SIEM (Güvenlik Bilgisi ve Olay Yönetimi) nedir? Merkezi log korelasyonu, anomali tespiti, siber olay izleme ve SOC hazırlık rehberini inceleyin. İnceleyin.
Hızlı Özet (TL;DR)
Büyük bir kurumsal ağda her gün güvenlik duvarları, omurga anahtarlar (switch), sunucular, etki alanı denetleyicileri (Active Directory) ve uç nokta güvenlik yazılımları milyonlarca satır log (olay kaydı) üretir. Bir sistem yöneticisinin bu dağınık sistemlere tek tek girip logları incelemesi fiziksel olarak imkansızdır. SIEM (Security Information and Event Management - Güvenlik Bilgisi ve Olay Yönetimi), ağdaki tüm cihazlardan gelen logları tek bir merkezde toplayan, normalize eden, zaman damgasıyla eşleştiren ve farklı olaylar arasındaki gizli ilişkileri gerçek zamanlı analiz eden (Korelasyon) siber güvenlik beynidir.
Siber Saldırılarda “Bekleme Süresi” (Dwell Time) ve Görünmezlik Sorunu
Küresel siber güvenlik raporlarına göre, gelişmiş bir siber saldırganın kurumsal bir ağa ilk sızdığı an ile saldırının fark edildiği an arasındaki ortalama süre (Dwell Time) merkezi izleme olmayan şirketlerde 190 günü aşmaktadır. Saldırganlar artık ağa girdikleri ilk dakikada ekranlara kuru kafa resmi koyup fidye istememektedir. Önce haftalarca sessizce ağda yatay hareket (Lateral Movement) yapmakta, yetkilerini yükseltmekte, ERP ve CAD sunucularındaki gizli verileri dışarı sızdırmakta, yedekleme sunucularını içeriden bozmakta ve en son darbe olarak tüm sistemi şifrelemektedir.
Eğer kurumunuzda yalnızca geleneksel bir log sunucusu varsa, loglar sadece bir olay gerçekleştikten sonra “adli bilişim incelemesi” (geriye dönük otopsi) yapmak için diskte bekler. Oysa SIEM mimarisi, logları sadece depolamakla kalmaz; akan veriyi saniyede binlerce kural ve davranışsal profil (UEBA - Kullanıcı ve Varlık Davranış Analizi) ile süzerek saldırıyı henüz keşif ve yayılım aşamasındayken yakalar.
SIEM Mimarisi Nasıl Çalışır? Toplama, Normalizasyon ve Korelasyon
Bir SIEM platformunun kurumsal ağdaki ham veriyi aksiyon alınabilir bir güvenlik alarmına dönüştürmesi 4 temel mühendislik katmanından oluşur:
- Veri Toplama (Log Ingestion): Ağ cihazlarından (Firewall, Switch, Wi-Fi Controller) Syslog/CEF formatında, Windows Active Directory ve dosya sunucularından WEF/Winlogbeat ajanlarıyla, Linux sunuculardan Auditd ile, web sunucularından ve veritabanlarından (SQL/Oracle) ise API/Agent aracılığıyla tüm olay kayıtları anlık olarak SIEM sunucusuna aktarılır.
- Ayrıştırma ve Normalizasyon (Parsing & Normalization): Bir güvenlik duvarı kaynak IP adresini
src_ip=192.168.1.50olarak yazarken, bir Windows sunucu aynı veriyiSource Network Address: 192.168.1.50olarak kaydeder. SIEM motoru, farklı üreticilerden gelen bu karmaşık metinleri ortak bir veri şemasına dönüştürür. - Korelasyon Motoru (Correlation Engine): Farklı kaynaklardan gelen normalize edilmiş olaylar MITRE ATT&CK çerçevesine göre birbirine bağlanır.
- Otomatik Yanıt ve SOAR Entegrasyonu: Kritik bir korelasyon kuralı tetiklendiğinde yalnızca e-posta atmakla kalmaz; güvenlik duvarına API üzerinden komut göndererek saldırganın IP adresini bloklar veya Active Directory üzerindeki ele geçirilmiş kullanıcı hesabını otomatik olarak devre dışı bırakır.
SIEM Korelasyon Mantığı Nasıl Çalışır? (Gerçek Saha Senaryosu)
Tek başına incelendiğinde sıradan veya masum görünen olaylar, SIEM korelasyon motorunda bir araya geldiğinde büyük bir saldırıyı saniyeler içinde deşifre eder:
- Olay A (Firewall / VPN): Gece saat 03:15’te yurt dışı menşeili bir IP adresinden muhasebe departmanındaki bir kullanıcı hesabıyla SSL-VPN bağlantısı kuruldu (Öncesinde 12 kez hatalı parola denemesi yapıldı).
- Olay B (Active Directory): Saat 03:17’de aynı muhasebe kullanıcısı, daha önce hiç bağlanmadığı Domain Controller sunucusu üzerinde Kerberos bilet talebinde (Kerberoasting) bulundu ve yetki yükseltme (Event ID 4672 / 4728) denemesi yaptı.
- Olay C (Dosya Sunucusu): Saat 03:19’da aynı kullanıcı hesabı, ortak dosya sunucusunda 1 dakika içinde 500 adet dosyanın uzantısını değiştirmeye veya toplu silme (Event ID 4663) işlemine başladı.
- SIEM Çıktısı (Acil Alarm ve Otomatik İzolasyon): SIEM bu üç farklı cihazdan gelen logu milisaniyeler içinde birleştirir, “Kritik Seviye: Ele Geçirilmiş Hesap ve Aktif Fidye Yazılımı Davranışı” teşhisi koyar, kullanıcının VPN oturumunu düşürür, hesabını kilitler ve sistem yöneticisinin telefonuna acil çağrı başlatır.
Geleneksel Loglama (5651), Merkezi Syslog ve SIEM Karşılaştırması
Birçok işletmede “5651 loglamamız var, SIEM’e ihtiyacımız var mı?” sorusu gündeme gelmektedir. Bu üç kavramın teknik kapasite farkları aşağıdaki tabloda netleştirilmiştir:
| Karşılaştırma Kriteri | Yalnızca 5651 Yasal Loglama | Merkezi Syslog Sunucusu | Kurumsal SIEM Platformu |
|---|---|---|---|
| Temel Amaç | Yasal zorunluluk (İnternet çıkış ve DHCP IP dağıtım kaydı) | Cihaz loglarını tek bir disk alanında arşivlemek | Gerçek zamanlı siber saldırı tespiti, korelasyon ve uyumluluk |
| İzlenen Kaynaklar | Yalnızca Güvenlik Duvarı ve Hotspot (Misafir Wi-Fi) | Ağ cihazları ve temel sunucu sistem logları | Firewall, AD, Dosya Sunucusu, EDR, SQL, ERP, DLP ve Bulut |
| Anomali ve Saldırı Tespiti | Yoktur (Sadece geçmişe dönük arşiv tutar) | Yoktur (Manuel arama yapılması gerekir) | Çok Yüksek (Korelasyon kuralları ve UEBA yapay zeka analizi) |
| EPS (Saniyedeki Olay) Kapasitesi | Düşük (Yalnızca trafik/IP özetleri) | Orta (Ham metin dosyası olarak yazar) | Yüksek (Saniyede binlerce olayı indeksler ve çapraz sorgular) |
| Denetim Uyumluluğu | 5651 Sayılı Kanun | Temel BT hijyeni | ISO 27001, KVKK, TGB, EYDEP, CMMC ve BDDK/SPK tam uyumu |
İmalat ve Savunma Sanayiinde Kritik SIEM İzleme Kuralları (Use-Cases)
Üretim tesislerinde ve savunma sanayii siber güvenlik projelerinde SIEM kurulurken hazır şablonlarla yetinilmeyip işletmenin mimarisine özel korelasyon kuralları (Use-Case) yazılmalıdır:
- Active Directory Kritik Değişiklikleri: Mesai saatleri dışında yeni bir kullanıcı oluşturulması (Event ID 4720), bir kullanıcının
Domain Adminsgrubuna eklenmesi veya denetim loglarının temizlenmesi (Event ID 1102 - Audit Log Cleared) anında en yüksek seviyeli alarm üretmelidir. - Ortak Dosya Sunucusu (File Server Auditing): Ar-Ge ve teknik resim klasörlerinde bir kullanıcının normal günlük ortalamasının 10 katı kadar dosya okuması (toplu veri indirme anomalisi) ortak dosya sunucusu ve yedekleme güvenliği kapsamında içeriden veri sızıntısı (Insider Threat) olarak raporlanmalıdır.
- OT / SCADA ve Üretim VLAN İhlalleri: İdari ofis ağındaki herhangi bir bilgisayardan, izole edilmiş CNC/PLC üretim ağına doğru yapılan port taramaları (Port Scan) veya SMB/RDP erişim denemeleri güvenlik duvarı (Firewall) loglarından yakalanıp anında engellenmelidir.
Yasal Uyumluluk, KVKK ve 5651 Entegrasyonu
Merkezi log yönetimi; yalnızca siber güvenlik operasyonları için değil, aynı zamanda ISO 27001:2022 (Ek-A 8.15 ve 8.16 İzleme/Loglama maddeleri), 6698 sayılı KVKK (Kişisel verilere kimin ne zaman eriştiğinin izlenmesi) ve 5651 sayılı kanun denetimlerinde teftiş makamlarına değiştirilemez delil sunabilmek için de vazgeçilmez bir altyapıdır. SIEM üzerinde toplanan kritik logların bir kopyası TÜBİTAK Kamu SM Zaman Damgası ile imzalanarak hem gerçek zamanlı siber savunma hem de yasal arşivleme tek bir mimaride birleştirilir.
Yasal loglama, korelasyon ve güvenlik duvarı çözümlerimiz için KVKK ve 5651 Hizmetleri sayfamıza göz atın.
Kaynaklar
Sıkça Sorulan Sorular
SIEM lisansı alırken EPS (Events Per Second) nedir ve nasıl hesaplanır?
EPS (Saniye Başına Olay Sayısı), ağınızdaki sunucu, güvenlik duvarı ve bilgisayarların bir saniyede ürettiği ortalama ve zirve log adedidir. Örneğin 100 kullanıcılı bir işletmede güvenlik duvarı saniyede 80-150 EPS, iki adet Domain Controller saniyede 40-80 EPS, dosya sunucusu ise 30-50 EPS üretebilir. Doğru lisanslama ve disk kapasitesi planlaması için gereksiz “Bilgi” (Informational/Noise) logları kaynağında filtrelenmeli, yalnızca güvenlik ve denetim değeri taşıyan olaylar SIEM’e aktarılmalıdır.
SIEM kurduktan sonra sürekli yanlış alarm (False Positive) gelmesini nasıl önleriz?
Yeni kurulan bir SIEM sisteminde ilk 2-4 hafta “İnce Ayar ve Öğrenme Süreci” (Fine-Tuning / Baselining) olarak yürütülür. Örneğin yedekleme sunucusunun her gece saat 01:00’de dosya sunucusundaki tüm dosyaları okuması veya güvenlik tarayıcısının iç ağda zafiyet taraması yapması başlangıçta SIEM tarafından “Saldırı” olarak algılanabilir. Sistem mühendislerimiz bu meşru operasyonları beyaz listeye (Whitelist) alarak ve eşik değerlerini şirketin çalışma ritmine göre kalibre ederek yanlış alarmları sıfıra indirir.
7/24 SOC (Güvenlik Operasyon Merkezi) ekibimiz yok, SIEM yine de işimize yarar mı?
Kesinlikle yarar. Orta ölçekli sanayi ve ticaret kuruluşlarının bünyesinde 7/24 ekran başında nöbet tutan 10 kişilik bir SOC ekibi bulundurması maliyetli olabilir. Ancak doğru yapılandırılmış ve Otomatik Yanıt (SOAR / Active Response) kuralları tanımlanmış bir SIEM; gece 04:00’te saldırı olduğunda insan müdahalesi beklemeden güvenlik duvarı üzerinden saldırganı bloklar, kullanıcı hesabını dondurur ve sabah BT yöneticisinin önüne tüm olay örgüsünü hazır bir rapor olarak sunar.