Maalesef Log Yönetimi ve SIEM aynı şeymiş gibi algılanmaktadır. Hatta SIEM i log yönetiminin bir alt kümesi veya biraz özelleşmiş hali olarak görenler de çoktur. Bu iki görüş de hatalıdır. Hatta maalesef bu iki görüş sahipleri bu görüşleriyle kurumsal güvenlik politikalarına negatif etki yaparlar ve güvenlik politikalarında indirgeyici bir yönetim sergilemiş olurlar

1. Log Yönetimi ve SIEM Farkı
Dr. Ertuğrul AKBAŞ
eakbas@gmail.com
ertugrul.akbas@anetyazilim.com.tr
Maalesef LogYönetimi ve SIEMaynı şeymişgibi algılanmaktadır.HattaSIEMi log yönetimininbiralt
kümesi veyabirazözelleşmişhali olarakgörenlerde çoktur.Buiki görüş de hatalıdır. Hatta maalesef
bu iki görüşsahipleri bugörüşleriyle kurumsal güvenlikpolitikalarına negatif etki yaparlarve güvenlik
politikalarındaindirgeyici biryönetimsergilemişolurlar.Şöyleki LogYönetimi loglarıtoplama,
anlamlandırma(aggregate) ve raporlamaiçerirSIEMise güvenlik açısındanbuanlamlandırılan verileri
gerçekzamanlıanalizetmeyi ve alarmüretmeyi içerir.SIEMve logyönetimi farkı:
 Sınıflandırma(Taxonomy)
 Korelasyon
 Alarm
Logları toplamakve hızlı arama (search) veyaraporlamayapabilmekSIEMdemekdeğildir.Log
Yönetimi konusundaonlarcaçokiyi ve hızlı açık kaynakkodluürün de mevcuttur
• Twitter log Storm (Apache Storm)
• Kibana/elasticsearch/logstash
• Graylog
• http://www.fluentd.org
Bu ürünlertwitter,facebookgibi saatte TB larca dayı işleyebilen global firmalartarafındangeliştirilip
sonra da açık kaynakdünyasınasunulmuş sistemlerdir. Bukonudapekçokaçık kaynaklıkomponenet
mevcuttur.MeselaHadoopve elasticsearchkullanarakçokçokhızlı birlog toplamave arama
yazılımını çok kolayoluşturabilirsiniz. Bukomponentlere ve kaynakkodlarına hemticari hemde
akademikerişimmümkündür.
https://hadoop.apache.org/
https://www.elastic.co/

2. Sınıflandırma
Peki logtoplama,arama ve raporlamaürünleri ile neleri yapamazsınız.
Aşağıdaki NetScreen logunu
Feb15 22:01:35 [xx] ns5gt:NetScreendevice_id=ns5gt[Root]system-alert-00016:Port scan! From
1.2.3.4:54886 to 2.3.4.5:406, proto TCP (zone Untrust,intuntrust).Occurred1 times.(2014-02-15
22:09:03)
KaynakIP şu,Hedef IP,Kaynakve Hedef portlardabunalargibi ayırmak hemkolayhemde yukarıda
da bahsettiğimiziçinonlarcaücretsizlogyönetimürünümevcut.Hattabunlarıniçerisinde twitterve
facebooktarafındangeliştirilipücretsizdağıtılanlardamevcut
Ama aynı logu" Reconnaissance->Scan->Host" şeklindekategorize edipbunukorelasyona
sokmalıyımve alarm üretmeliyimdiyebilmekayrıbirboyuttur. .Bu sınıflandırma(Taxonomy) ile
yapılabilirve SIEMürünlerindenbelirli birseviyeninüstündekilerde mevcuttur.
Benzerşekilde
Aşağıdaki Sonıcwall logunu
id=firewallsn=0017C5598622 time="2015-02-13 16:20:31" fw=xxx.xxxx.xxx.xxxpri=6c=1024 m=537
msg="ConnectionClosed"n=0src=xxx.xxx.xxx.xxx:4854:X1:
dst=yyy.yyy.yyy.yyy:53:X1:ttdns40.ttnet.net.trproto=udp/dnssent=75rcvd=414
KaynakIP,Hedef IP,Kaynakport ve Hedef portlarşeklinde ayırabiliriz.SonrasındaKaynakIPye veya
URL e göre listeleme yapabiliriz.
Ama aynı logu"NamingTrafficAudit"şeklinde kategorize etmekayrıştırıcı birözelliktir.Bu
Sınıflandırma(Taxonomy) ile yapılabilirve SIEMürünlerindenbelirli birseviyeninüstündekilerde
mevcuttur.
Korelasyon
Korelasyonsınıflandırmaile birlikte SIEMsistemininencanalıcı 2 yapısal taşındanbiridir.
Bir SIEMçözümününgerçekmanadakorelasyonmotorununolupolmadığınıanlamakiçin
İndekslenmiş ihtiyaçduymamasıgerekir. Çoknadirenürünlerinbazılarıindekslenmişveriüzerinde
periyodiksorgularıçalıştırıpadına korelasyondemektedir.
Temel olarak sorguların veri tabanı veya indekslenmişveri üzerinde çalışmasındankaynaklanan
zaaflar 3 adettir

3. 1. SQL veyaNoSQLDB lerüzerinde yüzlerce scriptinbelli periyotlarlaçalıştırılmasıbir
performansprobleminesebepolur.Çoksayıdakural yazılamaz
2. KurallarHafızada çalışmadığı içinolaylaranındayakalanamaz
3. Script veyasorgu [SQL veyaNoSQL]) bağımlıolduğuiçingelişmişkurallaryazılamaz
Ayrıca bu yöntemglobal olarakkullanılanbiryöntemde değildir.Buyönteminglobal referansları
yoktur.
Bir korelasyonmotorundanbeklenenözellikler:
 Görsel bireditöre sahipolması
 Gelişmişkurallaryazılabilmesi:
o Önce A olayı olursave Aynıkaynakve Kullanıcı15 dakikaiçerisindeBolayını
gerçekleştirmezise ve sonrasındaDolayıolursauyar
o Sadece öğle yemeği sırasındaA olayıolursauyar
o Sadece haftasonuD olayıolursauyar
o Bir olayolduysa1 saat birdaha uyarma
o Birbirindenfarklıkaynakve portlardanamayanı kullanıcıtarafından dakikadaXolay
olursauyar.
 Sınıflandırmamodülüile entegrasyon
o Port taraması olduğundahaberver
 Gerçekzamanlı olmasıve hafızadaçalışması. İndekslenmişveriüzerindensorguşeklinde
çalışmaması.
Yukarıdaki resimde de görüldüğügibi enfazla saldırıalan ilk5 ülkedenbiriyiz.Çoğuzaman aldığımız
saldırının bile farkındaolamayabiliriz. SIEMgüvenlikyönetiminde enönemli bilişenlerdenbiridir.