Siber Güvenlikte Log Yönetimi Nedir? Şüpheli Etkinlikler Nasıl Tespit Edilir?
Bir web sitesi veya sunucu üzerinde her gün çok sayıda işlem gerçekleşir. Kullanıcılar giriş yapar, sayfalar görüntülenir, dosyalar değiştirilir ve uygulamalar arka planda çeşitli görevler yürütür. Bu işlemlerin bir bölümü günlük kayıtlarına, yani loglara yazılır. Log yönetimi, bu kayıtların toplanması, korunması, incelenmesi ve gerektiğinde güvenlik olaylarını araştırmak için kullanılması sürecidir.Düzenli log yönetimi, sistem yöneticilerinin yalnızca hata mesajlarını görmesini sağlamaz. Aynı zamanda olağandışı giriş denemelerini, beklenmeyen yetki değişikliklerini ve hizmetlerdeki ani davranış değişimlerini fark etmeye yardımcı olur. Ancak günlüklerin işe yarayabilmesi için doğru kaynaklardan toplanması, güvenli tutulması ve anlamlı uyarılarla desteklenmesi gerekir.
Log Nedir ve Neden Tutulur?
Log, bir sistemde gerçekleşen olay hakkında zaman damgası ve olayın türü gibi bilgiler içeren kayıttır. Web sunucusu günlükleri gelen istekleri ve yanıt durumlarını gösterebilir. Kimlik doğrulama günlükleri başarılı veya başarısız girişleri kaydedebilir. Uygulama günlükleri ise yazılım hataları ve işlem sonuçları hakkında bilgi sağlayabilir.Bu kayıtlar teknik sorunların nedenini bulmak, hizmet performansını incelemek ve güvenlik olaylarının zaman çizelgesini oluşturmak için kullanılabilir. Örneğin kullanıcıların giriş yapamadığı bir durumda hata kayıtları, sorunun kimlik doğrulama sisteminde mi yoksa başka bir bileşende mi olduğunu anlamaya yardımcı olabilir.
Her log aynı bilgiyi içermez. Bu nedenle hangi kayıtların hangi amaçla tutulduğu belirlenmeli ve gereksiz veri toplamaktan kaçınılmalıdır.
Hangi Günlükler Takip Edilmelidir?
Web sitesi güvenliğinde birkaç farklı kayıt kaynağı önemlidir. Web sunucusu günlükleri, gelen istekleri ve yanıt durumlarını gösterir. İşletim sistemi günlükleri, servislerin çalışması ve sistem olayları hakkında bilgi sağlayabilir. Kimlik doğrulama kayıtları kullanıcı girişleriyle ilgili etkinlikleri gösterebilir.Bunlara ek olarak veri tabanı, güvenlik duvarı, bulut altyapısı ve yönetim paneli kayıtları da önemli olabilir. Birden fazla bileşenden gelen kayıtlar birlikte incelendiğinde tek bir kaynağın göstermediği bağlantılar ortaya çıkabilir.
Ancak bütün kayıtları sınırsız biçimde toplamak maliyet ve gizlilik sorunları doğurabilir. Öncelikle korunması gereken sistemler belirlenmeli, hangi olayların güvenlik açısından anlamlı olduğu değerlendirilmelidir.
Şüpheli Giriş Denemeleri Nasıl Tespit Edilir?
Kısa süre içinde çok sayıda başarısız giriş denemesi yapılması, aynı hesaba farklı konumlardan erişilmeye çalışılması veya beklenmedik saatlerde yönetici oturumu açılması araştırılması gereken olaylar olabilir.Bununla birlikte tek bir başarısız giriş, saldırı olduğu anlamına gelmez. Kullanıcı parolasını yanlış yazmış olabilir veya cihaz değiştirmiş olabilir. Bu nedenle olaylar sıklık, geçmiş davranışlar, hesap türü ve diğer belirtilerle birlikte değerlendirilmelidir.
Özellikle yönetici hesapları için başarılı girişler, yeni cihazlar ve yetki değişiklikleri dikkatle izlenmelidir. Şüpheli etkinlik tespit edildiğinde ilgili oturumların geçerliliği kontrol edilmeli ve gerekiyorsa erişim geçici olarak sınırlandırılmalıdır.
Log Yönetimi ile SIEM Arasındaki İlişki
SIEM, farklı sistemlerden gelen güvenlik kayıtlarını merkezi olarak toplayıp ilişkilendirmeye ve analiz etmeye yönelik çözümleri ifade eder. Bu sistemler belirli olay örüntülerini birleştirerek güvenlik ekiplerinin olası tehditleri daha hızlı fark etmesine yardımcı olabilir.Örneğin bir kullanıcı hesabında kısa sürede çok sayıda başarısız giriş görülmesi ve ardından alışılmadık bir yönetici işlemi gerçekleşmesi, ayrı ayrı incelendiğinde dikkat çekmeyebilir. Kayıtların ilişkilendirilmesi, olayın daha ayrıntılı araştırılmasını sağlayabilir.
Her web sitesi için kapsamlı bir SIEM çözümü gerekli olmayabilir. Küçük projelerde barındırma panelinin kayıtları, uygulama günlükleri ve temel uyarılar yeterli bir başlangıç sunabilir. Sistem büyüdükçe merkezi kayıt yönetimi ve otomatik analiz ihtiyacı yeniden değerlendirilmelidir.
Loglar Nasıl Güvenli Saklanır?
Günlük kayıtları saldırganlar tarafından değiştirilebilir veya silinebilir durumdaysa olay araştırması zorlaşabilir. Bu nedenle loglara yazma ve okuma yetkileri sınırlandırılmalı, kayıtların bütünlüğünü koruyacak önlemler değerlendirilmelidir.Özellikle yönetici işlemleriyle ilgili kayıtların, aynı yetkisiz erişim sonucunda kolayca silinemeyeceği bir ortamda tutulması yararlı olabilir. Merkezi kayıt sunucusu veya erişimi sınırlandırılmış ayrı depolama alanı bu amaçla kullanılabilir.
Günlüklerin saklama süresi de belirlenmelidir. Çok kısa saklama süresi, geç fark edilen olayların araştırılmasını zorlaştırabilir. Gereğinden uzun saklama ise maliyet ve gizlilik risklerini artırabilir. Saklama süresi, sistemin ihtiyaçlarına ve geçerli yükümlülüklere göre seçilmelidir.
Loglarda Hangi Bilgiler Tutulmamalıdır?
Günlüklerde parola, erişim belirteci, API anahtarı veya benzeri sırların açık biçimde tutulması ciddi bir güvenlik sorunu oluşturabilir. Loglara erişimi olan bir kişi bu bilgileri kullanarak sistemlere yetkisiz erişim sağlamaya çalışabilir.Kişisel veriler de yalnızca gerçekten ihtiyaç duyulan ölçüde kaydedilmelidir. Gereksiz hassas bilgilerin tutulması, kayıtların ele geçirilmesi durumunda ortaya çıkabilecek zararı artırabilir.
Loglama tasarımı yapılırken hassas alanların maskelenmesi, gereksiz verilerin çıkarılması ve erişim yetkilerinin sınırlandırılması düşünülmelidir. Kayıtların güvenliği, kaydedilen sistem kadar önemlidir.
Güvenlik Uyarıları Nasıl Oluşturulur?
Logların sürekli incelenmesi zaman alabilir. Bu nedenle belirli olaylar için otomatik uyarılar oluşturulabilir. Örneğin çok sayıda başarısız giriş, yeni yönetici hesabı oluşturulması, güvenlik ayarlarının değiştirilmesi veya disk kullanımının olağandışı artması bildirim üretebilir.Uyarıların anlamlı olması gerekir. Çok fazla yanlış alarm üreten bir sistem, yöneticilerin gerçek olayları gözden kaçırmasına neden olabilir. Bu yüzden eşikler test edilmeli ve zamanla gerçek kullanım davranışına göre ayarlanmalıdır.
Her uyarı için ne yapılacağı da belirlenmelidir. Bildirim geldiğinde kimin inceleme yapacağı, hangi kayıtların kontrol edileceği ve hangi koşullarda erişimin sınırlandırılacağı önceden tanımlanmalıdır.
Güvenlik Olayı Sonrasında Loglar Nasıl Kullanılır?
Bir güvenlik olayı yaşandığında günlükler olayın zaman çizelgesini oluşturmak için kullanılabilir. İlk şüpheli etkinliğin ne zaman gerçekleştiği, hangi hesapların kullanıldığı ve hangi sistemlerin etkilendiği araştırılır.Kayıtların orijinal hâli korunmalı ve inceleme sırasında yapılan değişiklikler belgelenmelidir. Yalnızca bir hata mesajına bakarak saldırının kapsamı hakkında kesin sonuca varılmamalıdır. Farklı kaynaklardan gelen kayıtlar karşılaştırılmalı ve eksik kayıtlar varsa bu durum dikkate alınmalıdır.
Olay sonrasında hangi uyarıların eksik kaldığı, kayıtların yeterince uzun süre saklanıp saklanmadığı ve müdahalenin ne kadar sürdüğü değerlendirilmelidir. Böylece log yönetimi sistemi gelecekteki olaylara karşı geliştirilebilir.
Log Yönetimi İçin Kontrol Listesi
- Web sunucusu, uygulama ve kimlik doğrulama kayıtlarını belirleyin.
- Kritik yönetici işlemlerini kaydedin.
- Günlüklerin erişim izinlerini sınırlandırın.
- Parola ve erişim belirteci gibi sırları loglara yazmayın.
- Saklama süresi ve silme politikasını belirleyin.
- Şüpheli olaylar için anlamlı uyarılar oluşturun.
- Yanlış alarmları düzenli olarak gözden geçirin.
- Kayıtların bütünlüğünü koruyacak önlemler alın.
- Güvenlik olayı müdahale planında log incelemesine yer verin.
- Loglardan yararlanarak düzenli güvenlik değerlendirmesi yapın.
