Sophos ile 5651 Loglama Nasıl Yapılır? Kurulum Rehberi

Sophos firewall kullanan işletmeler için 5651 sayılı kanuna uyumlu log yönetimi hayati önem tasimaktadir. Bu rehberde, Sophos XGS ve XG serisi cihazlarinizdan Subgate Network'e syslog aktarımı yaparak yasal uyumluluk sürecini nasıl tamamlayabileceginizi adım adım ele aliyoruz.

1. Sophos XGS/XG Firewall Nedir?

Sophos, kurumsal ağ güvenliği alanında dünya çapında yaygın şekilde tercih edilen bir ureticidir. Sophos XGS serisi yeni nesil firewall cihazları ve bir önceki nesil XG serisi, işletmelerin ağ trafiklerini yonetmesine, tehditlere karşı korunmasına ve kullanıcı erişimlerini denetlemesine olanak tanır.

Sophos firewall'ların sunduğu temel özellikler arasında uygulama kontrolü, web filtreleme, saldırı önleme sistemi (IPS), VPN desteği ve detaylı loglama altyapısı yer almaktadir. Özellikle loglama özelliği, 5651 sayılı kanuna uyumluluk açısından kritik bir avantaj sağlar.

2. 5651 Sayılı Kanun ve Sophos Uyumluluğu

5651 sayılı kanun, internet erişimi sağlayan tüm kurum ve işletmelerin kullanıcı erişim loglarini tutmasini, bu logları en az 2 yıl saklamasini ve gerektiğinde yetkili makamlara sunabilmesini zorunlu kılmaktadır.

Sophos firewall cihazları, ağdan geçen tüm trafik hakkında detaylı log uretme kapasitesine sahiptir. Ancak bu logların tek başına Sophos üzerinde saklanması yeterli değildir. Kanun gereği logların bagimsiz bir sistemde arsivlenmesi, dijital olarak imzalanmasi ve bütünlüğü bozulmadan muhafaza edilmesi gerekmektedir.

Bu noktada Sophos'un ürettiği logları Subgate Network gibi bir merkezi log yönetim platformuna aktarmak, yasal uyumluluk sürecinin temel adımını oluşturur.

3. Sophos'tan Subgate'e Syslog Gönderimi

Sophos firewall'dan Subgate'e log aktarımı, syslog protokolü üzerinden gerçekleştirilir. Syslog, ağ cihazlarının log mesajlarini merkezi bir sunucuya gondermek için kullandığı standart bir protokoldür.

Yapılandırma adımları

1. Sophos yönetim paneline giriş yapın. Web tarayicinizdan Sophos XGS/XG cihazınızın yönetim arayüzüne erisin.
2. System Services > Log Settings bolumune gidin.
3. Syslog Servers alanında "Add" butonuna tıklayarak yeni bir syslog hedefi ekleyin.
4. Subgate sunucunuzun IP adresini ve port numarasını (varsayılan: 514) girin.
5. Facility ve Severity Level ayarlarını yapilandirin. Tüm log kategorilerini (Firewall, Web Filter, IPS, Authentication) seçmeniz tavsiye edilir.
6. Degisiklikleri kaydedin ve test logları göndererek bağlantının saglandigini doğrulayın.

4. Port 514 Konfigürasyonu

Syslog iletişimi varsayılan olarak UDP port 514 üzerinden gerçekleşir. Bu portu yapilandirirken dikkat edilmesi gereken bazı noktalar bulunmaktadır:

• Firewall kuralları: Sophos cihazı ile Subgate sunucusu arasında port 514 (UDP) trafikine izin veren bir kural tanimlanmalidir.
• Ağ segmentasyonu: Eğer Subgate sunucusu farklı bir VLAN veya alt ağda bulunuyorsa, yönlendirme kurallarının doğru yapilandirildigindan emin olun.
• TCP alternatifi: Daha güvenilir iletim için TCP port 514 de tercih edilebilir. TCP kullanımı, log kayıplarını önlemeye yardımcı olur.
• TLS şifreleme: Hassas ortamlarda syslog iletisiminin TLS üzerinden sifrelenmeleri sağlanabilir (port 6514).

5. Sophos Captive Portal ve Subgate Entegrasyonu

5651 sayılı kanun, internet kullanan kişilerin kimlik bilgilerinin kayıt altına alınmasını gerektirmektedir. Sophos cihazlarının sunduğu captive portal özelliği, kullanıcıların internete erismeden önce bir doğrulama adımını tamamlamasini sağlar.

Sophos üzerinde captive portal yapılandırıldığında kullanıcılar, Wi-Fi ağına bağlandıktan sonra bir karşılama sayfasiyla karsilanir. Bu sayfada TC kimlik numarası, telefon numarası veya e-posta adresi gibi bilgilerle giriş yapmalari istenebilir.

Subgate ile entegre çalıştığında bu süreç daha da guclenmektedir:

• Kimlik doğrulama verileri Subgate tarafında güvenli şekilde arsivlenir.
• Captive portal üzerinden girilen bilgiler, syslog kayitlariyla otomatik olarak eslestilir.
• Hangi kullanıcının, hangi zaman araliginda, hangi siteleri ziyaret ettigi tek bir panelden sorgulanabilir hale gelir.
• SMS veya e-posta doğrulama ile çift katmanlı kimlik teyidi uygulanabilir.

6. Otomatik İmzalama: SelfSign ve KamuSM

Logların toplanması ve saklanması tek başına yeterli değildir. 5651 sayılı kanun uyarınca log dosyalarinin degistirilmedigini kanitlayacak bir bütünlük mekanizması gereklidir. Bu gereklilik, dijital imzalama ile karsilanmaktadir.

Subgate Network, Sophos'tan alınan logları varsayılan olarak SelfSign ile günlük otomatik şekilde imzalar. KamuSM hesabınız varsa, Syslog Ayarlar sayfasından KamuSM bilgilerinizi girerek resmi TÜBİTAK KamuSM imzalaması da yapabilirsiniz. Her iki yöntem de yasal geçerliliği sahiptir.

Otomatik imzalama sürecinin avantajları:

• Her gün belirlenen saatte loglar otomatik olarak paketlenir ve imzalanır.
• İmzalama işlemlerinin durumu kontrol panelinden izlenebilir.
• Başarısız imzalama denemelerinde otomatik bildirim gönderilir.
• İmzalı log arsivleri en az 2 yıl sureyle güvenli depolamada saklanır.

7. Raporlama ve Log Analizi

Subgate Network, Sophos'tan toplanan logları sadece saklamakla kalmaz; aynı zamanda anlamlı verilere dönüştürür. Raporlama modülü sayesinde ağ trafiğinizi çok yonlu olarak analiz edebilirsiniz:

• Kullanıcı bazlı raporlar: Her kullanıcının internet kullanım detayları, eristigi siteler ve bağlantı süreleri.
• Uygulama analizi: Ağda en çok kullanılan uygulamalar ve bant genişliği tüketimi.
• Güvenlik olayları: IPS alarmları, engellenen siteler ve potansiyel tehditler.
• Zaman bazlı istatistikler: Günlük, haftalık ve aylık erişim trendleri.
• PDF rapor oluşturma: Yetkili makamlara veya yonetime sunulmak üzere hazır formatlarda rapor indirme imkanı.

Bu raporlar, yalnızca yasal zorunluluklari karşılamak için değil, ağ altyapınızı optimize etmek ve güvenlik aciklarina proaktif yaklaşım geliştirmek için de değerli bilgiler sunar.

8. Dikkat Edilmesi Gerekenler

Sophos ile 5651 uyumlu loglama sürecinde başarılı sonuç elde etmek için aşağıdaki noktalara dikkat etmenizi oneriririz:

1. Firmware guncelligini koruyun. Sophos cihazınızın yazılımını düzenli olarak guncelleyerek hem güvenlik aciklariini kapatın hem de loglama altyapısının sorunsuz çalışmasını sağlayın.
2. Tüm log kategorilerini aktif edin. Sadece firewall loglarini değil; web filtre, kimlik doğrulama, VPN ve IPS loglarini da syslog üzerinden gönderin.
3. Syslog iletimini düzenli test edin. Log aktariminin sessizce kesilmedikden emin olmak için haftalık kontroller planlarin.
4. Misafir ağını ayirin. Kurumsal ağ ile misafir ağını VLAN yapılandırması ile birbirinden izole edin. Bu hem güvenlik hem de log yönetimi açısından kritiktir.
5. Yedekleme stratejisi oluşturun. Logları tek bir noktada saklamak yerine, birden fazla ortamda (yerel sunucu + bulut) yedekli bir yapı tercih edin.
6. Captive portal ayarlarını gozden gecirin. Doğrulama yontemlerinin (SMS, e-posta, TC kimlik) doğru yapiliradirildigindan ve kayıtların eksiksiz tutuldugundanemin olun.