Yüzlerce kurulumda gördüğümüz ortak gerçek: log projeleri teknoloji seçiminden değil, işletme disiplininden başarılı ya da başarısız olur. Aşağıdaki 10 madde, ISS'lerden otellere her ölçekte doğruladığımız asgari standarttır.
1. Önce kapsam: log üretmeyen kaynak kalmasın
Envanterden başlayın: firewall, switch, router, AP/hotspot denetleyicisi, DHCP ve DNS sunucuları, hipervizörler, kritik uygulamalar. NAT veya DHCP yapan her kutu listede olmak zorundadır — adli taleplerde zinciri kıran hep o unutulmuş cihazdır. Kapsamı çıkarırken "bu cihazın logu olmasa ne olur?" diye sorun; cevap "IP–kullanıcı eşleşmesini kaybederiz" ise o kaynak kritiktir.
2. Logu cihazda bırakmayın, anında merkeze akıtın
Cihaz üzerindeki log; yeniden başlatmada silinir, dolunca üzerine yazılır ve cihaz ele geçirilirse güvenilmez hale gelir. Kural basittir: log üretildiği saniyede cihazı terk etmelidir. Merkez tarafında ise disk dolduğunda eski kayıt silinmeden önce arşive alınmış olmalıdır.
3. Taşımayı ciddiye alın: LAN'da TCP, WAN'da TLS
UDP hafiftir ama kayıplıdır; tek bir tıkanıklık anında tam da en çok ihtiyaç duyacağınız kayıtları düşürür. LAN içinde TCP, lokasyonlar arasında mutlaka TLS kullanın. Eski cihazların UDP zorunluluğu varsa bunları ayrı tutun ve hacimlerini izleyin (bkz. madde 5).
4. Saatleri eşitleyin: NTP olmadan korelasyon olmaz
İki cihazın saati 4 dakika farklıysa, olay örgüsü kurulamaz — "önce hangi oldu?" sorusu cevapsız kalır. Tüm kaynaklar aynı NTP hiyerarşisine bağlanmalı, saat dilimi politikası (öneri: cihazlarda UTC, görüntülemede yerel) net olmalıdır. Merkezi platform, kaynak saatiyle alış saatini ayrı ayrı kaydetmelidir.
5. Sessizliği izleyin: "log gelmemesi" de bir olaydır
En sinsi arıza, gürültülü olan değil sessiz olandır: yapılandırması değişen bir firewall aylarca log göndermeyebilir ve kimse fark etmez. Her kaynak için beklenen asgari hacim tanımlayın; X dakika boyunca kayıt gelmeyen kaynak alarm üretsin. 5651 denetimlerinde en sık bulunan eksik budur.
6. Alarmda az ama öz: her şeye alarm, hiçbir şeye alarmdır
Günde 400 bildirim alan ekip, 401.'yi okumaz. Alarm tasarımında üç katman kullanın:
- Acil (SMS/arama): hizmet kesintisi, damgalama hatası, sessiz kaynak, brute-force tespiti
- Önemli (e-posta/webhook): eşik aşımları, tekrarlayan hatalar
- Bilgi (pano): geri kalan her şey — aramada ve panoda, bildirimde değil
Tekrar bastırma (aynı alarmın 100 kopyası = 1 bildirim) ve bakım pencereleri olmazsa olmazdır.
7. Saklamayı katmanlayın: sıcak kısa, soğuk uzun
Her kaydı 2 yıl boyunca anında aranabilir tutmak gereksiz pahalıdır. Yaygın doğru desen: son 30–90 gün indeksli "sıcak" katmanda, gerisi sıkıştırılmış "soğuk" arşivde. Soğuk arşivden geri yükleme prosedürünü yazılı hale getirin ve yılda bir test edin.
8. Bütünlüğü ispatlanabilir kılın: damga + doğrulama
Saklamak yetmez; değişmediğini ispatlamak gerekir. Günlük dosyaları SHA-256 ile özetleyip RFC 3161 nitelikli zaman damgasıyla mühürleyin. Damga alınamadığında alarm üretilmeli; "üç gündür damgasızız" durumu sessizce geçiştirilmemelidir.
9. Loglara erişimi de loglayın
Log sunucusu, ağınızın en hassas veri deposudur: kim, ne zaman, hangi kaydı aradı ve ne indirdi — hepsi denetim izine yazılmalıdır. Rol tabanlı yetkilendirme (operatör ≠ denetçi ≠ yönetici) ve mümkünse 2FA uygulayın. KVKK perspektifinden bu, "kişisel veriye erişim kaydı" yükümlülüğünün karşılığıdır.
10. Tatbikat yapın: denetim günü prova günü değildir
Yılda en az bir kez şu senaryoyu süreyle test edin: "Geçen yıl 14 Mart 02:30'da 185.x.x.x IP'sini kim kullanıyordu?" Hedef: dakikalar içinde damga doğrulamalı rapor. Bu tatbikat; kapsam eksiğini, arşiv erişim sorununu ve prosedür boşluğunu gerçek talep gelmeden ortaya çıkarır.
Kontrol listesi
| # | Uygulama | Test sorusu |
|---|---|---|
| 1 | Tam kapsam | NAT/DHCP yapan her cihaz merkezde mi? |
| 2 | Anında merkezileştirme | Cihaz sıfırlansa kayıt kaybolur mu? |
| 3 | Güvenli taşıma | Lokasyonlar arası TLS var mı? |
| 4 | NTP disiplini | Kaynaklar arası saat farkı <1 sn mi? |
| 5 | Sessizlik alarmı | Susan cihazı kaç dakikada fark edersiniz? |
| 6 | Katmanlı alarm | Gece SMS'i gerçekten acil mi? |
| 7 | Katmanlı saklama | 2 yıl önceki kayda erişim test edildi mi? |
| 8 | Zaman damgası | Dünün dosyası damgalı mı, doğrulanıyor mu? |
| 9 | Erişim denetimi | "Loga kim baktı?" cevaplanabiliyor mu? |
| 10 | Yıllık tatbikat | Örnek adli talebi kaç dakikada yanıtlarsınız? |
Bu listede eksikleriniz varsa ücretsiz keşif görüşmesi talep edin — mevcut yapınızı birlikte puanlayalım.