaratır. Bu nedenle aylık kapsama raporu, veri kaynağı sağlık kontrolü, örnek olay doğrulaması ve hizmet sağlayıcı performans değerlendirmesi mimarinin zorunlu parçasıdır.

Çıkarılan Dersler

Kontrol Listesi