Merkezi Syslog ve Log Yönetimi Nedir? Toplama, Saklama, SIEM

Merkezi syslog, router, switch, firewall, erişim noktası, sunucu ve uygulamaların ürettiği log mesajlarını standart syslog protokolüyle tek bir toplayıcıya göndermektir. Kayıtlar orada saklanır, aranır ve alarm kurallarından geçer. Böylece arızayı daha hızlı bulursunuz, bir cihaz ele geçirilse bile kayıtlar korunur ve denetimde kanıt sunmak kolaylaşır.

Protokol RFC 3164 (BSD syslog) ve RFC 5424 ile tanımlanır. Mesajlar UDP 514, TCP veya TLS (6514) üzerinden taşınır. Her mesajda bir facility (kaynak türü) ve bir severity (önem derecesi) değeri bulunur.

Loglar neden merkezde toplanmalı?

Loglar cihazın kendi belleğinde kaldığında üç sorun çıkar. Cihaz yeniden başladığında kayıtlar kaybolabilir. Saldırgan izlerini silebilir. Bir olayı anlamak için de onlarca cihaza tek tek bağlanmak gerekir. Merkezi toplama bu sorunları şöyle çözer:

• Korelasyon: Aynı dakikada firewall, VPN ve sunucuda olanları tek ekranda görmek
• Bütünlük: Kaynağın dışında, yetkileri ayrılmış bir sistemde saklanan kayıt
• Saklama: Cihaz kapasitesinden bağımsız, politikaya uygun arşiv
• Uyum: 5651, KVKK, ISO/IEC 27001 ve PCI DSS gibi çerçevelerde istenen kayıt ve izleme kanıtı

Syslog protokolü nasıl çalışır?

Syslog'da üç rol vardır: mesajı üreten kaynak (originator), isteğe bağlı olarak mesajı ileten aktarıcı (relay) ve mesajı saklayan toplayıcı (collector). Her mesaj bir <PRI> değeriyle başlar. Değer şöyle hesaplanır:

PRI = facility × 8 + severity

Örneğin <34>, facility 4 (auth) ve severity 2 (critical) demektir.

RFC 3164 ve RFC 5424 farkı

RFC 5424 formatında örnek bir mesaj:

<165>1 2026-09-13T10:42:07.215+03:00 fw01.gebze.local firewall 2211 LOGIN [auth@32473 user="admin" src="10.0.20.15" result="fail"] Admin panel login failed

Bu örnekte <165>, facility 20 (local4) ve severity 5 (notice) demektir. Köşeli parantez içindeki yapılandırılmış veri sayesinde toplayıcı, mesajı ayrıca ayrıştırmadan kullanıcı ve IP alanlarını okur.

Facility ve severity

Facility değerleri 0 ile 23 arasındadır. Sistem kaynakları için kern (0), user (1), mail (2), daemon (3), auth (4), syslog (5), cron (9) ve authpriv (10) gibi değerler kullanılır. Ağ cihazları çoğunlukla local0–local7 (16–23) aralığını kullanır. Toplayıcıdaki filtre ve saklama kuralları genellikle bu iki alana göre yazılır.

Taşıma katmanı: UDP, TCP ve TLS

UDP'nin iki önemli zayıflığı var. Yoğun trafikte veya ağ tıkanıklığında mesajlar sessizce kaybolur. Kaynak IP adresi de kolayca taklit edilebilir. Bu yüzden güvenlik açısından önemli loglarda TCP, internet üzerinden gönderimde TLS kullanın. TCP de tek başına yetmez. Toplayıcıya ulaşılamadığında mesajları diskte bekletecek bir kuyruk yapılandırılmazsa bağlantı kesildiğinde yine kayıp olur.

Linux'ta rsyslog ile TCP üzerinden, disk destekli kuyrukla iletim örneği:

# /etc/rsyslog.d/90-forward.conf
*.* action(type="omfwd" target="log.ornek.local" port="514" protocol="tcp"
           queue.type="LinkedList" queue.filename="fwd_queue"
           queue.saveOnShutdown="on" action.resumeRetryCount="-1")

Merkezi toplama katmanları

Ölçeklenebilir bir yapı genellikle şu katmanlardan oluşur:

1. Kaynaklar: Ağ cihazları, sunucular, hotspot ve VPN geçitleri, uygulamalar
2. Aktarıcı veya ajan katmanı: Şube ya da segmentlerde mesajları toplayan, kuyruğa alan, sıkıştırıp şifreli olarak merkeze ileten ara katman
3. Toplayıcı: Yüksek erişilebilir en az iki düğüm, yük dengeleme ve oran sınırlama
4. Ayrıştırma ve normalizasyon: Farklı üretici formatlarını ortak alanlara (zaman, kaynak, kullanıcı, IP, eylem) çevirme
5. Depolama: Sık sorgulanan güncel veri için hızlı katman, eski veri için sıkıştırılmış ve ucuz katman
6. Arama, pano ve alarm: Sorgular, kayıtlı aramalar, eşik ve desen tabanlı uyarılar
7. Arşiv: Değiştirilemez (WORM) saklama, özet zincirleri ve zaman damgası

Tasarımda sık atlanan noktalar:

• Saat senkronizasyonu: Kaynaklar NTP ile senkronize değilse olayların sıralaması güvenilir olmaz.
• Tutarlı cihaz adları: Hostname'ler bir isimlendirme standardına uymalıdır. Aksi halde IP değiştiğinde geçmiş kayıtlarla bağ kopar.
• Kapasite planı: Saniyedeki olay sayısı (EPS) ve günlük veri hacmini saklama süresiyle çarparak depolama ihtiyacını hesaplayın.
• Yönetim ağı: Log trafiğini mümkünse ayrı bir yönetim VLAN'ı veya şifreli tünel üzerinden taşıyın.
• Log sisteminin kendi kaydı: Kimin hangi kaydı sorguladığı veya dışa aktardığı da kayıt altına alınmalıdır.

Bulut mu, yerinde kurulum mu?

Pek çok kurum için en uygunu karma modeldir. Şubelerde hafif bir aktarıcı çalışır, arama katmanı merkezde veya bulutta durur. Syslog, syslog gönderebilen her cihazdan log toplar ve bulutta da kurum içinde de çalışabilir.

Saklama, arama ve analiz

Saklama süresi bir politika kararıdır. Üç kaynağa dayanır:

• Mevzuat ve standartlar: Türkiye'de 5651 mevzuatı, toplu kullanım sağlayıcıların ve erişim sağlayıcıların belirli kayıtları belirli süreler boyunca saklamasını ister. PCI DSS ise en az 12 aylık kayıt geçmişi ve son üç ayın hemen erişilebilir olmasını şart koşar.
• KVKK: Log içindeki kişisel veriler, amacın gerektirdiğinden uzun tutulmamalıdır. Süre dolunca silinmeli veya anonimleştirilmelidir.
• Operasyonel ihtiyaç: Olay müdahalesi için gerçekte kaç ay geriye bakmak gerektiği.

Kayıtların delil değeri taşıması için değiştirilemez olması gerekir. Yaygın yöntem, günlük dosyaların özetini alıp birbirine zincirlemek ve bu özetleri RFC 3161 zaman damgasıyla mühürlemektir. Böylece kaydın o tarihte var olduğu ve sonradan değişmediği kanıtlanabilir. Misafir Wi-Fi tarafında WiPoint oturum kayıtlarını bu yöntemle arşivler.

Arama tarafında iyi bir sistemde şunlar olmalı:

• Alan bazlı sorgu (ör. src_ip=10.0.20.15 AND severity<=3)
• Zaman aralığı filtreleri
• Kayıtlı aramalar
• "10 dakikada 5 hatalı giriş" gibi eşik alarmları
• Arayüz, VPN ya da yönetici oturumu olayları için hazır panolar

Merkezi log yönetimi ile SIEM arasındaki fark

İkisi farklı katmanlarda çalışır ve birlikte kullanılır. SIEM, beslendiği verinin kalitesi kadar iyidir. Merkezi log yönetimi bu verinin eksiksiz, temiz ve doğru zaman bilgisiyle toplanmasını sağlar. Yaygın modelde tüm loglar log yönetim katmanında uzun süre saklanır, güvenlik açısından anlamlı alt küme SIEM'e aktarılır.

Sık sorulan sorular

Syslog için UDP mi TCP mi kullanmalıyım?

Yerel ağda, kayba toleranslı ve yüksek hacimli loglar için UDP yeterli olabilir. Güvenlik ve uyum açısından önemli loglarda disk kuyruğuyla birlikte TCP kullanın. Loglar internet veya bulut üzerinden gidiyorsa TLS (6514) seçin.

RFC 3164 formatındaki cihazlar RFC 5424 bekleyen bir toplayıcıya log gönderebilir mi?

Evet, modern toplayıcılar iki formatı da ayrıştırır. RFC 3164 mesajlarında yıl ve saat dilimi yoktur. Bu yüzden zamanın toplayıcıda doğru yorumlanmasına dikkat edin. Kaynak cihazların NTP ile senkronize olması bu açıdan önemlidir.

Logları ne kadar süre saklamalıyım?

Tek bir doğru süre yok. Mevzuattaki süreler (ör. 5651 kapsamındaki saklama yükümlülükleri), sektör standartları (ör. PCI DSS için en az 12 ay) ve KVKK'nın gerekenden uzun saklamama ilkesi birlikte değerlendirilmelidir. Varılan süreyi yazılı bir saklama ve imha politikasına bağlayın.

Merkezi syslog SIEM'in yerini tutar mı?

Tutmaz, ama SIEM için ön koşuldur. Log yönetimi toplama, saklama ve arama ihtiyacını karşılar. SIEM bunun üzerine korelasyon ve tehdit tespiti ekler. Küçük ve orta ölçekli yapılar çoğunlukla log yönetimi ve temel alarmlarla başlar, ihtiyaç doğduğunda SIEM'e geçer.

Syslog kayıtları delil olarak kullanılabilir mi?

Kullanılabilir. Delil değeri, kaydın bütünlüğüne ve güvenilirliğine bağlıdır. Kaydın sonradan değiştirilmediğini göstermenin temel araçları değiştirilemez saklama, erişim kayıtları, doğru saat ve zaman damgalı özet zincirleridir.