Syslog Trigger Nedir? Log Tabanlı Erken Uyarı Sistemi

Syslog Trigger Nedir?

Syslog trigger, ağ cihazlarindan toplanan log verilerini gerçek zamanlı olarak analiz eden ve önceden tanımlanmış kosullar saglandiginda otomatik alarm üreten bir mekanizmadir. Firewall, switch, access point ve sunucu gibi cihazlardan gelen syslog mesajları sürekli izlenir; belirlenen kurallara uyan bir log satirina rastlandiginda sistem anında bildirim gönderir.

Geleneksel log yönetimi, kayıtların toplanması ve saklanması üzerine odaklanır. Trigger mekanizması ise bu yaklaşımı bir adım oteye tasiyarak reaktif izlemeyi proaktif korumaya dönüştürür. Böylece tehditler gerçekleşmeden önce veya gerçekleştiği anda müdahale sansi oluşur.

Neden Erken Uyarı Sistemi Önemli?

Siber saldırıların büyük çoğunluğu, gerceklestikten saatler hatta gunler sonra fark edilir. Bu gecikme, saldirganlarin ağ içinde yatay hareket etmesine, veri sizdirilmasina ve kalıcı hasar birakilmasina zemin hazirlar. Erken uyarı sistemi bu gecikmeyi saniyeler mertebesine indirir.

Log tabanlı erken uyarı sisteminin sagligi avantajları şunlardır:

• Anlık tespit: Brute force saldırıları, yetkisiz erişim girişimleri ve anormal trafik oruntuleri oluşan an belirlenir.
• Hızlı müdahale: Alarm alan ekip, tehdidin kaynagini saniyeler içinde inceleyerek önlem alabilir.
• Hasar sınırlaması: Erken tespit, saldırıların yayılmasını engelleyerek potansiyel zarari en aza indirir.
• Uyumluluk: 5651 sayılı kanun ve KVKK gibi duzenlemeler, güvenlik olaylarinin izlenmesini ve raporlanmasini zorunlu kılar.
• Operasyonel verimlilik: Sistem yöneticileri tüm logları elle incelemek yerine yalnızca kritik alarmlara odaklanır.

Çalışma Mantığı: Log Flow, Filter, Match, Notify

Syslog trigger sistemi dört temel aşamada çalışır. Her asama bir oncekinin ciktisini alarak isler ve sonucta yalnızca gercekten önemli olaylar bildirime dönüşür:

Log Flow: Firewall, switch, access point ve sunuculardan syslog protokolü (UDP 514 veya TCP 514) üzerinden log mesajları merkezi sisteme akar. Bu aşamada ham veri toplanır ve zaman damgası ile etiketlenir.

Filter: Toplanan loglar, kaynak IP, cihaz türü, severity seviyesi ve mesaj içeriği gibi parametrelere göre on filtrelemeden geçirilir. Örneğin yalnızca "severity: critical" veya "severity: alert" seviyesindeki loglar degerlendirilmeye alınabilir.

Match: Filtrelenen loglar, önceden tanımlanmış trigger kurallarına karşı eşleştirilir. Eslesme koşulları tek bir olay olabilecegi gibi belirli bir zaman araliginda tekrar eden olaylar da olabilir. Örneğin "5 dakika içinde aynı IP'den 10 başarısız giriş denemesi" gibi karmaşık kosullar tanımlanabilir.

Notify: Eslesme gerceklestiginde sistem, tanimlanan kanallara bildirim gönderir: e-posta, SMS, webhook veya dashboard alarmi. Bildirim içeriği, tetiklenen kuralin adı, kaynak bilgisi ve olay detaylarını içerir.

Trigger Kural Örnekleri

Aşağıdaki tablo, en sık kullanılan trigger kurallarını ve bunlarin hangi tehditlere karşı koruma sağladığını gostermektedir:

Brute Force Tespiti Detayı

En yaygın kullanılan trigger kurallarından biri olan brute force tespiti, belirli bir zaman araliginda eşik değerini asan başarısız kimlik doğrulama girisimlerini yakalar. Sistem, aynı kaynak IP adresinden gelen "authentication failed" icerikli log mesajlarini sayar. Belirlenen eşik değerine ulasildiginda alarm tetiklenir ve ilgili IP adresi otomatik olarak geçici engelleme listesine alınabilir.

Bandwidth Aşımı Kontrolü

Ağ kaynaklarının adil kullanımı ve veri sızdırma girisimlerinin önlenmesi için bandwidth trigger'ları kritik öneme sahiptir. Kullanıcı başına veya cihaz başına tanimlanan trafik eşik degerleri asildiginda sistem alarm üretir. Bu sayede hem operasyonel sorunlar (ağ tikanimasi) hem de güvenlik tehditleri (büyük hacimli veri transferi) erken aşamada tespit edilir.

E-posta ve SMS Bildirim Entegrasyonu

Trigger mekanizmasinin etkinligi, doğru zamanda doğru kişiye ulasabilmesine bağlıdır. Bu nedenle çoklu bildirim kanali desteği vazgeçilmezdir:

• E-posta bildirimi: SMTP entegrasyonu ile detaylı alarm raporları, olay ozeti ve log kesitleri doğrudan sistem yöneticisinin posta kutusuna iletilir. HTML formatında duzenlenmis bildirimler, hızlı değerlendirme yapılmasını sağlar.
• SMS bildirimi: Kritik seviyeli alarmlar için SMS kanali kullanılır. İnternet erişimi olmayan ortamlarda bile yoneticiye ulaşılmasını garantiler. Mesai saatleri dışında özellikle değerli bir kanalidir.
• Webhook entegrasyonu: Otomasyon platformları, mesajlaşma uygulamaları veya ITSM araclarina otomatik bildirim gondermek için webhook desteği bulunur.
• Dashboard alarmi: Yönetim panelinde gerçek zamanlı alarm göstergesi, sesli uyarı ve renk kodlamasi ile anlık gorunurluk sağlanır.

Hazır Şablon Marketi

Her kurumun sifirdan trigger kurali olusturmasi zaman alıcı ve uzmanllik gerektiren bir süreçtir. Hazır şablon marketi, sektore ve cihaz türüne özel önceden yapılandırılmış kural setleri sunar. Bu şablonlar, en yaygın güvenlik senaryolarına karşı anında koruma sağlar.

Şablon marketinde bulunan kural kategorileri:

• Firewall şablonları: FortiGate, Palo Alto, Sophos ve diğer yaygın markalar için hazır kural setleri. Brute force, port tarama, DDoS belirtileri ve yapılandırma değişiklikleri için optimize edilmistir.
• Wi-Fi güvenlik şablonları: Rogue AP tespiti, deauthentication saldırıları ve yetkisiz cihaz bağlantıları için hazır kurallar.
• Sunucu izleme şablonları: SSH brute force, başarısız sudo girişimleri, disk doluluqu alarmları ve servis durmasi bildirimleri.
• Uyumluluk şablonları: 5651, KVKK ve ISO 27001 gereksinimlerine yönelik hazır kural ve raporlama şablonları.

Sablonlar tek tıkla aktive edilebilir, kuruma özel parametrelerle (eşik degerleri, zaman araliklari, bildirim kanallari) kisisellestirilebilir. Yeni şablonlar düzenli olarak eklenir ve mevcut şablonlar tehdit ortamindaki gelismelere göre güncellenir.

AES-256 Şifreleme ile Güvenli İletişim

Trigger bildirimleri hassas güvenlik bilgileri içerir: tetiklenen kural, kaynak IP adresi, hedef sistem, zaman bilgisi ve olay detayları. Bu bilgilerin iletim sırasında ele gecirilmesi veya değiştirilmesi ciddi güvenlik riskleri doğurabilir.

Bu nedenle tüm bildirim kanallari AES-256 şifreleme ile korunur. AES-256, askeri düzeyde kabul edilen ve günümüzde kirilamaz olarak nitelendirilen bir şifreleme standardidir. Trigger sistemindeki güvenlik katmanları şunlardır:

• Aktarim şifrelemesi: E-posta bildirimleri TLS 1.3 üzerinden, SMS bildirimleri şifrelenmiş API kanallari üzerinden iletilir.
• Veri tabaninda şifreleme: Trigger kuralları, alarm geçmişi ve bildirim kayıtları AES-256 ile sifrelenerek saklanır.
• Log bütünlüğü: Trigger olaylarinin kendisi de imzalanarak sonradan degistirilmesinin önüne gecilir.
• Erişim kontrolü: Trigger yapılandırması ve alarm gecmisine yalnızca yetkili yöneticiler erişebilir; tüm erişimler denetim izine kaydedilir.

Özel Kural Oluşturma

Hazır şablonlar yaygın senaryoları kapsasa da her kurumun kendine özgü ağ yapısı, kullanıcı davranışı ve güvenlik politikası vardır. Özel kural oluşturma modülü, teknik bilgi seviyesinden bagimsiz olarak herkesin kendi trigger kurallarını tanimlamasina olanak tanır.

Özel kural oluşturma sürecinde kullanilabilecek parametreler:

• Kaynak filtresi: Belirli bir cihaz, IP aralığı veya VLAN'dan gelen loglarla sinirlandirma.
• Anahtar kelime eslestirme: Log mesajı içinde geçen belirli ifadeleri arama (örneğin "denied", "failed", "critical").
• Esik değeri ve zaman penceresi: Belirli bir olayin kaç kez tekrar ettigini ve hangi zaman araliginda sayilacagini belirleme.
• Severity filtresi: Yalnızca belirli oncelik seviyesindeki (emergency, alert, critical, error) logları değerlendirme.
• Korelasyon kuralları: Birden fazla kosulin aynı anda veya belirli bir siralamayla gerceklesmesini gerektiren karmaşık kurallar tanımlama.

Olusturulan kurallar test modunda calistirilerek gerçek ortama alinmadan önce doğrulanabilir. Test modu, kuralin geçmiş log verilerine uygulanmasiyla olası sonuclarin onizlemesini sağlar; böylece yanlış alarm oranları minimuma indirilir.

Subgate Network ile Trigger Kurulumu

Subgate Network, syslog trigger mekanizmasini yerleşik bir özellik olarak sunar. Ek yazılım veya lisans gerektirmeden, merkezi yönetim paneli üzerinden tüm trigger işlemlerini gerceklestirebilirsiniz.

Subgate Network'un trigger özellikleri:

1. 1Hızlı Baslangic: Şablon marketinden sektorunuze uygun kural setini seçin ve tek tıkla aktive edin. Dakikalar içinde koruma başlar.
2. 2Çoklu Cihaz Desteği: FortiGate, Palo Alto, Sophos, MikroTik ve diğer popüler marka cihazlarindan gelen logları destekler.
3. 3Bildirim Yapılandırması: E-posta, SMS ve webhook kanallarini tanimlarin, alarm oncelik seviyelerine göre kademelendirin.
4. 4Kural Editoru: Görsel arayüz ile özel kurallar oluşturun, test modunda doğrulayın ve üretim ortamina alin.
5. 5Alarm Paneli: Tüm tetiklenen alarmları tarih, kaynak, kural ve oncelik bazinda filtreleyin, geçmiş olayları raporlayin.
6. 6AES-256 Koruma: Tüm trigger verileri ve bildirimler uçtan uca şifreleme ile korunur; güvenliğiniz güvenlik altındadır.