Log Yönetiminin Önemi
Sunucular, uygulamalar, güvenlik duvarları ve ağ cihazları sürekli olarak günlük (log) kayıtları üretir. Bu kayıtlar, sistemde neyin ne zaman gerçekleştiğinin dijital izidir. Ancak dağınık ve düzensiz biçimde tutulan loglar bir sorun anında işe yaramaz. Etkili log yönetimi; kayıtların merkezi olarak toplanması, saklanması, normalleştirilmesi ve analiz edilebilir hale getirilmesini kapsar. Doğru kurgulanmış bir log altyapısı, hem sorun gidermenin hem de güvenlik soruşturmalarının temelidir.
Bir güvenlik olayı yaşandığında, doğru toplanmış loglar olayın nasıl geliştiğini adım adım gösteren en değerli kanıt kaynağıdır. Log tutulmayan veya kaybolan bir sistemde, olayın kök nedeni çoğu zaman hiçbir zaman aydınlatılamaz.
SIEM Nedir?
SIEM (Security Information and Event Management), farklı kaynaklardan gelen güvenlik olaylarını ve log verilerini tek bir platformda toplayan, ilişkilendiren ve analiz eden sistemlerdir. SIEM, tekil olayların ötesine geçerek farklı kaynaklardaki verileri birbiriyle ilişkilendirir. Örneğin bir kullanıcının farklı sistemlerdeki başarısız oturum açma denemeleri tek başına önemsiz görünebilirken, korelasyon sayesinde koordineli bir saldırının işareti olarak ortaya çıkabilir.
SIEM’in Temel İşlevleri
- Toplama: Farklı kaynaklardan log verilerinin merkezi olarak alınması.
- Normalleştirme: Farklı formatlardaki verilerin ortak bir yapıya dönüştürülmesi.
- Korelasyon: Olaylar arasında anlamlı bağlantıların kurulması.
- Uyarı: Şüpheli desenler tespit edildiğinde bildirim üretilmesi.
- Raporlama: Uyumluluk ve analiz için düzenli raporların hazırlanması.
Hangi Loglar Toplanmalı?
Etkili bir izleme için doğru kaynakların kapsanması gerekir. Kimlik doğrulama olayları, yönetici etkinlikleri, güvenlik duvarı kayıtları, sistem hataları ve uygulama günlükleri öncelikli kaynaklar arasındadır. Fazla veri toplamak kadar kritik verileri kaçırmamak da önemlidir. Aşırı veri, hem depolama maliyetini hem de analiz karmaşıklığını artırdığından dengeli bir kapsam belirlenmelidir.
Saklama ve Uyumluluk
Birçok sektörde log kayıtlarının belirli süreler boyunca saklanması yasal veya sözleşmesel bir zorunluluktur. Log yönetimi altyapısı, bu saklama gereksinimlerini karşılayacak ve kayıtların değiştirilmediğini garanti edecek biçimde tasarlanmalıdır. Kayıtların bütünlüğü, adli süreçlerde kanıt değeri açısından kritiktir.
Olay Müdahalesinde Rolü
Bir güvenlik olayı yaşandığında, saldırının nasıl gerçekleştiğini, hangi sistemlerin etkilendiğini ve verilerin nereye gittiğini anlamanın tek yolu genellikle log kayıtlarıdır. İyi yapılandırılmış bir SIEM, olay müdahale sürelerini kısaltır ve adli analizi mümkün kılar.
- Şüpheli etkinlikleri gerçek zamanlıya yakın tespit edin.
- Olayların zaman çizelgesini yeniden oluşturun.
- Yanlış alarmları azaltmak için kuralları sürekli iyileştirin.
Sürekli İyileştirme
SIEM kurulumu tek seferlik bir proje değil, sürekli olgunlaşan bir süreçtir. Yeni tehdit türleri ortaya çıktıkça korelasyon kuralları güncellenmeli, yanlış alarm oranları düşürülmeli ve kapsam genişletilmelidir. Düzenli ayarlama olmadan SIEM zamanla gürültüye boğulur ve etkinliğini yitirir.
Tehdit İstihbaratı Entegrasyonu
Modern SIEM çözümleri, dış tehdit istihbaratı kaynaklarıyla beslenerek daha akıllı hale gelir. Bilinen zararlı adreslerin, saldırı desenlerinin ve tehdit göstergelerinin sisteme entegre edilmesi, saldırıların çok daha erken aşamada tanınmasını sağlar. Bu entegrasyon, güvenlik ekibinin yalnızca geçmiş olaylara tepki vermek yerine, gelişen tehditleri proaktif biçimde öngörmesine olanak tanır. Böylece savunma, statik kurallardan dinamik ve güncel bir yapıya dönüşür. Tehdit istihbaratının otomatik olarak güncellenmesi, güvenlik ekibinin sürekli değişen saldırı ortamına ayak uydurmasını kolaylaştırır ve tepki süresini kısaltır.
GelecekINT Yaklaşımı
Log Yönetimi ile SIEM Arasındaki Fark
İki kavram sıkça birbirinin yerine kullanılsa da kapsamları farklıdır. Log yönetimi, kayıtların toplanması, saklanması, aranabilir hale getirilmesi ve belirlenen süre sonunda güvenli biçimde silinmesiyle ilgilenir; asıl amacı kayıtların eksiksiz ve erişilebilir olmasıdır. SIEM ise bu kayıtların üzerine bir analiz katmanı ekler: farklı kaynaklardan gelen olayları ilişkilendirir, kurallara göre şüpheli durumları tespit eder ve uyarı üretir. Kısacası sağlam bir log yönetimi altyapısı olmadan SIEM verimli çalışamaz; SIEM olmadan ise toplanan kayıtlar çoğunlukla yalnızca bir olay yaşandıktan sonra incelenir.
Merkezi Log Yönetimi Adım Adım Nasıl Kurulur?
- Kaynakları listeleyin: Sunucular, güvenlik duvarları, VPN, e-posta sunucusu, dizin hizmeti ve kritik uygulamalar gibi kayıt üreten tüm sistemleri çıkarın.
- Saatleri eşitleyin: Tüm cihazların NTP ile aynı zaman kaynağına bağlanması, olayların doğru sırayla ilişkilendirilebilmesi için şarttır.
- Taşıma yöntemini seçin: Kayıtlar syslog protokolü ya da sistemlere kurulan toplayıcı ajanlarla merkeze gönderilir; mümkünse şifreli kanal kullanılır.
- Saklama süresini belirleyin: Yasal yükümlülükler, sözleşmeler ve iç politikalar birlikte değerlendirilerek her kayıt türü için süre yazılı hale getirilir.
- Erişimi kısıtlayın: Log sunucusuna yalnızca yetkili kişilerin erişmesi ve kayıtların silinememesi ya da değiştirilememesi sağlanır.
- Kuralları ve uyarıları tanımlayın: Önce az sayıda ama anlamlı senaryoyla başlanır, ardından kapsam kademeli olarak genişletilir.
Kişisel veri içeren kayıtların saklanması ve imhası ayrıca değerlendirilmelidir; bu konudaki genel çerçeveyi KVKK Uyumu ve Veri Yönetişimi yazımızda bulabilirsiniz.
Başlangıç İçin Örnek Tespit Senaryoları
SIEM’e ilk günden yüzlerce kural yüklemek, kısa sürede yönetilemeyen bir uyarı yığınına yol açar. Bunun yerine yaygın saldırı adımlarını yakalayan birkaç senaryoyla başlamak daha verimlidir:
- Kısa süre içinde aynı hesap için çok sayıda başarısız oturum açma denemesi.
- Mesai dışı saatlerde ya da alışılmadık bir ülkeden yapılan yönetici girişi.
- Yeni bir yönetici hesabı oluşturulması veya bir hesabın yetkili gruba eklenmesi.
- Güvenlik yazılımının durdurulması ya da kayıtların temizlenmesi.
- Bir iç sistemden alışılmadık hacimde dışarıya veri aktarımı.
Ağ trafiğindeki saldırı belirtilerini yakalayan sistemler de SIEM için değerli bir kaynaktır; bu sistemleri İzinsiz Giriş Önleme Sistemleri (IPS/IDS) yazımızda anlattık.
Sık Yapılan Hatalar
- Her şeyi toplayıp hiçbir şeye bakmamak: Kimsenin incelemediği uyarılar, hiç uyarı olmamasından farksızdır.
- Log kaynağının sustuğunu fark etmemek: Bir cihazın kayıt göndermeyi bırakması da izlenmeli ve uyarı üretmelidir.
- Güvenlik loglarını performans izlemesiyle karıştırmak: İşlemci ve disk gibi kaynak metriklerinin takibi farklı bir disiplindir; bu konuyu Sunucu İzleme (Monitoring) Sistemleri yazımızda ele aldık.
- Saklama süresini disk kapasitesine göre belirlemek: Süre, ihtiyaca göre belirlenmeli; kapasite de buna göre planlanmalıdır.
Merkezi log toplama, SIEM kuralları ve güvenlik olaylarının izlenmesi için Firewall ve Güvenlik Yönetimi hizmet sayfamızı inceleyebilirsiniz.
GelecekINT olarak merkezi log yönetimi ve SIEM altyapılarının kurulumu, kaynak entegrasyonu, korelasyon kurallarının tanımlanması ve sürekli izleme konularında kapsamlı hizmet sunuyoruz. Altyapınızda gerçekleşen her olaydan haberdar olan, tehditleri erken tespit eden bir görünürlük katmanı oluşturuyoruz. Güvenlik olaylarını izleme kapasitenizi güçlendirmek için WhatsApp üzerinden bize yazabilir veya teklif talebi oluşturabilirsiniz.