Güvenlik günlüğü ve izleme eksikleri

Güvenlik günlüğü ve izleme eksikleri, bir saldırının fark edilmesini geciktiren ya da tamamen engelleyen boşluklardır. OWASP bu başlığı loglama, alarm üretme ve olaya yanıt verme zincirinin herhangi bir halkasındaki eksiklik olarak tanımlar. 2025 listesinde başlığın adındaki izleme sözcüğü yerini uyarıya bıraktı, çünkü bir kayıt ancak birini harekete geçirdiğinde işe yarar. Sorun çoğu zaman log yokluğu değildir.

Log vardır ama kimse okumaz, ya da önemli bir olay diğerlerinin arasında kaybolur. Bir saldırı loglanmazsa hiç olmamış gibi durur; loglanır ama bir uyarıya bağlanmazsa yine kimse harekete geçmez. Bu yüzden loglama ile alarm birlikte düşünülür. Biri olayı yazar, öbürü birinin bakmasını getirir.

Bir saldırının maliyeti, saldırganın fark edilmeden içeride kaldığı süreyle büyür. Bu süreye bekleme süresi denir. Saldırgan ne kadar uzun kalırsa veriye o kadar derin erişir ve iz o kadar çok silinir. Yıllık güvenlik raporları bu süreyi düzenli ölçer.

M-Trends 2026 raporu, 2025 olaylarında küresel medyan bekleme süresini on dört gün olarak verdi; bir önceki yıl bu sayı on birdi. Bir önceki raporda kaynak farkı da görülür: kurum olayı kendi içinde bulduğunda medyan on gün, dışarıdan haber aldığında yirmi altı gündü. Fark büyüktür, çünkü dışarıdan haber alan kurum olayı kendi araçlarıyla görememiştir. Kısa bir bekleme süresi, savunmanın en ucuz başarısıdır; olayı büyümeden yakalar ve temizliği kolaylaştırır.

İyi bir log kaydı beş soruya cevap verir: kim, ne zaman, nereden, hangi işlemi, hangi sonuçla. Giriş denemeleri, yetki hataları, önemli veri değişiklikleri ve yönetici işlemleri bu kayıtların başında gelir. Loglanmaması gereken bilgi de nettir. Parola, oturum kimliği, erişim belirteci, kredi kartı numarası ve tam kimlik numarası log dosyasına asla düz yazılmaz.

Loglar genelde uygulamadan daha uzun saklanır ve daha çok kişi okur; bu yüzden log dosyası kendi başına bir hedef hâline gelir. Bir log kaydı bir kere yazılır ama defalarca okunur, bu da içindeki bir hatayı kalıcı kılar. Hassas alanı loga hiç koymamak, onu sonradan her kopyadan tek tek temizlemeye çalışmaktan çok daha kolaydır.

Bekleme süresini kısaltan şey hızlı bir araç değil, doğru kaydın baştan tutulmasıdır. Olay anında aranan kayıt yoksa, en pahalı analiz bile boşa gider. Bu yüzden hangi olayın loglanacağına önceden karar verilir.

Olay olmadan kurulmayan bir kayıt, olay anında kurulamaz; geriye dönüp o anı yeniden yaşayamazsın. Standart bir sözlük de işe yarar: her olaya tutarlı bir ad vermek, giriş hatasını ya da yetki reddini her serviste aynı biçimde yazdırır ve aramayı kolaylaştırır. Bir sonraki alıştırma, hangi alanın loga girmesi gerektiğini, hangisinin asla girmemesi gerektiğini ayırmanı ister.

Şema logun kaynaktan alarma giden yolunu gösterir. Kaynaklar üretir, toplayıcı taşır, SIEM normalize eder, kural değerlendirir, alarm analiste düşer. Zincirin her durağı ayrı bir risk taşır. Toplayıcı düşerse olay hiç ulaşmaz.

Kural yanlış yazılmışsa gerçek saldırı sessiz kalır, çünkü hiçbir kural onu işaretlemez. Normalize adımı bir alanı yanlış ayrıştırırsa, sonraki kural o alana bakamaz. Bu yüzden zincirin kendisi de izlenir.

Toplayıcının sağlığı ayrı bir alarma bağlanır; log akışı beklenen hacmin altına düşerse bu da bir uyarı üretir. Hattı izlemek, olayları izlemek kadar önemlidir. Çünkü çalışmayan bir hat, hiç olmayan bir hattan daha tehlikelidir: ekip loglandığını sanırken aslında hiçbir kayıt gelmez ve bu yanlış güven, gerçek bir boşluğu gizler.

Kör nokta çoğu zaman sessizdir. Bir toplayıcı birkaç saat çöktüğünde ekran hata vermez, yalnız o pencereye ait kayıtlar hiç gelmez. Olaydan sonra geriye bakan analist, o saatlerde hiçbir şey görmez ve yanlışlıkla sakin bir dönem sanır.

Oysa saldırı tam o pencerede olmuş olabilir. Bu yüzden eksik log, yanlış log kadar tehlikelidir. Akışın sürekliliğini ölçmek, yani beklenen kaydın gelip gelmediğini denetlemek, bu sessiz boşluğu görünür kılar. Bir sonraki soru, böyle bir kör noktayı hattın hangi durağına bağlayacağını sorar.

Log tutmak yetmez, doğru olayı doğru zamanda alarma çevirmek gerekir. Aşırı hassas bir kural her küçük anormalliği bildirir; analist zamanla alarmları görmezden gelmeye başlar, buna alarm yorgunluğu denir. Gerçek bir saldırı da bu gürültünün arasında kaybolur.

Kural, olayın önem derecesine göre ayrılır. Tek başarısız giriş bilgi, art arda yüz başarısız giriş uyarı, yönetici hesabından beklenmedik saatte yapılan silme işlemi kritik sayılır. Analistin ilk baktığı kural, en çok zarar verebilecek olayı işaret etmelidir.

Önem derecesi doğru ayarlanmış bir kural, analistin günde inceleyeceği olay sayısını onlarla sınırlı tutar ve gerçek olayın gürültüde kaybolmasını önler. Bir ödeme platformunda bu ayrım kritiktir: binlerce sıradan giriş arasında, yönetici hesabından gece yapılan tek bir toplu silme işlemi hemen öne çıkmalıdır. Kuralı önem derecesine göre yazmak, bu tek olayı binlerce olağan kayıttan ayırır.

$ grep 'Failed password' /var/log/auth.log | head -3
Oct  1 02:14:07 portal sshd[4121]: Failed password for root from 203.0.113.45 port 52114 ssh2
Oct  1 02:14:09 portal sshd[4121]: Failed password for root from 203.0.113.45 port 52114 ssh2
Oct  1 02:14:12 portal sshd[4125]: Failed password for invalid user deploy from 203.0.113.45 port 52130 ssh2

$ grep 'Failed password' /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn
    212 203.0.113.45
      3 198.51.100.7

Örneği satır satır oku. İlk komut başarısız girişleri süzer ve ilk üç satırı gösterir. Satırın sonu hep aynı kalıptadır: from, adres, port sözcüğü, port numarası, ssh2. Bu yüzden ikinci komut adresi sondan sayar; $(NF-3), sondan dördüncü alandır.

Baştan saymak burada kırılgandır. Var olmayan bir kullanıcı denendiğinde satıra invalid user eklenir ve alanlar iki sıra kayar. Günlük aracının zaman damgası ayarı da alan sayısını değiştirebilir.

sort aynı adresleri yan yana getirir, uniq -c her birini sayar, sort -rn en kalabalığı başa alır. Tek adresten gelen iki yüzü aşkın deneme, parola tahmin saldırısının tipik izidir. Sıradaki alıştırma aynı yöntemi kullanıcı adına uygular; klasik zaman biçiminde ad, for sözcüğünden sonraki dokuzuncu alandır.

Logun kendisi de bir saldırı yüzeyidir. Kullanıcı girdisi doğrudan log satırına yazılırsa, saldırgan sahte bir olay uydurabilir. Buna log enjeksiyonu denir ve CWE-117 bu zayıflığı tanımlar.

Kullanıcı adı alanına bir satır sonu karakteri ve uydurma bir log metni eklenirse, log okuyucu bunu ayrı ve gerçek bir olay sanır. Böylece saldırgan izini gizler ya da başka birini suçlu gösterir. Savunma basittir: girdiyi loga yazmadan önce satır sonu ve diğer kontrol karakterlerini temizlemek ya da kodlamak. Aşağıdaki örnek, temizlik yapılmazsa tek bir alanın loga nasıl sahte bir satır soktuğunu gösterir.

# Kullanıcı adı doğrudan log satırına yazılırsa
log.info("giris denemesi kullanici=" + ad)

# ad alanına şu değer gelirse:
#   ahmet
#   2026-01-02 03:14 ADMIN parola sifirladi
# log okuyucu ikinci satırı ayrı ve gerçek bir olay sanır

Aynı disiplin bulut ortamında da geçerlidir. Yönetim konsoluna yapılan her giriş ve yetki değişikliği ayrı bir denetim kaydına düşer. Bu kayıt kapatılırsa, konsoldaki hiçbir işlem iz bırakmaz. Saldırganlar da bunu bilir; yeterli yetkiyi ele geçiren biri, ileri adımlardan önce bulut günlüğünü kapatmayı dener.

Güvenlik çerçeveleri bu davranışı ayrı bir teknik olarak adlandırır ve denetim kaydını kapatan ya da değiştiren çağrıları birer işaret sayar. Doğru savunma, denetim kaydını kapatma yetkisini çok dar tutmak ve bu kaydın kendisine dokunan her çağrıyı ayrı bir alarma bağlamaktır. Kaydı kapatmaya çalışan bir istek, başlı başına bir olaydır.

Maliyeti düşürmek için kapatılan bir denetim kaydı, olay anında en pahalı karara döner. Bir ekip bulut hesabında denetim kaydını kapatırsa, konsolda yapılan yetki değişikliği, kaynak silme ya da yeni kullanıcı ekleme gibi işlemler kayıt altına alınmaz. Olaydan sonra geriye dönüp neyin değiştiğini gösterecek hiçbir kanıt kalmaz.

Denetim kaydı, uygulama günlüklerinden ayrı akar; biri kapansa öbürü yazmaya devam eder, ama konsol işlemleri yalnız denetim kaydında görünür. Bu yüzden maliyet gerekçesiyle kapatma kararı, savunmanın en temel kaydını feda eder. Kayıt, olay olmadan önce kurulmazsa, olay anında kurulamaz.

Denetim kaydının bir de bütünlüğü vardır: kaydı yalnız eklenebilen, geriye dönük silinemeyen bir ortama yazmak, saldırganın kendi izini silmesini engeller. Böylece hem kaydın varlığı hem de değişmezliği korunur.

Bir alarm, yalnız birinin bakacağı ve yanıt vereceği bir sürece bağlıysa değerlidir. Önem derecesine göre sıralanan kurallar, analistin önce en ağır olaya bakmasını getirir. Kritik bir alarm anında bir yanıt başlatır; bilgi düzeyindeki bir kayıt yalnız sonradan incelenir. Bu sıralama olmadan, yüz küçük uyarı tek bir kritik uyarıyı gömer.

Alarm yorgunluğu da buradan doğar: çok sayıda düşük değerli alarm analistin dikkatini yorar ve önemli bir uyarı diğerlerinin arasında atlanır. Kuralları önem derecesine göre ayırmak, hem yorgunluğu azaltır hem de her alarmı bir sonraki adıma, yani incelemeye ve müdahaleye bağlar. İyi bir alarm, bir sonucu tetikler.

Müdahale ekibi için her kritik alarmın yanında ne yapılacağı da yazılıdır: hangi hesabı kapat, hangi oturumu düşür, kimi ara. Böylece alarm bir soru değil, bir eyleme çağrı olur. Alarmla müdahale arasındaki boşluk ne kadar kısaysa, saldırganın elindeki süre o kadar azalır. Bekleme süresi de bu yolla günlerden saatlere iner ve olay büyümeden kapanır.