Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Fortinet Security Fabric ile Görünürlük, Korelasyon ve Otomasyon
Modern güvenlik operasyonlarında en büyük sorunlardan biri ürün eksikliği değil, ürünlerin birbirinden kopuk çalışmasıdır.
Firewall ayrı alarm üretir, endpoint ayrı uyarı verir, sandbox farklı yerde analiz yapar, kimlik sistemi başka bir log kaynağı olarak kalır. Sonuçta SOC ekibi yüzlerce alarm arasında asıl olayı anlamaya çalışır.
Fortinet Security Fabric, ağ, uç nokta, bulut, kimlik, erişim ve uygulama güvenliğini ortak görünürlük, korelasyon ve otomasyon altında birleştirmeyi hedefleyen entegre güvenlik mimarisidir.
Amaç tek bir ürünle her şeyi çözmek değil; güvenlik bileşenlerini konuşturmak, olayları ilişkilendirmek ve müdahaleyi hızlandırmaktır.
Neden Şimdi?
🚦 Alarm kalabalığını azalt
Aynı olaya ait firewall, endpoint, sandbox ve kimlik sinyallerini ilişkilendirerek daha anlamlı incident görünümü oluştur.
🧩 Ürünleri konuştur
FortiGate, FortiAnalyzer, FortiManager, FortiEDR, FortiSandbox, FortiAuthenticator, FortiSwitch, FortiAP ve FortiClient EMS gibi bileşenleri ortak güvenlik bağlamında çalıştır.
🤖 Olaydan aksiyona dakikalar içinde geç
Automation Stitch, playbook, quarantine, block, ticket ve bildirim aksiyonlarıyla manuel müdahaleyi azalt.
📊 MTTR süresini düşür
Analistin “ne oldu, nereden başladı, hangi kullanıcı/cihaz etkilendi?” sorularına daha hızlı cevap üretmesini sağla.
Fortinet Security Fabric Ne Sağlar?
1️⃣ Tek Görünürlük
Farklı güvenlik katmanlarından gelen veriler ortak bağlamda görüntülenebilir.
Örnek veri kaynakları:
- FortiGate trafik ve tehdit logları
- FortiAnalyzer olay ve korelasyon çıktıları
- FortiEDR endpoint olayları
- FortiSandbox analiz sonuçları
- FortiClient EMS endpoint posture bilgisi
- FortiAuthenticator kimlik ve MFA olayları
- FortiSwitch / FortiAP erişim ve network bilgisi
Bu sayede sadece IP veya port değil; kullanıcı, cihaz, uygulama, tehdit ve aksiyon ilişkisi birlikte görülebilir.
2️⃣ Korelasyon
Korelasyonun amacı tek tek alarm görmek değil, olay zincirini anlamaktır.
Örneğin:
Endpoint üzerinde şüpheli process
→ Aynı cihazdan anormal outbound bağlantı
→ FortiGate üzerinde C2 benzeri trafik
→ FortiSandbox tarafından zararlı dosya analizi
→ FortiAnalyzer üzerinde incident bağlamıBu zincir tek tek bakıldığında gürültü gibi görünebilir. Fabric yaklaşımında ise aynı olayın parçaları olarak değerlendirilebilir.
3️⃣ Otomasyon
Güvenlik operasyonlarında hız kritiktir. Özellikle ransomware, lateral movement veya aktif C2 bağlantısı gibi senaryolarda manuel aksiyon gecikirse yayılma riski artar.
Automation Stitch ve playbook mantığıyla şu aksiyonlar tetiklenebilir:
- FortiGate üzerinde IP/domain engelleme
- Endpoint karantina
- Kullanıcı hesabı askıya alma veya riskli olarak işaretleme
- FortiNAC / erişim katmanında izolasyon
- ITSM ticket açma
- SOC ekibine e-posta/webhook bildirimi
- Log ve incident zenginleştirme
Gerçek Senaryo 1: Lateral Movement Avı
Olay Akışı
Bir endpoint üzerinde şüpheli hareket tespit edilir.
FortiEDR IOC üretir
→ IOC / destination bilgisi Fabric içinde paylaşılır
→ FortiGate üzerinde IP/domain engelleme uygulanır
→ FortiNAC veya erişim katmanı üzerinden cihaz izole edilir
→ FortiAnalyzer olay bağlamını ve zaman çizelgesini çıkarır
→ SOC ekibi yayılma yolunu incelerKazanım
- Yayılma erken kesilir.
- Firewall, endpoint ve network sinyalleri aynı incident altında değerlendirilir.
- Analist sadece alarm değil, olay zinciri görür.
- Müdahale manuel işlemden otomatik aksiyona taşınır.
Gerçek Senaryo 2: Otomatik Yanıt ve Ticket Akışı
Olay Akışı
Korelasyon motoru veya belirli bir security event tetiklenir.
Şüpheli kullanıcı/cihaz aktivitesi tespit edilir
→ Automation Stitch tetiklenir
→ FortiAuthenticator / kimlik katmanında aksiyon alınır
→ FortiGate üzerinde erişim kısıtlanır
→ ITSM üzerinde otomatik ticket açılır
→ SOC ve Network ekiplerine bildirim giderKazanım
- Süreç standartlaşır.
- Her analist aynı aksiyon setini uygular.
- Müdahale süresi kısalır.
- Denetim için olay-akış-kayıt ilişkisi oluşur.
Başlangıç Checklist: İlk 5 Entegrasyon
1️⃣ FortiGate ↔ FortiAnalyzer
Amaç:
- Log merkezi
- Olay korelasyonu
- Raporlama
- Threat hunting
- Incident context
İlk kontrol:
FortiGate logları FortiAnalyzer’a düzenli geliyor mu?
Trafik, UTM, event ve system logları ayrışıyor mu?
Kritik policy ve deny logları görünür mü?2️⃣ FortiGate ↔ FortiManager
Amaç:
- Policy standardı
- Merkezi yönetim
- Policy package
- Object standardizasyonu
- Change kontrolü
İlk kontrol:
Policy package yapısı var mı?
Objelerde isimlendirme standardı uygulanıyor mu?
Unused / duplicate / shadow policy kontrolü yapılıyor mu?3️⃣ FortiEDR / FortiClient EMS ↔ Security Fabric
Amaç:
- Endpoint IOC paylaşımı
- Endpoint posture kontrolü
- Şüpheli cihaz tespiti
- Karantina veya erişim kısıtlama
- ZTNA bağlamı
İlk kontrol:
Endpoint olayları merkezi görünürlüğe dahil mi?
Riskli endpoint için Fabric tag veya karantina aksiyonu var mı?
Posture bilgisi erişim politikasında kullanılabiliyor mu?4️⃣ FortiSandbox ↔ FortiGate / FortiEDR
Amaç:
- Bilinmeyen dosya analizi
- Malware davranış analizi
- IOC üretimi
- Zararlı dosya ve destination engelleme
- Zero-day benzeri senaryolarda ek görünürlük
İlk kontrol:
Bilinmeyen dosyalar sandbox’a gönderiliyor mu?
Analiz sonucu FortiGate / EDR politikalarına yansıyor mu?
Zararlı verdict sonrası otomatik aksiyon var mı?5️⃣ FortiAuthenticator
Amaç:
- Kimlik doğrulama
- MFA
- Kullanıcı bağlamı
- ZTNA ve NAC senaryoları
- Riskli kullanıcı aksiyonu
İlk kontrol:
Kritik admin erişimlerinde MFA zorunlu mu?
Kullanıcı kimliği loglarda görünüyor mu?
Riskli hesaplar için karantina veya erişim kısıtlaması akışı var mı?48s Mini-PoC Planı
- Bir FortiGate’i FortiAnalyzer’a bağlayın.
- Kritik policy loglarının doğru aktığını doğrulayın.
- FortiEDR veya EMS tarafında test endpoint’i tanımlayın.
- IOC veya riskli endpoint senaryosu oluşturun.
- FortiGate üzerinde otomatik address/block aksiyonunu test edin.
- Automation Stitch ile e-posta/webhook/ticket aksiyonu tetikleyin.
- FortiAnalyzer üzerinde olay zaman çizelgesini ve korelasyonu inceleyin.
- Test sonucunu MTTR, alarm sayısı ve manuel aksiyon sayısı ile ölçün.
Başarı Kriterleri
Bir Security Fabric PoC’si sadece “entegrasyon oldu mu?” diye değerlendirilmemelidir.
Ölçülmesi gerekenler:
- Alarm sayısı azaldı mı?
- Tekrarlayan olaylar korele edildi mi?
- IOC firewall’a otomatik yansıdı mı?
- Riskli endpoint izole edilebildi mi?
- ITSM ticket otomatik açıldı mı?
- Analist olay kök nedenini daha hızlı buldu mu?
- MTTR ölçülebilir şekilde düştü mü?
Sık Yapılan Hatalar
1️⃣ Sadece Ürün Bağlamak
Ürünleri entegre etmek yeterli değildir. Korelasyon kuralı, playbook ve aksiyon modeli yoksa görünürlük operasyonel faydaya dönüşmez.
2️⃣ Log Kalitesini Kontrol Etmemek
Eksik veya yanlış loglanan policy’ler incident analizini zayıflatır. Özellikle deny, UTM ve admin event logları kritik önemdedir.
3️⃣ Otomasyonu Test Etmeden Açmak
Karantina, block veya hesap aksiyonları üretimde dikkatli kullanılmalıdır. Önce alert-only, sonra kontrollü aksiyon, en son otomatik müdahale modeli tercih edilmelidir.
4️⃣ Sahiplik Tanımlamamak
Her entegrasyonun sahibi olmalıdır:
[OWN=SOC][TECH=FortiAnalyzer][REQ=FABRIC-POC][EXP=N/A]5️⃣ KPI Belirlememek
Security Fabric kurulumunun değeri KPI ile ölçülmelidir:
- MTTR
- Alert reduction
- Automation success rate
- False positive oranı
- Mean time to containment
- Endpoint isolation süresi
Sonuç
Tek ekranda uçtan uca güvenlik, tek başına bir dashboard meselesi değildir. Asıl değer; güvenlik ürünlerinin aynı olay bağlamında konuşması, korelasyon üretmesi ve standart aksiyonları otomatik başlatmasıdır.
Fortinet Security Fabric, doğru kurgulandığında firewall, endpoint, sandbox, kimlik, erişim ve log yönetimini ortak bir güvenlik mimarisi altında birleştirerek SOC operasyonlarını daha hızlı, daha görünür ve daha ölçülebilir hale getirir.
