SIEM Nedir, Ne İşe Yarar, KOBİ'ye Neden Gerekir?

Kısa cevap

SIEM (Security Information and Event Management — güvenlik bilgi ve olay yönetimi), güvenlik duvarı, sunucu, dizin hizmeti (Active Directory), uç nokta ve bulut uygulamalarından gelen kayıtları tek merkezde toplayan sistemdir. Kayıtları ortak biçime çevirir, birbiriyle ilişkilendirir (korelasyon) ve şüpheli bir örüntü gördüğünde alarm üretir.
Log yönetimi ≠ SIEM. Log toplamak tek başına SIEM değildir; SIEM'i ayıran şey korelasyon ve tespit katmanıdır: "aynı hesap beş dakikada iki ülkeden oturum açtı", "yüz başarısız girişten sonra bir başarılı giriş", "iç ağdan bilinen komuta-kontrol adresine bağlantı" gibi soruları otomatik sorar.
KOBİ'ye gerekir, çünkü saldırgan şirket büyüklüğüne bakmaz ve ihlali fark edip kapsamını belirlemek kayıt olmadan mümkün değildir. KVKK'da 72 saatlik bildirim süresi ihlalin öğrenilmesiyle başlar; ihlali erken öğrenmek ve 72 saatte "hangi veri, kaç kişi, ne zamandan beri" sorusuna cevap vermek, ham log arşiviyle değil, ilişkilendirilmiş ve aranabilir kayıtla mümkündür.
5651 kayıtları zaten toplanıyor. İnternet erişim kayıtları mevzuat gereği zaten tutulur; aynı akış güvenlik verisidir ve SIEM bu mevcut yatırımın ikinci kullanımıdır.
Asıl sorun insan ve süreç. Alarmı okuyup ayıklayacak ve gece 03:00'te harekete geçecek biri yoksa SIEM'den beklediğinizi alamazsınız. Bu yüzden KOBİ için pratik bir model yönetilen SIEM/SOC hizmetidir (SOC: güvenlik operasyon merkezi — alarmı 7x24 izleyen ekip).

SIEM nedir?

SIEM (Security Information and Event Management — güvenlik bilgi ve olay yönetimi), güvenlik duvarı, sunucu, dizin, uç nokta ve bulut kaynaklarından gelen kayıtları tek merkezde toplayan, ortak biçime çeviren, birbiriyle ilişkilendiren ve şüpheli örüntülerde alarm üreten güvenlik sistemidir. Log yönetiminden farkı, kayıtları biriktirmekle kalmayıp aralarında ilişki kurup tespit yapmasıdır.

Terimin 2005'te Gartner analistleri Mark Nicolett ve Amrit Williams tarafından ortaya atıldığı yaygın olarak kabul edilir. O güne kadar iki ayrı ürün sınıfı vardı: SIM (güvenlik bilgi yönetimi: uzun süreli log saklama, raporlama, uyum) ve SEM (güvenlik olay yönetimi: gerçek zamanlı izleme, korelasyon, alarm). SIEM, bu iki işin tek platformda birleşmesini anlatır.

ABD standart kurumu NIST'in (National Institute of Standards and Technology) log yönetimi kılavuzu SP 800-92 (2006), log yönetimini kayıtların üretilmesi, iletilmesi, saklanması, analiz edilmesi ve imhası olarak tanımlar. Kılavuza göre SIEM yazılımı bu işi yapan altyapı türlerinden biridir (2023'te yayımlanan Rev. 1 hâlâ taslak). NIST Siber Güvenlik Çerçevesi 2.0'ın (Şubat 2024) altı işlevinden biri olan Tespit (Detect) — sürekli izleme ve şüpheli olayların analizi — işlevinin başlıca araçlarından biri SIEM'dir.

SIEM ne işe yarar? Beş adımda çalışma mantığı

SIEM'in işe yaradığı yer, şu beş adımın birlikte çalışmasıdır:

Toplama. Kaynaklar kayıtlarını merkeze gönderir: güvenlik duvarı ve ağ cihazları syslog ile, Windows sunucular olay günlüğünü ajanla ya da uzaktan sorguyla (WMI), Linux sunucular syslog/ajan ile, Microsoft 365 ve benzeri bulut hizmetleri API ile. Taşıma şifreli kanaldan yapılmalıdır; syslog varsayılan olarak şifresizdir, TLS ya da toplayıcı üzerinden şifreli tünel gerekir.
Ayrıştırma ve normalleştirme. Her üreticinin log biçimi farklıdır; SIEM bunları ortak alanlara (kaynak IP, hedef IP, kullanıcı, olay türü, zaman) çevirir. Bu adım olmadan korelasyon yapılamaz.
Zenginleştirme. IP'nin hangi ülkeye ait olduğu, hedef alan adının tehdit istihbaratı listelerinde olup olmadığı, hesabın hangi departmana ait olduğu gibi bağlam bilgileri eklenir.
Korelasyon ve tespit. Kurallar ve — giderek daha çok — davranış analizi, tek başına anlamsız görünen olayları birleştirir. Örnekler:
- Aynı hesaptan kısa aralıkla iki farklı ülkeden başarılı oturum ("imkânsız seyahat").
- Aynı hedefe kısa sürede çok sayıda başarısız kimlik doğrulama, ardından bir başarılı giriş (kaba kuvvet + ele geçirme).
- İç ağdaki bir sunucudan bilinen zararlı bir alan adına/IP'ye periyodik dış bağlantı (komuta-kontrol, kısaca C2, şüphesi: saldırgan, ele geçirdiği makineyi böyle bir dış sunucu üzerinden uzaktan yönetir).
- Mesai dışında, alışılmadık hacimde veri çıkışı yapan cihaz (sızıntı göstergesi).
- Etki alanı denetleyicisinde ayrıcalıklı grup üyeliği değişikliği + yeni bir hesap oluşturma + uzak oturum (yanal hareket: saldırganın ilk ele geçirdiği makineden ağın geri kalanına yayılması).
Alarm, vaka ve rapor. Eşleşen kural bir alarma dönüşür; alarm önem derecesine göre önceliklendirilir, bir analiste atanır, kapatılana kadar izlenir. Aynı platform uyum raporlarını (kim, ne zaman, neye erişti) ve uzun süreli saklamayı da sağlar.

SIEM neyi çözer, neyi çözmez?

Bu, SIEM değildir	Neden
Log yönetimi / syslog toplayıcı	Kayıtları biriktirir ama ilişkilendirmez; "ne oldu?" sorusunu siz elle sorarsınız.
Güvenlik duvarı	Trafiği kurala göre geçirir/keser; kendi loglarını üretir ama diğer kaynaklarla birleştirmez.
Antivirüs / EDR (EDR: uç nokta tespit ve müdahale yazılımı)	Uç noktada zararlıyı yakalar; ağ, dizin ve bulut tarafındaki olayları görmez. SIEM için değerli bir kaynaktır.
Ağ ve sistem izleme (Zabbix vb.)	Erişilebilirlik ve performansı (CPU, disk, servis) izler; güvenlik olaylarını değil. İkisi birbirini tamamlar (fark ve kesişim).
SOC (güvenlik operasyon merkezi)	SOC insan + süreç + araçtır; SIEM bu araçlardan biridir. SIEM olmadan SOC kör, SOC olmadan SIEM sahipsizdir: alarm üretir ama kimse cevaplamaz.

SIEM ile log yönetimi arasındaki fark nedir?

Log yönetimi, NIST SP 800-92'nin tanımıyla kayıtların üretilmesi, iletilmesi, saklanması, analiz edilmesi ve imhasıdır; amaç kaydı kaybetmemek ve gerektiğinde bulmaktır. SIEM bunun üstüne normalleştirme, zenginleştirme, korelasyon ve alarm katmanını koyar; amaç kaydı okumak ve tehdidi olurken görmektir. Her SIEM'in altında bir log yönetimi vardır; her log yönetimi SIEM değildir.

SIEM'in çözmediği şey kararı vermek ve harekete geçmektir. Alarmı kimin okuyacağı, yanlış pozitifleri (gerçek tehdit olmayan alarmları) kimin ayıklayacağı, gerçek bir olayda kimin hangi sırayla ne yapacağı bir süreç sorusudur. KVKK'nın Kişisel Veri Güvenliği Rehberi de bunu açıkça söyler: "güvenlik yazılımı mesajları, erişim kontrolü kayıtları ve diğer raporlama araçlarının düzenli olarak kontrol edilmesi, bu sistemlerden gelen uyarılar üzerine harekete geçilmesi" gerekir. Kayıt tutmak yeterli değildir; kayda bakan biri olmalıdır.

KOBİ'ye neden gerekir?

1. Saldırgan büyüklüğe bakmaz

Fidye yazılımı ve hesap ele geçirme saldırılarının önemli bölümü otomatik araçlarla yürütülür: internete açık uzak masaüstü (RDP) ve VPN portları, zayıf parolalar, güncellenmemiş sunucular ve oltalama e-postaları hedef seçmez. Küçük şirketlerin dezavantajı, saldırıyı fark edecek gözün genellikle olmamasıdır. Kaydı olmayan ihlal çoğu zaman ancak fidye notu ekranda belirdiğinde ya da bir müşteri aradığında fark edilir.

2. İhlali fark etmek ve kapsamını belirlemek kayıt gerektirir

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı, veri sorumlusunun bir ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurula bildirmesini ve ihlallere ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınıp Kurulun incelemesine hazır tutulmasını ister. "Hangi veriler etkilendi, kaç kişi, ne zamandan beri?" sorularının cevabı loglardadır. Arşivde duran ham log bu soruya 72 saatte cevap vermez; SIEM'in katkısı, kaydı aranabilir ve ilişkilendirilmiş tutması ve ihlali daha erken fark ettirmesidir. Log hiç yoksa bildirim tahminle yazılır.

3. Mevzuat ve KVKK Rehberi zaten log istiyor

Çalışanlarına veya misafirlerine internet sunan her işletme, 5651 kapsamındaki erişim kayıtlarını iki yıl saklamak zorundadır. KVKK Rehberi (Kurulun, Kanun md. 12'deki tedbir yükümlülüğünü açıklayan yol gösterici belgesi) teknik tedbirler arasında "Erişim Logları", "Log Kayıtları", "Saldırı Tespit ve Önleme Sistemleri" ve "Güvenlik Duvarları"nı sayar; "tüm kullanıcıların işlem hareketleri kaydının düzenli olarak tutulması (log kayıtları gibi)" gerektiğini belirtir. Bu kayıtlar zaten toplanıyorsa, aynı akışın SIEM'e beslenmesi ek bir toplama altyapısı değil, mevcut yatırımın ikinci kullanımıdır.

4. Müşteriler ve sigortacılar soruyor

Kurumsal müşterilerin tedarikçi güvenlik anketleri ve siber risk sigortası başvuru formları, "merkezi log toplama ve izleme var mı, 7x24 mü, olay müdahale süreci nedir?" gibi sorular içerebilir. Bu sorulara "evet, şu şekilde" diyebilmek ticari bir avantajdır; "hayır" cevabı ise bazı sözleşmelerde elenme nedenidir. (Anket içerikleri sektöre ve sigortacıya göre değişir; kendi sözleşmelerinize bakın.)

5. Küçük ekip, geniş saldırı yüzeyi

Bir-iki kişilik BT ekibi masaüstü desteğiyle, sunucuyla ve ağla aynı anda ilgilenir; gece ve hafta sonu izleme yapacak kimse çoğu zaman yoktur. SIEM'in değeri, alarmı birinin okumasıyla ortaya çıkar; bu soruya aşağıdaki "yönetilen mi?" bölümünde dönüyoruz.

6. SIEM tespit katmanıdır, önleme yerine geçmez

Çok faktörlü kimlik doğrulama (MFA), düzenli yama, ağ dışında tutulan yedek ve erişim sınırlama yoksa önce ya da paralel olarak bunlar gelir. KVKK Rehberi de tek bir siber güvenlik ürünüyle tam güvenliğin sağlanabileceği görüşünün "her zaman doğru" olmadığını, internetten gelen izinsiz erişime karşı öncelikli tedbirlerin güvenlik duvarı ve ağ geçidi olduğunu söyler. SIEM, bu kontrollerin çalışıp çalışmadığını ve delindiği anı gösteren katmandır.

Hangi kaynaklar bağlanmalı?

Öncelik sırasıyla, bir KOBİ ağında SIEM'e beslenmesi gereken kaynaklar:

Güvenlik duvarı (FortiGate, Sophos, Check Point gibi): trafik/oturum logları, VPN oturumları, saldırı önleme sistemi (IPS) ve web filtre olayları. Tek başına en yüksek görünürlük.
Etki alanı denetleyicileri (Active Directory): oturum açma/başarısız oturum olayları, grup üyeliği değişiklikleri, hesap oluşturma/kilitlenme.
Microsoft 365 / Entra ID (eski adıyla Azure AD — Microsoft'un bulut kimlik hizmeti): bulut oturumları, posta kuralları, paylaşım olayları — "imkânsız seyahat" tespitinin kaynağı.
Sunucular (Windows/Linux): sistem ve güvenlik günlükleri, ayrıcalıklı komutlar.
Uç noktalar: EDR/antivirüs olayları; mümkünse ajanla çalışan program (process) ve oturum bilgisi.
DHCP (IP dağıtımı) ve hotspot/RADIUS (kablosuz ve VPN girişlerinde kimlik doğrulama): IP–MAC–kullanıcı eşleşmesi (5651 ile ortak kaynak).
E-posta güvenliği ve web geçidi: engellenen zararlı ekler/bağlantılar.

Kural: önce güvenlik duvarı + dizin (Active Directory) + bulut kimlik (Microsoft 365); bunlar bağlanmadan uç nokta ayrıntısına inmek verimsizdir.

Kendi kurulumunuz mu, yönetilen SIEM mi?

İki model de meşrudur; fark maliyet kaleminin nerede olduğudur. Yönetilen SIEM/SOC hizmeti sektörde MSSP (yönetilen güvenlik hizmeti sağlayıcısı) modeli olarak da anılır; MSSP ile SOC arasındaki fark ayrı yazıda.

Kalem	Kendi SIEM'iniz (yerinde/açık kaynak)	Yönetilen SIEM / SOC hizmeti
Kurulum	Sunucu, depolama, ayrıştırıcılar, kural seti — sizin ekibinizde	Toplayıcı sizde, platform ve kurallar sağlayıcıda
Bakım	Kaynak eklendikçe ayrıştırıcı ve kural bakımı, sürüm yükseltme	Sağlayıcının işi
İzleme	Kendi ekibiniz; 7x24 için tek kişi yetmez (aşağıya bakın)	Paylaşımlı analist ekibi, tanımlı SLA (hizmet seviyesi taahhüdü)
Maliyet	Lisans/donanım + depolama + insan	Aylık hizmet ücreti (sağlayıcıya göre cihaz/kaynak, olay hacmi veya sabit paket bazlı); insan maliyeti sağlayıcıda
Kontrol	Tam	Sözleşme ve panel üzerinden görünürlük

7x24 kesintisiz izleme vardiya matematiğiyle tek kişiyle çıkmaz: haftada 168 saat vardır; 45 saatlik yasal haftalık çalışma süresiyle bile en az dört kişi, izin ve hastalıkla daha fazlası gerekir. Bu yüzden tabloda KOBİ ölçeğinde belirleyici kalem genellikle insan satırıdır: kural yazan ve alarm okuyan analist maliyeti, yazılım maliyetinin önüne geçer.

Yönetilen modelde de şunlara bakın: veri nerede tutuluyor, müşteri verileri birbirinden nasıl ayrılıyor, sözleşmede müdahale süreleri tanımlı mı ve alarm size açıklamalı mı geliyor (örneğin "şu oldu, şunu yapın"). Verinin yurt içinde kalması, KVKK'daki yurt dışına aktarım şartlarını gündeme getirmediği için işi sadeleştirir.

Başlarken: 8 maddelik kontrol listesi

Kaynak envanteri çıkarın: güvenlik duvarı, etki alanı denetleyicileri (Active Directory), Microsoft 365, sunucular, uç noktalar, DHCP/hotspot.
Zaman senkronu: tüm kaynaklar aynı zaman sunucusuna (NTP) baksın; korelasyon, kayıtların zaman damgaları üzerinden yapılır.
Önce üç kaynağı bağlayın: güvenlik duvarı, Active Directory, Microsoft 365.
İlk beş kuralı seçin: imkânsız seyahat, kaba kuvvet + başarılı giriş, ayrıcalıklı grup değişikliği, komuta-kontrol (C2) şüphesi, mesai dışı veri çıkışı.
Alarm sahibini yazın: hangi önem derecesi kime, hangi kanaldan (e-posta/SMS/telefon), ne sürede.
Yanlış alarm ayıklama rutini oluşturun: ilk haftalarda kuralları ayıklayın; ayıklanmayan SIEM bir süre sonra kimsenin bakmadığı bir alarm kaynağına dönüşür.
Saklamayı belirleyin: 5651 için iki yıl; diğer kayıtlar için amaç ve KVKK saklama-imha politikasına göre.
Üç ayda bir tatbikat: "şu kullanıcı, şu gün ne yaptı?" sorusunu 15 dakikada cevaplayabiliyor musunuz?

voosec'te SIEM nasıl çalışıyor?

Tek toplayıcı. Ağınıza tek bir sanal sunucu (voosec proxy) kurulur. Güvenlik duvarı ve ağ cihazları ajansız, kendi syslog yönlendirmesiyle; Windows/Linux sunucular ve uç noktalar SIEM ve cihaz izleme için ajanla; Microsoft 365 API ile bağlanır. Proxy kurulumu sihirbaz desteklidir ve çoğu ortamda bir saatten kısa sürer; kaynakların bağlanması ve kuralların etkinleştirilmesi ayrı bir devreye alma adımıdır.
Kaynaklar. Yaygın güvenlik duvarları (FortiGate, Sophos, Check Point gibi), Windows/Linux sunucular, ağ cihazları; Office 365 eklentisiyle (paketten ayrı seçilir) Azure AD, Exchange ve SharePoint logları.
Korelasyon ve alarm. Merkezi log toplama ve korelasyon her pakette çalışır; alarmlar tek panelde önceliklendirilir ve aylık özet rapor sunulur. Alert & Bildirim paketinde buna kural seti tanımı, alarm başına açıklama notu, aylık tehdit raporu ve 5x8 e-posta danışmanlık eklenir.
İzleme modeli sizin seçiminiz. Görünürlük ve Alert & Bildirim paketlerinde alarmları panelden siz izlersiniz; Alert & Bildirim'de buna 5x8 e-posta danışmanlık eşlik eder. Yönetilen SOC'ta 7x24 ekibimiz izler, tanımlı bildirim SLA'sı ile kritik alarmda hızlı müdahale eder; hizmet seviyeleri her ay ölçülüp raporlanır.
Veri Türkiye'de, müşteri verileri birbirinden ayrık. Kayıtlar şifreli kanaldan taşınır, yurt içindeki altyapıda saklanır; müşteri verileri veritabanında satır seviyesinde erişim denetimiyle (RLS) izole edilir.
5651 aynı hat üzerinde. LogVault eklentisi seçildiğinde (kapsam cihaz başına) erişim kayıtları imzalı ve zaman damgalı saklanır; aynı akış ek toplama gerektirmeden SIEM korelasyonuna beslenir.
Fiyat ve dönem. Sabit paket ücreti + cihaz/ajan başına aylık ücret; 12 veya 24 aylık dönemlerle çalışılır, 24 aylık taahhütte indirim uygulanır.

Sık sorulanlar

Güvenlik duvarımız ve antivirüsümüz var; SIEM'e gerçekten ihtiyaç var mı?

İkisi de gerekli, ama ikisi de "ne olduğunu" tek başına anlatmaz. Güvenlik duvarı trafiği, antivirüs uç noktayı görür; kimlik hırsızlığı, bulut oturumu kötüye kullanımı veya iç ağda yanal hareket ancak bu kaynakların kayıtları yan yana geldiğinde görünür olur.

SIEM ile SOC arasındaki fark nedir?

SOC (güvenlik operasyon merkezi) insan + süreç + araçtır; SIEM bu araçlardan biridir. SIEM olmadan SOC kör kalır; SOC olmadan SIEM alarm üretir ama kimse cevaplamaz. Yönetilen SIEM/SOC hizmeti bu ikisini birlikte sunar.

Kaç kaynakla başlamalıyız?

Üçle: güvenlik duvarı, Active Directory ve Microsoft 365. Bu üçü; hesap ele geçirme, kaba kuvvet ve zararlı dış bağlantı gibi KOBİ'de sık karşılaşılan senaryoların büyük bölümünü görünür kılar.

SIEM maliyeti neye göre belirlenir?

Yerinde kurulumda lisans/donanım, depolama ve analist maliyeti; yönetilen modelde sağlayıcıya göre cihaz/kaynak, olay hacmi veya sabit paket bazlı aylık ücret. KOBİ ölçeğinde belirleyici kalem çoğu zaman insan maliyetidir. voosec'te model sabit paket ücreti + cihaz/ajan başına aylık ücrettir.

Logları saklamak KVKK'ya aykırı olmaz mı?

Loglar kişisel veri içerdiğinden KVKK'nın genel ilkeleri geçerlidir: belirli bir amaçla ve süreyle tutulur, aydınlatma metninde belirtilir, süresi dolunca imha edilir. KVKK Rehberi log kayıtlarını teknik tedbir olarak sayar; sorun logu tutmak değil, amaçsız ve süresiz tutmaktır.

Yönetilen hizmette verimiz nerede duruyor?

Sözleşmede yazmalıdır. voosec'te kayıtlar Türkiye'deki altyapıda tutulur ve KVKK kapsamındaki roller veri işleme sözleşmesiyle tanımlanır (bkz. ana sayfa SSS).

Kaynaklar

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımaz. Kaynaklarda verilen belgelerin güncel sürümlerini ilgili kurumların sitelerinden doğrulayın.