SIEM nedir?
SIEM (Security Information and Event Management), farklı sistemlerden gelen günlük ve olay verilerini merkezi bir yerde toplayan, ilişkilendiren, analiz eden ve şüpheli durumlar için uyarı üreten güvenlik platformudur. Dağınık kayıtları tek bir görünümde birleştirerek olayların daha hızlı fark edilmesini sağlar.
Tek başına bakıldığında anlamsız görünen olaylar, bir araya geldiğinde bir saldırıyı işaret edebilir. SIEM bu ilişkilendirmeyi otomatik yapar ve güvenlik ekibinin üzerindeki yükü azaltır.
Nasıl çalışır?
Süreç dört temel aşamadan oluşur: toplama, normalleştirme, ilişkilendirme ve uyarı. Sunucular, güvenlik duvarları, web uygulamaları ve kimlik sistemleri günlüklerini SIEM’e gönderir. Platform bu verileri ortak bir biçime çevirir, kurallar veya davranış analizi ile ilişkilendirir ve eşleşme olduğunda alarm üretir.
Örneğin farklı sunuculardan kısa sürede gelen çok sayıda başarısız giriş, ardından aynı hesapla başarılı bir giriş ve alışılmadık bir saatte yapılan veri indirmesi tek bir olay zinciri olarak görülebilir. SIEM ayrıca geçmiş kayıtları saklar; adli inceleme ve uyumluluk raporları için kullanılır.
Sunucu ve hosting ortamında
Sunucu ortamında SIEM’e beslenecek tipik kaynaklar şunlardır: SSH ve sistem günlükleri (auth.log, journald), web sunucusu erişim ve hata kayıtları, WAF günlükleri, güvenlik duvarı kayıtları, veritabanı denetim günlükleri ve kontrol paneli oturum kayıtları. Açık kaynak çözümlerden Wazuh ve Elastic tabanlı yığınlar küçük ve orta ölçekte sık tercih edilir.
Küçük bir hosting ortamı için tam bir SIEM fazla gelebilir; bu durumda merkezi günlük toplama ve basit uyarı kuralları iyi bir başlangıçtır. Zaman senkronizasyonu (NTP) önemlidir, çünkü farklı sunuculardaki olayları sıraya dizmek tutarlı zaman damgası gerektirir.