Merhaba,

Korelasyon filtreleri ayarlanırken hem gereksiz alarmların azaltılması hem de gerçek tehditlerin kaçırılmaması önemli. Bu yüzden sistemin normal trafiğine uygun eşik değerleri belirlenmeli, sürekli aynı ve güvenilir log üreten kaynaklar için gerekli filtrelemeler yapılmalıdır. 

Ayrıca kurallar düzenli olarak kontrol edilip ihtiyaç durumuna göre güncellenmelidir.

Selamlar,

Korelasyon filtreleri; zaman penceresi, eşik değerleri ve varlık (IP/kullanıcı) bazlı ilişkilendirme dengeli kurulmalıdır. Fazla sıkı kurallar false positive’i azaltır ama saldırı kaçırabilir, fazla gevşek kurallar ise alarm gürültüsü üretir. Bu yüzden ortam davranışına göre sürekli tuning ve test edilmesi gerekir.