Merkezi log yönetimi ile SIEM arasındaki fark nedir?

Merkezi log yönetimi, farklı cihaz ve sistemlerin kayıtlarını tek noktada toplar, saklar ve aranabilir kılar. SIEM ise bu kayıtlara korelasyon, tehdit tespiti, uyarı ve olay yönetimi katmanlarını ekler. Kısaca: log yönetimi kaydı tutar, SIEM kaydı yorumlayıp harekete geçirir.

Merkezi log yönetimi tam olarak ne yapar?

Merkezi log yönetimi; sunucu, güvenlik duvarı, ağ cihazı ve uygulamalardan gelen kayıtları ortak bir yerde toplamayı, saklamayı ve gerektiğinde aramayı sağlayan süreçtir. Amaç, kayıtların dağınık cihazlarda kaybolmasını veya silinmesini önlemektir.

NIST SP 800-92, kurum genelinde log yönetimi altyapısının kurulmasını ve bu süreçlerin yürütülmesini ele alan üst düzey bir çerçeve sunar. Adım adım bir uygulama kılavuzu değildir; kaynakları ve saklama süreçlerini planlamak için bakış açısı verir. Kaynağı NIST SP 800-92 yayın sayfasında inceleyebilirsiniz.

Tipik işlevler şunlardır: kayıt toplama, tek yerde saklama, arama ve raporlama. Türkiye'de internet erişim kayıtlarının tutulması gibi zorunluluklar için bu yaklaşım çoğu zaman yeterli bir başlangıçtır. Ayrıntılar için 5651 loglama sayfasına bakabilirsiniz.

SIEM log yönetiminden neyle ayrılır?

SIEM, log toplamanın üzerine analiz ekler: farklı kaynaklardaki olayları ilişkilendirir, şüpheli örüntüleri uyarıya çevirir ve soruşturma ile müdahale akışını yönetir. Log yönetimi "ne oldu" sorusuna kayıt sağlar; SIEM "bu önemli mi, ne yapmalıyım" sorusuna yaklaşır.

Microsoft Learn, Microsoft Sentinel'i bulut tabanlı bir SIEM olarak tanımlar. Belgeye göre çözüm; konnektörler, Syslog ve CEF ile çoklu kaynaktan veri toplar, analitik kurallar ve tehdit istihbaratıyla tehdit tespiti yapar, olaylar ve hunting ile soruşturmayı destekler, playbook ve otomasyon kurallarıyla müdahaleyi otomatikleştirir. Bu bir üretici belgesidir ve yalnızca Sentinel'i anlatır; her SIEM ürünü için birebir genelleme sayılmamalıdır. Ayrıntı için Microsoft Learn'deki Sentinel genel bakışına göz atabilirsiniz.

Vira'nın SIEM ve log yönetimi sayfası da bu iki alanı birlikte ele alır.

İki yaklaşım yan yana nasıl görünür?

Fark en net biçimde işlevler üzerinden görülür: log yönetimi toplama, saklama ve aramaya odaklanır; SIEM ise bunlara korelasyon, uyarı ve olay yönetimi ekler. Aşağıdaki tablo genel bir karşılaştırmadır.

Özellik	Merkezi log yönetimi	SIEM
Ana amaç	Kayıtları toplamak ve saklamak	Tehditleri tespit etmek ve olayları yönetmek
Kaynaklar arası ilişkilendirme	Sınırlı veya yok	Korelasyon kuralları
Uyarı	Genellikle temel	Analitik kurallar ve olay üretimi
Soruşturma	Arama ve filtreleme	Olay odaklı inceleme ve hunting
Müdahale	Kapsam dışı	Otomasyon ve iş akışları
Operasyon yükü	Daha düşük	Kural ayarı ve izleme gerektirir

Hangisine ihtiyacınız olduğunu nasıl belirlersiniz?

İhtiyaç, hedefinize bağlıdır. Yalnızca yasal veya iç denetim amacıyla kayıt tutmak gerekiyorsa merkezi log yönetimi yeterli olabilir. Tehditleri zamanında fark etmek ve olaylara müdahale etmek istiyorsanız SIEM yaklaşımı gerekir. Şu adımlar karar vermeyi kolaylaştırır:

1. Hangi kaynakların kaydını tutmanız gerektiğini listeleyin (güvenlik duvarı, sunucu, uygulama, kimlik sistemi).
2. Zorunlu saklama ve raporlama gereksinimlerinizi belirleyin.
3. Uyarıları kimin, hangi saatlerde izleyeceğini netleştirin.
4. Önce kayıt toplamayı oturtun; ardından korelasyon kurallarını kademeli ekleyin.
5. Mevcut güvenlik araçlarıyla (güvenlik duvarı, uç nokta koruması) entegrasyonu değerlendirin.

Bu yol haritasında kayıt kaynağı olarak firewall, loglama ve hotspot çözümleri veya LogSpot gibi ürünler değerlendirilebilir. Cihaz envanterini çıkarmak için IT envanter yönetimi de faydalıdır; hangi sistemin log ürettiğini bilmeden kapsam belirlemek zordur.

Neden ikisi birbirinin alternatifi değil, tamamlayıcısı?

SIEM, analiz edeceği kayıtlara ihtiyaç duyar; kayıt toplama ve saklama düzeni zayıfsa korelasyon da zayıf kalır. Bu yüzden sağlam bir log yönetimi çoğu zaman SIEM'in temelidir ve iki katman aynı mimaride birlikte çalışır.

Pratikte kurumlar önce kaynakları ve saklama düzenini oturtur, ardından kritik kaynaklar için korelasyon ve uyarı kurallarını devreye alır. Sonrasında kullanıcı davranışı analizi gibi ek katmanlar için davranış tabanlı tehdit algılama çözümlerine bakılabilir. Kapsam ve kaynak sayısı için Vira ile iletişime geçerek ihtiyacınızı paylaşabilirsiniz.

Yerleşik bir yaklaşım olarak, kapsamı küçük başlatıp kademeli büyütmek hem operasyon yükünü hem de yanlış alarm gürültüsünü yönetilebilir tutar.

Sık sorulan sorular

Merkezi log yönetimi tek başına güvenlik sağlar mı?

Tek başına tehdit tespiti sağlamaz; kayıtların toplanıp saklanmasını ve aranmasını sağlar. Olay sonrası inceleme için çok değerlidir, ancak kayıtlar arasında otomatik ilişki kurup uyarı üretmek SIEM türü bir katman gerektirir.

SIEM kurmadan önce log yönetimi şart mı?

Teknik olarak ayrı bir ürün şart değildir, ancak SIEM'in analiz edeceği kayıtların düzenli toplanması gerekir. Kaynakların belirlenmesi ve saklama düzeninin oturtulması, SIEM'in verimli çalışması için temel adımdır.

Tüm SIEM ürünleri aynı özellikleri sunar mı?

Hayır. Özellikler ürüne göre değişir. Örneğin Microsoft Learn'de anlatılan yetenekler Sentinel'e aittir. Seçim yaparken veri kaynakları, kural yönetimi, otomasyon ve işletim modelini ürün belgeleriyle karşılaştırmak gerekir.

Vira BT