Abstract
Günümüzde artan veri hacmi ve tehdit çeşitliliği, siber güvenlik operasyonlarında daha akıllı ve bütüncül yaklaşımları zorunlu kılmaktadır. Literatürde alarm önceliklendirme çoğunlukla severity alanına dayalı bir sıralama olarak ele alınmaktadır. Çalışma kapsamında, alarm önceliklendirme iş etkisi, varlık kritikliği seviyesi ve maruziyet bağlamını birleştiren denetlenebilir bir karar destek problemi olarak ele alınmaktadır. Araştırma, Tasarım Bilimi Araştırması (Design Science Research, DSR) paradigmasıyla yapılandırılmıştır. Önerilen karar destek tasarımı üç işlevsel katmandan oluşmaktadır. Birinci katman bağlam zenginleştirme (varlık kritikliği, zafiyet/yama durumu, ATT&CK etiketleme), ikinci katman açıklanabilir bileşen temelli skorlama, üçüncü katman ise insan-döngüde geri bildirim mekanizmasıdır. Öncelik skorunu eskalasyon olasılığına dönüştüren “kalibrasyon katmanı”, kara kutu bir sınıflandırıcı yerine yorumlanabilir bir lojistik regresyon biçiminde tasarlanmakta ve yalnızca kavramsal düzeyde önerilmekte; söz konusu katman çalışma kapsamında hiçbir veri üzerinde eğitilmemektedir. Sentetik ve anonimleştirmeye uygun dört senaryo üzerinden yapılan gösterim, aynı veya benzer ham şiddet etiketine sahip alarmların varlık kritikliği ve iş etkisi, tehdit bağlamı, korelasyon ve maruziyet bileşenleri kullanılarak farklı öncelik skorlarına ayrıştırılabildiğini ortaya koymaktadır. Triyaj süresi, yanlış pozitif yükü ve kritik olay görünürlüğü üzerindeki operasyonel etkiler ise bu çalışma kapsamında ölçülmemiş olup gerçek kurum verileriyle doğrulanması gereken beklenen faydalar olarak tanımlanmaktadır. Sonuç olarak önerilen tasarım, mevcut SIEM kural setlerini kökten değiştirmeden devreye alınabilen, gerekçe üretimi, versiyonlama ve denetim izi üzerinden hesap verebilirliği güçlendiren yönetilebilir bir SOC önceliklendirme yaklaşımı önermektedir.