SIEM Sistemleri: Kurumsal Güvenlik İçin Kapsamlı Rehber

SIEM Sistemleri Nedir ve Neden Kritiktir?

Modern tehdit aktörleri artık çok aşamalı, yavaş ve gizli saldırılar düzenliyor. Tek bir cihaz logu incelendiğinde zararsız görünen bir olay, başka sistemlerden gelen loglarla birleştirildiğinde ciddi bir lateral movement veya veri sızdırma girişimi olabiliyor. SIEM tam da bu noktada devreye girer: korelasyon motorları sayesinde farklı kaynaklardaki olayları zaman damgası, IP adresi, kullanıcı adı gibi ortak alanlara göre eşleştirir ve analistin "büyük resmi" görmesini sağlar.

Sahada en sık karşılaştığımız senaryo şu: SIEM olmadan çalışan SOC ekipleri günde yüzlerce false-positive alarm alıyor ve gerçek tehditleri gözden kaçırıyor. Oysa doğru yapılandırılmış bir SIEM, makine öğrenmesi destekli anomali tespiti ve akıllı eşik kurallarıyla false-positive oranını %80'in üzerine düşürebiliyor. Güvenlik izleme hizmetleri kapsamında sunduğumuz 7/24 SOC desteği de bu alt yapı üzerine kuruludur.

SIEM'in Temel Bileşenleri ve Çalışma Mantığı

Bir SIEM platformu dört ana katmandan oluşur. İlk katman veri toplama: agent'lar, syslog protokolü, API'ler veya WMI gibi yöntemlerle log kaynaklarından veri çekilir. İkinci katman normalizasyon: her cihazın farklı formatındaki logları ortak bir şemaya dönüştürülür (örneğin Cisco firewall ve Windows Event Log aynı alanlara parse edilir). Üçüncü katman korelasyon: önceden tanımlanmış veya makine öğrenmesiyle üretilmiş kurallar sayesinde olaylar birbirine bağlanır. Dördüncü katman görselleştirme ve raporlama: dashboard'lar, gerçek zamanlı grafikler ve otomatik uyumluluk raporları sunulur.

Korelasyon motoru SIEM'in beynidir. Basit örnek: kullanıcı A, 5 dakika içinde 10 farklı IP'den oturum açmaya çalışıyor. Her giriş denemesi tek başına normal görünse de, SIEM bu olayları kullanıcı adı bazında gruplar ve "credential stuffing saldırısı" uyarısı üretir. Daha karmaşık senaryolarda ise çoklu adımlı kurallar devreye girer: VPN'den başarılı giriş → kritik sunucuya dosya kopyalama → çok sayıda dosyanın sıkıştırılması → dış IP'ye büyük veri transferi. Bu zincir, manuel takip edildiğinde günler alabilir; SIEM ise saniyeler içinde tüm adımları ilişkilendirir ve SIRT ekibini uyarır.

Bulut, Hibrit ve On-Premise: Hangi SIEM Modeli Size Uygun?

Müşterilerimizde en çok tercih edilen model hibrit SIEM. Kritik log kaynakları (domain controller, core banking, ERP) on-premise SIEM'de toplanıp arşivlenirken, uç lokasyonlar, uzaktan çalışan kullanıcılar ve bulut SaaS logları cloud SIEM'e akıyor. Bu sayede hem uyumluluk gereklilikleri karşılanıyor hem de operasyonel esneklik sağlanıyor.

On-premise çözümlerde Splunk Enterprise, IBM QRadar, ArcSight gibi platformlar öne çıkıyor. Cloud tarafında ise Microsoft Sentinel, Sumo Logic ve Google Chronicle yaygın. Hibrit senaryolarda ise bulut güvenliği hizmetlerimizle birlikte entegre mimariler tasarlıyoruz.

SIEM Seçerken Dikkat Edilmesi Gereken 6 Kritik Faktör

İlk kriter log hacmi ve lisanslama modeli. Bazı SIEM'ler günlük GB bazında, bazıları cihaz sayısı veya kullanıcı başına ücretlendirme yapıyor. Kuruluşunuzun günlük ne kadar log ürettiğini (EPS – Events Per Second cinsinden) doğru hesaplamazsanız, bütçe hızla aşılabilir. İkinci faktör entegrasyon yetenekleri. Legacy sistemlerden modern cloud API'lerine kadar geniş connector desteği olmalı. Üçüncüsü korelasyon motoru ve kural kütüphanesi: out-of-the-box kurallar ne kadar zengin ve güncel? Dördüncü faktör ölçeklenebilirlik: yıllık %30 büyüme bekliyorsanız, mimari bunu desteklemeli. Beşinci kriter kullanıcı arayüzü ve öğrenme eğrisi; karmaşık bir SIEM, SOC ekibinizin verimliliğini düşürür. Altıncı ve son faktör vendor desteği ve yerel ekosistem: Türkiye'de yerel destek, eğitim ve profesyonel hizmet alabilmek kritik önem taşıyor.

KVKK, ISO 27001 ve Sektörel Yönetmelikler: SIEM ile Uyumluluk

6698 sayılı KVKK, veri işleyen kuruluşların teknik ve idari tedbirler almasını zorunlu kılıyor. SIEM bu kapsamda hem kayıt tutma (log saklama) hem olay müdahale (incident response) süreçlerinin temel taşıdır. Kişisel Verileri Koruma Kurulu'nun rehberlerinde, özellikle kritik veriye erişimlerin loglanması, bu logların değiştirilemez ortamda saklanması ve düzenli analizleri açıkça önerilmektedir. ISO 27001:2022 standardının A.12.4 kontrolü (logging and monitoring) de benzer gereklilikler içeriyor.

Finans sektöründe BDDK, Sigorta ve Özel Emeklilik Düzenleme ve Denetleme Kurumu gibi otoritelerin yönetmelikleri, log saklama sürelerini 1–3 yıl arasında belirlemiş durumda. Sağlık sektöründe ise Sağlık Bakanlığı Bilgi Güvenliği Yönetmeliği, hasta verilerine erişim loglarının kesintisiz izlenmesini şart koşuyor. SIEM platformları, bu gereksinimlere uygun raporları otomatik üretebiliyor; örneğin PCI-DSS uyumluluğu için gerekli 10+ kontrol noktasını tek tuşla raporlayabiliyor. Uyumluluk ve denetim hizmetlerimizde, SIEM çıktılarını denetçi raporlarıyla entegre ediyor ve sürekli uyumluluk sağlıyoruz.

SIEM + SOAR + Tehdit İstihbaratı: Entegre Savunma Mimarisi

SIEM tek başına "ne oldu" sorusunu yanıtlar; ancak "ne yapmalıyım" sorusuna SOAR (Security Orchestration, Automation and Response) cevap verir. SOAR, SIEM'den gelen alarmları playbook'lara göre otomatikleştirir: şüpheli bir kullanıcıyı Active Directory'de devre dışı bırakma, firewall'da IP'yi engelleme, ticket açma gibi adımlar insan müdahalesi olmadan gerçekleşir. Deneyimlerimizde SOAR entegrasyonu, ortalama müdahale süresini (MTTR) %60-70 oranında düşürdü.

Tehdit istihbaratı (Threat Intelligence) entegrasyonu ise SIEM'e dış dünyadan gelen tehdit IoC'lerini (IP, domain, hash) beslemeyi sağlıyor. Böylece kuruluşunuz, henüz saldırıya uğramadan bilinen kötü amaçlı aktörlerle ilişkili trafiği engelleyebiliyor. invekor.com.tr olarak MISP, AlienVault OTX ve ticari feed'lerle entegre mimariler kuruyoruz.

2026 SIEM Trendleri: XDR, Zero Trust ve Bulut-Native Mimariler

XDR (Extended Detection and Response) son yıllarda hızla yayılıyor. XDR, endpoint, network, e-posta ve bulut verilerini tek platformda ilişkilendiriyor; SIEM ise bu verileri uzun süreli arşivliyor ve uyumluluk raporlaması yapıyor. İkisi birlikte kullanıldığında, kuruluşlar hem operasyonel hızı artırıyor hem de derin adli analiz yetenekleri kazanıyor.

Zero Trust mimarileri de SIEM kullanımını değiştiriyor. "Hiçbir varlığa varsayılan olarak güvenme" prensibi, her erişim girişiminin loglanmasını ve sürekli doğrulanmasını gerektiriyor. SIEM, Zero Trust ekosistemindeki IAM, NAC, mikro segmentasyon çözümlerinden gelen logları toplayarak, "least privilege" ihlallerini anında tespit ediyor. Zafiyet yönetimi hizmetlerimizde de bu logları kullanarak sürekli risk skoru hesaplıyoruz.

Sıkça Sorulan Sorular (SSS)

Sonuç: SIEM, Reaktif Değil Proaktif Savunmanın Temelidir

SIEM sistemleri, artık sadece log arşivleme aracı değil; yapay zeka, otomasyon ve tehdit istihbaratıyla donatılmış proaktif savunma platformlarıdır. Sahada 15 yıldır gözlemlediğimiz en büyük değişim, SIEM'lerin SOC ekiplerinin "göz ve kulağı" olmasından, "karar destek sistemi" haline gelmesidir. 2026'da başarılı siber güvenlik stratejileri, SIEM + SOAR + XDR üçlüsünü entegre eden, sürekli tuning yapan ve insan-makine iş birliğini optimize eden mimarilere dayanıyor.

invekor.com.tr olarak, SIEM seçiminden kuruluma, 7/24 SOC işletmesinden sürekli iyileştirmeye kadar uçtan uca hizmet sunuyoruz. Kuruluşunuzun güvenlik olgunluk seviyesini artırmak, uyumluluk gereksinimlerini karşılamak ve tehditlere anında yanıt verebilmek için bizimle iletişime geçebilir, ücretsiz altyapı değerlendirmesi talep edebilirsiniz. Unutmayın: doğru yapılandırılmış bir SIEM, sadece teknik bir yatırım değil, kurumsal güvenin ve iş sürekliliğinin güvencesidir.