Log tutuyorsunuz, ama kimse bakıyor mu? SIEM, MDR ve 7/24 izleme

Log toplamakla saldırıyı fark etmek aynı şey değildir. Kayıtları bir diskte biriktirmek arşivdir; tespit ise o kayıtların içindeki anlamlı olayın, birisi müdahale edebilecek kadar hızlı yüzeye çıkmasıdır. Bu işin araç tarafı SIEM'dir: dağınık kayıtları tek yerde toplar, birbiriyle ilişkilendirir, kural yazıp uyarı üretir. İnsan tarafı ise MDR (yönetilen tespit ve müdahale) ya da SOC hizmetidir: o uyarıya gece üçte bakan, doğrulayan ve gerekiyorsa makineyi ağdan koparan ekip. Çoğu şirkette eksik olan parça araç değil, bakan gözdür. Mandiant'ın M-Trends 2026 raporunda saldırganın fark edilmeden ağda kaldığı süre (dwell time) medyan 14 gün ve olayların yalnızca %52'si kurumun kendi tespit mekanizmalarıyla ortaya çıkıyor, geri kalanını şirketler dışarıdan öğreniyor. Aynı dönemde CrowdStrike'ın 2026 raporu, saldırganın ilk girdiği makineden yana doğru yayılmaya geçme süresinin (breakout) ortalama 29 dakikaya indiğini söylüyor. Yani uyarı doğuyor. Sorun uyarı ile bakan göz arasındaki mesafede.

"Loglarımız var" ne demek, ne demek değil

Sahada en sık gördüğümüz tablo şu: güvenlik duvarı kendi diskine yazıyor, sunucular kendi olay günlüğünü tutuyor, e-posta servisinin denetim kaydı bulutta bir yerde duruyor, muhasebe yazılımının kendi izi var. Hepsi çalışıyor. Hiçbiri konuşmuyor. Bir olay şüphesi doğduğunda dört ayrı sisteme ayrı ayrı girilir, saatler farklı olduğu için olay sırası kurulamaz ve genellikle en kritik parça çoktan üzerine yazılmıştır.

İkinci tablo daha sinsi: merkezî bir sistem kurulmuştur, uyarılar da üretilir, ama uyarılar kimsenin düzenli açmadığı bir posta kutusuna akar. Omdia'nın Microsoft için 2025 ortasında yaptığı ve 750'den fazla çalışanı olan 300 kurumu kapsayan SOC araştırmasında, uyarıların %46'sı yanlış pozitif çıkıyor ve %42'si hiç incelenmiyor. Bunlar güvenlik ekibi olan büyük kurumların rakamları. Ekibin olmadığı yerde oran tahmin edilebilir.

Önce hangi kayıtlar

Her şeyi toplamaya çalışan projeler bütçeyi ilk çeyrekte yakar ve gürültü içinde boğulur. Doğru sıra, olayların gerçekten geçtiği yerlerden başlamaktır:

• Kimlik kayıtları. Microsoft 365 / Entra ID veya Google Workspace oturum açma kayıtları, başarısız denemeler, MFA reddedilmeleri, yönetici rolü atamaları, posta kutusu yönlendirme kuralı oluşturma. Bugün ihlallerin çoğu bir açıktan değil, geçerli bir hesapla başlıyor.
• Uç nokta telemetrisi. EDR verisi olmadan bir makinede ne olduğunu geriye dönük anlatmak neredeyse imkansızdır.
• Ağ sınırı. Güvenlik duvarı, VPN ve uzak erişim kayıtları. Kim, nereden, hangi saatte bağlandı.
• Bulut kontrol düzlemi. AWS CloudTrail, Azure Activity, Google Cloud audit. Yeni bir yönetici anahtarı oluşturulması buradan görünür.
• Kritik uygulamanın kendi denetim izi. ERP ya da muhasebede kimin hangi kaydı görüntülediği ve dışa aktardığı. Veri sızmasının kanıtı çoğu zaman ağ değil, uygulama kaydındadır.
• Yedek ve sanallaştırma yönetimi. M-Trends 2026, fidye gruplarının artık şifrelemeden önce yedek altyapısını, kimlik servislerini ve hipervizör yönetim düzlemini hedef aldığını gösteriyor. vCenter'daki bir oturum kaydı, fidye yazılımı senaryosunda en değerli sinyaldir.

Bir de sık atlanan kategori var: EDR kurulamayan cihazlar. Güvenlik duvarları, VPN yoğunlaştırıcıları, yönetim arayüzleri, sanallaştırma sunucuları. BRICKSTORM kampanyasında saldırganların tam olarak bu cihazları seçmesinin sebebi buydu, çünkü ajan kurulamayan yerde tek görünürlük kaynağı loglardır. Mandiant o kampanyada ortalama 393 günlük bir kalma süresi ölçtü.

90 gün, 14 gün ve 393 gün

Saklama süresi teknik bir ayar gibi görünür, olay anında ise soruşturmanın sınırıdır. Varsayılanlar cömert değil: Microsoft Purview Audit (Standard) denetim kayıtlarını 180 gün tutuyor, AWS CloudTrail'in ücretsiz olay geçmişi son 90 günü gösteriyor, birçok güvenlik duvarında ise kalıcı saklama hiç yok. Medyan 14 günlük bir olay için 90 gün yeterli görünebilir. Casusluk odaklı olaylarda M-Trends 2026'nın ölçtüğü medyan 122 gün, BRICKSTORM örneğinde 393 gün. Bu tür bir olayda 90 günlük saklama şunu üretir: saldırganın hâlâ içeride olduğunu görürsünüz, nereden ve nasıl girdiğini asla öğrenemezsiniz. Kapatacağınız kapıyı bulamazsınız.

Düzenlemeler de bu yüzden süre yazar. PCI DSS 4.0, denetim kayıtlarının en az 12 ay saklanmasını ve son üç ayın anında analiz edilebilir durumda olmasını istiyor (10.5.1), ayrıca uyarıların günlük gözden geçirilmesini şart koşuyor (10.4.1). Türkiye'de ticari amaçla toplu kullanım sağlayıcılar erişim kayıtlarını iki yıl saklamak ve bu kayıtların doğruluğunu ve bütünlüğünü korumakla yükümlü. Pratik bir denge şöyle kurulur: kimlik ve kritik uygulama denetim izleri en az 12 ay, uç nokta telemetrisi 6 ila 12 ay, hacimli ağ akış verisi daha kısa ama sıcak.

Kaydı korumazsanız kayıt sayılmaz

Bir saldırganın hedefe ulaştıktan sonraki ilk işlerinden biri izini silmektir. MITRE ATT&CK bunu ayrı bir teknik olarak sayar (T1070, iz temizleme) ve Windows olay günlüğünü silmek bunun en bilinen halidir. Kayıt yalnızca üretildiği makinede duruyorsa, o makineyi ele geçiren kişi kaydı da ele geçirmiş olur. Bu yüzden merkezî toplama bir konfor değil, kanıt şartıdır: kayıtlar üretildikleri anda ayrı bir yere, oradaki verileri silme yetkisi olmayan bir hesapla akmalı.

Aynı derecede sıradan ama aynı derecede kritik bir ayrıntı: saat. Sistemler NTP ile senkron değilse ve saat dilimleri kayıtlı değilse, üç farklı kaynaktan gelen olayı sıraya dizemezsiniz. Zaman çizelgesi kurulamayan bir olay, açıklanamayan bir olaydır.

SIEM satın almak tespit satın almak değildir

SIEM ürünlerinin faturası genellikle yutulan veri hacmiyle ölçülür, yani "her şeyi gönderelim" kararı doğrudan bütçeye yazılır. Daha büyük sorun şudur: kutudan çıkan kurallar sizin ortamınızı tanımaz. Kullanılabilir bir tespit kuralının üç şeyi olmalı. Bir sahibi (uyarı kime gidiyor), bir eşiği (hangi durumda gerçekten anormal) ve bir müdahale adımı (uyarı gelince ne yapılacak). Bu üçü yoksa ürettiğiniz şey uyarı değil, gürültüdür.

Somut bir örnek: "yönetici grubuna kullanıcı eklendi" uyarısı tek başına anlamsızdır, çünkü bunu meşru olarak sistem yöneticiniz de yapar. Anlam kazandığı yer, uyarının bir değişiklik kaydıyla eşleştirilmesidir. Onaylı bir talep yoksa uyarı gerçektir. Tespit mühendisliği dediğimiz şeyin büyük kısmı bu türden bağlam kurmaktır ve ürün satın alarak gelmez.

7/24 izlemenin aritmetiği

Bunu kendi ekibinizle yapmak isterseniz hesap acımasızdır. Bir hafta 168 saattir, tam zamanlı bir çalışan haftada 40 saat çalışır. Kesintisiz kapsama için kabaca 4,2 kişilik bir doluluk gerekir; üzerine yıllık izin, hastalık, eğitim, nöbette tek kişi bırakmama ilkesi ve işten ayrılmalar eklendiğinde gerçek sayı 8 ile 10 kişiye çıkar. Bu ekibin ayrıca tespit kuralı yazması, olay müdahalesi yapması ve güncel kalması gerekir. Elli kişilik bir şirket için bu ekonomik değildir, elli kişilik bir şirketin de gece saldırıya uğrayabileceği gerçeği değişmez.

Aradaki boşluğu MDR doldurur: izleme ve ilk müdahale bir sağlayıcıya devredilir, sizde karar verici ve süreç sahibi kalır. Kararın kendisi teknik değil ticari bir karardır ve ölçüsü şudur: gece 03:00'te şüpheli bir yönetici girişi olduğunda kimin telefonu çalıyor ve o kişi ne yapmaya yetkili?

Sağlayıcıya sorulacak sorular

• SLA tam olarak neyi taahhüt ediyor: tespit süresini mi, size bildirim süresini mi, yoksa saldırıyı kontrol altına alma süresini mi? Dakikayla yazılsın.
• Müdahale yetkisi kimde? Sağlayıcı bir makineyi ağdan izole edebilir ve bir hesabı kilitleyebilir mi, yoksa yalnızca haber mi veriyor? Onay zinciri gece nasıl işliyor?
• Kapsam neyi içeriyor? Yalnızca uç noktalar mı, kimlik ve bulut kayıtları da var mı, EDR kurulamayan ağ cihazları dahil mi?
• Loglar nerede tutuluyor, hangi ülkede, ne kadar süreyle? Sözleşme biterse veri hangi formatta size teslim ediliyor? Yurt dışına aktarım varsa KVKK tarafı nasıl kurgulanmış?
• Eskalasyon Türkiye saatleriyle ve Türkçe işliyor mu, ilk temas kaç dakikada?
• Ayda kaç doğrulanmış olay bildiriliyor, örnek bir olay raporu görebilir miyiz?
• Tespit kuralları test ediliyor mu? Kontrollü saldırı simülasyonuyla kaç kuralın gerçekten tetiklendiği ölçülüyor mu?

Denetçi ve mevzuat ne istiyor

KVKK'nın 12. maddesi teknik ve idari tedbir der, Kurumun Kişisel Veri Güvenliği Rehberi ise beklentiyi somutlaştırır: kullanıcı işlem hareketlerinin düzenli olarak log kaydı tutulması, erişim kontrol kayıtlarının ve raporlama araçlarının düzenli gözden geçirilmesi ve uyarıların üzerine gidilmesi beklenir. Pratik bağlantı şurada kurulur: bir ihlali 72 saat içinde bildirmeniz gerekiyorsa, "hangi kişisel verinin etkilendiğini" ancak logla yazabilirsiniz. Log yoksa bildirim tahmine dayanır ve tahmine dayanan bildirim hem eksik hem risklidir.

ISO 27001 tarafında iki kontrol ayrı ayrı durur: A.8.15 kayıtların üretilmesi, saklanması, korunması ve analizi; A.8.16 anormal davranışın tespiti için izleme faaliyetleri. Denetçi ikisini birbirinden ayırır, çünkü kayıt üretmek bir şey, ona bakmak başka şeydir. Bankacılıkta ise beklenti mevzuata yazılıdır: denetim izlerinin merkezî bir kayıt yönetim sistemiyle izlenip analiz edilmesi, olası olayların erken tespiti için korelasyon kurallarının tanımlanması ve uyarı mekanizmalarının kurulması isteniyor.

Otuz günde kurulabilecek asgari düzen

Büyük bir platform projesi başlatmadan önce şu sırayla ilerlemek çoğu KOBİ'de görünürlüğün yarısını haftalar içinde kazandırır. Bir: varlık ve kaynak envanteri, hangi sistem hangi kaydı üretiyor. İki: kimlik, EDR ve güvenlik duvarı kayıtlarını tek bir yere akıtmak. Üç: saklama sürelerini yazılı karara bağlamak. Dört: on kadar yüksek değerli tespit kuralı yazmak (imkansız coğrafya girişi, yönetici rolü ataması, çok sayıda başarısız kimlik doğrulama sonrası başarılı giriş, posta yönlendirme kuralı, yedek işinin devre dışı bırakılması, olay günlüğünün silinmesi). Beş: her kural için tek satırlık bir müdahale adımı. Altı: olay müdahale planınızla bağlamak, çünkü uyarı bir karar zincirine bağlanmadıkça değeri sıfırdır.

Bugün bedelsiz yapabileceğiniz bir test var. Kendi test hesabınızla, çok faktörlü doğrulamayı atlatmaya çalışmadan, farklı bir ülkedeki bir VPN çıkışından yönetim paneline giriş yapın ve kronometre tutun. Kaç dakika içinde bir uyarı üretildi, o uyarı kime gitti, o kişi ne yaptı? Cevap "hiçbir şey olmadı" ise sorun log tutmamanız değil, kimsenin bakmamasıdır. Wedevit olarak bu noktada bağımsız çalışıyoruz: hangi kayıtların gerçekten gerektiğini ve nasıl saklanacağını belirliyor, tespit kurallarını sizin ortamınıza göre yazıyor, MDR sağlayıcı tekliflerini ürün satmadan karşılaştırıyor ve kuralların gerçekten tetiklendiğini kontrollü simülasyonla ölçüyoruz.