Bir sabah muhasebe klasöründeki dosyaların silindiğini fark ediyorsunuz. Kim sildi, ne zaman sildi, hangi bilgisayardan? Ya da internet hattı öğleden sonra sürekli doluyor; hangi kullanıcı, hangi uygulama? Bu soruların cevabı loglardadır. Tabii tutulmuşlarsa, doğru yerde saklanmışlarsa ve birisi bakmayı biliyorsa. Loglama, sistemlerde gerçekleşen olayların zaman damgalı kayıtlar hâlinde tutulmasıdır. Bu yazıda hangi kayıtların önemli olduğunu, kayıtların nasıl güvenilir tutulacağını ve kayıt yığınını nasıl anlamlı bilgiye dönüştüreceğinizi anlatıyoruz. Ağ tarafındaki kayıt ve raporlama çözümleri için ağ güvenliği sayfamıza bakabilirsiniz.
Log nedir, loglama nedir?
Log, bir sistemin “şu anda, şu kaynaktan, şu olay oldu” diye yazdığı tek satırlık kayıttır. Güvenlik duvarı her bağlantıyı, sunucu her oturum açma denemesini, uygulama her hatayı ve veritabanı her önemli işlemi kaydedebilir. Loglama ise bu kayıtların üretilmesini, toplanmasını, saklanmasını ve incelenmesini kapsayan bütün süreçtir.
Loglar üç ayrı iş için kullanılır:
- Sorun giderme: Bir uygulama neden durdu, disk ne zaman doldu, yedek neden başarısız oldu?
- Güvenlik: Başarısız giriş denemeleri, olağan dışı saatlerde oturum açma, bilinen zararlı adreslerle iletişim, yetkisiz değişiklikler.
- Yasal yükümlülük ve denetim: 5651 kapsamındaki erişim kayıtları, KVKK’daki teknik tedbirler, ISO 27001 denetimlerinde istenen kanıtlar.
Hangi loglar önemli?
Her şeyi kaydetmek mümkündür ama anlamlı değildir. İşletmelerin çoğu için öncelikli kaynaklar şunlardır:
| Kaynak | Ne kaydeder? | Hangi soruya cevap verir? |
|---|---|---|
| Güvenlik duvarı | Bağlantılar, engellenen trafik, VPN oturumları, web filtreleme olayları | Kim nereye bağlandı, hangi saldırı durduruldu? |
| Active Directory ve etki alanı denetleyicisi | Oturum açma, başarısız girişler, hesap kilitlenmeleri, grup ve yetki değişiklikleri | Kim, hangi hesapla, ne zaman oturum açtı? |
| Dosya sunucusu | Dosya erişimi, silme, yetki değişikliği | O dosyayı kim sildi? |
| Sunucu ve uygulamalar | Hizmet hataları, güncellemeler, yeniden başlatmalar | Sistem neden durdu? |
| Uç nokta güvenliği | Tespit edilen zararlı yazılımlar, engellenen işlemler | Tehdit hangi bilgisayarda başladı? |
| DHCP ve misafir ağı | Hangi IP adresinin hangi cihaza, ne zaman verildiği | Bu IP adresi o saatte kimdeydi? |
Windows ortamında bazı olaylar varsayılan olarak kaydedilmez. Örneğin dosya erişimini izlemek için denetim ilkelerinin (audit policy) açılması ve izlenecek klasörlerin belirlenmesi gerekir. Kayıt tutulduğunu varsaymadan önce gerçekten tutulduğunu kontrol edin. Aynı şekilde olay günlüklerinin boyut sınırı küçükse, yoğun bir sunucuda kayıtlar birkaç gün içinde üzerine yazılabilir.
İyi bir loglama yapısının şartları
Saatler aynı olmalı
Güvenlik duvarında 14:02, sunucuda 13:57 görünen iki olayı ilişkilendirmek zordur. Tüm cihazların aynı zaman kaynağından (NTP) saat alması, logların birbiriyle karşılaştırılabilmesinin ön koşuludur.
Loglar kaynağında kalmamalı
Bir saldırgan ele geçirdiği sunucudaki kayıtları silebilir. Disk dolduğunda eski kayıtlar üzerine yazılabilir. Bu yüzden loglar, üretildikleri cihazdan merkezi bir log sunucusuna ya da raporlama sistemine gönderilmelidir. Log sunucusuna erişim de sınırlı tutulmalıdır.
Değiştirilmediği kanıtlanabilmeli
Bir kayıt delil olarak kullanılacaksa, sonradan değiştirilmediğinin gösterilmesi gerekir. 5651 kapsamındaki erişim kayıtlarının zaman damgasıyla imzalanmasının nedeni budur. Kapsamı ve adımları 5651 log tutma rehberi yazımızda ayrıntılı anlattık.
Saklama süresi planlanmalı
Ne kadar süre saklanacağı hem yasal yükümlülüklere hem de ihtiyaca bağlıdır. Mevzuatın öngördüğü süreler için güncel düzenlemeleri ve hukuk danışmanınızı esas alın. Bu süreye göre depolama kapasitesi hesaplanmalı; kişisel veri içeren logların gereğinden uzun tutulmaması da KVKK’nın bir gereğidir.
Kayıt tutmak, görmek demek değildir
Orta ölçekli bir işletmenin güvenlik duvarı günde yüz binlerce satır log üretebilir. Kimse bunları satır satır okumaz. Değer, logların sorulara cevap veren raporlara ve uyarılara dönüşmesiyle ortaya çıkar:
- Bu hafta en çok bant genişliği kullanan kullanıcılar ve uygulamalar hangileri?
- Gece yarısı VPN’e art arda başarısız giriş denemesi yapıldı mı?
- İç ağdaki bir bilgisayar bilinen zararlı bir adresle iletişim kurdu mu?
- Güvenlik duvarında hiç kullanılmayan ya da gereğinden geniş kurallar var mı?
Bu işi yapan araçlar logları toplar, ayrıştırır, ilişkilendirir ve belirlenen durumlarda uyarı üretir. Güvenlik duvarı kayıtları için Firewall Analyzer bu soruları raporlara dönüştürür. Birden fazla şubenin ya da cihazın olduğu yapılarda ise uyarıların tek bir yerde toplanması, bir olayı ilk saatlerde fark etmekle günler sonra fark etmek arasındaki farktır.
Sık yapılan hatalar
- Logu yalnızca cihazın üzerinde tutmak. Cihaz arızalandığında ya da sıfırlandığında kayıtlar da gider.
- Uyarıyı kimsenin okumadığı bir adrese göndermek. Uyarının bir sahibi olmalıdır.
- Her şeyi uyarıya çevirmek. Günde yüzlerce uyarı gelen ekip, önemli olanı da görmez.
- Kayıtları hiç test etmemek. “Geçen salı 15:00’te bu IP kimdeydi?” sorusunu bugün cevaplayabiliyor musunuz? Bir denetim ya da olaydan önce deneyin.
- Misafir ağını unutmak. Misafir Wi-Fi’nin kayıtları çoğu zaman şirket ağından ayrı ve eksik tutulur.
Unna ile loglama
Loglama tek bir ürün değil, ağdan sunucuya uzanan bir düzendir. Önce hangi sorulara cevap aradığınızı ve hangi yasal yükümlülüklerin kapsamında olduğunuzu dinleriz. Ardından hangi kaynaktan hangi kaydın toplanacağını, nerede ve ne kadar süre saklanacağını birlikte planlarız.
- Misafirlerinize ya da çalışanlarınıza internet veriyorsanız, erişim kayıtlarını zaman damgasıyla imzalayan ve saklayan 5651 loglama çözümünü kurarız.
- FortiGate kullanan yapılarda, Unna’nın kendi geliştirdiği Unna Controller günlük arşivleri Kamu SM nitelikli zaman damgasıyla imzalar ve hash zinciriyle korur; bir kaydın sonradan değiştirilmediği her an doğrulanabilir.
- Güvenlik duvarı kayıtlarını Firewall Analyzer ile yönetim ve teknik ekip için anlaşılır raporlara ve uyarılara dönüştürürüz.
- Sunucu ve Active Directory kayıtları için denetim ilkelerini yapılandırır, kritik olayları sunucu yönetimi kapsamında izleriz.
Kurulumdan sonra da yanınızda kalırız: raporları düzenli olarak sizinle gözden geçirir, yeni cihaz ve şubeler eklendikçe kayıt yapısını güncelleriz. Başlamak için bize yazın.
