Güvenlik Duvarı Log Analizi: Firewall Kayıtlarını Okumak
Güvenlik duvarı log analizi nasıl yapılır? Windows, iptables ve nftables kayıtlarını açmayı, alanları okumayı ve taramayı şüpheli çıkıştan ayırmayı öğren.
Güvenlik duvarı log analizi, duvarın izin verdiği ve engellediği bağlantıların kaydını okuyup ağında olağan dışı olanı bulma işidir. Önce kaydı açarsın, çünkü çoğu sistem varsayılan olarak tutmaz. Sonra her satırdaki zamanı, kaynağı, hedefi, portu ve kararı okursun. En son tek satırlara değil, satırların birlikte oluşturduğu örüntülere bakarsın.
Güvenlik duvarı log analizi neyi gösterir, neyi göstermez?
Güvenlik duvarı her paketi ya da bağlantıyı kurallarla karşılaştırır ve bir karar verir. Kayıt bu kararın izidir: hangi saatte, hangi adresten, hangi adrese, hangi protokol ve portla gelindiği ve sonucun ne olduğu. Duvarın nasıl karar verdiğini güvenlik duvarı nedir yazısında anlattık.
Kayıt üç soruya cevap verir:
- Sorun giderme: Bir uygulama neden bağlanamıyor, hangi kural onu durduruyor?
- Güvenlik izleme: Dışarıdan tarama var mı, içeriden beklenmedik bir çıkış var mı?
- Kural bakımı: Hangi kural hiç çalışmıyor, hangisi gereğinden geniş?
Kaydın göstermediği şeyler de var. Paket içeriği, girilen parola ya da web isteğinin ayrıntısı burada yoktur. Duvar kaydı sana nereye bakacağını söyler. Ayrıntıyı uygulama günlüklerinde ya da paket yakalamada ararsın.
Güvenlik duvarı loglama nasıl açılır?
En sık hata, kaydın zaten tutulduğunu sanmaktır. Microsoft'un belgesine göre Windows Defender Güvenlik Duvarı'nda iki seçenekten biri açılana kadar hiçbir şey kaydedilmez. Yönetici olarak açtığın bir komut isteminde şu iki satır tüm profiller için kaydı açar:
netsh advfirewall set allprofiles logging droppedconnections enable netsh advfirewall set allprofiles logging allowedconnections enable
Varsayılan dosya %windir%\system32\logfiles\firewall\pfirewall.log olur. Boyut sınırı varsayılan olarak 4.096 KB'tır ve sınır dolunca eski kayıtlar silinir. Microsoft sınırı en az 20.480 KB yapmayı öneriyor. Üst sınır 32.767 KB'tır. Dosya oluşmuyorsa güvenlik duvarı hizmetinin (mpssvc) klasöre yazma izni eksik olabilir.
Linux'ta iptables için LOG hedefi kullanılır. Bu hedef paketi durdurmaz, yalnız kaydeder ve sonraki kurala geçer. Bu yüzden önce LOG, ardından DROP kuralını yazarsın. Günlüğün dolmaması için limit eşleşmesiyle hız sınırı koymak önerilir:
sudo iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "IPT-DROP: " --log-level 4 sudo iptables -A INPUT -j DROP
--log-prefix en fazla 29 karakter alır. Kayıtları bu önekle ayırt edersin. Kayıtlar çekirdek günlüğüne düşer. Onları dmesg ya da syslog üzerinden okursun. nftables'ta aynı işi kuralın içindeki log prefix "nft-drop: " ifadesi yapar. Ubuntu'daki ufw ise sudo ufw logging on komutuyla kayıt tutmaya başlar ve satırlara [UFW BLOCK] gibi bir önek ekler.
Bu kuralları yalnız yönettiğin sistemde dene. Yanlış sıradaki bir DROP kuralı uzaktan bağlantını kesebilir.
Windows güvenlik duvarı günlüğü nasıl okunur?
Dosyanın başında sütunların adını veren bir başlık vardır. Örnek kayıtlar kurgu adreslerle şöyle görünür:
#Version: 1.5 #Software: Microsoft Windows Firewall #Time Format: Local #Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path 2026-10-09 02:14:07 DROP TCP 203.0.113.7 192.168.1.20 51544 3389 52 S 1234567 0 64240 - - - RECEIVE 2026-10-09 02:14:07 DROP TCP 203.0.113.7 192.168.1.20 51545 445 52 S 1234601 0 64240 - - - RECEIVE 2026-10-09 02:14:08 DROP TCP 203.0.113.7 192.168.1.20 51546 22 52 S 1234655 0 64240 - - - RECEIVE
| Alan | Ne anlatır |
|---|---|
| date, time | Olayın tarihi ve saati. Başlıktaki "Local" ifadesi yerel saati gösterir. |
| action | Duvarın kararı. DROP, paketin düşürüldüğünü gösterir. |
| protocol | TCP, UDP ya da ICMP |
| src-ip, src-port | Bağlantıyı başlatan adres ve onun geçici portu |
| dst-ip, dst-port | Ulaşılmak istenen adres ve hizmetin portu |
| tcpflags | TCP bayrakları. Tek başına S, bağlantı kurma isteğidir. |
| path | Yön: SEND, RECEIVE, FORWARD ya da UNKNOWN |
Değeri olmayan alanlar tire (-) ile yazılır. Microsoft'un belgesi INFO-EVENTS-LOST adlı bir eylemi de tanımlar. Bu satır, kaydedilemeyen olayların sayısını verir. Sürüme göre sütun sayısı değişebilir, bu yüzden sırayı her zaman kendi dosyandaki #Fields satırından oku.
Örnekteki üç satır birlikte anlam kazanır. Aynı dış adres bir saniye içinde 3389 (RDP), 445 (SMB) ve 22 (SSH) portlarını denemiş. Bu bir port taramasıdır. Portların anlamını port nedir yazısında bulabilirsin.
En sık görülen kaynakları saymak için PowerShell'i yönetici olarak aç:
Get-Content $env:windir\System32\LogFiles\Firewall\pfirewall.log |
Where-Object { $_ -like '* DROP *' } |
ForEach-Object { ($_ -split ' ')[4] } |
Group-Object | Sort-Object Count -Descending |
Select-Object -First 10 Count, Name
Linux'ta iptables ve nftables kayıtları nasıl okunur?
Çekirdek günlüğündeki bir satır şöyle görünür:
IPT-DROP: IN=eth0 OUT= MAC=... SRC=203.0.113.7 DST=192.0.2.10 LEN=60 TOS=0x00 PREC=0x00 TTL=50 ID=40211 DF PROTO=TCP SPT=51544 DPT=22 WINDOW=64240 RES=0x00 SYN URGP=0
IN doluysa paket içeri gelmiştir, OUT doluysa dışarı gidiyordur. SRC ve DST adresleri, SPT ve DPT ise kaynak ve hedef portu verir. SYN, yeni bir bağlantı isteğini gösterir.
Önekle süzüp en çok gelen kaynakları saymak için:
sudo journalctl -k | grep "IPT-DROP" | grep -o 'SRC=[^ ]*' | sort | uniq -c | sort -rn | head sudo journalctl -k | grep "IPT-DROP" | grep -o 'DPT=[^ ]*' | sort | uniq -c | sort -rn | head
İlk komut kaynak adresleri, ikincisi hedef portları sayar. Aynı kaynak çok sayıda farklı DPT ile görünüyorsa tarama, tek bir DPT'ye yüzlerce kez geliyorsa parola deneme ya da otomatik bot olabilir.
Güvenlik duvarı analizi: hangi örüntülere bakılır?
Tek satır nadiren bir şey anlatır. Analiz, satırları kaynağa, porta ve zamana göre gruplayınca başlar:
| Örüntü | Olası anlam | İlk adım |
|---|---|---|
| Tek kaynaktan kısa sürede çok sayıda farklı porta ret | Port taraması | Kaynağı not et, açık portlarını gözden geçir |
| Çok sayıda kaynaktan aynı porta ret | İnternetin sıradan otomatik taraması | Hizmet gerçekten dışarı açık olmalı mı, kontrol et |
| Tek kaynaktan 22 ya da 3389'a sürekli bağlantı | Parola deneme girişimi | Kimlik doğrulama günlüklerine bak |
| İçerideki cihazdan aynı dış adrese sabit aralıklı çıkış | Güncelleme hizmeti ya da komuta sunucusuna nabız | Cihazı ve bağlantıyı açan programı bul |
| Gece saatinde izin verilen büyük çıkış | Yedekleme ya da veri sızdırma | Saati, boyutu ve hedefi doğrula |
| Hiç kullanılmayan bir kurala izin verilmiş trafik | Unutulmuş ya da gereğinden geniş kural | Kuralı daralt ya da kaldır |
İçeriden dışarı giden şüpheli trafik çoğu zaman dışarıdan gelenden daha önemlidir. Dışarıdan gelen ret, duvarın işini yaptığını gösterir. İçeriden beklenmedik çıkış ise bir cihazda bir şeylerin çalıştığını gösterir. Kendi ağındaki açık portları doğrulamak için Nmap nedir yazısındaki yöntemleri yalnız kendi cihazlarında kullan.
Bu örüntüleri gerçek kayıtlar üzerinde denemek istersen saha görevlerinde port taramasını günlükten bulduğun bir senaryo var.
Zaman damgası ve saat dilimi neden önemli?
Bir olayı birkaç kaynaktan birleştirerek anlarsın: güvenlik duvarı, sunucu, modem. Saatler tutmazsa sıra yanlış kurulur. Windows günlüğü başlıkta yerel saat kullandığını yazar. Bir Linux sunucu ise UTC tutuyor olabilir. Türkiye saatiyle UTC arasında üç saat fark vardır. Bu farkı hesaba katmayan bir analist, saldırının sabah başladığını sanabilir.
Üç kural:
- Tüm cihazların saatini aynı zaman sunucusuyla eşitle.
- Raporda tek bir saat dilimi kullan ve bunu yaz.
- Zaman çizelgesini kurarken her kaydın hangi dilimde olduğunu not et.
Ev ağında ve küçük ofiste nasıl bir rutin kurarsın?
Her satırı okuman gerekmez. Amaç, normal görüntüyü tanıyıp sapmayı fark etmektir. Haftalık kısa bir kontrol yeter:
- Modem ya da yönlendirici arayüzündeki günlük bölümünü aç. Birçok ev cihazı kayıtları kısa sürede siler. Destekliyorsa kayıtları ağdaki bir bilgisayara gönder.
- En sık görünen kaynak adreslere ve hedef portlara bak.
- İçerideki bir cihazdan gelen beklenmedik çıkışları ayır.
- Port yönlendirme ve UPnP kurallarını gözden geçir. Ayrıntı için modem güvenliği rehberine bak.
- Günlük dosyasının boyut sınırına yaklaşıp yaklaşmadığını kontrol et.
Kurumda ise kayıtlar tek tek okunmaz. Merkezi bir sisteme gönderilir ve kurallarla izlenir. Bu yapıyı SIEM nedir yazısında anlattık. Paket içeriğine inmen gerekirse Wireshark filtreleri bir sonraki adımdır.
Kaynaklar
Sık sorulan sorular
Windows güvenlik duvarı logları nerede tutulur?
Varsayılan dosya yolu %windir%\system32\logfiles\firewall\pfirewall.log olur. Ancak günlük kendiliğinden tutulmaz. Düşürülen paketler ya da başarılı bağlantılar için kaydı sen açmalısın. Dosyanın varsayılan boyut sınırı 4.096 KB'tır ve dolunca eski kayıtlar silinir. Microsoft, sınırı en az 20.480 KB'a çıkarmayı ve her profil için ayrı dosya kullanmayı öneriyor.
Güvenlik duvarı logunda çok sayıda engellenen bağlantı görmek tehlikeli mi?
Çoğu zaman değildir. İnternete açık her adres sürekli otomatik taramalarla karşılaşır ve engellenen kayıtlar duvarın çalıştığını gösterir. Dikkat etmen gereken, tek bir kaynağın kısa sürede çok sayıda farklı porta gelmesi, izin verilen tuhaf bir bağlantı ya da içerideki bir cihazın düzenli aralıklarla aynı dış adrese çıkmasıdır.
Güvenlik duvarı logları ne kadar süre saklanmalı?
Tek bir doğru süre yok. Kurumlarda süre mevzuat, sözleşme ve iç politikayla belirlenir. Evde birkaç haftalık kayıt bir şüpheyi geriye doğru incelemeye çoğu zaman yeter. Asıl risk, dosyanın boyut sınırına ulaşıp eski kayıtları silmesidir. Önemli bir sistemde kayıtları ayrı bir sunucuya ya da SIEM'e göndermek kaybı önler.
Güvenlik duvarı logu saldırganın ne yaptığını gösterir mi?
Yalnız kısmen gösterir. Kayıt kimin, hangi adrese, hangi porttan bağlanmaya çalıştığını ve duvarın kararını yazar. Paketin içeriğini, girilen parolayı ya da uygulamada ne yapıldığını yazmaz. Bunun için uygulama günlüklerine, kimlik doğrulama kayıtlarına ya da paket yakalamaya bakarsın. Güvenlik duvarı kaydı, araştırmanın nereden başlayacağını söyler.
- güvenlik duvarı
- firewall log
- log analizi
- iptables
- Windows Defender Güvenlik Duvarı