SIEM nedir? Güvenlik Bilgi ve Olay Yönetimi platformunun çalışma mantığı ve mevzuat çerçevesi
Kısa cevap: SIEM (Security Information
and Event Management) yani Güvenlik Bilgi ve Olay Yönetimi; kurumun tüm
bilişim varlıklarından üretilen kayıtları tek merkezde toplayan,
normalleştiren, saklayan ve korelasyon kurallarıyla analiz eden platformdur.
Güvenlik Operasyon Merkezi (SOC) ekiplerinin ana çalışma konsolu, olay
tespitinin kalbi ve mevzuat kapsamında kayıt yönetimi yükümlülüklerinin
temel karşılığıdır. Türkiye’de 7545 sayılı Kanun ile Bilgi ve İletişim
Güvenliği Rehberi, kritik altyapı işletmecileri için pratikte SIEM kurulumunu
gerektiren yükümlülükler tanımlar.
and Event Management) yani Güvenlik Bilgi ve Olay Yönetimi; kurumun tüm
bilişim varlıklarından üretilen kayıtları tek merkezde toplayan,
normalleştiren, saklayan ve korelasyon kurallarıyla analiz eden platformdur.
Güvenlik Operasyon Merkezi (SOC) ekiplerinin ana çalışma konsolu, olay
tespitinin kalbi ve mevzuat kapsamında kayıt yönetimi yükümlülüklerinin
temel karşılığıdır. Türkiye’de 7545 sayılı Kanun ile Bilgi ve İletişim
Güvenliği Rehberi, kritik altyapı işletmecileri için pratikte SIEM kurulumunu
gerektiren yükümlülükler tanımlar.
İÇİNDEKİLER
- SIEM nedir?
- SIEM nasıl çalışır? Toplama, normalleştirme, korelasyon
- SIEM’in temel bileşenleri
- Hangi kaynaklardan kayıt toplanmalı?
- Kural tabanlı ve davranışsal tespit
- SIEM, EDR, XDR ve SOAR arasındaki fark
- Türkiye’de mevzuat çerçevesi
- SIEM projesi nasıl planlanır?
- Sık yapılan hatalar ve başarısızlık nedenleri
- SIEM olgunluğu nasıl ölçülür?
- Sıkça sorulan sorular
- Kaynaklar ve doğrulama notu
SIEM nedir?
SIEM (Security Information and Event Management), Türkçe karşılığıyla
Güvenlik Bilgi ve Olay Yönetimi; bir kurumun sunucularından, ağ
cihazlarından, güvenlik duvarlarından, uç noktalarından, kimlik
sistemlerinden, uygulama katmanından ve bulut servislerinden üretilen
kayıtları merkezî olarak toplayan, normalleştiren, saklayan ve güvenlik
odağıyla analiz eden platformdur.
SIEM, iki ana ihtiyacı birleştirir: bilgi yönetimi (log toplama,
saklama, arama, uyumluluk raporlaması) ve olay yönetimi (korelasyon,
uyarı üretimi, olay yaşam döngüsünün başlatılması). Bu iki ihtiyacın aynı
platformda birleşmesi, SIEM’i kurumsal
Siber Operasyon Merkezi’nin
(SOC) ana çalışma konsolu hâline getirir.
SIEM nasıl çalışır? Toplama, normalleştirme, korelasyon
- Toplama: Farklı kaynaklardan farklı formatlarda kayıtlar
alıcılara akıtılır (Syslog, Windows Event, API, ajan, kolektör). - Ayrıştırma ve normalleştirme: Ham kayıt tek bir şemaya çevrilir;
alan adları standartlaşır. Kaynak IP, hedef IP, kullanıcı, olay türü, süreç
adı gibi alanlar tutarlı hâle gelir. - Zenginleştirme: Kayıt üzerine varlık bilgisi, kullanıcı bilgisi,
coğrafi konum, tehdit istihbaratı göstergeleri (IOC) eklenir. - Saklama: Kayıtlar hem sıcak (hızlı sorgulanabilir) hem soğuk
(uzun süreli, uyumluluk odaklı) katmanlarda tutulur. - Korelasyon ve tespit: Kural tabanlı motor ve/veya davranışsal
analitik, kayıtları birleştirir; şüpheli örüntüyü bulur ve uyarı üretir. - Uyarı yönetimi: Uyarı olay biletine dönüşür, önceliklendirilir,
SOC analistine yönlendirilir.
SIEM’in temel bileşenleri
| Bileşen | İşlevi |
|---|---|
| Kaynak konnektörleri | Farklı sistemlerden kayıtları alan ajan, kolektör veya API bağlayıcıları. |
| Ayrıştırma motoru | Ham kaydı normalleştirilmiş şemaya çeviren bileşen; SIEM olgunluğunun sessiz belirleyicisi. |
| Saklama katmanı | Sıcak ve soğuk katman; uyumluluk için belirli asgari süre boyunca değiştirilemez saklama. |
| Korelasyon motoru | Kural, imza ve davranışsal analitik; MITRE ATT&CK odaklı tespit içeriği. |
| Uyarı ve olay yönetimi | Bildirim üretimi, önceliklendirme, olay biletine dönüşüm, SOAR entegrasyonu. |
| Arama ve raporlama | Analist arayüzü, adli inceleme sorguları, düzenleyici raporlar, panolar. |
Hangi kaynaklardan kayıt toplanmalı?
- Kimlik sistemleri: Active Directory, LDAP, MFA, tek oturum açma.
Yetkisiz erişim tespitinin ana kaynağıdır. - Uç noktalar: Windows/Linux olay kayıtları, süreç, dosya ve
kayıt defteri hareketleri (mümkünse EDR üzerinden). - Ağ: Güvenlik duvarı, IPS/IDS, ağ trafik akışı (NetFlow), proxy,
DNS, VPN. - Sunucular ve uygulamalar: Web sunucusu, uygulama sunucusu, veri
tabanı denetim kayıtları, API kapıları. - Bulut ve konteyner: Genel bulut hesap kayıtları, konteyner
zamanlayıcıları, sırlar yönetimi, IaC değişiklik kayıtları. - OT/ICS ortamı: Kritik altyapı işletmecilerinde SCADA ve saha
cihazı kayıtlarının SIEM’e taşınması. Ayrıntı için:
kritik altyapı
sınıflandırması.
Her kaynağı ayrım gözetmeksizin akıtmak SIEM’i işlevsiz hâle getirir.
Kaynak seçiminde güvenlik değeri ve maliyet birlikte
değerlendirilir; kritik olmayan gürültülü kaynaklar filtrelenir veya soğuk
katmanda tutulur.
Kural tabanlı ve davranışsal tespit
| Yaklaşım | Nasıl çalışır? | Kullanım |
|---|---|---|
| Kural tabanlı | Önceden tanımlı senaryolar (ör. beş dakikada 10 başarısız oturum + başarılı giriş). | Bilinen taktik ve teknikleri hızlı yakalar; MITRE ATT&CK odaklı kütüphaneler oluşturulabilir. |
| İmza / IOC | Tehdit istihbaratından gelen kötü niyetli IP, alan adı, dosya hash’i eşleşmesi. | Bilinen kampanyalar için düşük gürültülü ve hızlı sonuç. |
| Davranışsal (UEBA) | Kullanıcı ve varlıkların normal davranışının modeli çıkarılır; sapmalar puanlanır. | Bilinmeyen saldırgan davranışları, içeriden tehdit, kimlik bilgisi kötüye kullanımı. |
| Makine öğrenimi destekli | Anomali tespiti ve uyarı gruplaması. | Uyarı yorgunluğunun azaltılması; hâlâ insan doğrulaması gerekir. |
SIEM, EDR, XDR ve SOAR arasındaki fark
| Katman | Odak | Konumu |
|---|---|---|
| SIEM | Tüm kaynaklardan kayıt merkezileştirme, kurumsal görünürlük, uyumluluk. | SOC’un ana konsolu. |
| EDR | Uç nokta telemetrisi, tespit ve müdahale. | Uç nokta katmanı. Ayrıntı: EDR nedir? |
| XDR | Uç nokta, kimlik, e-posta, ağ, bulut telemetrisinin tek algılama katmanında birleşmesi. | Genişletilmiş algılama katmanı. |
| SOAR | Olay müdahale iş akışlarının otomatikleşmesi, oyun kitaplarının yürütülmesi. | SIEM/XDR ile entegre otomasyon katmanı. |
Bu katmanlar birbirinin alternatifi değildir. Olgun bir SOC, kayıt
merkezileştirme için SIEM, uç nokta derinliği için EDR, çok kaynaklı
tespit için XDR ve tekrarlanabilir müdahale için SOAR katmanlarını bir
arada kullanır.
Türkiye’de mevzuat çerçevesi
7545
sayılı Siber Güvenlik Kanunu, kritik altyapı işletmecileri ile kamu
kurum ve kuruluşları için olay tespit, kayıt yönetimi, izleme ve bildirim
yükümlülükleri tanımlar. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından
yayımlanan Bilgi ve İletişim Güvenliği Rehberi (BİGR), kayıt
yönetimi, kayıt bütünlüğü ve saklama süreleri konularında ayrıntılı ilkeler
belirler.
Yükümlülüklerin karşılanması, pratikte kurum içinde bir SIEM veya eşdeğer
korelasyon platformu bulunmasını ve
Siber Olaylara Müdahale
Ekibi (SOME) tarafından işletilmesini gerektirir. Kişisel veri
işleyen kurumlar için ayrıca KVKK kapsamında güvenlik olayı bildirimi ve
denetime hazır olma yükümlülükleri geçerlidir.
SIEM projesi nasıl planlanır?
- Kapsam: Kritik varlık envanteri çıkarılır; kaynaklar öncelik
sırasına konur. - Kullanım senaryoları: Tespit hedefleri belirlenir (ör.
ayrıcalıklı hesap kötüye kullanımı, yatay hareket, veri sızıntısı, kimlik
bilgisi hırsızlığı). - Kayıt olgunluğu: Her kaynağın kayıt kalitesi, zaman senkronizasyonu
ve alan yeterliliği incelenir. - Boyutlandırma: Günlük olay hacmi (EPS/EPD) ve saklama süresi
gerçekçi biçimde hesaplanır. - Devreye alma: Kaynaklar aşama aşama akıtılır; her kaynak için
kural setleri kurum ortamına uyarlanır. - Süreç ve olgunluk: Uyarı yönetimi, olay biletine dönüşüm,
tırmandırma prosedürleri ve olay sonrası inceleme yazılı hâle getirilir.
Sık yapılan hatalar ve başarısızlık nedenleri
- Her şeyi akıtma: Kullanım senaryosu belirlenmeden yapılan toplu
kayıt akışı SIEM’i pahalı bir log deposuna çevirir. - Hazır kural setinin sorgusuz kabulü: Üretici tarafından sağlanan
kural setleri kurum ortamına göre kalibre edilmezse gürültü ile
sonuçlanır. - Kayıt saatlerinin senkronize edilmemesi: Zaman kayması olan
sistemlerde korelasyon çalışmaz; adli inceleme mümkün olmaz. - Süreç yerine ürün odağı: SIEM bir ürün değil disiplindir; SOC
süreci ile eşleşmeden anlamlı sonuç üretmez. - Kayıt bütünlüğünün ihmali: Değiştirilebilir ya da eksik kayıt,
mevzuat karşısında geçersizdir; dijital delil değeri düşer.
SIEM olgunluğu nasıl ölçülür?
- Kaynak kapsamı: Kritik varlıkların ne kadarının kayıtları SIEM’e
akıtılıyor? - MITRE ATT&CK kapsaması: Kaç taktik ve teknik için üretim
seviyesinde tespit kuralı var? - Gerçek olay oranı: Uyarıların ne kadarı gerçek olaya dönüşüyor?
Sinyal-gürültü oranı düzeliyor mu? - Ortalama tespit süresi (MTTD): SIEM’in devreye girmesiyle tespit
süresi kısalıyor mu? - Kayıt saklama uyumluluğu: Mevzuatın gerektirdiği saklama süresi
ve bütünlüğü sağlanıyor mu? - Kural bakım oranı: Yeni tehditlere karşılık kaç yeni kural
üretiliyor, eski kurallar ne sıklıkla gözden geçiriliyor?
Sıkça sorulan sorular
SIEM nedir?
SIEM (Security Information and Event Management) yani Güvenlik Bilgi ve Olay Yönetimi; bir kurumun tüm bilişim varlıklarından üretilen kayıtları (log) tek merkezde toplayan, normalleştiren, saklayan, korelasyon kurallarıyla analiz eden ve güvenlik uyarısı üreten platformdur. SOC ekiplerinin ana konsolu genellikle SIEM’dir.
SIEM ile log yönetimi arasındaki fark nedir?
Log yönetimi yalnızca kayıtları toplar, depolar ve arama yapılmasına izin verir. SIEM ise bu kayıtları normalleştirir, birbiri ile ilişkilendirir, tehdit istihbaratıyla zenginleştirir ve önceden tanımlı kurallar veya davranışsal analitikle uyarı üretir. SIEM, log yönetiminin üzerine kurulu güvenlik odaklı bir katmandır.
SIEM neden önemlidir?
SIEM olmadan farklı sistemlerden gelen kayıtlar bir arada anlamlı hâle gelmez. Örneğin bir kimlik doğrulama başarısızlığı ile firewall’da görülen bağlantı denemesi ve uç noktadaki şüpheli süreç ancak birleştiğinde gerçek bir saldırı zincirini gösterir. SIEM, bu tabloyu görünür kılar ve olayın tespit süresini kısaltır.
Türkiye’de SIEM zorunluluğu var mı?
7545 sayılı Siber Güvenlik Kanunu ile Bilgi ve İletişim Güvenliği Rehberi, kritik altyapı işletmecileri için kayıt yönetimi, olay izleme, korelasyon ve bildirim yükümlülükleri getirir. Bu yükümlülüklerin pratikte karşılanması SIEM veya eşdeğer bir korelasyon platformu kurulmasını zorunlu kılar.
SIEM ile EDR ve XDR arasındaki fark nedir?
SIEM tüm kaynaklardan gelen kayıtları odağa alır ve kurumsal görünürlük sağlar. EDR uç noktalara özel algılama ve müdahale kabiliyeti sunar. XDR ise uç nokta, kimlik, e-posta, ağ ve bulut telemetrisini tek bir algılama katmanında birleştirir. Modern SOC’larda SIEM ve EDR/XDR birbirini tamamlayan katmanlardır.
SIEM projeleri neden başarısız olur?
En sık nedenler; yanlış kaynakların alınması, kayıt olgunluğunun yetersizliği, kural setinin kurum ortamına uyarlanmaması, gürültülü uyarıların filtrelenmemesi ve SIEM’in yalnızca ürün olarak görülüp operasyonel süreçle desteklenmemesidir. SIEM bir teknolojiden çok operasyonel disiplindir.
Kaynaklar ve doğrulama notu
- Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
- Cumhurbaşkanlığı Dijital Dönüşüm Ofisi — Bilgi ve İletişim Güvenliği Rehberi (kayıt yönetimi ve saklama bölümleri).
- USOM — kurumsal SOME rehberleri (kurumsal.usom.gov.tr).
- MITRE ATT&CK — tespit içeriği çerçevesi (attack.mitre.org).
- NIST SP 800-92 — Guide to Computer Security Log Management.
- NIST SP 800-137 — Information Security Continuous Monitoring for Federal Information Systems and Organizations.
İçerikte yer alan mevzuat referansları Resmî Gazete metnine, BİGR ve USOM yayınlarına dayanmaktadır. Uluslararası çerçeveler yalnızca metodolojik referans olarak kullanılmıştır. Envanter Medya bu içerikte hiçbir ürün veya hizmetin ticari tavsiyesini yapmamaktadır.
Son güncelleme: 31 Ağustos 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.
Türk savunma sanayiindeki son gelişmeler: ASELSAN, TUSAŞ, ROKETSAN, BAYKAR, HAVELSAN, MKE ve diğer savunma şirketlerinden en yeni gelişmeleri son dakika savunma sanayii haberleri sayfamızdan takip edebilirsiniz.
