Log Yönetimi Nedir? Merkezi Log Yönetiminin Faydaları

Log yönetimi nedir?

Log yönetimi, log verisinin üretildiği andan imha edildiği ana kadar geçen yaşam döngüsünün planlı biçimde yönetilmesidir. NIST SP 800-92 bu süreci güvenlik log verisinin üretilmesi, iletilmesi, saklanması, analiz edilmesi ve imha edilmesi olarak tanımlar.

Bir log kaydı; bir olayın ne zaman, hangi sistemde, kim tarafından ve hangi sonuçla gerçekleştiğini anlatır. Başarısız bir oturum açma denemesi, güvenlik duvarının engellediği bir bağlantı, bir veritabanı hatası ya da bir yapılandırma değişikliği log olarak kaydedilir. Tek tek bakıldığında sıradan görünen bu kayıtlar, bir araya getirildiğinde hem operasyonel sorunların hem de güvenlik olaylarının en güvenilir kanıtıdır.

NIST SP 800-92, log yönetimi altyapısını üç katmanda tarif eder: logları üreten sistemler, logları alıp işleyen ve saklayan log sunucuları (toplayıcılar) ve verinin ile otomatik analiz sonuçlarının incelendiği izleme konsolları. Aynı rehber, logların gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı da log yönetiminin parçası sayar.

Toplanacak kaynakları seçerken genellikle şu gruplarla başlanır: kimlik doğrulama sistemleri (Active Directory, VPN), güvenlik duvarı ve diğer ağ güvenliği cihazları, sunucu işletim sistemleri, web sunucuları ve uygulamalar, veritabanları ve bulut servisleri.

Merkezi log yönetiminin faydaları nelerdir?

Merkezi log yönetimi, dağınık sistemlerdeki logları tek bir yerde toplayarak arama, korelasyon ve raporlamayı mümkün kılar. En önemli kazanımlar daha hızlı sorun giderme, saldırı izlerinin kaybolmaması ve denetimlerde kanıt sunabilmektir.

• Tek noktadan log analizi — Bir olayı incelerken onlarca sunucuya ayrı ayrı bağlanmak yerine tüm kaynaklarda tek sorguyla arama ve filtreleme yapılır.
• Daha hızlı kök neden analizi — Uygulama hatası, veritabanı yavaşlığı ve ağ kesintisi aynı zaman çizelgesinde görüldüğünde sorunun kaynağı çok daha çabuk bulunur.
• Kanıtların korunması — Ele geçirilen bir sunucuda saldırgan yerel logları silebilir; merkeze anında iletilmiş kopyalar ise inceleme için yerinde kalır.
• Korelasyon ve tespit — Farklı kaynaklardan gelen olaylar birleştirildiğinde tek başına zararsız görünen sinyaller anlam kazanır. Bu, SIEM'in de temelidir.
• Tutarlı format ve saat — Farklı log formatları ortak bir şemaya, farklı saat dilimleri tek bir zamana getirilir.
• Uyumluluk ve denetim — 5651, KVKK, PCI DSS ve ISO 27001 gibi düzenleme ve standartlar, logların tutulmasını, korunmasını ve gerektiğinde sunulmasını gerektiren ya da öneren kontroller içerir.

NIST SP 800-92 de kurumlara merkezi log sunucuları ve log depolaması içeren bir altyapı kurmayı önerir. Tasarımda log hacmini, ağ bant genişliğini, çevrim içi ve çevrim dışı depolamayı, verinin güvenlik gereksinimlerini ve logları analiz edecek personelin zamanını hesaba katmak gerekir.

Merkezileşmenin bir bedeli de vardır: hacim. Her logu sınırsızca toplamak yerine kaynakları önceliklendirmek, gürültülü hata ayıklama loglarını filtrelemek ve log türlerine göre farklı saklama süreleri tanımlamak maliyeti kontrol altında tutar.

Syslog, agent ve API ile loglar nasıl toplanır?

Ağ cihazları ve Linux sistemleri logları genellikle syslog protokolüyle gönderir; Windows sunucular ve dosyaya log yazan uygulamalar için agent kurulur, bulut ve SaaS servislerinin logları ise REST API ile çekilir. Çoğu kurum bu yöntemlerin bir karışımını kullanır.

Syslog ve syslog server

Syslog, logları ağ üzerinden merkezi bir syslog server'a ileten standart protokoldür. Güncel biçimi RFC 5424 ile tanımlanır ve eski BSD formatını (RFC 3164) geçersiz kılar. Her mesaj; tesis ve önem derecesini birlikte kodlayan bir öncelik değeri, zaman damgası, ana bilgisayar adı ve uygulama adı taşır. RFC 5424'teki örnek mesaj şöyledir:

<34>1 2003-10-11T22:14:15.003Z mymachine.example.com su - ID47 - 'su root' failed for lonvick on /dev/pts/8

Taşıma seçimi önemlidir: UDP 514 üzerinden gönderim (RFC 5426) kaybolan mesajları tespit edip düzeltecek bir mekanizma sunmaz. Kaybın kabul edilemediği kaynaklarda TCP, gizlilik ve bütünlük gereken yerlerde ise TLS (RFC 5425, varsayılan port 6514) tercih edilmelidir.

Agent ile toplama

Agent (ajan), log üreten sisteme kurulan ve logları okuyup merkeze ileten küçük bir yazılımdır. NIST SP 800-92'ye göre agent kaynakta filtreleme ve normalizasyon yapabildiği için ağ trafiğini azaltır; agentless yaklaşımda ise her sisteme yazılım kurmak gerekmez, ancak merkezi sunucunun kaynaklara bağlanmak için kimlik bilgilerine ihtiyacı olabilir.

REST API ve dosya toplama

Bulut platformları ve SaaS uygulamaları logları genellikle bir REST API üzerinden sunar; toplayıcı bu API'yi belirli aralıklarla sorgular. Kendi log dosyasını yazan uygulamalarda ise dosya toplama, yani dosyanın izlenip yeni satırların okunması kullanılır. Logchase merkezi log yönetimi bu dört yöntemin hepsini, yani Syslog, REST API, dosya toplama ve agent'ları destekler.

Loglar nasıl saklanır ve bütünlüğü nasıl korunur?

Saklama süresi; mevzuat, sözleşmeler ve kurumun inceleme ihtiyaçlarına göre log türü bazında belirlenir. Bütünlük ise logların hash değerleriyle mühürlenmesi, güvenilir bir zaman damgasıyla işaretlenmesi ve erişimin sınırlandırılmasıyla korunur.

Loglar ne kadar süre saklanmalı?

Tek bir doğru süre yoktur; her düzenleme kendi kapsamı için farklı kurallar koyar. Örneğin PCI DSS v4.0, denetim logu geçmişinin en az 12 ay saklanmasını ve son üç ayın analiz için hemen erişilebilir olmasını ister (Gereksinim 10.5.1). Türkiye'de 5651 sayılı Kanun ve ilgili yönetmelikler, kapsamdaki işletmeler için trafik verisinin saklanmasını ve bütünlüğünün korunmasını düzenler; ayrıntılar için 5651 loglama rehberimize bakabilirsiniz. Loglar kişisel veri içerdiğinde ise KVKK, verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini öngörür. Güncel süreleri her zaman resmi metinlerden ve hukuk danışmanınızdan teyit edin.

Log bütünlüğü nasıl kanıtlanır?

NIST SP 800-92'ye göre log dosyası bütünlük kontrolü, her dosya için bir özet (hash) değeri hesaplanıp bu değerin güvenli biçimde saklanmasıyla yapılır; dosyada tek bir bit değişse bile yeniden hesaplanan hash eşleşmez. RFC 3161 zaman damgası ise güvenilir bir zaman damgası otoritesinin, bir verinin belirli bir andan önce var olduğunu imzayla kanıtlamasını sağlar. Bunlara ek olarak log kaynaklarının saatleri NTP ile senkronize edilmeli, arşivlere erişim yetkiyle sınırlandırılmalı ve kopyalar ikincil bir ortama replike edilmelidir.

Log yönetimi ile SIEM arasındaki fark nedir?

Log yönetimi logları toplar, saklar ve aranabilir kılar; SIEM ise bu loglar üzerinde korelasyon, tehdit tespiti ve uyarı üretimi yapar. Kısacası log yönetimi SIEM'in veri temelidir, SIEM ise bu verinin güvenlik odaklı yorumudur.

NIST SP 800-92 de SIEM yazılımını merkezi log yönetiminin bir türü olarak ele alır: SIEM, farklı kaynaklardan gelen veriyi analiz eder, olaylar arasında korelasyon kurar ve önemli olayları belirleyip önceliklendirir. Pratikte çoğu kurum önce log yönetimiyle başlar; log kaynakları oturduğunda aynı veri üzerine SIEM kuralları eklenir.

Bu ayrım ihtiyacınızı netleştirmeye de yardımcı olur. Sorununuz “aradığım loga ulaşamıyorum” ise önce log yönetimi, “saldırıları geç fark ediyorum” ise SIEM yetenekleri öne çıkar. İki ihtiyacı aynı platformda karşılamak, veriyi iki kez toplama ve saklama yükünü de ortadan kaldırır. Ayrıntılı açıklama için SIEM nedir? yazımıza, ürün tarafı için Logchase SIEM sayfasına göz atabilirsiniz.