SIEM ve Log Yönetimi: Wazuh, Splunk, ELK Karşılaştırması

Bir saldırgan ağınıza sızdı — saatlerce, günlerce farkına varmadan içeride dolaşabilir. SIEM (Security Information and Event Management), tüm sistem loglarını toplayıp anormallikleri tespit eder. Bu rehberde popüler SIEM çözümlerini ve hayata geçirme yaklaşımını anlatıyoruz.

Neden SIEM?

Ortalama bir saldırgan tespit süresi (Dwell Time) 207 gün. SIEM bunu saatlere düşürür.

KVKK ve ISO 27001 'log yönetimi ve izleme' zorunluluğu var. SIEM olmadan bunu kanıtlamak zor.

SIEM Çözümleri

Wazuh (ücretsiz, açık kaynak) — Hem SIEM hem XDR. EDR, file integrity, vulnerability detection dahil. KOBİ için en iyi başlangıç.

Splunk Enterprise — Pazar lideri. Pahalı (lisans veri hacmine göre — GB başı $).

Elastic Security (ELK Stack) — Open core. Splunk alternatifi, daha esnek. SOC ekipleri için ideal.

Microsoft Sentinel — Bulut native. Azure entegrasyonu. M365 müşterileri için doğal seçim.

IBM QRadar, ArcSight — Enterprise lider.

Log Kaynakları

Endpoint logs: Sysmon, Windows Event Log, Defender

Network logs: Firewall (Fortinet, Palo Alto), VPN, proxy

Sunucu logs: AD, Exchange, IIS, SQL Server

Cloud logs: Azure Activity, M365 Audit, AWS CloudTrail

Uygulama logs: Web sunucusu, custom app

5651 logs: Toplu kullanım sağlayıcı için yasal zorunlu

İlk Hayata Geçirme Adımları

1. Kapsam: En kritik 10 varlık logları ile başla — AD, mail sunucu, firewall, web server.

2. Use case'ler: 'Şifre brute force', 'unusual login location', 'privilege escalation' — basit kurallar.

3. Alarm tuning: 1-2 ay false positive azalt.

4. SOC playbook'lar: Her alarm için müdahale prosedürü.

Smyrna Bilgi Teknolojileri olarak İzmir'deki kurumlara Wazuh ve Sentinel kurulumu yapıyoruz.

Sıkça Sorulan Sorular

Ücretsiz SIEM yeterli mi?

Wazuh KOBİ için yeterli. 1000+ EPS (event per second) ve advanced korelasyon için ticari çözüm gerekir.

SOC dış kaynak (MSSP) almalı mıyım?

24/7 izleme için iç ekip pahalı. MSSP (Managed SOC) saat başı uygun maliyet sunar.

5651 uyumu için ne kadar log saklanmalı?

Minimum 6 ay, önerilen 2 yıl. Log integritisi (hash, zaman damgası) olmalı.

İlgili konular: ISO 27001 · Monitoring Zabbix