Log analizi, siber güvenlik alanında olaylara müdahale ve adli soruşturmaların ayrılmaz bir parçasıdır. Her bir sistemin, uygulamanın ve ağ cihazının ürettiği loglar, dijital dünyada yaşanan olayların birer "dijital ayak izi" niteliğindedir. Bu loglar, bir saldırının nasıl gerçekleştiğini, hangi sistemlerin etkilendiğini ve saldırganın eylemlerini anlamak için kritik önem taşır. Bir güvenlik ihlalinde, loglar olayın başlangıç noktasından itibaren tüm gelişimini belgeleyerek, failin tespit edilmesi, zararın boyutunun belirlenmesi ve benzer olayların önüne geçilmesi için gerekli kanıtları sunar. Bu makalede, log analizinin adli soruşturmalardaki temel rolü, log türleri, toplama yöntemleri, analiz teknikleri ve pratik uygulamaları detaylı bir şekilde ele alınacaktır. Siber saldırganlar her geçen gün daha sofistike yöntemler kullanırken, log analizi, savunmacıların ve adli bilişim uzmanlarının en güçlü araçlarından biri haline gelmiştir.

Log Türleri ve Önemi

Bir soruşturmada incelenmesi gereken çok çeşitli log türleri bulunur:

• İşletim Sistemi Logları: Windows Olay Günlükleri (Güvenlik, Sistem, Uygulama), Linux Syslog, macOS Unified Log. Kullanıcı oturum açma/kapatma, dosya erişimleri, sistem hataları, süreç başlatma gibi bilgileri içerir. Özellikle yetkisiz erişim denemeleri ve sistemdeki anormal aktiviteler için vazgeçilmezdir.
• Uygulama Logları: Web sunucusu logları (Apache, Nginx erişim ve hata logları), veritabanı logları (SQL Server, MySQL, PostgreSQL sorgu ve hata logları), kurumsal uygulama logları (ERP, CRM). Uygulama katmanındaki saldırıları (SQL Injection, XSS) ve veri manipülasyonlarını ortaya çıkarmada etkilidir.
• Ağ Cihazı Logları: Yönlendirici, anahtar, güvenlik duvarı (firewall), IDS/IPS logları. Trafik akışları, bağlantı denemeleri, kural ihlalleri, anormal port aktiviteleri gibi ağ düzeyindeki olayları gösterir. Bir saldırganın ağ içinde nasıl hareket ettiğini (yatay hareket) anlamak için kilit rol oynar.
• Güvenlik Cihazı Logları: Antivirüs, EDR (Endpoint Detection and Response), SIEM (Security Information and Event Management) sistem logları. Tespit edilen tehditler, engellenen kötü amaçlı yazılımlar, uyarılar ve otomatik müdahale kayıtları gibi güvenlik odaklı bilgileri sunar.
• Kimlik ve Erişim Yönetimi (IAM) Logları: Active Directory, LDAP, SSO (Tek Oturum Açma) sistem logları. Kullanıcı kimlik doğrulama başarı/başarısızlıkları, parola sıfırlama, grup değişiklikleri gibi kritik kimlik bilgilerini içerir.

Bu logların her biri, farklı bir perspektiften olayın resmini tamamlamaya yardımcı olur. Eksiksiz ve doğru loglama, başarılı bir soruşturmanın temelini oluşturur.

Log Toplama ve Yönetimi

Etkili bir log analizi için logların merkezi bir sistemde toplanması, normalleştirilmesi ve depolanması esastır. Bu süreç genellikle bir SIEM (Security Information and Event Management) sistemi aracılığıyla yapılır.

SIEM sistemleri:

• Farklı kaynaklardan logları toplar (Syslog, WMI, API'ler, dosya tabanlı).
• Toplanan veriyi normalleştirir ve zenginleştirir.
• Olay korelasyonu yapar, yani farklı log kaynaklarından gelen olayları birleştirerek anlamlı güvenlik olayları oluşturur.
• Gerçek zamanlı uyarılar üretir.
• Logları uzun süreli saklama için güvenli bir şekilde depolar.

(Örnek bir log akış diyagramı temsilidir)
SIEM kullanımı, log yığını içinde iğneyi bulmak için otomasyon ve zekâ sağlar. Logların bütünlüğü ve değişmezliği, adli delil olarak kullanılabilmesi için büyük önem taşır. Bu nedenle, logların güvenli bir şekilde saklandığından ve üzerinde oynanmadığından emin olmak için hashing ve dijital imza gibi yöntemler kullanılabilir.

Log Analizi Teknikleri ve Yaklaşımları

Bir soruşturma sırasında logları analiz etmek için çeşitli teknikler kullanılır:

• Korelasyon Analizi: Farklı sistemlerden gelen log kayıtlarını birleştirerek tek bir güvenlik olayını oluşturmak. Örneğin, bir güvenlik duvarı tarafından engellenen bir bağlantı denemesiyle, aynı IP'den gelen bir web sunucusu hata kaydını ilişkilendirmek.
• Anomali Tespiti: Normal davranış kalıplarından sapmaları belirlemek. Örneğin, bir kullanıcının alışılmadık saatlerde veya coğrafi konumlardan oturum açması ya da normalin çok üzerinde veri indirmesi.
• Zaman Serisi Analizi: Olayların zaman içindeki frekansını ve desenlerini incelemek. Brute-force saldırıları veya DoS (Denial of Service) saldırıları gibi zaman bazlı saldırıları tespit etmede etkilidir.
• Davranışsal Analiz: Kullanıcı ve varlık davranış analizi (UEBA) araçları, kullanıcıların ve sistemlerin normal davranış profillerini oluşturarak, bu profillerden sapmaları tespit eder.
• Anahtar Kelime ve Desen Arama: Belirli IP adresleri, kullanıcı adları, hata kodları veya bilinen saldırı desenleri için loglarda arama yapmak.

"Loglar sessiz tanıklardır. Onları doğru okuyabilirseniz, tüm hikayeyi anlatırlar." - Bilinmeyen Adli Bilişim Uzmanı

Genişletmek için tıkla ...

Bu teknikler, güvenlik uzmanlarına, olayın tam bir resmini oluşturma ve saldırının kök nedenini anlama konusunda yardımcı olur.

Soruşturma Sürecinde Logların Rolü

Bir siber güvenlik soruşturması tipik olarak aşağıdaki adımları içerir ve loglar her aşamada merkezi bir role sahiptir:

• 1. Hazırlık: Log toplama ve depolama altyapısının kurulu ve çalışır durumda olduğundan emin olunması. Loglama politikalarının belirlenmesi.
• 2. Tespit ve Tanımlama: SIEM uyarıları, IDS/IPS alarmları veya anormal kullanıcı raporları aracılığıyla bir güvenlik olayının tespit edilmesi. İlgili logların belirlenmesi.
• 3. Kapsama ve Koruma: Etkilenen sistemlerin izole edilmesi, logların bütünlüğünün bozulmadan kopyalanması ve hash değerlerinin alınması (adli delil bütünlüğü için).
• 4. Analiz: Toplanan logların yukarıda belirtilen tekniklerle incelenmesi. Saldırının zaman çizelgesini (timeline) oluşturmak, kullanılan araçları ve yöntemleri belirlemek.
  
  Kod:

          192.168.1.10 - - [10/Aug/2023:14:30:22 +0300] "GET /admin/panel.php?id=1' UNION SELECT NULL,NULL,VERSION()-- HTTP/1.1" 404 1234 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36"

  Bu log kaydı, bir SQL Enjeksiyon denemesini açıkça göstermektedir.
• 5. Geri Kazanım ve İyileştirme: Saldırının etkilerinin ortadan kaldırılması, güvenlik açıklarının kapatılması ve sistemlerin normal operasyonlarına döndürülmesi. Loglar, yapılan değişiklikleri doğrulamak için kullanılır.
• 6. Soruşturma Sonrası Aktivite: Olayın kök neden analizi, iyileştirme için dersler çıkarılması, loglama ve güvenlik politikalarının güncellenmesi. Loglar, raporlama ve gelecekteki eğitimler için referans sağlar.

Her adımda, logların doğru ve eksiksiz bir şekilde analiz edilmesi, soruşturmanın başarısı için hayati öneme sahiptir.

Pratik Uygulamalar ve Senaryolar

Log analizi, çeşitli siber güvenlik senaryolarında kilit rol oynar:

• Yetkisiz Erişim Tespiti: Başarısız oturum açma denemeleri (brute-force), yetki yükseltme aktiviteleri, yeni oluşturulan veya değiştirilen kullanıcı hesapları loglarda izlenebilir.
• Veri Sızıntısı Araştırması: Ağ logları, anormal büyük veri transferlerini veya hassas veri içeren dosyalara erişim denemelerini gösterebilir. Proxy logları, dışarıya yapılan şüpheli bağlantıları ortaya çıkarabilir.
• Zararlı Yazılım Analizi: Antivirüs/EDR logları, tespit edilen zararlı yazılımların ismini, etki alanını ve eylemlerini kaydeder. Sistem logları, zararlı yazılımın sistem üzerindeki etkilerini (dosya oluşturma, kayıt defteri değişiklikleri) gösterebilir.
• Sızma Testi Sonrası Kontrol: Kapsamlı bir sızma testi sonrası, loglar test ekibinin hangi sistemlere eriştiğini, hangi yöntemleri kullandığını ve hangi zayıflıkları sömürdüğünü doğrulamak için incelenir.
• İç Tehditlerin Tespiti: Kurum içi çalışanların şüpheli davranışları (normal çalışma saatleri dışında erişim, hassas dosyalara yetkisiz erişim) loglar aracılığıyla izlenebilir.

Bu senaryolar, logların olay yanıtında ne kadar çok yönlü kullanılabileceğini göstermektedir.

Gelişmiş Araçlar ve Gelecek Trendleri

Günümüzde log analizi için kullanılan araçlar sadece SIEM'ler ile sınırlı değildir. ELK Stack (Elasticsearch, Logstash, Kibana), Graylog, Microsoft Sentinel gibi açık kaynaklı ve ticari çözümler mevcuttur. Bu araçlar, milyarlarca log kaydını saniyeler içinde işleyebilme ve görselleştirebilme yeteneğine sahiptir.

Gelecekte, Yapay Zeka (AI) ve Makine Öğrenimi (ML) tekniklerinin log analizindeki rolü daha da artacaktır. Bu teknolojiler, insan analistlerin gözden kaçırabileceği karmaşık anomalileri ve gizli tehditleri otomatik olarak tespit etme potansiyeline sahiptir. Özellikle büyük veri kümeleri içinde gizlenmiş olan düşük ve yavaş saldırıların (slow & low attacks) belirlenmesinde AI/ML modelleri büyük avantaj sağlayacaktır. Ayrıca, bulut tabanlı sistemlerden gelen logların artan hacmi ve karmaşıklığı, bu gelişmiş analitik yeteneklere olan ihtiyacı daha da belirginleştirecektir.

Sonuç

Log analizi, siber güvenlik dünyasında sadece reaktif bir faaliyet değil, aynı zamanda proaktif bir savunma stratejisidir. Bir olayın meydana gelmesinden sonra geriye dönük soruşturmalarda kritik deliller sağlamasının yanı sıra, potansiyel tehditlerin ve güvenlik açıklarının erkenden tespit edilmesine de olanak tanır. Güvenlik olaylarına hızlı ve etkin bir şekilde müdahale etmek, yasal yükümlülükleri yerine getirmek ve dijital varlıkları korumak için log analizi ve yönetimine yatırım yapmak zorunluluktur. Bu alandaki bilgi birikimi ve teknolojik yetkinlikler, her kurumun siber güvenlik stratejisinin temel taşlarından biri olmalıdır. Unutulmamalıdır ki, her log kaydı bir hikaye anlatır; önemli olan, o hikayeyi doğru okuyabilen yetenekli analistlere ve uygun araçlara sahip olmaktır. Loglar, dijital dünyadaki her hareketin izini sürmemizi sağlayan pusulamızdır.