Güvenlik İzleme, SOC ve Günlük Yönetimi (SIEM)
Göremediğiniz saldırıyı durduramazsınız. Kurumsal görünürlük; günlük kaydı, SIEM ile ilişkilendirme ve SOC ile sürekli izlemeden geçer.
Büyük kuruluşlarda saldırıyı önlemek kadar, gerçekleştiğinde hızlı fark etmek de kritiktir. Saldırganlar bir ağa girdikten sonra haftalarca fark edilmeden kalabilir; görünürlük olmadan bu sessiz ilerleyişi durduramazsınız. Bu rehber, günlük yönetimini, SIEM↗ ve SOC↗’un birbirine nasıl bağlandığını ve bir izleme programının nasıl planlanacağını anlatır.
Günlük yönetimi: temel
NIST SP 800-92 Rev. 1 taslağı (Ekim 2023, Cybersecurity↗ Log Management Planning Guide), günlük yönetimini günlük verisinin üretilmesi, iletilmesi, saklanması, erişilmesi ve imha edilmesi süreci olarak tanımlar. Günlükler olayları tespit etmek ve incelemek, operasyonel sorunları bulmak ve kayıtları gereken süre boyunca saklamak için kullanılır; birçok kanun ve standart da günlük tutmayı şart koşar. Doküman, ayrıntıya girmeden kurum genelinde günlük yönetimi planlaması için bir “oyun kitabı” (playbook) sunar; aşamaları şöyledir:
| Aşama | Ne yapılır? |
|---|---|
| INV Envanterleri güncelle | Günlük kaynağı türlerini, günlük altyapısını, kullanım senaryolarını, gereksinimleri ve iş rollerini envanterleyin. |
| TS Hedef durumu tanımla | Günlük üretimi, saklama ve aktarım, erişim ve imha için hedef durumu belirleyin. |
| GRC↗ Boşlukları ve kök nedenlerini belgele | Mevcut durumu hedefle karşılaştırın, bulguları yazın. |
| PMG Boşlukları kapatma planı | Planı hazırlayın, etkilenen politikaları revize edin, geri bildirimi işleyin. |
Hedef durumu belirlerken NIST’in sorduğu sorulardan bazıları: hangi günlük kaynağı zorunlu, önerilen veya yasak; hangi olay türleri ve hangi veri özellikleri kaydedilmeli; günlük, parola, özel anahtar veya erişim jetonu gibi hassas veri yakalıyor mu; saatler nasıl senkronize edilecek ve hangi zaman damgası biçimi kullanılacak; günlük üretiminin korunması ve çalıştığının doğrulanması nasıl izlenecek. NIST ayrıca daha çok günlük tutmanın her zaman daha iyi olmadığını belirtir: yalnızca gerekli veri zorunlu tutulmalı, kaynak varsa ek veri için öneri yapılmalıdır.
Not: Bu belge henüz taslaktır (yorum süresi 29 Kasım 2023’te kapanmıştır); yayımlanan sürüm için NIST’in resmî sayfasına bakın.
SIEM: dağınık ipuçlarını birleştirmek
Güvenlik Bilgi ve Olay Yönetimi (SIEM), farklı kaynaklardan gelen kayıtları tek merkezde toplar, ilişkilendirir ve kurallara göre alarm üretir. Tek tek anlamsız görünen olaylar bir araya geldiğinde bir saldırı örüntüsünü ortaya çıkarabilir. SIEM’in değeri, içine ne beslediğinize ve üzerinde hangi tespitleri çalıştırdığınıza bağlıdır; kural yazımı ayrı bir disiplindir.
SOC: sürekli izleyen göz
Güvenlik Operasyon Merkezi (SOC), insan, süreç ve teknolojiyi birleştirerek tehditleri 7/24 izler, analiz eder ve müdahale eder. Kendi SOC’unu kuramayan kuruluşlar bu hizmeti yönetilen tespit ve yanıt↗ sağlayıcısından alabilir; NIST olay müdahalesi rehberi, bu durumda sorumlulukların, bilgi akışının ve sağlayıcının hangi kararları alabileceğinin sözleşmede yazılı olmasını ister.
Sürekli izleme ve yanıt
İzlemenin amacı yalnızca görmek değil, hızlı yanıt vermektir. NIST SP 800-137 (Eylül 2011), kurumsal varlıklar hakkında görünürlük, tehdit ve zafiyetlerden haberdar olma ve uygulanan kontrollerin etkinliğini izleme için bir sürekli izleme stratejisi ve programı tarif eder. Uç noktalardaki gelişmiş tespit ve yanıt (EDR↗/XDR↗) çözümleri bir tehdidi yalıtmaya ve müdahaleyi hızlandırmaya yardımcı olur; izleme olay yönetimiyle birlikte çalıştığında değer üretir.
Kaynaklar ve son gözden geçirme
- NIST SP 800-92 Rev. 1 (ipd), Cybersecurity Log Management Planning Guide (Ekim 2023).
- NIST SP 800-137, Information Security↗ Continuous Monitoring (ISCM) (Eylül 2011).
- NIST SP 800-61 Rev. 3 (Nisan 2025).
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; bağlayıcı gereklilikler için yürürlükteki mevzuata bakın.
