Dijital evrende attığınız her adım, her sistem sorgusu ve her veri transferi arkasında silinmez bir iz bırakır. “Log” (günlük kaydı) olarak adlandırılan bu dijital ayak izleri, çoğu kurum için yalnızca disk alanını işgal eden sessiz bir veri yığını olarak görülse de, gerçekte bir organizasyonun en stratejik güvenlik kalkanı ve yasal zırhıdır.
Veri denizinde kaybolmak ile dümeni elinde tutmak arasındaki fark, bu kayıtların ne kadar zekice yönetildiğinde gizlidir. Bir siber saldırı gerçekleştiğinde ya da bir yasal denetim kapınızı çaldığında, loglar size ya net bir yol haritası sunar ya da içinde boğulacağınız bir veri mezarlığına dönüşür. İşte bir siber güvenlik stratejisti ve hukuk danışmanı gözüyle, log yönetimi operasyonunuzu dönüştürecek 7 kritik gerçek.
1. Her İnternet Paylaşımı Sizi “Yer Sağlayıcı” Yapabilir (5651 Şaşırtmacası)
5651 Sayılı Kanun söz konusu olduğunda yapılan en büyük hata, kurumların kendilerini sadece “internet sunan taraf” (İnternet Toplu Kullanım Sağlayıcı) olarak görmeleridir. Oysa bir hukuk bürosu, kafe veya sanayi tesisi, kendi web sitesinde haber, görsel veya makale gibi herhangi bir içerik barındırdığı anda kanun nezdinde “Yer Sağlayıcı” statüsüne geçer.
Bu statü, beraberinde ağır yükümlülükler getirir. Yer sağlayıcılar, trafik bilgilerini (IP adresi, port bilgisi, zaman damgası vb.) doğruluğunu, bütünlüğünü (integrity) ve gizliliğini sağlayarak en az 1 yıl, en fazla 2 yıl süreyle saklamak zorundadır. Bu noktada kritik ayrım şudur: İnternet erişimi sunan “Erişim Sağlayıcılar” için bu süre 6 ay ile 2 yıl arasında değişirken, içerik barındıran “Yer Sağlayıcı” için alt sınır 1 yıldır. Bu yükümlülüğün ihlali, hafife alınmayacak idari yaptırımlara gebedir:
“Yer sağlayıcılık yükümlülüklerini yerine getirmeyenlere, on bin Türk lirasından yüz bin Türk lirasına kadar idari para cezası verilir.” (5651 sk. Md. 5/6)
2. SIEM Sadece Bir Hesap Makinesidir: Doğru Veri Yoksa Sonuç Da Yoktur
Siber güvenlik operasyonlarının kalbi sayılan SIEM (Güvenlik Bilgisi ve Olay Yönetimi) sistemleri, sanıldığının aksine log üretmez; sadece toplar ve anlamlandırır. Bir hesap makinesine yanlış rakamlar girdiğinizde doğru sonuca ulaşamayacağınız gibi, SIEM sistemine de eksik veya niteliksiz veri beslemesi yaptığınızda tehditleri tespit edemezsiniz.
Verizon 2014 Data Breach Investigations Report (DBIR) verilerine göre, doğru yapılandırılmamış ve 360 derecelik alan hakimiyetinden yoksun SIEM sistemleri, gelişmiş siber saldırıların yalnızca %1’ini tespit edebilmektedir. Başarı, pahalı yazılımlarda değil; sunuculardan ağ cihazlarına kadar tüm kaynaklardan doğru verinin (logun) sisteme akıtılmasındadır.
3. Log Örnekleme (Sampling): Maliyeti %90 Düşüren Stratejik Bir Tercih
Modern uygulamaların ürettiği devasa log hacmi, depolama maliyetlerini sürdürülemez noktalara taşıyabilir. Bu noktada “Log Sampling” (Log Örnekleme), operasyonel verimlilik için teknik bir zorunluluktur. Ancak bu bir “her şeyi silme” işlemi değil, bilinçli bir seçimdir.
Stratejik bir log yönetiminde, başarılı ağ istekleri gibi rutin verilerde %10’luk bir örnekleme (her 10 kayıttan birini tutma) yapılarak depolama yükü %90 oranında düşürülebilir. Buna karşın, hata mesajları (error), kritik sistem olayları ve güvenlik ihlali şüphesi taşıyan kayıtlar bu işlemin dışında tutularak %100 oranında saklanmalıdır. Bu denge, bütçeyi korurken güvenlik görünürlüğünden ödün vermemenizi sağlar.
4. Anomali Tespiti: “Davranış Modelleme” ile Eşiklerin Ötesine Geçmek
Klasik izleme sistemleri “Eşik Tabanlı” (Threshold-based) çalışır: “CPU %90’ı geçerse uyar.” Ancak gelişmiş saldırganlar genellikle bu sabit eşiklerin altında kalarak sızma gerçekleştirir. Modern savunmanın anahtarı Davranış Modelleme (Behavioral Modeling) yöntemidir.
Sisteminizin “normalini” öğrenen bir yapı, Bağlamsal Anomali (Contextual Anomaly) durumlarını yakalayabilir. Örneğin; hafta içi öğle saatlerinde 10 GB’lık bir veri trafiği normaldir, ancak pazar gecesi saat 03:00’te gerçekleşen aynı trafik hacmi, eşikler aşılmasa bile bir veri sızıntısının habercisi olabilir. Log yönetimi, sadece kayıt tutmak değil, bu sapmaları proaktif olarak yakalamaktır.
5. Loglama ve KVKK: ISO 27001 Her Zaman Yeterli mi?
Kurumlar genellikle “ISO 27001 belgemiz var, KVKK’ya uyumluyuz” şeklinde hatalı bir varsayıma düşer. Ancak cevap net bir **”Hayır”**dır. ISO 27001 genel “bilgi varlıklarını” korumaya odaklanırken; KVKK ve Kurul tarafından yayımlanan Kişisel Veri Güvenliği Rehberi, doğrudan “gerçek kişilerin” verilerini korumayı hedefler.
Loglama sürecinde şu üç kural altın değerindedir:
• Maskeleme: Log kayıtları içine sızan parola, kredi kartı veya PII (Kişisel Veri) asla açık metin olarak tutulmamalı, mutlaka maskelenmelidir.
• Zaman Damgası (Hash): Logların mahkemede delil niteliği taşıması için zaman damgasıyla mühürlenmesi şarttır. Bu, logun üzerinde sonradan değişiklik yapılmadığını (bütünlüğünü) kanıtlamanın tek yasal yoludur.
• Envanter Uyumu: ISO 27001 varlık envanteri ile KVKK kişisel veri envanteri ve imha politikaları arasındaki farklar titizlikle yönetilmelidir.
6. Zekice Bir Log Stratejisi İçin 5 Altın Kural
Teknik altyapınızı güçlendirmek ve loglarınızı anlamlı kılmak için şu prensipleri standart haline getirmelisiniz:
1. Yapılandırılmış (Structured) Format: Logları JSON veya XML formatında tutun; bu, verinin programatik olarak işlenmesini ve sorgulanmasını kolaylaştırır.
2. Canonical Log ve Benzersiz ID’ler: Karmaşık sistemlerde bir isteğin tüm yolculuğunu takip edebilmek için her işleme benzersiz bir Trace ID atayın ve geniş kapsamlı (Wide Event) kayıtlar oluşturun.
3. Merkezileştirme: Logları kaynak cihazlarda (local) bırakmayın; analiz ve korelasyon için merkezi bir log yönetim sistemine aktarın.
4. Hassas Veri İzolasyonu: PII içeren verileri kayıt aşamasında temizleyin veya maskeleyin.
5. Otomatik Uyarı Mekanizmaları: Sadece geçmişi kaydetmekle yetinmeyin; kritik olaylar için gerçek zamanlı uyarılar kurun.
7. Geleceğin Gözlemlenebilirliği: Observability 2.0
Log yönetimi artık sadece geçmişte “ne olduğunu” kaydetme aşamasını geride bıraktı. Gözlemlenebilirlik (Observability) yaklaşımıyla loglar; metrikler ve izler (traces) ile birleşerek sistemin iç durumunu analiz etmemizi sağlar.
Observability 2.0, logları birer metin satırı olmaktan çıkarıp zengin içerikli olaylara (Structured Events) dönüştürerek gelecekteki sorunları öngörmenize ve kök neden analizlerini (RCA) saniyeler içinde yapmanıza olanak tanır. Artık hedef, sadece kayıt tutmak değil, sistemin davranışından stratejik çıkarımlar yapabilmektir.
——————————————————————————–
Sonuç Olarak;
Log yönetimi, bilişim operasyonlarının “angaryası” değil, kurumun dijital hafızasıdır. Bu hafızayı ne kadar doğru yapılandırırsanız, kriz anında o kadar güçlü olursunuz.
Kapanış Sorusu: Almış olduğunuz log kayıtları bir siber saldırı anında size bir yol haritası mı sunacak, yoksa sadece içinde kaybolacağınız bir veri mezarlığı mı olacak?
