En İyi 15+ Açık Kaynak Olay Müdahale Araçları

Kategorilerine ve GitHub yıldızlarına göre, güvenlik ihlallerini otomatik olarak tespit etmenize ve çözmenize yardımcı olacak önde gelen açık kaynak olay müdahale araçlarını listeledik.

Olay müdahale araçlarının ve saf olay müdahale araçlarının açıklamasına bakın.

Olay müdahale araçları

Kategori açıklamalarına bakın.

Saf olay müdahale araçları

Araç seçim kriterleri:

• İnceleme sayısı: 200+ GitHub yıldızı.
• Güncelleme yayını: Geçen hafta en az bir güncelleme yayınlandı.

Olay müdahale aracı örnekleri

Graylog

Graylog, makine tarafından üretilen verileri toplamak, analiz etmek ve bunlarla ilgili uyarı oluşturmak için bir SIEM ve günlük yönetim platformudur. Birden fazla kaynaktan günlükleri merkezileştirir ve veri toplama, güvenlik olayı ilişkilendirme, adli analiz, olay algılama ve müdahale, gerçek zamanlı uyarı, UEBA ve BT uyumluluk yönetimi dahil olmak üzere bir dizi siber güvenlik işlevini destekler.

Wazuh

Wazuh, endpoint ve bulut iş yükü koruması için açık kaynaklı bir SIEM ve XDR platformudur. Tam bir platform olarak sunulur: bir Indexer (uyarıları depolayan ve dizinleyen OpenSearch üzerine kurulu), bir Server (günlük toplama ve analiz için çekirdek motor), bir Dashboard (web arayüzü) ve bir Agent.¹

Yetenekler arasında saldırı tespiti, günlük verisi analizi, dosya bütünlüğü izleme, güvenlik açığı tespiti ve bulut ile konteyner güvenliği bulunur.

Microsoft Sentinel

Microsoft Sentinel, Azure'da çalışan bulut tabanlı bir SIEM ve SOAR çözümüdür. Bulut ve şirket içi ortamlar arasında güvenlik olayı analizini destekler; günlük verilerinin görselleştirilmesi, anormallik tespiti, tehdit avcılığı ve otomatik olay müdahalesi sunar.

Snort3

Snort3, ağ trafiğini gerçek zamanlı olarak izleyen ve paketleri kaydeden ağ tabanlı bir saldırı tespit ve önleme sistemidir (IDS/IPS). Anormallik tespiti, protokol analizi ve imza denetimini birleştiren kural tabanlı bir dil kullanarak potansiyel olarak kötü amaçlı etkinliği belirler.

Temel yetenekler: Gerçek zamanlı trafik izleme, paket kaydı, TCP/IP yığını protokol analizi, işletim sistemi parmak izi tespiti.

OSSEC

OSSEC, sistemleri izleyen ve yöneten ana bilgisayar tabanlı bir saldırı tespit platformudur. Çözüm üç sürüm sunar: Free (açık kaynaklı kurallar), OSSEC+ (endpoint başına yıllık $55, tehdit istihbaratı ve ML ekler) ve Atomic OSSEC (OSSEC kurallarını ModSecurity WAF kurallarıyla birleştiren kurumsal XDR).

Geliştirme durumu notu: OSSEC'in son büyük sürümü Ocak 2021'de 3.8.0 sürümüydü ve proje o zamandan beri bakım modundadır. Yeni dağıtımlar için 2015'te OSSEC'ten çatallanan Wazuh, düzenli sürümleri, entegre panosu ve tam XDR özellik setiyle aktif olarak bakımı yapılan halefidir.²

ntop

ntop, NetFlow dışa aktarıcılarından, güvenlik duvarı günlüklerinden ve saldırı tespit sistemlerinden trafik verilerini toplayarak ağ görünürlüğü sağlayan NetFlow eklentisine sahip bir ağ kullanım analizörüdür. Trafiği IP, port ve L7 protokollerine göre sıralayabilir; gerçek zamanlı ağ trafiğini ve etkin ana bilgisayarları gösterebilir; gecikmeleri ve TCP istatistiklerini izleyebilir; Derin Paket İnceleme kullanarak uygulama protokollerini tespit edebilir.

NfSen

NfSen, nfdump aracını kullanarak NetFlow verilerini toplar. NetFlow verilerini akışlar, paketler ve baytlar olarak görüntüleyip gezinmenize; tanımlı zaman kısıtlamaları içinde NetFlow verilerini işlemenize ve NetFlow verilerini düzenli aralıklarla işlemek için eklentiler oluşturmanıza olanak tanır.

OpenVAS

OpenVAS, Greenbone Networks tarafından geliştirilen bir güvenlik açığı tarayıcısıdır. Özelleştirilebilir tarama politikaları, ayrıntılı raporlama ve birden fazla protokol desteği içeren bir güvenlik açığı yönetimi araç seti sunar.

Amass

OWASP Amass Projesi, ağ saldırı yüzeylerini haritalamak ve harici varlıkları bulmak için açık kaynaklı bilgi toplama tekniklerini kullanır. Go ile yazılan proje, bir kuruluşun kontrolündeki varlıkları değerlendirmek için derinlemesine DNS numaralandırmayı, ASN analizini ve betik yazmayı destekler.

Nmap

Nmap, IP adresleri, portlar ve yüklü uygulamalar için açık kaynaklı bir ağ tarayıcısıdır. Tek veya birden fazla ağda cihaz keşfini, hizmet tanımlamayı ve işletim sistemi tespitini destekler; bu da onu sızma testi, ağ izleme ve güvenlik açığı taraması için standart bir araç haline getirir.

N8n

n8n, fair-code lisansına sahip bir iş akışı otomasyon platformudur. Kaynak kodu incelemeye açıktır ve platform kendi sunucunuzda barındırılabilir.

Öne çıkan özellikler: 400+ bağlayıcı; Google Sheets, Slack, MySQL ve HubSpot dahil; çok adımlı otonom iş akışları için yerel yapay zeka ajanı yetenekleri; harici kütüphane erişimine sahip JavaScript ve Python kodlama desteği; veri gizliliği gereksinimleri için kendi sunucunuzda barındırma seçenekleri.

n8n 2.0, varsayılan olarak güvenli yürütme, sıkı ortam yönetimi ve eski özelliklerin kaldırılmasını sağladı. Örnek düzeyindeki MCP bağlantıları artık MCP uyumlu yapay zeka platformlarının, tek bir OAuth korumalı bağlantı aracılığıyla seçili tüm n8n iş akışlarına erişmesine olanak tanır ve bu doğrudan ajan tabanlı SOC iş akışlarıyla ilgilidir. Ocak 2026 sürümü, kurumsal SIEM platformlarına TLS üzerinden TCP günlük akışı ekledi.

Saf olay yönetimi ve müdahale araçları örnekleri

TheHive

TheHive, SOC'ler, CSIRT'ler ve CERT'ler için bir güvenlik vaka yönetim platformudur. Aynı vaka üzerinde eş zamanlı çok analist çalışmayı, şablonlar aracılığıyla görev yönetimini ve IOC etiketlemeyi destekler.

The Hive 5, StrangeBee tarafından ticari bir ürün olarak dağıtılmaktadır. TheHive'i değerlendiren kuruluşlar, ücretsiz bir açık kaynak araca değil, ücretli bir platforma baktıklarının farkında olmalıdır.³

IRIS

IRIS, olay müdahale analistlerinin teknik inceleme sonuçlarını paylaşması için iş birliğine dayalı bir platformdur. SIEM ve diğer kaynaklardan uyarı alabilir ve özel modüller aracılığıyla genişletilebilir. Varsayılan entegrasyonlar arasında VirusTotal, MISP, WebHooks ve IntelOwl bulunur.

FIR

FIR (Fast Incident Response), olayları izlemek ve raporlamak için kullanılan bir siber güvenlik olay yönetim aracıdır. Öncelikle CSIRT'ler, CERT'ler ve SOC'ler tarafından kullanılır.

Velociraptor

Velociraptor, Rapid7'den bir endpoint izleme, dijital adli bilişim ve siber müdahale aracıdır. ⁴

Öne çıkan özellikler: Endpoint'lerden artefakt toplama (günlükler, dosyalar, kayıt defteri, ağ verileri); tehdit tespiti için kanıt analizi; önceden yapılandırılmış olay müdahale otomasyonu iş akışları; SIEM'ler, EDR'ler ve tehdit istihbaratı platformlarıyla entegrasyonlar. Velociraptor Sorgu Dili (VQL), özel adli bilişim ihtiyaçları için özel artefaktların oluşturulmasını sağlar.

GRR Rapid Response

Google tarafından geliştirilen GRR Rapid Response, ele geçirilen bilgisayarlardan uzaktan veri toplamak ve analiz etmek için bir platformdur. Temel işlevler arasında veri toplama, canlı bellek analizi, uzaktan komut yürütme ve dosyaları, Windows Registry verilerini, ağ trafiğini, sistem günlüklerini ve cookie'leri kapsayan adli artefakt analizi bulunur.

Olay yönetimi araçlarının türleri

Olay müdahale araçları, olayları düzenlemeye, yönetmeye ve izlemeye odaklanarak idari ve operasyonel tarafa odaklanır; ekipler arasında görünürlük ve koordinasyon sağlar. Bazıları otomatik müdahaleler için SOAR yetenekleri içerir.

Saf olay müdahale araçları daha taktiktir; saldırı sırasında ve sonrasında aktif müdahaleye, adli incelemeye ve kök neden analizine odaklanır.

Olay yönetimi ve müdahale araçları

• Olay izleme ve dokümantasyon
• Uyarı ve yükseltme
• İş birliği ve vaka yönetimi
• SOAR iş akışı otomasyonu

Saf olay müdahale araçları

• Kök neden analizi ve düzeltme
• Tehdit istihbaratı entegrasyonu
• Kanıt dokümantasyonu
• Gerçek zamanlı müdahale

Kategori açıklamaları

Olay müdahale araçlarının kategorileri:

• Güvenlik bilgileri ve olay yönetimi (SIEM) sistemleri çeşitli kaynaklardan günlük verilerini toplar ve gerçek zamanlı izleme ve olay müdahalesi sağlamak için analiz eder.
• Genişletilmiş tespit ve müdahale (XDR) araçları SIEM'i birden fazla güvenlik katmanında tespit ve müdahale ile geliştirir.
• Güvenlik orkestrasyonu, otomasyon ve müdahale (SOAR) yazılımı otomatikleştirir güvenlik iş akışlarını; müdahale süresini iyileştirir ve manuel çabayı azaltır.
• Saldırı tespit sistemleri (IDS) şüpheli etkinlikleri tespit eder ancak aktif olarak müdahale etmez.
• NetFlow analizörleri anormallik tespiti için ağ trafiğine ilişkin içgörüler sağlar.
• Güvenlik açığı tarayıcıları güvenlik açıklarını aramak için web uygulamalarını tarayan otomatik araçlardır.
• Antimalware yazılımı, kötü amaçlı yazılımlara karşı endpoint koruması sunar.

Saf olay müdahale araçlarının kategorileri:

• Olay müdahale platformları (IRP'ler), güvenlik ekiplerinin olayları keşfedildikçe yönetmesine ve izlemesine, tehdit istihbaratından yararlanmasına ve iş akışları ile iş birliği araçlarını kullanarak tespit edilen tehditlere yanıt vermesine yardımcı olur.
• Dijital adli bilişim ve olay müdahale (DFIR) araçları genellikle olay sonrası aşamada derinlemesine incelemeler yapmak, kanıt toplamak ve saldırının nasıl gerçekleştirildiğini belirlemek için kullanılır.

Olay müdahale aracı nedir?

Olay müdahale araçları, güvenlik ekiplerinin siber güvenlik olaylarını tespit etmesine, yönetmesine ve çözmesine yardımcı olan yazılım uygulamaları veya platformlardır. Nitelikli olması için bir çözümün düzeltme sürecini otomatikleştirmesi veya kullanıcıları yönlendirmesi, düzensizlikleri izlemesi, kullanıcıları olağan dışı etkinliklerde bilgilendirmesi ve raporlama için olay verilerini toplaması gerekir.

Kıyaslamalarımızı ve veri odaklı içgörülerimizi kaçırmayın. Düğme Google'ı açar; AIMultiple'ı seçmeniz, Google arama sonuçlarında AIMultiple'ı daha sık görmek istediğinizi onaylar.

Tercih edilen kaynak olarak ekle

Açık kaynaklı bir olay müdahale aracı seçerken nelere dikkat etmelisiniz?

Temel işlevsellik uyumu: Önce kullanım senaryolarınızı tanımlayın; kötü amaçlı yazılım, kimlik avı, DDoS, iç tehditler ve gerçek zamanlı müdahaleye mi yoksa olay sonrası adli bilişime mi ihtiyacınız olduğunu belirleyin. Ardından yönetimsel SOAR odaklı bir platforma (ör. Microsoft Sentinel) mı yoksa bir inceleme ve adli bilişim aracına (ör. Velociraptor) mı ihtiyacınız olduğuna karar verin.

Özelleştirme ve esneklik: Yapılandırılabilir iş akışları, geniş SIEM/tehdit istihbaratı/biletleme entegrasyonları ve araçları birleştirip görevleri otomatikleştirmek için iyi belgelenmiş API'ler arayın.

Topluluk sağlığı: GitHub katkıda bulunan sayıları ve topluluk forumlarındaki yanıt oranları, bekleyebileceğiniz destek düzeyi için güvenilir proxy'lerdir. Daha aktif katkıda bulunanlar daha hızlı hata düzeltmeleri ve daha güncel kural setleri anlamına gelir.

Ticari alternatifler: Açık kaynak araçlar genellikle daha fazla yapılandırma gerektirir ve kutudan çıkan uyumluluk raporlaması ile kurumsal panolardan yoksundur. Ekibiniz özel bir dağıtımı sürdürecek kapasiteye sahip değilse, kümeleme, ajan yönetimi ve satıcı desteği içeren ticari bir alternatif daha uygun maliyetli olabilir.

Veri ihlali olay müdahale planı: 5 adımlı metodoloji

1. Hazırlık

Politikalar, prosedürler ve bir müdahale ekibiyle olay müdahalesi için sağlam bir temel oluşturun.

Temel bileşenler:

• Olay müdahale planlaması: Kapsamı, rolleri, sorumlulukları ve protokolleri ana hatlarıyla belirten kapsamlı olay müdahale politikaları oluşturun.
• Olay müdahale ekibi: BT, güvenlik, hukuk, İK, iletişim ve diğer ilgili departmanlardan temsilcilerle bir ekip kurun.
• Araçlar ve kaynaklar: SIEM sistemleri, adli bilişim araçları ve iletişim platformları gibi gerekli araç ve kaynakların kullanılabilirliğini sağlayın.
• İletişim planı: Bir olay sırasında açık ve etkili iletişimi sağlamak için iç ve dış planlar geliştirin.

2. Tanımlama ve raporlama

• Bir güvenlik olayını tespit edin ve doğrulayın.

Temel bileşenler:

• İzleme sistemleri: Olağan dışı etkinlikleri ve olası güvenlik olaylarını tespit etmek için sürekli izleme sistemleri uygulayın.
• Olay raporlama: IRT'ye zamanında bildirim sağlamak için şüpheli olaylar için açık raporlama kanalları oluşturun.
• Dokümantasyon: Günlükler, uyarılar ve ilk bulgular dahil olmak üzere tespit faaliyetlerinin ayrıntılı kayıtlarını tutun.

Herhangi bir çalışan bir olay veya olası veri ihlali fark ederse, bunu derhal bildirmelidir.

Olası bir olayı bildirmek için çalışanlar şunları yapmalıdır:

• a) Veri ihlali raporunu doldurmalı.
• b) Bir kopyayı e-posta veya şahsen bölge yöneticisine göndermeli.
• c) Bu planın gerektirdiği açıklamalar hariç olmak üzere olayın gizli kalmasını sağlamalı.

Bir olay raporu aldıktan sonra bölge yöneticisinin derhal şunları yapması gerekir:

• a) Uyumluluk yöneticisini olayla ilgili bilgilendirmeli ve tamamlanan raporun bir kopyasını sunmalı.
• b) Planın gerektirdiği açıklamalar hariç olmak üzere olayın gizli kalmasını sağlamalı.

3. Değerlendirme

3.1 Olayın bir veri ihlali olup olmadığına karar verin

CIO ilk bulguları gözden geçirecek ve veri ihlali olay müdahale ekibinin kurulup kurulmayacağına karar verecek ve:

• a) Olayın bir veri ihlali olup olmadığına karar verir; değilse olay müdahale ekibine iletilmeyecektir.
• b) Bir veri ihlalini tanımlar ve şirketin risk matrisi değerlendirme sistemini kullanarak önemli zarar riskini değerlendirir.

Şekil: Risk matrisi değerlendirme sistemi

Kaynak: McKinsey & Company⁵

3.2 Veri ihlalini değerlendirme adımları

3.1 b) sağlanırsa, CIO derhal veri ihlali olay müdahale ekibini toplayarak değerlendirmeyi yapmalıdır. Değerlendirme yapılırken aşağıdaki faktörler incelenmelidir:

• Etkilenen kişisel bilgilerin biçimi.
• Etkilenen bilgilerin ve ihlalin bağlamı.
• İhlalin kaynağı ve kapsamı.
• Bireylerin önemli zarar görme riski.

4. Bildirim

3. aşamada CIO, uygun bir veri ihlali tespit ederse, etkilenen şirket Dışişleri Bakanlığı Gizlilik Ofisini ve etkilenen kişileri bilgilendirmelidir.

Bildirim, şirketin şu bilgilerini içermelidir:

• Kimlik ve iletişim bilgileri.
• Olası veri ihlalinin bir açıklaması.
• Etkilenen özel verilerin türleri.
• Şirketin önerisi: çalınan kimlik bilgilerinin güvence altına alınması.

5. Gözden geçirme

Bir veri ihlalinin acil etkileri ele alındıktan sonra CIO, ihlal sonrası bir analiz ve değerlendirme yapar. İncelemeyi yürütmek için CIO, gerektiğinde veri ihlali olay müdahale ekibinden ve diğer iş birimlerinden gayri resmi geri bildirim almalıdır.

Aşağıda belirli senaryolarda atılabilecek adımlara bazı örnekler verilmiştir:

Örnek 1: Bir çalışan veri ihlali gerçekleştirdiyse, etkilenen şirket şunları yapabilir:

• Veri ihlallerinin tekrarlanmasını önlemek için ağ denetimlerini veya IoT izlemeyi artırabilir.
• Tekrarlayan veri ihlallerini önlemek için ağ güvenliği politikası yönetimi kurallarını değiştirebilir.
• Rol tabanlı erişim kontrolü (RBAC) ve zorunlu erişim kontrolü üzerinde yeni kontroller ve kısıtlamalar uygulayabilir.

Daha fazla bilgi: Ağ güvenliği politikası yönetimi çözümleri (NSPM).

Örnek 2: Veri ihlaline üçüncü bir taraf neden olduysa, etkilenen şirket şunları yapabilir:

• BT güvenlik önlemlerini iyileştirebilir.
• Kişisel verileri güvence altına almak için ek güvenlik önlemleri uygulayabilir (ör. veri şifreleme).
• Gelecekteki ihlalleri önlemek için personel veya yüklenicilere talimatlar sağlayabilir.

Daha fazla bilgi

• Rol tabanlı erişim kontrolü (RBAC)
• Siber Güvenlik için Agentic AI: Kullanım Örnekleri ve Örnekler
• Ağ Güvenliği Politikası Yönetimi Çözümleri (NSPM)
• En İyi 30+ Ağ Güvenliği Denetim Araçları

Bu araştırmayı kaynak gösterin

Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and Sezer, Sena},
  title  = {{En İyi 15+ Açık Kaynak Olay Müdahale Araçları}},
  year   = {2026},
  month  = mar,
  howpublished    = {\url{https://aimultiple.com/open-source-incident-response}},
  note   = {AIMultiple. Erişim tarihi: 30 Mart 2026}
}

Referans Linkleri

1.

4.14.4 Release notes - 17 March 2026 - 4.x · Wazuh documentation

Wazuh

2.

Migrating from OSSEC to Wazuh | Wazuh

Wazuh Inc.

3.

GitHub - TheHive-Project/TheHive: TheHive is a Collaborative Case Management Platform, now distributed as a commercial version · GitHub

4.

Releases · Velocidex/velociraptor · GitHub

5.

Reporting with a cyber risk dashboard | McKinsey

McKinsey & Company

Cem Dilmegani

Baş Analist

Takip Et

Cem, 2017'den beri AIMultiple'da baş analisttir. AIMultiple, her ay Fortune 500'ün %60'ı dahil olmak üzere (similarWeb'e göre) yüz binlerce işletmeyi bilgilendirmektedir.

Cem'in çalışmaları Business Insider, Forbes, Washington Post gibi önde gelen küresel yayınlar, Deloitte, HPE gibi küresel firmalar, Dünya Ekonomik Forumu gibi STK'lar ve Avrupa Komisyonu gibi uluslarüstü kuruluşlar tarafından alıntılanmıştır.

Cem, kariyeri boyunca teknoloji danışmanı, teknoloji alıcısı ve teknoloji girişimcisi olarak görev yapmıştır. On yıldan fazla bir süre McKinsey & Company ve Altman Solon'da işletmelere teknoloji kararlarında danışmanlık yapmıştır. Ayrıca dijitalleşme üzerine bir McKinsey raporu yayımlamıştır.

CEO'ya rapor verirken bir telekomünikasyon şirketinin teknoloji stratejisini ve satın alımını yönetmiştir. Ayrıca, 2 yıl içinde 0'dan 7 haneli yıllık yinelenen gelire ve 9 haneli değerlemeye ulaşan derin teknoloji şirketi Hypatos'un ticari büyümesini yönetmiştir. Cem'in Hypatos'taki çalışmaları TechCrunch ve Business Insider gibi önde gelen teknoloji yayınları tarafından ele alınmıştır.

Cem, uluslararası teknoloji konferanslarında düzenli olarak konuşma yapmaktadır. Boğaziçi Üniversitesi'nden bilgisayar mühendisi olarak mezun olmuş ve Columbia Business School'dan MBA derecesine sahiptir.

Tam Profili Görüntüle

Araştıran

Sena Sezer

Sektör Analisti

Takip Et

Sena, AIMultiple'da sektör analisti olarak çalışmaktadır. Boğaziçi Üniversitesi'nden lisans derecesini almıştır.

Tam Profili Görüntüle

Yorum yapan ilk kişi olun

E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir. Yorumlar orijinal dilinde bırakılır.

Ad

E-posta Adresi

Yorum

0/450

Yorumu Gönder