Loglama ve İzleme Olmadan Güvenlik Mümkün mü

Loglama ve İzleme Nedir? Aynı Şey mi?

Loglama (Logging)

Loglama; sistemlerde, uygulamalarda, ağ cihazlarında ve güvenlik bileşenlerinde gerçekleşen olayların kayıt altına alınmasıdır.

Örnek log kayıtları:

1. 1. Başarılı / başarısız oturum açma denemeleri
   2. Yetki yükseltme girişimleri
   3. Dosya erişimleri ve değişiklikler
   4. Ağ bağlantıları
   5. Uygulama hataları
   6. Güvenlik politikası ihlalleri

Loglama, geçmişi kaydeder. Yani “ne oldu?” sorusuna cevap verir.

İzleme (Monitoring)

İzleme ise bu logların ve sistem metriklerinin anlık ya da near-real-time analiz edilmesidir.

1. 1. Şüpheli davranış var mı?
   2. Olağan dışı trafik artışı oldu mu?
   3. Bir kullanıcı normalde yapmadığı bir işlemi mi yapıyor?
   4. Bir servis beklenmedik şekilde mi çalışıyor?

İzleme, “şu anda ne oluyor?” sorusuna cevap verir.

Kısa Özet:

1. 1. Loglama = Hafıza
   2. İzleme = Dikkat

Hafızası ve dikkati olmayan bir güvenlik sisteminin ne kadar sağlıklı olabileceğini tahmin etmek zor değil.

“Önlem Aldık, Zaten Güvendeyiz” Yanılgısı

Birçok kurum güvenliği şu üçlüyle tanımlar:

1. 1. Firewall
   2. Antivirüs
   3. Güçlü şifreler

Bunlar elbette önemlidir. Ancak bu yaklaşım önleyici güvenlik (preventive security) ile sınırlıdır. Gerçek dünya saldırıları ise çoğu zaman şu şekilde ilerler:​

1. 1. Saldırgan sisteme fark edilmeden sızar
2. 1. Günler, haftalar hatta aylarca sistem içinde dolaşır
3. 1. Yetki yükseltir, veri toplar
4. 1. En sonunda ya veri sızdırır ya da sabotaj yapar

Bu süreçte asıl soru şudur:

“Bu süre boyunca kim, neyi, ne zaman yaptı?”

Log yoksa, cevap da yoktur.

Loglama Olmadan Güvenlik: Kapalı Gözle Nöbet Tutmak

Loglama olmayan bir ortamı düşünelim:

1. 1. Bir kullanıcı gece 03:00’te sisteme giriş yapıyor
   2. Normalde erişmemesi gereken bir klasöre ulaşıyor
   3. Hassas bir dosyayı kopyalıyor
   4. Sonra bağlantıyı kesiyor

Eğer:

1. 1. Giriş logu yoksa
   2. Dosya erişim logu yoksa
   3. Zaman damgaları tutulmuyorsa

Bu olay hiç yaşanmamış gibi olur.

Sistem çalışmaya devam eder, kullanıcılar işini yapar, yöneticiler “her şey yolunda” sanır.

Ta ki veriler karanlık bir forumda satışa çıkana kadar.

“Saldırı Olduğunu Nasıl Anlarız?” Sorusu

Loglama ve izleme olmayan bir ortamda şu sorular cevapsız kalır:

1. 1. Sisteme girildi mi?
   2. Ne zaman girildi?
   3. Hangi hesaptan?
   4. Hangi IP’den?
   5. Hangi veriler etkilendi?
   6. Hâlâ içeride mi?

Bu yüzden birçok büyük veri ihlali olayında şu cümleyi görürüz:

“İhlal aylar sonra fark edildi.”

Çünkü saldırganlar çoğu zaman alarm çalmadan hareket eder. Alarmı çalacak olan şey ise izleme sistemleridir.

İzleme Olmadan Güvenlik: Saldırıyı Sonradan Öğrenmek

Loglama tek başına yeterli değildir. Çünkü loglar çoğu zaman olay olduktan sonra incelenir.

İzleme yoksa:

1. 1. Brute-force saldırısını anında fark edemezsin
   2. İçeriden gelen şüpheli hareketleri kaçırırsın
   3. Lateral movement (yatay ilerleme) sessizce gerçekleşir
   4. Zararlı yazılım ağ içinde yayılır

İzleme, güvenliğin erken uyarı sistemidir.

Bir binayı düşün:

1. 1. Kamera kayıtları var ama kimse ekranlara bakmıyor
   2. Alarm var ama kimse dinlemiyor

Bu bina teknik olarak “korunuyor” gibi görünür. Ama pratikte korunmuyordur.

Loglama ve İzleme Olmadan Güvenli Olduğunu Sanan Kurumlar

En tehlikeli kurumlar, hiç saldırıya uğramadığını düşünenlerdir.

Gerçekte:

1. 1. Saldırı olmuş olabilir
   2. Ama fark edilmemiştir
   3. Log yoktur
   4. İzleme yoktur
   5. Kanıt yoktur

Bu durum, özellikle KOBİ’lerde çok yaygındır. “Biz kimiz ki bize saldırı olsun?” düşüncesi, siber saldırganların en sevdiği zeminlerden biridir.

Regülasyonlar Neden Loglamayı Zorunlu Kılıyor?

Birçok yasal düzenleme loglama ve izlemeyi zorunlu kılar:

1. 1. KVKK
   2. GDPR
   3. ISO 27001
   4. PCI-DSS
   5. NIST
   6. TSE Siber Güvenlik Standartları

Bunun sebebi basittir:

Güvenlik iddiası, kanıtlanabilir olmak zorundadır.

Log yoksa:

1. 1. İhlali kanıtlayamazsın
   2. Kapsamını belirleyemezsin
   3. Hukuki savunma yapamazsın

Bu da teknik bir eksiklikten çok, kurumsal risk anlamına gelir.

“Log Tutuyoruz Ama Bakmıyoruz” Sorunu

Bir diğer yaygın hata da şudur:

1. 1. Loglar vardır
   2. Ama kimse analiz etmez

Disk dolana kadar biriken, kimsenin okumadığı loglar, kilitli bir kasada unutulmuş deliller gibidir.

Gerçek güvenlik için:

1. 1. Logların merkezi toplanması
   2. Korelasyon yapılması
   3. Anomali tespiti
   4. Alarm mekanizmaları

gereklidir. İşte bu noktada SIEM, SOAR ve XDR gibi çözümler devreye girer.

SIEM Olmadan Güvenlik Olur mu?

SIEM (Security Information and Event Management), loglama ve izlemenin merkezi beynidir.

SIEM olmadan:

1. 1. Loglar dağınıktır
   2. Olaylar ilişkilendirilemez
   3. “Tek tek masum” görünen olaylar, büyük resmi oluşturamaz

Örneğin:

1. 1. Tek bir başarısız giriş normaldir
   2. Tek bir yetki denemesi normaldir
   3. Tek bir dosya erişimi normaldir

Ama bunlar aynı kullanıcıdan, kısa sürede geliyorsa, işte orada saldırı vardır.

Bunu ancak izleme ve korelasyon yakalar.

İç Tehditler: Loglama Olmadan Asla Yakalanamaz

Siber güvenlik sadece dış saldırganlar değildir.

Yetkili bir çalışanın kötü niyetli ya da dikkatsiz davranışı, çoğu zaman en büyük risktir.

İç tehditlerde:

1. 1. Saldırgan zaten yetkilidir
   2. Antivirüs alarm vermez
   3. Firewall durdurmaz

Geriye kalan tek savunma:

1. 1. Davranış logları
   2. Anomali izleme

Loglama yoksa iç tehdit tamamen görünmezdir.

“Performansı Düşürüyor” Bahaneleri Gerçek mi?

Loglama karşıtı argümanlardan biri de şudur:

“Çok log alırsak sistem yavaşlar.”

Modern sistemlerde bu argüman büyük ölçüde geçersizdir:

1. 1. Asenkron loglama
   2. Log seviyeleri
   3. Merkezi log sunucuları
   4. Cloud-native çözümler

Doğru yapılandırılmış bir loglama sistemi, performans sorunundan çok operasyonel farkındalık kazandırır.

Güvenlik Olayı Sonrası En Acı Soru

Bir siber olay yaşandıktan sonra yönetime şu soru sorulur:

“Ne oldu?”

Loglama ve izleme yoksa cevap genelde şudur:

“Tam olarak bilmiyoruz.”

Bu cümle, bir kurumun verebileceği en zayıf güvenlik cevabıdır.

Sonuç: Loglama ve İzleme Olmadan Güvenlik Bir Yanılsamadır

Tekrar baştaki soruya dönelim:

Loglama ve izleme olmadan güvenlik mümkün mü?

Teorik olarak:

1. 1. Bazı saldırılar engellenebilir

Pratikte:

1. 1. Saldırıların çoğu fark edilmez
   2. Hasar ölçülemez
   3. Sorumluluk belirlenemez
   4. Güvenlik iddiası ispatlanamaz

Yani cevap nettir:

Hayır. Loglama ve izleme olmadan gerçek güvenlik mümkün değildir.

Güvenlik; sadece duvar örmek değil, o duvarın arkasında neler olup bittiğini sürekli izleyebilmektir.