siem, şirketin “kim ne yapmış, nerede ne olmuş, bu hareket normal mi yoksa biri içeride dolap mı çeviriyor?” diye baktığı güvenlik radar sistemidir.
açılımı security information and event management’tır. türkçeye kabaca “güvenlik bilgisi ve olay yönetimi” diye çevrilir ama bu çeviri biraz belediye ihalesi adı gibi durduğu için genelde herkes siem der geçer.
siem’in derdi şudur:
sunuculardan log toplar.
firewall’dan log toplar.
antivirüs/edr’den log toplar.
vpn’den log toplar.
active directory’den log toplar.
cloud servislerinden log toplar.
veritabanından log toplar.
uygulamalardan log toplar.
sonra bunları tek yerde toplar, anlamlandırır, ilişkilendirir ve “burada bir iş var” diyebileceği durumlarda alarm üretir.
tek tek bakınca masum görünen olayları yan yana koyup resmin tamamını göstermeye çalışır.
mesela biri gece 03:17’de vpn’e bağlandı.
tek başına çok garip olmayabilir.
aynı kullanıcı 03:19’da daha önce hiç girmediği bir sunucuya login oldu.
biraz kaş kaldırır.
03:22’de privilege escalation denemesi yaptı.
iş değişir.
03:26’da büyük miktarda dosya indirdi.
artık kahve soğur, güvenlik ekibi uyanır.
işte siem burada devreye girer. “bunlar ayrı ayrı olay değil, aynı hikâyenin parçaları” der.
siem’in en çok kullanıldığı yerler güvenlik operasyon merkezleridir, yani soc ekipleri. soc analyst sabah akşam ekrana bakıp alarm inceler, false positive ayıklar, gerçekten tehlikeli olayı bulmaya çalışır. siem de onun ana ekranlarından biridir.
kullanım alanları geniştir:
siber saldırı tespiti
şüpheli login takibi
yetki yükseltme denemeleri
brute force saldırıları
veri sızıntısı belirtileri
zararlı yazılım hareketleri
iç tehdit analizi
firewall ve network olayları
cloud güvenlik olayları
uyumluluk ve denetim raporları
incident response süreçleri
özellikle banka, fintech, e-ticaret, telekom, kamu, sağlık ve büyük kurumsal yapılarda siem ciddi ihtiyaçtır. çünkü bu yapılarda “loglara bakarız abi” cümlesi tek başına yetmez. logun toplanması, saklanması, aranması, ilişkilendirilmesi, raporlanması ve alarm üretmesi gerekir.
siem biraz güvenlik kamerası sistemi gibidir ama sadece kamera değildir. kamera görüntüyü kaydeder. siem görüntüyü izler, kapı kartı geçişiyle eşleştirir, alarm sistemiyle karşılaştırır, gece bekçisinin uyuyup uyumadığını bile anlamaya çalışır.
tabii siem kurunca şirket bir anda güvenli olmaz.
bu çok büyük yanılgıdır.
siem sihirli değnek değildir. içine düzgün log girmezse dışarı anlamlı alarm çıkmaz. log formatları karışıksa, kaynaklar eksikse, korelasyon kuralları saçmaysa, alarm eşikleri yanlışsa, asset envanteri yoksa, kullanıcı bilgisi eksikse siem sadece pahalı bir log çukuru olur.
hatta kötü kurulmuş siem, güvenlik ekibine faydadan çok zarar verir. her şeye alarm basar. analyst bir süre sonra alarm görünce gözünü devirir. sonra gerçek saldırı da o gürültünün içinde kaybolur. buna alert fatigue denir; türkçesi “alarm manyağı olup artık hiçbir şeye tepki verememek”tir.
iyi siem ise az ama anlamlı alarm üretir.
şunu der:
“bu kullanıcı normalde türkiye’den bağlanıyor, şimdi almanya’dan bağlandı.”
“bu servis hesabı ilk defa interactive login yaptı.”
“bir kullanıcı 10 dakika içinde 47 başarısız login denemesi yaşadı.”
“normalde 100 mb veri çıkan sunucudan 12 gb veri çıktı.”
“domain admin grubuna yeni kullanıcı eklendi.”
“edr uyarısı ile firewall trafiği aynı makinede örtüşüyor.”
“cloud ortamında public bucket açıldı.”
işte bunlar güzel alarmlardır.
siem’in bir diğer derdi de uyumluluktur.
kvkk, iso 27001, pci dss, bddk, spk, hipaa, gdpr gibi regülasyon veya standartların olduğu yerlerde log yönetimi ve güvenlik olay takibi önemlidir. denetçi geldiğinde “biz bakıyoruz” demek yetmez. neyi topluyorsun, ne kadar saklıyorsun, kim erişiyor, olay olduğunda ne yapıyorsun, rapor üretebiliyor musun; bunların cevabı gerekir.
siem burada raporlama ve izlenebilirlik sağlar. ama tekrar söyleyelim: rapor üretmesi seni otomatik uyumlu yapmaz. sadece uyum sürecindeki önemli parçalardan biridir.
piyasada splunk, ibm qradar, microsoft sentinel, elastic security, arcsight, logrhythm, wazuh gibi çözümler vardır. bazıları enterprise dünyasının ağır toplarıdır, bazıları daha esnek ve maliyet dostu olabilir. seçim yaparken sadece lisans fiyatına bakılmaz. log hacmi, eps değeri, cloud entegrasyonu, korelasyon kabiliyeti, sorgu dili, raporlama, alarm yönetimi, soc ekibinin alışkanlığı ve bakım maliyeti de hesaba katılır.
çünkü siem’de asıl para bazen üründe değil, log hacmindedir.
her şeyi loglayayım dersen fatura şişer. hiçbir şeyi loglamazsan saldırıyı göremezsin. doğru dengeyi kurmak gerekir. firewall logunun hepsini mi alacaksın, sadece deny mi alacaksın, dns logları ne kadar tutulacak, endpoint telemetry ne kadar gelecek, cloudtrail gibi kaynaklar nasıl işlenecek; bunlar mimari kararlardır.
siem ile soar da sık karıştırılır.
siem olayı görür, ilişkilendirir, alarm üretir.
soar ise o alarma göre otomasyon çalıştırır.
mesela siem der ki:
“bu kullanıcı hesabında şüpheli aktivite var.”
soar da şunu yapabilir:
hesabı geçici kilitler.
ticket açar.
slack/teams’e bildirim atar.
edr üzerinden makineyi izole eder.
analyste playbook başlatır.
yani siem dedektif gibidir, soar operasyon memuru gibidir.
modern dünyada siem tek başına yeter mi? çoğu zaman hayır. edr, xdr, ndr, waf, iam, pam, dlp, vulnerability management, cloud security posture management gibi diğer güvenlik araçlarıyla beraber düşünülmelidir. siem bunlardan gelen sinyalleri merkezde toplar ve anlamlandırır.
ama bütün yükü siem’e yıkmak da yanlıştır.
güvenlik mimarisi yoksa, log kaynağı eksikse, endpoint korunmuyorsa, yetki yönetimi kötüyse, mfa yoksa, yama yönetimi yapılmıyorsa siem sadece “geçmiş olsun, içeri girmişler” ekranıdır.
siem’in iyi çalışması için şunlar gerekir:
hangi loglar toplanacak belli olmalı.
log kaynakları normalize edilmeli.
zaman senkronizasyonu düzgün olmalı.
asset envanteri güncel olmalı.
kullanıcı kimlikleri anlamlı eşleşmeli.
korelasyon kuralları şirket davranışına göre ayarlanmalı.
false positive düzenli azaltılmalı.
incident response süreci tanımlı olmalı.
log saklama politikası net olmalı.
erişim yetkileri kontrollü olmalı.
özellikle zaman senkronizasyonu hafife alınmamalı. ntp bozuksa olay zaman çizelgesi de bozulur. saldırgan 03:10’da girmiştir, log 02:47 der. sonra ekip olay analizi yaparken tarihî roman yazmaya başlar.
siem’in en güzel yanı, karanlıkta el feneri olmasıdır. sistemde ne olup bittiğini görürsün. en kötü ihtimalle bir olaydan sonra “nereden geldi, nereye gitti, hangi hesap kullanıldı, hangi makine etkilendi?” sorularına cevap arayabilirsin.
en kötü yanı ise bakım istemesidir. kur, bırak, unut ürünü değildir. sürekli kural iyileştirme, kaynak ekleme, alarm temizleme, dashboard düzenleme, use case geliştirme ister. şirket değişir, sistem değişir, saldırı yöntemi değişir; siem de buna göre güncellenmelidir.
özetle siem şudur:
log toplar.
olayları ilişkilendirir.
alarm üretir.
denetim ve raporlama sağlar.
güvenlik ekibine görünürlük verir.
incident response sürecini besler.
ama kendi başına şirketi korumaz.
siem güvenlik dünyasının “her şeyi gören göz”ü olmaya çalışır. fakat gözün görmesi için ışık, yön, eğitim ve bakan bir insan gerekir.
yoksa en pahalı siem bile sadece pahalı bir log deposudur.
iyi kurulursa güvenlik ekibinin radarıdır.
kötü kurulursa kurumsal ekran koruyucudur.
bu kategoride başlık yok.
yükleniyor…
yükleniyor…
