Sysmon/ETW Telemetri Akışı Kesintisi Soruşturması (Log Boşluğu)
Bir endpoint'ten Sysmon EID akışı N dakika kesildiğinde (log boşluğu alarmı) kesintinin nedenini belirler — tamper, altyapı arızası veya sistem kapalılığı — ve telemetrinin yeniden başlamasını sağlar.
Prepare
5 adım- Log boşluğu alarmını (DR-6 benzeri) kalibre et
SIEM'de endpoint başına son EID 1 zaman damgasını izleyen ve eşiği aşan boşluk için alarm üret; `expectedInterval` değerini ortam P95 baseline'ına göre belirle, çok kısa eşik gürültü, çok uzun eşik geç tespit üretir
- Endpoint heartbeat kaynağını tanımla
EDR agent heartbeat, RDP erişilebilirlik veya SIEM ajan kalp atışı gibi Sysmon dışı bir "sistemin açık olduğu" sinyali yapılandır; bu, kapalı sistem vs. tamper ayrımı için zorunludur
- WEF/WEC veya log iletim ajanının sağlık metriklerini izle
İletim altyapısı kesintilerini Sysmon log boşluğundan bağımsız olarak tespit eden ayrı alarm kur; bu, yanlış pozitif escalation'ı önler
- Eskalasyon zincirini tanımla
SOC L1 → L2/IR → Endpoint/Sysadmin; yalnızca log iletim sorunu ise L1 operasyonel ekiple çözebilir, tamper şüphesi varsa L2/IR onayı zorunludur
- Karar-kapısı: bu playbook mı?
EID 4 alarmı aynı anda geldiyse Telemetri Tamper Müdahalesi playbook'una geç; sadece log boşluğu alarmı tetiklendiyse bu playbook'a devam et