Kullanıcı Davranış Baseline: "Bu Kullanıcı Normalde Böyle Login Olmaz"
Cuma 19:23'te, veritabanındaki "behavior_baselines" tablosunda bir sapma kaydedildi. Kullanıcı "admin@firma.com" normalde ofis saatleri dışında giriş yapmazken, gece geç saatlerde alışılmadık bir IP adresinden başarılı bir oturum açtı. Bu durum "BEHAVIORAL_ANOMALY" olarak etiketlenerek sistem yöneticilerine anında bildirildi.
Kompromize Hesapların Tespiti
Geleneksel güvenlik kuralları yalnızca başarısız oturum açma denemelerine odaklanır. Ancak, başarıyla gerçekleştirilen bir login klasik kuralların radarından kaçabilir. ShamashAi'in Davranış Baseline özelliği, her kullanıcının normal davranış kalıplarını analiz ederek bu açığı kapatır. Geçtiğimiz 30 gün boyunca kullanıcıların login fingerprint'ini çıkarır: hangi saatlerde, günlerde, IP adreslerinden ve cihazlardan giriş yaptıklarını belirler.
Teknik Mekanizma
"behavior_baselines" tablosunda yer alan veriler; "hours_bitmap" (24-bit), "days_bitmap" (7-bit), ve "top_src_ips/countries/devices" üzerinden her kullanıcı için detaylı bir davranış kalıbı oluşturur. Her gece saat 02:00'de bu veriler yeniden kurularak güncellenir.
- Hours Bitmap: Kullanıcıların hangi saatlerde sistemde aktif olduğunu gösterir.
- Days Bitmap: Haftanın hangi günlerinde giriş yapıldığını depolar.
- Top Source IPs/Countries/Devices: En sık kullanılan IP adreslerini, ülkeleri ve cihazları listeler.
Sapmalar ve Anomali Tespiti
Bir kullanıcı normalde giriş yapmadığı bir saat, gün, ülke, cihaz veya IP adresini kullanarak sisteme eriştiğinde, sistem bunu anormal olarak değerlendirir. Bu tür sapmalar "BEHAVIORAL_ANOMALY" composite event olarak kaydedilir ve güvenlik yöneticiye yüksek önemde bir uyarı gönderilir.
Manuel Yeniden Kurulum
Sistem yöneticileri, kontrol panelinden belirli bir kullanıcı için davranış baseline'ını manuel olarak yeniden inşa edebilir. Kullanıcı filtresi uygulayarak "Rebuild" butonuna tıklamak, büyük bir esneklik sağlar. 500 kullanıcılı bir ortamda bu işlem yaklaşık 25 saniye sürer.
Performans ve Etkinlik
Davranış Baseline özelliği, kullanıcı sayısına bağlı olarak ~50ms x kullanıcı sayısı oranında hızlı bir şekilde çalışır. Bu, özellikle orta ölçekli Türk firmaları için büyük bir avantaj sağlar.
Limitler ve Dürüst Notlar
- Her kullanıcı için geçmiş 30 günün verilerini barındırmak, çok uzun süreli analiz yapılmasını engelleyebilir.
- Özel izinler veya manuel müdahale gerekebilir.
- ShamashAi dokümantasyonu daha fazla bilgi vermiyor; pilot kapsamında detay paylaşılır.
Sonuç
Güvenli sistem yapılandırmalarında ShamashAi'nin Davranış Baseline özelliği ile potansiyel tehditler anında tespit edilebilir, böylece kurumlar gerekli önlemleri proaktif olarak alabilir.
Pilot programı 30 gün ücretsiz: shamashai.com.tr/iletisim
