SIEM ve log yönetimi neyi çözer?
Her sistem kendi log kaydını tutar; ancak bir güvenlik olayı, çoğu zaman tek bir sistemin logunda anlamsız, birden fazla sistemin logu bir araya getirildiğinde anlamlı olur. SIEM (Security Information and Event Management · güvenlik bilgisi ve olay yönetimi), bu dağınık kayıtları merkezi olarak toplar, ilişkilendirir ve bütünsel bir tehdit tablosu oluşturur. Log yönetimi ise bu kayıtların toplanması, saklanması ve erişilebilir kılınmasının temelidir.
Bu alanda en sık yapılan hata, "her şeyi toplayalım" ile başlamaktır. Anlamlı kural yazılmadan toplanan loglar, değer üretmeden depolamayı doldurur ve gürültü yaratır. Doğru başlangıç, kapsamı önceliğe göre büyüten aşamalı bir yol haritasıdır.
Aşamalı yol haritası nasıl işler?
- Kaynak önceliklendirme: En yüksek güvenlik değeri taşıyan kaynaklar seçilir: kimlik ve erişim sistemleri, güvenlik duvarı, uç nokta koruması ve kritik sunucular.
- Merkezi toplama: Bu kaynakların logları tek bir platforma, tutarlı bir biçimde akıtılır; önce ham görünürlük sağlanır.
- İlişkilendirme kuralları: Farklı kaynaklardaki olayları birbirine bağlayan kurallar yazılır; örneğin başarısız girişlerin ardından gelen başarılı bir giriş işaretlenir.
- Müdahale bağlanışı: Anlamlı uyarılar, net müdahale adımlarına ve olay yönetimi sürecine bağlanır; uyarı bir eyleme dönüşür.
- Kademeli genişleme: Her adım değerini kanıtladıkça yeni kaynaklar aynı disiplinle eklenir.
Bu sıra, SIEM'i bir depolama havuzu olmaktan çıkarıp bir tespit ve müdahale aracına dönüştürür. Her aşama, bir öncekinin ürettiği değeri kanıtlar ve bir sonrakine sağlam bir zemin bırakır.
Kapsam neden kontrollü büyütülür?
Log hacmi arttıkça hem depolama maliyeti hem uyarı sayısı büyür. Anlamlı kurallarla dengelenmeyen bir büyüme, ekibi gerçek olayları kaçırdığı bir gürültüye boğar. Bu yüzden kapsam, her yeni kaynağın anlamlı kurallarla devreye alındığı kontrollü bir tempoyla genişletilir.
Log saklama süresi de bu dengenin parçasıdır. Süre; yasal yükümlülükler, geriye dönük olay araştırması ihtiyacı ve depolama maliyeti birlikte gözetilerek belirlenir. Sık erişilen sıcak katman ile daha ekonomik arşiv katmanı ayrılır; böylece hem erişim hızı hem maliyet yönetilir.
Sahada başarılı SIEM kurulumlarının ortak yanı, dar ama derin başlamaları. Kimlik sistemleri ve güvenlik duvarıyla başlayıp bu kaynaklardan anlamlı uyarılar üretmek, yüzlerce kaynağı toplayıp hiçbirine güvenmemekten çok daha değerli oluyor. İlk anlamlı uyarı bir gerçek olayı yakaladığında, SIEM ekip için bir gösterge tablosu olmaktan çıkıp güvenilen bir araca dönüşüyor. Genişlemeyi bu güven üzerine kuruyoruz.
SIEM izleme ve müdahaleyle nasıl bütünleşir?
SIEM, değerini izleme ve müdahale zincirinin bir halkası olarak üretir. NOC izlemesi altyapının sağlığını, SIEM ise güvenlik olaylarını görünür kılar; ikisi birlikte operasyonun tam tablosunu verir. Anlamlı bir SIEM uyarısı, tanımlı bir müdahale sürecine bağlandığında olay hızla ele alınır.
Bu güvenlik görünürlüğünü, NOC metrikleri notundaki izleme disipliniyle ve ISO 27001 hazırlık notundaki log ve izleme gereklilikleriyle birlikte kuruyoruz. Tümü, yönetilen hizmetler çözümünün parçasıdır.
