SIEM ve Log Yönetimi

SIEM ve log yönetimi için hangi log kaynakları toplanır?

SIEM (Security Information and Event Management), güvenlik bilgisi ve olay yönetimi anlamına gelir; endüstriyel otomasyon markalarıyla karıştırılmaması için burada “SIEM ve log yönetimi” ifadesi kullanılır. Bir SIEM projesinin değeri, toplanan logların kapsamı ve kalitesiyle belirlenir. Tüm kaynakları ilk günden bağlamak yerine, saldırı zincirinde en çok iz bırakan kaynaklardan başlanması önerilir:

• Kimlik: Active Directory ve Microsoft Entra ID oturum açma, hesap kilitlenme, grup üyeliği değişiklikleri.
• Ağ sınırı: firewall izin/ret kayıtları, VPN oturumları, IPS alarmları.
• Uç nokta: EDR/XDR tespitleri ve Windows güvenlik olay kayıtları.
• Sunucu ve uygulama: Linux yetki yükseltme kayıtları, web sunucusu erişim logları, veritabanı yönetici işlemleri.
• Bulut ve e-posta: Microsoft 365 denetim kayıtları, e-posta güvenlik ağ geçidi olayları.
• Altyapı: VMware yönetim işlemleri ve yedekleme sistemi olayları; yedek silme veya saklama politikası değişikliği gibi kayıtlar fidye yazılımı hazırlığının erken işareti olabilir.

Hizmet güvencesi: Toplanan loglar kişisel veri içerebildiği için saklama ve erişim kuralları gizlilik ilkeleriyle birlikte tasarlanır. MAV Cloud’un bilgi güvenliği yönetim sistemi ISO/IEC 27001, gizlilik bilgi yönetim sistemi ISO/IEC 27701 belgelidir (sertifikalarımız).

Korelasyon kuralları: tekil logdan güvenlik olayına

Tek başına zararsız görünen kayıtlar, belirli bir sıra ve zaman aralığında bir araya geldiğinde saldırı senaryosuna dönüşür. Korelasyon kuralları bu ilişkiyi tanımlar. Sık kullanılan örnekler:

• Kısa sürede çok sayıda başarısız oturum denemesinin ardından aynı hesapla başarılı giriş (parola deneme saldırısı).
• Aynı kullanıcının birbirine uzak iki konumdan, fiziksel olarak mümkün olmayan aralıkta oturum açması.
• Mesai dışında yönetici grubuna yeni üye eklenmesi.
• Bir sunucudan olağan dışı hacimde dış bağlantı ve veri çıkışı.
• EDR tespitinin ardından aynı cihazdan yan sistemlere uzak masaüstü denemeleri.

Kurallar kuruma göre ayarlanmadığında gereksiz alarm üretir. İlk haftalarda eşik değerleri ve istisnalar gözden geçirilir, kural seti düzenli aralıklarla güncellenir. Her kuralın yanında, alarm geldiğinde analistin hangi ek kayıtlara bakacağını ve hangi durumda olayı yükselteceğini anlatan kısa bir inceleme notu tutulur; böylece aynı senaryo farklı vardiyalarda tutarlı şekilde değerlendirilir. Kavramın temelleri SIEM nedir rehberinde anlatılmıştır.

Log saklama süresi ve bütünlük

Saklama planı iki katmanda kurgulanır: hızlı arama yapılabilen sıcak depolama (güncel olay incelemesi için) ve daha uzun süre tutulan arşiv. Mevzuattan doğan süreler kurumun hukuk birimiyle teyit edilir; teknik tarafta logların değiştirilemediğinin gösterilmesi için zaman damgası, erişim kısıtlaması ve bütünlük kontrolü uygulanır.

Saklama maliyetini belirleyen asıl etken günlük log hacmidir. Her kaynaktan gelen tüm alanları sınırsız tutmak yerine, güvenlik açısından anlamlı olay türleri filtrelenir, tekrarlayan ve bilgi değeri düşük kayıtlar (örneğin rutin bağlantı durumu mesajları) arşive doğrudan yönlendirilir. Planlama aşamasında şu sorular netleştirilir:

• Hangi kaynağın logu kaç gün hızlı aranabilir kalmalı?
• Arşivdeki kayıtlara bir inceleme sırasında ne kadar sürede geri dönülmesi gerekir?
• Loglara kimler erişebilir ve bu erişimin kendisi nasıl kayıt altına alınır?
• Arşiv hangi lokasyonda tutulur; verinin Türkiye’de kalması gerekiyor mu?

MAV Cloud altyapısında log arşivi Türkiye lokasyonlu veri merkezinde tutulabilir. Alarmların 7/24 değerlendirilmesi gerektiğinde yapı SOC hizmeti ile birlikte işletilir.