Dijital dünyada kurumlar her gün milyonlarca log ve olay verisi üretir. Bu veriler, sistemlerin, kullanıcıların ve uygulamaların davranışlarını yansıtır. Ancak bu loglar analiz edilmezse, olası saldırılar, veri sızıntıları ve anormallikler fark edilmeden kalabilir.
İşte tam bu noktada devreye SIEM (Security Information and Event Management) sistemleri girer.

SIEM Nedir?

SIEM, İngilizce açılımıyla “Security Information and Event Management”, yani “Güvenlik Bilgisi ve Olay Yönetimi” anlamına gelir.
SIEM, kurumların BT altyapılarından toplanan log ve güvenlik olaylarını merkezi bir platformda analiz eden, ilişkilendiren ve raporlayan güvenlik yönetim sistemidir.

Basit anlatımla, SIEM sistemleri “kurumun dijital güvenlik gözü” gibidir. Ağdaki tüm olayları izler, şüpheli hareketleri tespit eder, alarmlar üretir ve güvenlik ekiplerinin hızlı aksiyon almasını sağlar.

SIEM Ne İşe Yarar?

SIEM sistemleri, kurumların güvenlik operasyon merkezlerinde (SOC) temel bileşenlerden biridir. Başlıca işlevleri:

1. Log Toplama:
   Firewall, switch, router, sunucu, uygulama ve antivirüs gibi cihazlardan gelen tüm logları tek merkezde toplar.

2. Olay Korelasyonu:
   Toplanan veriler arasında ilişki kurar. Örneğin, kısa süre içinde birden fazla başarısız giriş denemesi ve ardından başarılı bir oturum açma gerçekleşirse bunu “şüpheli davranış” olarak algılar.

3. Gerçek Zamanlı Uyarı:
   Siber saldırı, veri sızıntısı, yetkisiz erişim gibi olaylarda anında alarm üretir.

4. Raporlama ve Uyum:
   ISO 27001, KVKK, 5651, PCI-DSS gibi regülasyonlara uygun raporlar üretir.

5. Adli Analiz ve İnceleme:
   Saldırı sonrası olay analizi yapılabilir; hangi sistemin, ne zaman ve nasıl etkilendiği detaylı şekilde incelenir.

Kimler SIEM Kullanır?

SIEM sistemleri, güvenlik odaklı tüm kurumlarda kullanılır. Kullanıcı profili genellikle:

• Siber Güvenlik Uzmanları ve SOC (Security Operations Center) Ekipleri: Olayları izler, analiz eder ve müdahale eder.

• Sistem Yöneticileri: Sistemlerin güvenlik durumunu merkezi olarak takip eder.

• Denetim ve Uyum Ekipleri: Regülasyonlara uygun loglama ve raporlama sağlar.

• CISO ve Bilgi Güvenliği Yöneticileri: Güvenlik duruşunu (security posture) değerlendirmek için SIEM verilerini kullanır.

Sektörel olarak bakıldığında; bankalar, finans kuruluşları, kamu kurumları, telekom operatörleri, enerji şirketleri ve büyük ölçekli üretim firmaları SIEM altyapılarını aktif biçimde kullanır.

SIEM Sistemlerinin Teknik Mimarisi

SIEM yapısı üç ana teknik bileşenden oluşur:

1. Collector (Toplayıcı):
   Farklı cihazlardan log verilerini alır. Syslog, SNMP, API veya agent tabanlı bağlantılarla log toplanır.

2. Correlation Engine (Olay İlişkilendirme Motoru):
   Toplanan logları analiz eder ve önceden tanımlı kurallara göre olayları ilişkilendirir.
   Örneğin:

• Aynı IP adresinden 10 dakika içinde 5 başarısız giriş → Brute Force saldırısı uyarısı.

• Yurt dışından olağan dışı erişim → Şüpheli davranış alarmı.

3. Dashboard / SIEM Console:
   Kullanıcılara grafiksel arayüz sağlar. Buradan anlık log akışı, alarmlar, olay geçmişi ve raporlar görüntülenir.

SIEM sistemleri genellikle elasticsearch, big data, stream processing teknolojileriyle çalışır. Makine öğrenmesi (machine learning) destekli SIEM çözümleri, normal dışı davranışları otomatik tespit eder.

Popüler SIEM Yazılımları

Kurumların ölçeğine göre farklı SIEM çözümleri tercih edilir. En çok kullanılan profesyonel çözümler:

• Splunk Enterprise Security (ES) – Gelişmiş korelasyon ve raporlama yetenekleriyle sektör lideridir.

• IBM QRadar – Bankacılık ve kamu sektöründe yaygın.

• Logsign – Yerli, BTK onaylı, 5651 uyumlu ve Türkçe arayüzlü.

• ArcSight (Micro Focus) – Kritik güvenlik olaylarının korelasyonunda güçlü.

• Microsoft Sentinel (Azure SIEM) – Bulut tabanlı, ölçeklenebilir yapıdadır.

• Elastic SIEM (ELK Stack) – Açık kaynak, düşük maliyetli çözüm alternatifidir.

SIEM Öğrenmek Ne Kadar Zaman Alır?

SIEM sistemleri karmaşık görünse de temelden başlanarak adım adım öğrenilebilir.

• Temel düzey (log yapısı, korelasyon mantığı, dashboard kullanımı) öğrenmek: 2–4 hafta

• Orta düzey (SPL, alarm kuralları, uyum raporları, entegrasyon): 2–3 ay

• İleri düzey (makine öğrenmesi, otomasyon, threat hunting): 4–6 ay

Bu süreçte pratik yapmak esastır. Splunk, Logsign veya Elastic SIEM gibi platformların deneme sürümleriyle gerçek log senaryoları üzerinde çalışmak öğrenme sürecini hızlandırır.

SIEM’in Avantajları

• Gerçek Zamanlı Tehdit Algılama: Olaylar anında tespit edilir.

• Merkezi Görünürlük: Tüm sistemlerin güvenlik durumu tek panelden izlenir.

• Uyumluluk Kolaylığı: Regülasyonlara uygun loglama ve raporlama sağlanır.

• Olay Sonrası İnceleme: Adli bilişim süreçlerinde delil niteliğinde veri sağlar.

• Otomatik Müdahale (SOAR Entegrasyonu): SIEM + SOAR (Security Orchestration, Automation and Response) birleşimiyle olaylara otomatik yanıt verilebilir.

Sonuç

SIEM, modern kurumların güvenlik mimarisinin kalbidir.
Logları yalnızca saklamakla kalmaz, onları anlamlandırır, ilişkilendirir ve güvenlik ekiplerinin proaktif davranmasını sağlar.
Siber tehditlerin hızla evrildiği günümüzde, SIEM sistemleri olmadan kurumsal güvenlik yönetimi eksik kalır.

Doğru yapılandırılmış bir SIEM altyapısı, kurumlara hem güvenlikte farkındalık hem de yasal uyum avantajı kazandırır.

Veri çağında en büyük zorluk, kurumların elindeki devasa log ve olay verilerini anlamlı hale getirmek. İşte tam bu noktada devreye Splunk girer. Splunk, büyük veri (big data) analitiği, log yönetimi, siber güvenlik ve operasyonel izleme alanlarında kullanılan, güçlü ve kurumsal düzeyde bir veri analizi platformudur.

Splunk Nedir?

Splunk, kurumların sistemlerinden, ağ cihazlarından, uygulamalardan veya sensörlerden gelen log ve olay verilerini toplayarak, indeksleyip analiz eden bir yazılımdır.
Kısaca, “veri yığını içinde anlam arayanların mikroskobu” diyebiliriz.

Splunk, yapılandırılmış (structured) veya yapılandırılmamış (unstructured) verileri gerçek zamanlı olarak işler. Kullanıcılar bu veriler üzerinde arama yapabilir, raporlar ve görsel panolar (dashboard) oluşturabilir.

Splunk’ın çalışma prensibi, verileri “indeksleme (indexing)” süreciyle organize etmeye dayanır. Bu sayede milyonlarca log kaydı içinde milisaniyeler içinde sorgulama yapmak mümkündür.

Splunk Nasıl Çalışır?

Splunk’ın mimarisi üç temel bileşen üzerine kuruludur:

1. Forwarder (Veri Toplayıcı):
   Ağ cihazlarından, sunuculardan veya uygulamalardan logları alır ve Splunk sunucusuna gönderir.
   Örneğin firewall logları, sistem günlükleri, Windows Event log’ları.

2. Indexer (Veri İndeksleyici):
   Forwarder’dan gelen verileri işler, indeksler ve saklar. Bu aşamada veriler arama yapılabilir hale gelir.

3. Search Head (Arama Arabirimi):
   Kullanıcıların sorgu, analiz, dashboard ve alarm oluşturduğu arayüzdür.
   Burada SPL (Search Processing Language) adı verilen güçlü sorgu diliyle veriler üzerinde analiz yapılır.

Splunk Ne İşe Yarar?

Splunk sadece log toplamakla kalmaz; veriyi analiz eder, olayları ilişkilendirir ve kurumlara operasyonel içgörü kazandırır.
Başlıca kullanım alanları:

1. Log Yönetimi ve Analizi:
Tüm sistem loglarını tek bir merkezde toplar. Log arama, filtreleme ve analiz işlemlerini kolaylaştırır.

2. Siber Güvenlik (Splunk Enterprise Security):
Kritik olayları korele eder, güvenlik ihlallerini tespit eder ve anomali tespiti yapar.
SOC (Security Operations Center) ekipleri için güçlü bir SIEM (Security Information and Event Management) aracıdır.

3. Uygulama Performans İzleme:
Sunucu, uygulama veya API performansını gerçek zamanlı izler. Hataları, gecikmeleri ve darboğazları tespit eder.

4. İş Süreçleri Analitiği:
Veri tabanları, ERP, CRM gibi sistemlerden gelen loglar üzerinden operasyonel süreç verimliliğini analiz eder.

5. Uyum (Compliance) ve Denetim:
5651, ISO 27001, PCI-DSS, GDPR ve KVKK gibi regülasyonlara uygun loglama ve raporlama imkânı sağlar.

Splunk Nasıl Kullanılır?

Splunk, hem bulut tabanlı (Splunk Cloud) hem de on-premise (kurulum tabanlı) kullanılabilir.
Kullanım adımları genel olarak şu şekildedir:

1. Veri Kaynaklarının Belirlenmesi:
   Toplanacak log veya olay kaynakları seçilir (firewall, router, sunucu, uygulama vb.).

2. Forwarder Kurulumu:
   Kaynak sistemlere Splunk Universal Forwarder kurulup logların gönderilmesi sağlanır.

3. Indexer Yapılandırması:
   Gelen veriler indekslenir ve arama yapılabilir hale getirilir.

4. SPL (Search Processing Language) ile Analiz:
   SPL dili kullanılarak detaylı sorgular, filtreler ve analizler yapılır.

5. Dashboard ve Alarm Oluşturma:
   Kritik olaylar için grafiksel dashboard’lar ve otomatik alarm mekanizmaları oluşturulur.

Kimler Splunk Kullanır?

Splunk, farklı departmanlarda ve sektörlerde yaygın olarak kullanılır.

• Siber Güvenlik Uzmanları: Olay korelasyonu, tehdit analizi, anomali tespiti.

• Sistem ve Ağ Yöneticileri: Log yönetimi, ağ trafiği analizi, hataların tespiti.

• DevOps / IT Operasyon Ekipleri: Uygulama izleme, CI/CD süreç analizi, performans ölçümü.

• Veri Analistleri: Operasyonel veriden iş zekâsı ve içgörü çıkarımı.

• Uyum / Denetim Ekipleri: Kanuni log tutma zorunluluklarının yerine getirilmesi.

Kullanıcı profili genellikle orta ve büyük ölçekli kurumlar, bankalar, finans kuruluşları, telekom operatörleri, enerji şirketleri ve devlet kurumlarıdır.

Splunk’un Avantajları

• Gerçek Zamanlı Veri Analizi: Log’ları anında işler, olayları anlık tespit eder.

• Ölçeklenebilir Mimari: Küçük yapılardan devasa kurumsal ortamlara kadar ölçeklenebilir.

• Güçlü Görselleştirme: Dashboard ve rapor ekranları ile veriler görsel hale getirilir.

• Yapay Zeka ve Makine Öğrenmesi: Splunk Machine Learning Toolkit ile anomali tespiti ve tahminleme yapılabilir.

• Geniş Entegrasyon Desteği: Cisco, Fortinet, AWS, Azure, Palo Alto, VMware gibi yüzlerce platformla uyumlu.

Splunk’un Alternatifleri

Her ne kadar Splunk sektörün liderlerinden biri olsa da, benzer işlevlere sahip alternatif platformlar da bulunur:

• Elastic Stack (ELK): Açık kaynak, ölçeklenebilir, maliyet avantajlı.

• Logsign: Yerli, 5651 uyumlu, SIEM özellikli.

• IBM QRadar: Kurumsal güvenlik analitiği odaklı.

• Graylog: Açık kaynak, düşük maliyetli log yönetim sistemi.

Ancak Splunk, stabilitesi, hız performansı ve gelişmiş korelasyon kabiliyetleriyle büyük ölçekli yapılarda tercih edilir.

Sonuç

Splunk, sadece bir log yönetim aracı değil, veriyi içgörüye dönüştüren bir kurumsal zekâ platformudur.
Modern BT altyapılarında güvenlik, performans, analiz ve uyum gereksinimlerini tek çatı altında karşılar.

Siber güvenlik, operasyonel izleme ve büyük veri analitiğinde Splunk, kurumların dijital omurgasını şeffaf ve ölçülebilir hale getirir.

5651 sayılı “İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun”, Türkiye’de internet erişimi sağlayan kurum ve işletmelerin dijital sorumluluklarını tanımlayan temel yasal düzenlemedir. Bu kanunun en önemli gerekliliklerinden biri loglama yükümlülüğüdür. Loglama, internet trafiğinin kayıt altına alınarak saklanması ve gerektiğinde adli mercilere sunulmasını sağlayan bir güvenlik ve izlenebilirlik mekanizmasıdır.

5651 Loglama Nedir?

5651 loglama, bir ağ üzerinden geçen tüm kullanıcı hareketlerinin zaman damgası (timestamp) ile birlikte kayıt altına alınması işlemidir. Bu kayıtlar, kim, ne zaman, hangi IP adresiyle, hangi kaynağa erişti gibi bilgileri içerir. Amaç, olası siber olaylarda ya da yasal süreçlerde dijital izleri geriye dönük olarak doğrulayabilmektir.

Kanuna göre;

• İnternet servis sağlayıcıları,

• Kurumsal ağ yöneticileri (örneğin şirketler, oteller, üniversiteler),

• Wi-Fi hizmeti sunan işletmeler,

log tutmakla yükümlüdür. Tutulan logların en az 1 yıl süreyle güvenli biçimde saklanması gerekmektedir.

Loglama Zorunluluğunun Amacı

5651 sayılı kanunun getirdiği loglama zorunluluğunun temel hedefi, siber suçlarla mücadele ve dijital delil bütünlüğünün korunmasıdır.
Başlıca amaçlar:

• Kurumsal ağlarda kullanıcı kimliklerinin izlenebilmesi

• Yasadışı içerik erişimlerinin önüne geçilmesi

• Adli soruşturmalarda kanıt niteliği taşıyacak logların sağlanması

• Kurum itibarının korunması ve yasal yaptırımların önlenmesi

5651 Uyumlu Loglama Nasıl Yapılır?

Kanun sadece “log tutma” zorunluluğu getirmekle kalmaz, bu logların zaman damgası (timestamp) ile imzalanmasını da şart koşar. Bu işlem, logların değiştirilmediğini ve bütünlüğünü koruduğunu ispatlar.

5651 uyumlu loglama yaparken şu kriterler dikkate alınmalıdır:

• Zaman Damgası Kullanımı: TÜBİTAK veya ESHS (Elektronik Sertifika Hizmet Sağlayıcısı) onaylı zaman damgası ile logların doğrulanması gerekir.

• Hashleme (SHA-256 vb.): Her log kaydı bütünlüğünü koruyacak şekilde kriptografik olarak özetlenmelidir.

• Yetkisiz Erişime Karşı Güvenlik: Log dosyaları salt okunur formatta tutulmalı, erişim kontrollü sistemlerde saklanmalıdır.

• Yedekleme: Logların hem yerel hem de uzak (off-site) sistemlerde yedeklenmesi önerilir.

5651 Loglama İçin Kullanılan Programlar ve Çözümler

Günümüzde birçok ticari ve açık kaynak log yönetim yazılımı, 5651 standardına uygun loglama yapabilmektedir. En sık kullanılanlar:

1. MikroTik RouterOS:
Hotspot veya kullanıcı bazlı loglama altyapısında sık tercih edilir. IP-MAC ilişkilendirmesi sağlar ve syslog sunucularına log aktarabilir.

2. Fortigate / Palo Alto / Sophos:
Kurumsal güvenlik duvarlarında 5651 uyumlu log toplama, analiz etme ve saklama özellikleri yerleşik olarak bulunur.

3. ELK Stack (Elasticsearch – Logstash – Kibana):
Açık kaynak bir çözüm olup, 5651’e uygun hale getirilerek büyük ölçekli log analizi yapılabilir.

4. Splunk Enterprise:
Gelişmiş SIEM (Security Information and Event Management) platformudur. Log toplama, korelasyon ve raporlama özellikleri ile 5651 uyumlu altyapılar kurmak mümkündür.

5. LOGSIGN / SIEMENS / FortiAnalyzer:
Türkiye’de BTK onaylı, 5651 uyumlu yerli çözümler sunar. Hem zaman damgası hem imzalama fonksiyonlarını otomatik gerçekleştirir.

5651 Loglamanın Kurumlara Sağladığı Faydalar

Loglama yalnızca yasal bir zorunluluk değil, aynı zamanda kurumsal bilgi güvenliği açısından ciddi bir avantaj sağlar:

• Yasal Koruma: Kanuni gereklilikleri yerine getirdiğiniz için idari para cezası veya kapatma riski ortadan kalkar.

• Olay Analizi: Ağda yaşanan saldırı, veri sızıntısı veya izinsiz erişim gibi olaylar hızlıca analiz edilir.

• İzlenebilirlik ve Şeffaflık: Kullanıcı hareketleri izlenebilir hale gelir, bu da iç tehditleri azaltır.

• Operasyonel Verimlilik: Merkezi loglama sayesinde sistem yöneticileri için denetim ve raporlama süreçleri kolaylaşır.

Sonuç

5651 loglama, sadece bir yasal gereklilik değil, aynı zamanda kurumların dijital güvenlik stratejisinin temel bileşenidir. Doğru yapılandırılmış bir loglama altyapısı, hem olası siber tehditlere karşı proaktif bir koruma sağlar hem de dijital delillerin bütünlüğünü garanti eder.

Uygun log yönetimi yazılımlarıyla birlikte, BTK’nın ve TÜBİTAK’ın belirlediği standartlara göre loglama yapmayan kurumlar hem yasal risk hem de itibar kaybı riski altındadır.