Güvenlik Duvarı Logları Merkezi Olarak Nasıl Toplanır?

Kısa cevap

• Güvenlik duvarı, ağınızın en değerli log kaynağıdır: her oturumun hangi iç IP'den, nereye, ne zaman, ne kadar bilgisini üretir; kaydı cihaza/kişiye bağlamak için DHCP/hotspot kaydı eklenir. Ancak bu kayıtlar cihazın kendi diskinde kalır ve disk dolunca en eskilerin üzerine yazılır; merkezi toplama olmadan ne yasal talebe ne güvenlik sorusuna cevap verilebilir.
• Standart yol syslog'dur (ağ cihazlarının ve sunucuların log iletmek için kullandığı ortak protokol): güvenlik duvarı (FortiGate, Sophos, Check Point gibi) kayıtlarını bir toplayıcıya yönlendirir. Yerel ağda toplayıcıya TCP tercih edin, UDP kabul edilebilir; şirket dışına çıkan her hat TLS (RFC 5425) ya da şifreli tünel olmalıdır.
• 5651 için kritik ayrıntı NAT/port eşleşmesidir: yalnızca iç IP değil, oturumun çıkışta aldığı gerçek IP ve port da kayıtta olmalıdır; aksi hâlde "şu dış IP:port şu saatte kimdi?" sorusu cevapsız kalır.
• Pratik mimari şöyle: lokasyondaki tek toplayıcı (sanal sunucu) syslog'u alır, arabelleğe koyar ve şifreli kanaldan merkeze iletir. Merkezde kayıtlar hem değiştirilemez 5651 arşivine hem SIEM'e gider (SIEM, güvenlik bilgi ve olay yönetimi: kayıtları birbiriyle ilişkilendirerek, yani korelasyonla alarm üreten sistem).

Güvenlik duvarı logları merkezi olarak nasıl toplanır?

Güvenlik duvarı loglarını merkezi toplamak şöyle işler: cihaz trafik/oturum, olay, VPN ve IPS kayıtlarını syslog ile ağdaki bir toplayıcıya gönderir. Toplayıcı kayıtları arabelleğe alır ve şifreli kanaldan merkeze taşır; merkezde kayıtlar hem 5651 arşivine hem SIEM korelasyonuna gider. Kritik ayrıntılar: izin verilen trafiğin de loglanması, NAT sonrası IP/port alanlarının kayıtta olması, TCP/TLS taşıma ve NTP ile saat birliği.

Neden merkezi toplama?

Güvenlik duvarının yerel log deposu sınırlıdır; dolduğunda en eski kayıtların üzerine yazar. Bu, üç sonuca yol açar:

1. Yasal kanıt kaybolur. 5651 kapsamında erişim kayıtlarının iki yıl saklanması gerekir; cihaz diski bu süreyi taşımaz.
2. Bütünlük ispatlanamaz. Cihaz üzerinde duran kaydın sonradan değiştirilmediğini gösteren bir mekanizma yoktur; merkezde özet + zaman damgası ile mühürlemek gerekir.
3. Korelasyon yapılamaz. Güvenlik duvarı kaydı tek başına "iç IP X, dış IP Y'ye çıktı" der; bunun bir kimlik hırsızlığı mı, normal bir bağlantı mı olduğu ancak dizin, uç nokta ve bulut kayıtlarıyla yan yana gelince anlaşılır — SIEM'in işi budur.

ABD standart kurumu NIST'in log yönetimi kılavuzu (SP 800-92, 2006) da merkezi bir log yönetimi altyapısı kurulmasını önerir ve syslog'un varsayılan hâlinin (UDP, şifresiz, kimlik doğrulamasız) güvenilir iletim için yetersiz olduğunu belirtir.

Güvenlik duvarı hangi logları üretir?

Üreticiye göre adlar değişir, sınıflar değişmez:

5651 açısından belirleyici olan trafik/oturum logudur. İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'in "erişim kaydı" tanımı (md. 3/1-e), iç ağda dağıtılan IP, başlama/bitiş zamanı, MAC adresi, hedef IP ve — port paylaşımlı hizmette — kullanıcıya tahsis edilen gerçek IP ve port bilgisini ister. Bunların IP/port kısmı güvenlik duvarının oturum logunda, MAC kısmı DHCP/hotspot kaynağındadır; ikisi merkezde birleştirilir.

NAT/port eşleşmesi: en çok atlanan ayrıntı

Şirket ağlarında onlarca cihaz tek bir genel IP'nin arkasından çıkar. Dışarıdan bakan biri (bir yasal talep, bir olay bildirimi) yalnızca genel IP + kaynak port + zaman bilir. Bu üçlüyü içerideki cihaza bağlayan tek şey, güvenlik duvarının oturum kaydındaki çeviri (NAT) alanlarıdır: iç IP:port ↔ dış IP:port eşleşmesi ve oturumun başlangıç/bitiş zamanı. Ön koşul: genel IP'yi güvenlik duvarınızın kendisi çevirmelidir. Önündeki ISS modemi router modundaysa (çift NAT) ya da ISS taşıyıcı sınıfı NAT (CGNAT) kullanıyorsa, güvenlik duvarı logundaki çıkış IP:port gerçek genel adres değildir; modemi köprü moduna alın ya da statik genel IP kullanın ve doğrulama testinde logdaki çıkış IP'sinin dışarıdan görünen IP ile aynı olduğunu karşılaştırın.

Sık yapılan hata, güvenlik duvarında yalnızca "engellenen" trafiğin loglanması ya da oturum bazlı kayıt yerine yalnızca özet/istatistik raporlarına güvenilmesidir. Oturum kapanışında yazılan tek kayıt, süre ve NAT (çevrilmiş IP:port) alanlarını içerdiği sürece erişim kaydının IP/port kısmı için yeterli bilgiyi taşır. 5651 için izin verilen oturumların da, NAT alanlarıyla birlikte loglanması gerekir. Kural bazında "izin verilen trafiği de logla" seçeneğinin (adı üreticiye göre değişir) açık olduğunu ve oturum logunun çevrilmiş IP/port alanlarını içerdiğini yapılandırma sonrası mutlaka test edin: bir istemciden dışarıya bağlantı açın, güvenlik duvarının kaydında iç IP, çıkış IP:port ve hedefi aynı satırda görün.

Syslog: standartlar ve taşıma seçenekleri

• RFC 3164 (BSD syslog, 2001): eski, "PRI + zaman + host + mesaj" biçimi; birçok cihaz kendi anahtar=değer biçimini bu zarfın içinde taşır. Yapılandırılmış alan yoktur; ayrıştırma üreticiye özel yapılır.
• RFC 5424 (The Syslog Protocol, 2009): güncel standart; sürüm, zaman damgası (ISO 8601, zaman dilimi ile), yapılandırılmış veri alanları. Cihazınız ve toplayıcınızın ayrıştırıcısı destekliyorsa tercih edin; yönetilen hizmette sağlayıcının belirttiği biçimi kullanın.
• Taşıma: UDP (RFC 5426, varsayılan port 514) hızlıdır ama kayıplı ve şifresizdir. TCP (RFC 6587) taşıma düzeyinde onay/yeniden gönderim sağladığı için UDP'ye göre kaybı büyük ölçüde azaltır. Ancak uygulama düzeyinde teslim onayı yoktur; bağlantı koptuğunda yolda kalan mesajlar kaybolabilir (bu yüzden merkez hattında arabellek ve tekrar deneme şarttır). TLS (RFC 5425, port 6514) buna şifreleme ve sunucu kimlik doğrulaması ekler. Kayıtlar kişisel veri içerdiğinden şirket dışına çıkan her adımda TLS ya da toplayıcı üzerinden şifreli tünel kullanılmalıdır.

Pratik kural: yerel ağda toplayıcıya TCP tercih edin, UDP kabul edilebilir (aynı segment, düşük kayıp); toplayıcıdan merkeze giden her hat mutlaka TLS ya da şifreli tünel ve tekrar denemeli olmalıdır.

Toplayıcı mimarisi: lokasyonda tek nokta

Her lokasyona ayrı bir cihaz göndermek yerine, ağdaki sanallaştırma üzerinde tek bir toplayıcı sanal sunucu kurmak yeterlidir. Toplayıcı:

1. Güvenlik duvarı, DHCP, hotspot/RADIUS ve sunuculardan syslog/ajan/API ile kayıt alır.
2. Kayıtları yerel arabelleğe yazar; merkez hattı koptuğunda arabellek kapasitesi aşılmadıkça kayıp olmaz, hat gelince kuyruk boşalır. Arabelleği beklenen en uzun kesinti süresine göre boyutlandırın.
3. Merkeze şifreli tek kanaldan iletir; güvenlik duvarında dışarıya yalnızca bu kanal için kural açılır.
4. Zamanı ağın geri kalanıyla aynı NTP kaynağından alır; korelasyon ve yasal kayıt için saat birliği şarttır.
5. Her kaynaktan beklenen akışı izler; bir kaynaktan belirli süre (örneğin 15 dakika) log gelmezse alarm üretir.

Merkezde akış ikiye ayrılır: bir kopya değiştirilemez, imzalı ve zaman damgalı 5651 arşivine; aynı akış SIEM ayrıştırma-korelasyon hattına.

Adım adım kurulum

1. Kaynak envanteri. Güvenlik duvarı (varsa birden çok), DHCP sunucusu, hotspot/RADIUS, VPN yoğunlaştırıcı.
2. Güvenlik duvarında syslog hedefi. Toplayıcı IP'si, port ve taşıma (yerel ağda TCP), biçim (RFC 5424 varsa), zaman dilimi ayarı; hangi log sınıflarının gönderileceği: trafik (izin verilen dahil), olay, VPN, IPS, web filtre.
3. Kural bazında log. Özellikle internete çıkış kurallarında oturum logunun açık olduğunu ve NAT alanlarının yazıldığını doğrulayın.
4. Toplayıcı. Alım portları, disk/arabellek boyutu, merkez bağlantısı, NTP.
5. Doğrulama testi. Bir istemciden bilinen bir siteye bağlanın; merkezde aynı oturumu iç IP → çıkış IP:port → hedef → zaman → (DHCP'den) MAC zinciriyle bulun. Bulamıyorsanız yapılandırma eksiktir.
6. Saklama ve bütünlük. 5651 için iki yıl; günlük özet + zaman damgası; imha politikası.
7. SIEM kuralları. Aynı akış üzerinde ilk korelasyon kuralları: bilinen zararlı hedeflere çıkış, mesai dışı olağan dışı hacim, VPN'den şüpheli oturum.

Sık yapılan hatalar

• Yalnızca "deny" logu tutmak; izin verilen oturumları loglamamak.
• Oturum logunda NAT (çevrilmiş) IP/port alanlarını kapatmak.
• UDP ile şirket dışına şifresiz syslog göndermek.
• Güvenlik duvarı ile toplayıcının saatinin farklı olması (NTP yok).
• DHCP/hotspot kaydını toplamamak → IP var, cihaz/kişi yok.
• Log seviyesini kapasite kaygısıyla düşürüp trafik logunu kapatmak.
• Toplayıcıda arabellek olmaması → hat koptuğunda sessiz kayıp.
• Kaynağın sustuğunu fark edecek alarm olmaması → güvenlik duvarında syslog ayarı değişince aylarca boşluk.
• NAT'ın güvenlik duvarı yerine ISS modeminde yapılması (çift NAT) → logdaki çıkış IP:port gerçek genel adres değil.
• Kurulumdan sonra bir kez bile "şu oturum kimdi?" testi yapmamak.

voosec'te nasıl çalışıyor?

• Ağınıza tek bir sanal sunucu (voosec proxy) kurulur; güvenlik duvarınız (FortiGate, Sophos, Check Point gibi) kendi log yönlendirmesiyle (syslog) proxy'ye bağlanır — güvenlik duvarı tarafında ajan gerekmez. DHCP, hotspot ve dizin (Active Directory) kaynakları da aynı proxy'ye eklenir; Windows/Linux sunucular ve uç noktalar ise ajanla bağlanır.
• Kayıtlar şifreli kanaldan Türkiye'deki altyapıya taşınır. LogVault eklentisi seçildiğinde erişim kayıtları imzalı ve zaman damgalı, bütünlüğü doğrulanabilir biçimde saklanır (kapsam cihaz başına); aynı akış SIEM korelasyonuna beslenir.
• Kurulum sihirbaz desteklidir; proxy kurulumu çoğu ortamda bir saatten kısa sürer, kaynakların bağlanması ayrı bir devreye alma adımıdır.

Sık sorulanlar

Syslog için UDP mi, TCP mi, TLS mi kullanmalıyız?

Güvenlik duvarından yerel ağdaki toplayıcıya TCP tercih edin, UDP kabul edilebilir; TCP (RFC 6587) kayıp riskini azaltır. Şirket dışına çıkan her hatta TLS (RFC 5425, port 6514) ya da toplayıcı üzerinden şifreli tünel kullanılmalıdır; kayıtlar kişisel veri içerir.

Güvenlik duvarı logu 5651 için tek başına yeterli mi?

Hayır. Oturum logu iç IP, NAT sonrası IP:port, hedef ve zamanı verir; Yönetmelik'in (md. 3/1-e) istediği MAC adresi DHCP/hotspot kaynağındadır. İkisi merkezde birleştirilmeden "şu IP:port şu saatte kimdi?" sorusunun cevabı bir cihaza bağlanamaz.

Güvenlik duvarımız kendi bulut log servisini sunuyor; yine de toplayıcı gerekir mi?

Üreticiye özel bulut log hizmetleri yalnızca o cihazın kayıtlarını tutar; DHCP, dizin, sunucu ve diğer kaynaklarla korelasyon, bütünlük mühürleme ve verinin nerede tutulduğu soruları ayrıca ele alınmalıdır. Merkezi toplayıcı, tüm kaynakları tek hatta birleştirir.

Log hacmi ne kadar olur?

Cihaz sayısına, oturum yoğunluğuna ve hangi log sınıflarının açıldığına bağlıdır; genel bir rakam vermek yanıltıcı olur. Doğru yöntem, birkaç günlük gerçek ölçümle günlük hacmi belirleyip saklama süresine (5651 için iki yıl) göre depolamayı planlamaktır.

Birden çok şubemiz var; her şubeye toplayıcı gerekir mi?

Şubede güvenlik duvarı ve yerel kaynak varsa küçük bir toplayıcı sanal sunucu; şube trafiği merkez üzerinden çıkıyorsa merkezdeki toplayıcı yeterlidir. Belirleyici olan, kayıtların üretildiği yerden şifreli ve arabellekli bir hatla toplanmasıdır.

Kaynaklar

• RFC 5424 — The Syslog Protocol (IETF, 2009) · RFC 5425 — TLS Transport Mapping for Syslog · RFC 5426 — Transmission of Syslog Messages over UDP · RFC 6587 — Transmission of Syslog Messages over TCP · RFC 3164 — The BSD syslog Protocol (2001, tarihsel)
• NIST SP 800-92, Guide to Computer Security Log Management (2006)
• İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik (mevzuat.gov.tr) — md. 3/1-e "erişim kaydı"
• 5651 loglama nedir? — voosec blog · SIEM nedir? — voosec blog · Güvenlik duvarı kural analizi neden gerekir? — voosec blog

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımaz. Cihazınıza özgü ayar adları için üreticinizin güncel belgelerine bakın.