@DefenseIN
Açık Kaynak Kodlu Çözümler Kullanarak SOC Yönetimi
SOAR & IRM
Webinar - 2020

@DefenseIN
Musab YARDIM
Senior Security Solutions Engineer
https://musabyardim.com
LinkedIN: musabyardim
Twitter: musabyardim
Hakkımda

@DefenseIN
Ajanda DefenseIN | Webinar
SOAR & IRM kavramları
TheHive Project
TheHive Cortex
TheHive Demo
TheHive4py
Kaynaklar

@DefenseIN
SOAR & IRM Kavramları

@DefenseIN
SOAR nedir, ne işe yarar?
Security Orchestration, Automation and Response nedir ve ne işe yarar?
ØMerkezi olay yönetimi sağlar
ØSOC, SOME, IRM personelleri için ortak çalışma ortamı sunar
ØTriyaj sürelerini kısaltır
ØOlay ve vakalar ile ilgili elde edilen verileri zenginleştirir
ØManuel operasyonları otomatikleştirebilir
ØÖzet olay raporları oluşturabilir
DefenseIN | Webinar

@DefenseIN
SOAR Kimler İçin Gerekli
SOAR gerekliliği
DefenseIN | Webinar
SOAR Kullanmak İsteyen Kurumlar
ØSOC, SOME ve IR gibi ekiplere sahip olmalıdır
ØSOAR ‘ı besleyecek kaynakların envanterde yer almalıdır
ØAyrıca bu kaynaklar F/P azaltılmış alarmlar üretmelidir
ØSOAR ile ilgilenebilecek yetkinlikte personele sahip olmalıdır

@DefenseIN
SOAR Neden Gerekli
SOAR faydaları
DefenseIN | Webinar
ØSOC, SOME, IR ekiplerinin temel 2 sorunu
ØToplanan verileri tek seferde yüzlerce kaynakta arayabilmek, sorgulamak
ØTehditlere aktif olarak yanıt verebilme ve diğer ekiplerle iletişim
Ø…

@DefenseIN
SOAR ve IRM ilişkisi
Incident Response Management
DefenseIN | Webinar
ØSOAR, IRM sürecine katkı sağlar
ØOlaylar daha hızlı çözülebilir
ØIR ekibinin işini kolaylaştırır
ØIR ve diğer ekipler arası iletişim hızlanır

@DefenseIN
Open Source SOAR ?
Open Source SOAR avantaj/dezavantaj
DefenseIN | Webinar
ØLisans maliyetleri
ØCommunity desteği
ØEsneklik
ØVendor olmaması
ØKur, kullan şeklinde kolay olmayabiliyor

@DefenseIN
TheHive Project
A 4-IN-1 SECURITY INCIDENT RESPONSE PLATFORM

@DefenseIN
Open Source SOAR – TheHive Project
Open Source SOAR - TheHive Project
DefenseIN | Webinar

@DefenseIN
TheHive ile neler yapılabilir?
TheHive özellikleri
DefenseIN | Webinar
ØAlert Generation
ØCollaborate
ØIoC Enrichment
ØCase Management / Task Management
ØAnalyze & Response
ØReport & Dashboard

@DefenseIN
TheHive Örnek Mimari Yapısı
TheHive mimari yapısı
DefenseIN | Webinar

@DefenseIN
Olay Akışı
TheHive Olay Akışı (Alert-Case-Task-Analyze&Response)
Alert Source
DefenseIN | Webinar
TheHive Alarm
TheHive Case
TheHive Task
Cortex Action
(Analyze & Response)
MISP, Virus Total
Yara, Cuckoo vs.
Mail, Ticket
SIEM Actions vs.

@DefenseIN
TLP & PAP & TTP
TLP ve PAP ve TTP Kavramları
DefenseIN | Webinar
TLP: Traffic Light Protocol
PAP: Permissible Actions Protocol
TTP: Tactics, Techniques and Procedures
o TLP ve PAP case tanımlarında kullanılıyor
o Analyzer ve Reponse operasyonlarında TLP ve PAP kontrolü yaptırılıyor

@DefenseIN
TheHive Cortex
POWERFUL OBSERVABLE ANALYSIS AND ACTIVE RESPONSE ENGINE

@DefenseIN
TheHive Cortex
TheHive Cortex Özellikleri
DefenseIN | Webinar
ØCortext, TheHive’in tamamlayıcısı
ØAnalyze and Response Module
ØAynı anda yüzlerce kaynakta veri analizi yapma imkanı sunar
ØIP, Domain, Files, Hash, E-mail
Ø https://thehive-project.github.io/Cortex-Analyzers/

@DefenseIN
TheHive Cortex - Analyzer
TheHive Cortex - Analyzer Modülü
DefenseIN | Webinar
ØDefault olarak entegre yüzlerce analyzer modülü bulunur

@DefenseIN
TheHive Cortex - Responder
TheHive Cortex – Responder Modülü
DefenseIN | Webinar
Ø https://thehive-project.github.io/Cortex-Analyzers/
ØAdresinde hazır olarak sunulan response modülleri bulunmaktadır
ØÖrneğin bir case içerisinde yer alan;
Ø Domaini Umbrella Blacklist’e ekleyebilirsiniz.
Ø IP adresini Wazuh Active-Response ile ilgili sunucu firewallunda block liste alabillirsiniz.
Ø Mailer modülü ile case’i mail olarak gönderebilirsiniz.

@DefenseIN
TheHive4py
A Python API client for TheHive

@DefenseIN
TheHive4py
TheHive4py API
DefenseIN | Webinar
ØPython Client
ØFarklı kaynaklardan TheHive ile entegrasyon sağlamak için oluşturulmuş API
Ø https://github.com/TheHive-Project/TheHive4py

@DefenseIN
TheHive4py ile Wazuh Entegrasyonu
TheHive4py API
DefenseIN | Webinar
ØWazuh integration modülü
ØTheHive API key
ØHangi eventlerin gönderileceğinin belirlenmesi
ØObservable data

@DefenseIN
TheHive4py Entegrasyonda Dikkat Edilmesi Gerekenler
TheHive4py API
DefenseIN | Webinar
ØHangi eventlerin SOAR’a gönderilmesi gerektiğinin belirlenmesi
ØGönderilen eventlerin içerisinde ki gerekli alanlar doğru parse edilmesi

@DefenseIN
Kaynaklar

@DefenseIN
Training VM DefenseIN | Webinar
Ø https://github.com/TheHive-Project/TheHiveDocs/blob/master/training-material.md
Ø Hazır kurulu sistem (ova file) ile hızlıca denemek için

@DefenseIN
Kaynaklar
Øhttps://thehive-project.org/
Øhttps://github.com/TheHive-Project/TheHiveDocs
Øhttps://github.com/TheHive-Project/TheHive
Øhttps://thehive-project.github.io/Cortex-Analyzers/
Øhttps://groups.google.com/u/1/a/thehive-project.org/g/users
DefenseIN | Webinar

@DefenseIN
-Teşekkürler-
defensein.com