Bir SIEM projesine başlayan kurumların çoğu aynı soruyla karşılaşır: “Hangi logları göndermeliyiz?” İlk refleks genellikle “her şeyi” demektir. Oysa her şeyi toplamak, depolama ve lisans maliyetini artırır, analistleri gürültüye boğar ve asıl önemli sinyali bulmayı zorlaştırır. Doğru yaklaşım, cevaplamak istediğiniz güvenlik sorularından geriye doğru çalışmaktır. Bu rehberde, log kaynaklarını öncelik sırasıyla ve her birinde nelere bakılması gerektiğiyle birlikte ele alıyoruz. Yönetilen izleme hizmetimizin kapsamı için SIEM ve SOC hizmeti sayfamıza göz atabilirsiniz.
Önce soruları belirleyin
Log toplamaya başlamadan önce şu soruları yazın: Kim, ne zaman, nereden oturum açtı? Hangi hesaplara yeni yetki verildi? İçeriden dışarıya alışılmadık miktarda veri çıktı mı? Bir cihazda zararlı yazılım çalıştı mı? Kritik bir sunucuda güvenlik ayarı değişti mi? Her soru, belirli bir log kaynağını ve belirli olay türlerini işaret eder. Bu eşleştirme, hem proje kapsamını netleştirir hem de bütçeyi doğru kaynaklara yönlendirir.
1. Kimlik sistemleri: en yüksek öncelik
Saldırıların büyük bölümü bir şekilde kimlik bilgisiyle ilgilidir. Bu yüzden Active Directory etki alanı denetleyicileri ve Entra ID gibi bulut kimlik servisleri ilk bağlanacak kaynaklardır. İzlenmesi gereken başlıca olaylar şunlardır:
- Başarılı ve başarısız oturum açmalar, hesap kilitlenmeleri
- Yeni kullanıcı oluşturma, ayrıcalıklı gruplara (ör. etki alanı yöneticileri) üye ekleme
- Parola sıfırlamaları ve MFA yöntemlerindeki değişiklikler
- Koşullu erişim politikalarının veya güvenlik ayarlarının değiştirilmesi
- Riskli oturum açma işaretleri, alışılmadık konum ve cihazlar
Windows ortamlarında bu olayların düzgün kaydedilmesi için gelişmiş denetim (advanced audit) politikalarının doğru yapılandırılması gerekir; varsayılan ayarlar çoğu zaman yeterli ayrıntıyı vermez.
2. Ağ sınırı: güvenlik duvarı, VPN ve proxy
Güvenlik duvarı logları, iç ağ ile internet arasındaki trafiğin hikâyesini anlatır. İzin verilen ve engellenen bağlantılar, IPS uyarıları, bilinen zararlı adreslere yapılan bağlantı denemeleri ve yönetim arayüzüne erişimler burada görünür. VPN logları uzaktan erişimin kim tarafından, hangi kaynaktan ve ne kadar süreyle yapıldığını gösterir; çalınmış bir kimlik bilgisiyle yapılan girişler çoğu zaman ilk olarak burada fark edilir. DNS ve web proxy logları ise zararlı alan adlarına yapılan sorguları ve komuta-kontrol trafiğini yakalamak için değerlidir. Ağ cihazlarının güvenli yapılandırılması için kurumsal ağ altyapısı sayfamıza da göz atabilirsiniz.
3. Uç noktalar: EDR ve işletim sistemi logları
Uç nokta, saldırının genellikle başladığı yerdir. EDR/XDR çözümlerinin ürettiği uyarılar ve telemetri, SIEM için en zengin kaynaklardan biridir: çalıştırılan süreçler, şüpheli komut satırı kullanımı, kalıcılık mekanizmaları, güvenlik ajanının devre dışı bırakılma girişimleri. EDR yoksa Windows olay günlükleri, PowerShell kayıtları ve Sysmon gibi araçlarla temel görünürlük sağlanabilir; ancak bu, EDR’nin davranış analizi ve otomatik müdahale yeteneğinin yerini tutmaz.
4. E-posta ve iş birliği araçları
Oltalama hâlâ en yaygın ilk erişim yöntemlerinden biridir. E-posta güvenlik ağ geçidinin engellediği ve teslim ettiği iletiler, kullanıcıların tıkladığı bağlantılar, posta kutusuna eklenen şüpheli yönlendirme kuralları ve dışarıya otomatik iletme ayarları mutlaka izlenmelidir. Microsoft 365 gibi ortamlarda birleşik denetim günlüğü (unified audit log); dosya paylaşımları, toplu indirmeler ve yönetici işlemleri hakkında kritik bilgi sağlar.
5. Bulut platformları
Azure, AWS veya diğer bulut ortamlarında kontrol düzlemi (control plane) logları, kimin hangi kaynağı oluşturduğunu, sildiğini veya yetkisini değiştirdiğini gösterir. Herkese açık hâle getirilen bir depolama alanı, yeni oluşturulan erişim anahtarları veya beklenmedik bölgede açılan sanal makineler, bulut ortamındaki tipik alarm senaryolarıdır. Bulut loglarının çoğu varsayılan olarak sınırlı süre tutulur; uzun süreli saklama için SIEM’e aktarım ayrıca planlanmalıdır.
6. Sunucular, veritabanları ve iş uygulamaları
Kritik Windows ve Linux sunucularda yetkili oturum açmalar, servis ve zamanlanmış görev oluşturma, güvenlik ayarı değişiklikleri izlenir. Linux tarafında kimlik doğrulama ve sudo kayıtları öne çıkar. Müşteri verisi tutan veritabanlarında toplu sorgular ve yetki değişiklikleri; ERP, CRM ve web uygulamalarında ise yönetici işlemleri ve olağan dışı veri dışa aktarımları değerlidir. Web uygulamaları için WAF logları da saldırı denemelerini görmenin iyi bir yoludur.
Log kalitesi: toplamak yetmez
Doğru kaynakları bağlamak işin yarısıdır. Diğer yarısı log kalitesidir:
- Zaman senkronizasyonu: Tüm sistemler aynı NTP kaynağına bağlı olmalıdır; aksi hâlde olayları sıraya koymak mümkün olmaz.
- Ayrıştırma: Loglar doğru alanlara (kullanıcı, kaynak IP, hedef, işlem) ayrılmazsa korelasyon kuralları çalışmaz.
- Sessizlik izleme: Bir kaynaktan log gelmesi durduğunda bunun da alarm üretmesi gerekir; saldırganlar sıklıkla kayıt tutmayı kapatır.
- Bütünlük: Toplanan logların değiştirilemez biçimde saklanması ve erişimin sınırlandırılması, olay incelemesinde ve denetimde güvenilirlik sağlar.
Saklama süresi ve kişisel veri
Logların ne kadar süre saklanacağı; mevzuat, sektörel düzenlemeler, iç politikalar ve olay inceleme ihtiyaçlarına göre belirlenir. Maliyeti dengelemek için son dönemin loglarını hızlı sorgulanabilir katmanda, daha eski logları ise arşiv katmanında tutmak yaygın bir yaklaşımdır. Unutulmaması gereken bir nokta da logların IP adresi, kullanıcı adı ve e-posta adresi gibi kişisel veriler içerebilmesidir. Bu nedenle log yönetimi KVKK açısından da ele alınmalı, erişim yetkileri en az yetki prensibiyle verilmeli ve saklama süreleri belgelenmelidir. Yükümlülüklerinizin ayrıntısı için hukuk ve uyum danışmanlarınızdan destek almanızı öneririz.
Küçük bir örnek senaryo
Log kaynaklarının birlikte nasıl çalıştığını bir örnekle görelim. Bir çalışan oltalama e-postasındaki bağlantıya tıklayıp parolasını sahte bir sayfaya girer. E-posta güvenlik logu, iletinin teslim edildiğini ve bağlantının tıklandığını gösterir. Kısa süre sonra bulut kimlik logunda aynı hesap için alışılmadık bir ülkeden başarılı oturum açma görünür. Ardından birleşik denetim günlüğünde posta kutusuna dış adrese otomatik yönlendirme kuralı eklendiği kaydedilir. Bu üç olay ayrı ayrı bakıldığında masum görünebilir; SIEM’de tek bir korelasyon kuralıyla birleştiğinde ise açık bir hesap ele geçirme senaryosu ortaya çıkar. Bu örnek, tek bir kaynağın değil, kaynakların birlikte toplanmasının neden önemli olduğunu gösterir.
Aşamalı bir yol haritası
Pratikte en sağlıklı ilerleyiş aşamalıdır: Önce kimlik, güvenlik duvarı/VPN, e-posta ve EDR; ardından bulut ve kritik sunucular; son olarak veritabanları ve iş uygulamaları. Her aşamada yeni kaynağın ürettiği alarmlar ayarlanır, gürültü azaltılır ve kural seti olgunlaştırılır. Bu yaklaşım, ilk günden anlamlı görünürlük sağlarken bütçeyi de kontrol altında tutar. Logları toplamak kadar onları 7/24 izleyecek bir ekip de önemlidir; bu konuda Racurity yönetilen SOC hizmetimizi inceleyebilir, genel bir güvenlik yol haritası için siber güvenlik hizmetleri sayfamıza göz atabilirsiniz.
Sık sorulan sorular
Tüm logları SIEM’e göndermek neden önerilmez?
Gereksiz loglar depolama ve lisans maliyetini artırır, analistleri gürültüye boğar ve önemli sinyalleri gizler. Cevaplamak istediğiniz güvenlik sorularına göre kaynak seçmek daha etkilidir.
EDR’miz varsa Windows olay günlüklerine yine de ihtiyaç var mı?
Evet. EDR süreç ve davranış görünürlüğü sağlar; etki alanı denetleyicilerindeki kimlik olayları ve sunuculardaki yapılandırma değişiklikleri ise olay günlüklerinden gelir. İkisi birbirini tamamlar.
Bir log kaynağı susarsa ne olur?
İyi kurgulanmış bir SIEM, beklenen bir kaynaktan belirli bir süre log gelmediğinde alarm üretir. Kayıt tutmanın kapatılması saldırganların sık kullandığı bir yöntem olduğu için bu kontrol önemlidir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
