Selam,

SIEM veya log yönetim sistemlerinde başlangıç seviyesinde en kritik alarm genelde “başarısız giriş denemelerinin anormal artışı (brute force / credential stuffing şüphesi)” olmalıdır.

Çünkü:

• En yaygın saldırı giriş noktası kimlik doğrulama (authentication)’dır
• Erken aşamada tespit edilebilir
• Diğer saldırılara (yetki yükseltme, lateral movement) zemin hazırlayabilir

Bunun yanında ikinci kritik alarm olarak da:

• Başarılı giriş sonrası anormal IP / saat / lokasyon değişimi
• Privileged (admin/root) hesap aktiviteleri