Microsoft, Defender içinde SIEM ve tehdit korumasını birleştiren entegre bir güvenlik operasyon merkezi başlattı

Microsoft, Microsoft Defender içinde SIEM ve tehdit korumasını insan analistler ile yapay zeka ajanlarının paylaştığı tek bir temel üzerinde birleştiren entegre bir güvenlik operasyon merkezini (ISOC) duyurdu. 23 Eylül 2026'daki lansman, ürünü artık makine hızında ilerleyen saldırılara mimari bir yanıt olarak çerçeveleyen Netics Labs'ın dev.to üzerindeki analizinde incelendi.

Ayrı araçlar yerine tek bir döngü

Netics Labs'ın özetlediği şekliyle Microsoft'un temel teşhisi şu: savunmacılar ürünler arasındaki her geçiş noktasında zaman kaybediyor; sinyaller bir araçta toplanıyor, bağlam ikincisinde yeniden oluşturuluyor, eylem üçüncüsünden alınıyor. Bu iş akışına yerleştirilen ajanlar da aynı sürtünmeyi devralıyor. ISOC bu adımları tek bir döngüde birleştiriyor. Duyuruda açıklanan yığın, en alttaki sinyal ve sensörlerden, bağlam ve modeller üzerinden, koruyucu eylem gerçekleştiren ajan ve aktüatörlere kadar uzanıyor. Microsoft bu uçtan uca siber yığını ilk kez Temmuz 2026'da Project Perception ile birlikte ana hatlarıyla ortaya koymuştu; ISOC, bunu müşterilerin kendilerinin birleştirmesi gereken bir şey değil de tek bir sistem olarak paketliyor.

İki gün sonra yayınlanan saldırı

ISOC duyurusundan iki gün sonra Microsoft Security Research, şirketin yazılım ajanları tarafından yönetilen ilk belgelenmiş fidye yazılımı operasyonu olarak nitelendirdiği ve ilk olarak Temmuz 2026'da Sysfig tarafından ortaya çıkarılan Storm-3168'in ayrıntılarını yayınladı. Tek bir tenant içinde, ele geçirilmiş iki service principal işi böldü: biri keşifle ilgilenirken diğeri keşif, imha ve kimlik bilgisi toplama işlemlerini gerçekleştirdi. Yıkıcı atak dalgası, yaklaşık yedi dakika içinde 100'den fazla storage-account silme girişimini ve saldırgan 35 dakika içinde 150'den fazla yıkıcı veya kimlik bilgisi toplama işlemi denedi. Microsoft, yıkıcı principal'a verilen beş token gözlemledi: dördü silmeler için, biri envanter ve anahtar alma için; iki silme tokenı aynı 70 saniyelik pencere içinde aynı anda aktifti.

Zararı açık kullanmaktan değil, ayrıcalıklar yaptı

Netics analizine göre saldırıda yeni bir açık devreye girmedi. Her işlem, kimliklerin zaten sahip olduğu rol atamalarıyla yetkilendirildi: bir grup üzerinden verilen Storage Account Contributor rolü depolama imhasını, doğrudan Contributor erişimi ise uygulama kaynaklarının silinmesini kapsıyordu. Genel bir GitHub issue'da açığa çıkan kimlik bilgileri, ifşanın kendisi kaldırıldıktan sonra bile iptal edilene veya döndürülüne kadar kullanılabilir kaldı.

Saldırının bazı bölümlerini fiilen sekteye uğratan korumalar SOC dışında yer alıyordu. Azure resource lock'ları ve depolama düzeyindeki silme koruması, yapılandırıldıkları yerlerde silme girişimlerini engelledi; SQL silme girişimleri ise yalnızca saldırganın desteklenmeyen bir API sürümü kullanması nedeniyle başarısız oldu. ISOC ile birlikte düşünüldüğünde rahatsız edici olan çift de tam olarak bu: aşırı ayrıcalıklı bir kimliği izleyen entegre bir döngü, müşterinin kendi yetkilendirme modelinin izin verdiği bir silme dalgasını tespit edip günlüğe kaydeder.

Strateji insanlarda kalıyor

Microsoft'un sunuşu iş bölümünü açıkça ortaya koyuyor: ajanlar hız ve ölçekte kesintisiz yürütürken, insanlar öncelikleri belirliyor, muhakeme uyguluyor ve önemli olan sonuçları tanımlıyor. Microsoft'un kendi yığın diyagramındaki slogan, ölçeği otonom hale getirirken stratejiyi insanda tutuyor. Netics Labs bu ayrımın doğru olduğunu, ancak zor kısmın operasyonel olduğunu savunuyor: Microsoft'un yığını içindeki yakınsama, müşterinin daha geniş kimlik varlığını, onay iş akışlarını veya ele geçirilmiş bir operatör karşısında hayatta kalması gereken kurtarma hesaplarını onarmıyor. Birleşme ürünler arasındaki sürtünmeyi kaldırıyor; ama her yerde geniş roller dağıtan bir yetkilendirme modeline hiçbir şey yapmıyor.

Neden önemli

Defender'ın ISOC'su, SIEM ile tehdit korumasını insan-ajan iş birliği için tasarlanmış tek bir platformda birleştirme konusunda şimdiye kadarki en görünür girişim ve güvenlik operasyonları pazarının yönünü işaret ediyor. Aynı hafta yayınlanan Storm-3168 ise başarı koşulunu tanımlıyor: müdahale hızı, kimlik hijyenine bağlıdır. ISOC'yu pilot olarak deneyen kurumlar, kapalı değil açık bir kimlik envanteriyle başlamalı; en düşük ayrıcalık, resource lock, silme koruması ve hızlı kimlik bilgisi rotasyonunu uygulamalıdır. 35 dakikada 150 bulut silme girişimi gerçekleştirebilen bir saldırgan, tam olarak ayrı araçlar rafı yerine tek bir döngüye ihtiyaç duyulan rakiptir; ve o döngü, yalnızca gözetlediği izinler kadar güçlü olabilir.