Log izleme: ilk 30 günde neler öğrenirsiniz?
Logları bir yerde toplamaya başladığınız ilk ay, altyapınız hakkında yıllardır bilmediğiniz şeyleri gösterir.
Çoğu işletmede loglar vardır ama kimse bakmaz. Her sunucu, güvenlik duvarı ve uygulama kendi köşesinde kayıt tutar; bir sorun olduğunda da bu kayıtlar ya silinmiş ya da dağınık olur. Logları tek bir yerde toplamaya başladığınızda ilk 30 günde genellikle şunlar ortaya çıkar.
1. Hafta: Gürültü
İlk hafta binlerce uyarı görürsünüz. Çoğu zararsızdır: yanlış yapılandırılmış bir yazıcı, eski bir servis hesabının her dakika başarısız girişi, sürekli yeniden başlayan bir uygulama. Bu gürültüyü temizlemek, sistemlerinizin sağlığı için de iyi bir iş listesidir.
2. Hafta: Unutulmuş hesaplar
İşten ayrılmış birinin hâlâ çalışan VPN hesabı, kimsenin sahiplenmediği yönetici hesapları, gece 03:00’te giriş yapan bir test kullanıcısı. Bunlar saldırganların en sevdiği kapılardır.
3. Hafta: Dışarıdan gelen denemeler
İnternete açık her servis sürekli taranır. Loglar, hangi servislerinizin dışarıya açık olduğunu ve ne kadar hedef alındığını somut olarak gösterir. Çoğu zaman “bu port neden açık?” sorusu buradan doğar.
4. Hafta: Normalin ne olduğu
Bir ayın sonunda elinizde bir referans olur: normal bir salı günü kaç giriş olur, hangi saatlerde trafik artar. Saldırıyı fark etmenin yolu normali bilmekten geçer.
Teknik ekipler için
Başlamak için büyük bir SIEM projesine gerek yok. Önce kimlik doğrulama, güvenlik duvarı ve kritik sunucu loglarını toplayın; saklama süresini (en az 90 gün) ve zamanların doğruluğunu (NTP) netleştirin. Alarmları az ama anlamlı tutun.
Güvenlik ve Denetim kapsamında logları toplar, anlamlı alarmları ayarlar ve ilk bulguları sizinle birlikte değerlendiririz.