5651 Log Tutma: Denetimde En Sık Çıkan Eksik ve Hazırlık Listesi
Oktay Alver · Kurucu, ADEA SistemKısaca. 5651 kapsamında erişim kayıtlarını tutmak tek başına yetmiyor. ADEA Sistem'in yıllar içinde katıldığı denetimlerde en sık çıkan bulgu, sunucu ve cihaz envanteriyle log toplanan kaynakların uyuşmaması. Envanterde olup log göndermeyen tek bir cihaz, denetimde sorulduğunda panik yaratıyor. Çözüm, log kaynaklarının ayrı bir envanterini tutmak ve onu düzenli olarak gerçek envanterle karşılaştırmak.
Bu yazı genel bilgi amaçlıdır, hukuki tavsiye değildir. Yükümlülüklerinizin kesin kapsamı için mevzuat.gov.tr'deki güncel kanun ve yönetmelik metnini ve bir hukukçuyu esas alın.
5651 kimleri kapsıyor?
5651 sayılı kanun, kişilere belli bir yerde ve belli bir süre internet kullanım olanağı sağlayanları toplu kullanım sağlayıcı olarak tanımlıyor. Yaygın yoruma göre çalışanlarına ya da misafirlerine internet veren şirketler de bu kapsamda değerlendiriliyor. Oteller, hastaneler, okullar ve ofisler bunun tipik örnekleri.
Ne tutulmalı, ne kadar saklanmalı?
Güncel yönetmelik metnine göre tutulması gereken erişim kayıtları üç bilgiden oluşuyor.
- İç ağda dağıtılan IP adresi.
- Bu IP adresinin kullanılmaya başlandığı ve bittiği zaman.
- O IP adresini kullanan cihazın MAC adresi.
Bu kayıtların elektronik ortamda kurumun kendi sistemlerinde tutulması ve iki yıl saklanması gerekiyor. Pratikte bu bilgiler çoğunlukla DHCP sunucusundan ve güvenlik duvarından toplanır.
Kaynak: Barikat, 5651 sayılı kanun bilgilendirme yazısı, İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik metni.
Zaman damgası zorunlu mu?
Sık duyulan bir bilgiye göre logların TÜBİTAK veya KamuSM'den alınan zaman damgasıyla imzalanması zorunlu. Oysa kanun ve yönetmelik metninde belirli bir kurumdan zaman damgası alınması şart koşulmuyor. Yine de zaman damgası, kayıtların sonradan değiştirilmediğini kanıtlamanın en kolay yoludur. Bu yüzden çoğu kurum kullanıyor, kullanmaya da devam etmeli.
Denetimde en sık çıkan eksik
Denetimlerde loglar çoğunlukla tutuluyor. Sorun, hangi kaynakların log gönderdiğini kimsenin tam bilmemesi. Denetçi sunucu ve cihaz envanterini ister, sonra listeden bir cihazı seçip "bunun logları nerede?" diye sorar. Envanterde olup log göndermeyen bir cihaz çıktığında cevap verilemez ve panik başlar.
Bu uyuşmazlık genellikle şöyle oluşur.
- Yeni eklenen cihazlar. Yeni bir sunucu, erişim noktası ya da şube güvenlik duvarı kurulur ama log sistemine eklenmesi unutulur.
- Sessizce kesilen kaynaklar. Bir güncelleme, ayar değişikliği ya da IP değişikliğinden sonra cihaz log göndermeyi bırakır ve kimse fark etmez.
- Kaldırılan cihazlar. Envanterden çıkarılan cihazlar log sisteminde kalır ya da tersi olur, iki liste birbirinden uzaklaşır.
- Ayrı tutulan listeler. Sunucu envanterini bir ekip, log sistemini başka bir ekip ya da dışarıdan bir firma yönetir. İki liste hiç karşılaştırılmaz.
Denetime hazırlık listesi
- Log kaynakları envanteri çıkarın. Her kaynak için cihaz adı, IP adresi, gönderdiği log türü ve logların gittiği sistem yazılsın.
- Gerçek envanterle karşılaştırın. Sunucu, güvenlik duvarı, DHCP sunucusu ve kablosuz denetleyici listesindeki her cihaz log kaynakları listesinde de olmalı.
- Son log zamanını kontrol edin. Her kaynaktan en son ne zaman log geldiğine bakın. Günlerdir log gelmeyen kaynak, kesilmiş bir kaynaktır.
- Log gelmeyince uyarı kurun. Kullandığınız SIEM veya log yönetim ürünü bir kaynaktan belirli süre log gelmediğinde uyarı verecek şekilde ayarlansın.
- Ayda bir karşılaştırma yapın. Envanter değişikliklerini log sistemine yansıtmayı bir değişiklik adımı haline getirin.
- Örnek sorgu hazırlayın. Belirli bir tarih ve IP adresi için hangi cihazın kullandığını gösteren sorguyu denetimden önce deneyin.
Güvenlik duvarlarının log göndermeye devam ettiğini izlemek için FortiGate tarafında neler yapılabileceği FortiGate kurulum ve yönetim sayfamızda.
Bizimle hazırlık
Yaklaşık yirmi yıldır ISO 27001, BTK, SPK ve GİB özel entegratörlük denetimlerine katılıyoruz. 5651 hazırlığında log kaynakları envanterini çıkarıyor, gerçek envanterle karşılaştırıyor ve eksik kaynakları log sistemine bağlıyoruz. Ayrıntılar sistem yönetimi ve siber güvenlik hizmetlerimiz sayfasında.