Ağ ve Sistem İzleme ile SIEM Arasındaki Fark Nedir?

Kısa cevap

Ağ ve sistem izleme (monitoring), altyapının erişilebilirlik, performans ve kapasite durumunu takip eder: işlemci, bellek, disk, servis durumu, ağ metrikleri; eşik aşıldığında uyarır. Sorusu: "çalışıyor mu, ne kadar dolu, yavaşladı mı?"
SIEM, güvenlik kayıtlarını (log) merkezde toplayıp ilişkilendirir ve şüpheli örüntüde alarm üretir. Sorusu: "kim, ne zaman, ne yaptı; bu bir saldırı mı?"
İkisi farklı veriye (metrik ↔ log) ve farklı soruya (sağlık ↔ güvenlik) bakar; çoğu zaman sahipleri de farklıdır (sistem yönetimi ↔ güvenlik). Biri diğerinin yerine geçmez; iyi kurgulanmış bir yapıda aynı toplayıcı ikisini de besler ve alarmlar aynı panelde buluşur.
Kesişim gerçektir: "disk doldu" bir sağlık alarmıdır ama log kayıtlarının kesilmesi anlamına gelir; "işlemci gece %100" bir performans alarmıdır ama kripto madenciliği zararlısının izi olabilir. Bu yüzden ikisini yan yana okumak gerekir.

Ağ ve sistem izleme nedir?

İzleme araçları (Zabbix, Nagios, PRTG, Prometheus/Grafana, Checkmk gibi), sunucu, ağ cihazı ve uygulamalardan metrik toplar: işlemci ve bellek kullanımı, disk doluluğu, servis/süreç durumu, arayüz trafiği, gecikme, sıcaklık, sertifika son kullanma tarihi. Toplama yöntemi ajan, SNMP, WMI, API ya da basit erişilebilirlik testidir (ICMP/TCP). Değerler eşikle karşılaştırılır ("disk %90'ı aştı"), trendlenir ("bu hızla 20 günde dolar") ve alarma dönüşür.

İzlemenin amacı hizmet sürekliliğidir: kesintiyi kullanıcıdan önce görmek, kapasiteyi planlamak, sorunun kök nedenini (hangi servis, hangi cihaz) hızlı bulmak. Güvenlik izlemenin birincil konusu değildir; ama izleme verisi güvenlik için değerli bir bağlam sağlar.

SIEM nedir?

SIEM (Security Information and Event Management), güvenlik duvarı, dizin (Active Directory), sunucu, uç nokta ve bulut kaynaklarından gelen log kayıtlarını toplar, ortak biçime çevirir, birbiriyle ilişkilendirir (korelasyon) ve şüpheli örüntüde alarm üretir; kayıtları uyum ve olay incelemesi için saklar. Ayrıntısı SIEM nedir? yazısında.

Fark: yan yana

Boyut	Ağ ve sistem izleme	SIEM
Temel soru	Çalışıyor mu, ne kadar dolu, yavaş mı?	Kim ne yaptı, bu bir saldırı mı?
Veri türü	Metrik (sayısal ölçüm, durum)	Log/olay kaydı (metin, alan-değer)
Kaynak	Sunucu, ağ cihazı, uygulama, sanallaştırma	Güvenlik duvarı, dizin, sunucu, uç nokta, bulut kimlik
Toplama	Ajan, SNMP, WMI, API, erişilebilirlik testi	Syslog, ajan, API
Alarm mantığı	Eşik ve trend	Korelasyon kuralı, davranış analizi
Tipik alarm	"Disk %91", "servis durdu", "gecikme arttı"	"İmkânsız seyahat oturumu", "kaba kuvvet + başarılı giriş", "zararlı adrese bağlantı"
Sahip	Sistem/ağ yönetimi	Güvenlik ekibi / SOC
Saklama	Trend için metrik geçmişi	Uyum ve inceleme için log arşivi (5651: iki yıl)
Standart karşılığı	ISO/IEC 27002:2022 8.6 "Capacity management" (kapasite), 8.14 "Redundancy" (süreklilik); 8.16'nın "sistemlerin izlenmesi" kısmıyla kesişir	ISO/IEC 27002:2022 8.15 "Logging" + 8.16 "Monitoring activities"; NIST SP 800-92

Kısacası izleme sağlık, SIEM güvenlik sorusudur; ikisi de "izleme" kelimesini kullanır, bu yüzden karışırlar.

Standartlar ne diyor?

ISO/IEC 27002:2022, "Logging" (8.15) ve "Monitoring activities" (8.16) kontrollerini ayrı ayrı tanımlar: ilki olay kayıtlarının üretilmesi, saklanması, korunması ve analiz edilmesini; ikincisi ağ, sistem ve uygulamaların anormal davranış için izlenmesini ve gerekli aksiyonun alınmasını ele alır. Erişilebilirlik ve kapasite tarafı ise aynı standardın "Capacity management" (8.6) ve "Redundancy of information processing facilities" (8.14) kontrollerine, saat birliği de "Clock synchronization" (8.17) kontrolüne karşılık gelir. ABD standart kurumu NIST'in log yönetimi kılavuzu SP 800-92 (2006), log yönetimini kayıtların üretilmesinden imhasına uzanan süreç olarak tanımlar; NIST Siber Güvenlik Çerçevesi 2.0'ın (Şubat 2024) Tespit (Detect) işlevi sürekli izlemeyi ve olumsuz olayların analizini kapsar. Hiçbir çerçeve "ya izleme ya SIEM" demez; ikisi farklı kontrollerin karşılığıdır.

Nerede kesişirler?

Kesişim, iki sistemi yan yana koymanın asıl gerekçesidir:

Disk doldu → log kesildi. Sağlık alarmı; ama güvenlik duvarı ya da log sunucusunun diski dolduysa 5651 kayıtları ve SIEM girdisi durmuştur. İzleme, kaydın kesildiğini SIEM'den önce görür.
İşlemci gece boyunca %100. Performans alarmı; aynı sunucudan bilinen madencilik havuzlarına dış bağlantı varsa (SIEM) resim tamamlanır.
Servis durdu + yönetici oturumu. İzleme "yedekleme servisi durdu" der; SIEM aynı dakikada beklenmedik bir ayrıcalıklı oturum görürse fidye yazılımı öncesi hazırlık şüphesi doğar.
Yeni cihaz/servis göründü. İzleme envanterinde yeni bir hedef; SIEM'de yetkisiz kurulum olayı.
Ağ trafiği anormal arttı. Arayüz metriği; SIEM'de mesai dışı büyük veri çıkışı (sızıntı göstergesi).

Bu örneklerin ortak noktası: metrik "ne kadar" sorusunu, log "kim ve neden" sorusunu cevaplar. Birini diğerinden koparınca olayın yarısı görünmez.

Neden ikisi de gerekir?

Farklı kayıpları önlerler. İzleme olmadan kesinti geç fark edilir; SIEM olmadan ihlal geç fark edilir. İkisi de "geç fark etme" maliyetidir, ama farklı türden.
Kayıt kalitesi izlemeye bağlıdır. SIEM'e giden logların kesilmediğini, saatlerin senkron olduğunu, toplayıcının ayakta olduğunu izleme doğrular.
Ekipler farklı, panel tek olabilir. KOBİ'de aynı bir-iki kişi hem sistem hem güvenlikle ilgilenir; alarmların iki ayrı ekranda olması dikkat bölünmesi demektir. Aynı toplayıcı ve aynı panel bunu çözer.

Sık yapılan hatalar

İzleme aracını güvenlik izlemesi sanmak: "servisler yeşil" ile "ihlal yok" aynı şey değildir.
SIEM'i izleme yerine kullanmak: log tabanlı "servis durdu" tespiti hem geç hem pahalıdır.
Alarm yorgunluğu: eşikleri ayıklanmamış izleme + kuralları ayıklanmamış SIEM = kimsenin bakmadığı iki ekran.
Zaman senkronu ihmal: iki sistemin saati farklıysa "aynı dakikada" korelasyonu yapılamaz (ISO/IEC 27002:2022 8.17 bu yüzden ayrı bir kontroldür).
Toplayıcının kendisini izlememek: log toplayıcı düşerse SIEM sessizce kör olur.

voosec'te nasıl kurulu?

Cihaz İzleme: işlemci, bellek, disk, servis durumu ve ağ metriklerinin izlenmesi; eşik aşımlarında anında uyarı.
SIEM: güvenlik duvarı, sunucu ve uç noktalardan gelen logların merkezi ve şifreli toplanması; korelasyon kurallarıyla tehdit tespiti ve alarm.
İkisi de aynı portalda çalışır ve Görünürlük paketinde birlikte yer alır; ağınızda tek bir sanal sunucu (voosec proxy) toplayıcıdır, SIEM ve cihaz izleme için ajan kullanılır. Alarmları panelden siz izlersiniz ya da Yönetilen SOC paketinde 7x24 ekibimiz izler.

Sık sorulanlar

İzleme aracımız var; SIEM'e gerçekten gerek var mı?

İzleme aracı sağlığı gösterir; kimlik hırsızlığı, yanal hareket veya zararlı dış bağlantı gibi güvenlik olayları log korelasyonu olmadan görünmez. İkisi farklı sorulara cevap verir.

SIEM'imiz var; ayrıca izleme gerekir mi?

Evet. Disk doluluğu, servis durumu ve kapasite trendleri log tabanlı bir sistemde ne zamanında ne ekonomik izlenir; üstelik SIEM'in beslendiği toplayıcı ve kaynakların ayakta olduğunu izleme sistemi gösterir.

Aynı ajan ikisini de besleyebilir mi?

Mimarîye göre evet: aynı toplayıcı üzerinden metrik ve log ayrı hatlarda toplanıp ayrı motorlarda işlenebilir; kullanıcı açısından tek kurulum, tek panel.

Kaynaklar

Bu yazı genel bilgilendirme amaçlıdır. Araç adları nötr örnek olarak verilmiştir.