SIEM Nedir? Nasıl Çalışır, Ne İşe Yarar? Kurumsal Rehber

urumunuzda her gün binlerce güvenlik olayı gerçekleşiyor. Firewall logları, sunucu erişim kayıtları, VPN bağlantıları, başarısız giriş denemeleri, uygulama hataları… Bunların tamamına aynı anda bakmak mümkün değil. Ama aralarındaki bağlantıyı gören bir sistem varsa — işte o sistem SIEM’dir.

Bu rehberde SIEM’in ne olduğunu, nasıl çalıştığını, KVKK log yükümlülüğüyle bağlantısını, SOC ve XDR ile ilişkisini ve kurumunuz için doğru yaklaşımı kapsamlı biçimde ele alıyoruz.

SIEM Nedir?

SIEM (Security Information and Event Management — Güvenlik Bilgi ve Olay Yönetimi); kurumsal IT altyapısındaki tüm güvenlik olaylarını gerçek zamanlı olarak toplayan, ilişkilendiren, analiz eden ve raporlayan merkezi güvenlik platformudur.

İki temel teknolojinin birleşiminden oluşur:

SIM (Security Information Management): Logların uzun süreli depolanması, analizi ve uyumluluk raporlaması.

SEM (Security Event Management): Gerçek zamanlı olay izleme, korelasyon ve uyarı yönetimi.

SIEM bu iki işlevi tek platformda birleştirir: hem geçmişi saklar hem anlık tehditleri tespit eder.

SIEM Nasıl Çalışır?

1. Log Toplama

SIEM, kurumdaki tüm sistemlerden log verisi toplar:

• Güvenlik duvarları ve NGFW’ler (Fortinet FortiGate, Sophos XGS)
• Sunucular ve işletim sistemleri (Windows, Linux)
• Ağ cihazları (switch, router, access point)
• Kimlik ve erişim yönetimi sistemleri (Active Directory, Azure AD)
• Uç nokta güvenlik çözümleri (EDR/XDR)
• Bulut platformları (Microsoft 365, Azure, AWS)
• Veritabanları ve kritik uygulamalar
• VPN ve uzaktan erişim sistemleri

2. Normalleştirme

Farklı sistemlerden farklı formatlarda gelen loglar ortak bir yapıya dönüştürülür. Fortinet’in logu ile Windows Olay Günlüğü farklı formatlar kullanır; SIEM bunları karşılaştırılabilir hale getirir.

3. Korelasyon

SIEM’in en kritik özelliği budur. Tek bir logdaki olay zararsız görünebilir. Ama birden fazla kaynaktan gelen olaylar bir araya geldiğinde tehdit ortaya çıkar.

Örnek: “Bir kullanıcı 5 dakika içinde 50 farklı sunucuya erişmeye çalıştı” tek başına bir log değil, birden fazla sistemden gelen verilerin korelasyonuyla tespit edilir. Bu, yatay hareket (lateral movement) girişiminin klasik işaretidir.

4. Uyarı ve Önceliklendirme

Tespit edilen şüpheli aktiviteler güvenlik ekibine iletilir. Uyarılar risk seviyesine göre önceliklendirilir; düşük öncelikli uyarılar gürültüye karışmaz, kritik tehditler öne çıkar.

5. Raporlama ve Arşivleme

KVKK, ISO 27001 ve diğer uyumluluk gereksinimleri için loglar belirli süre saklanır ve denetim raporları üretilir.

SIEM’in Temel Yetenekleri

Gerçek Zamanlı Tehdit Tespiti

Saldırıların büyük çoğunluğu gerçekleşirken tespit edilemez — genellikle haftalar sonra fark edilir. SIEM korelasyon kuralları ve anomali tespiti ile tehditleri erken aşamada yakalar.

İçeriden Gelen Tehditleri Tespit Etme

Çalışanın mesai saatleri dışında sistemlere erişmesi, normalde hiç erişmediği veritabanını sorgulaması, büyük miktarda veri indirmesi — bunlar SIEM’in tespit ettiği davranışsal anormalliklerdir.

Kullanıcı Davranış Analizi (UEBA)

Modern SIEM çözümleri UEBA (User and Entity Behavior Analytics) özelliğiyle kullanıcıların normal davranış profilini öğrenir. Bu profilden sapma tespit edildiğinde otomatik uyarı üretir.

Olay Müdahale Zaman Çizelgesi

Bir güvenlik olayı yaşandığında “ne zaman, nerede, kim, ne yaptı” soruları yanıtlanabilmeli. SIEM tam olay kronolojisini sunar — adli analiz için vazgeçilmez.

Uyumluluk Raporlaması

KVKK, ISO 27001, PCI-DSS, BDDK gereksinimleri için hazır rapor şablonları ve otomatik log saklama politikaları.

SIEM ve KVKK: Zorunlu Bir Bağlantı

2026 itibarıyla KVKK Kurulu denetimlerinde log yönetimi ve izleme altyapısı olmayan şirketlere “teknik tedbir eksikliği” gerekçesiyle yaptırım uygulandığı görülüyor.

KVKK kapsamında SIEM’in karşıladığı gereklilikler:

Erişim loglarının tutulması: Kişisel veri içeren sistemlere kimin, ne zaman, nereden eriştiği kayıt altına alınmalıdır. SIEM bu kayıtları merkezi ve değiştirilemez biçimde saklar.

Veri ihlali tespiti: 72 saatlik bildirim yükümlülüğü için ihlali hızla tespit eden bir altyapı şarttır. Log izleme yoksa ihlal geç fark edilir, bildirim süresi kaçırılır.

İz sürülebilirlik: Bir ihlal yaşandığında hangi veriye kim erişti, ne zaman kopyaladı, nereye gönderdi — bunların yanıtlanabilmesi için arşivlenmiş log gereklidir.

Teknik tedbir kanıtı: KVKK Kurulu denetiminde “teknik tedbirleri aldınız mı?” sorusuna SIEM logları ve raporları somut kanıt olarak sunulabilir.

KVKK teknik uyum rehberi →

SIEM, SOC ve XDR Farkı Nedir?

Bu üç kavram sıklıkla birbirine karıştırılır.

SIEM

Log toplama, korelasyon ve uyarı üretme platformudur. Teknoloji katmanıdır — insan analisti olmadan tam potansiyeline ulaşamaz.

SOC (Security Operations Center)

SIEM verisini yorumlayan, uyarıları değerlendiren, tehditlere müdahale eden insan ekibidir. SOC analistleri SIEM’i kullanır ama SIEM bir SOC değildir.

XDR (Extended Detection & Response)

SIEM’in daha modern evrimi olarak da tanımlanabilir. Uç nokta (EDR), ağ, bulut ve kimlik verilerini entegre ederek daha otomatik tehdit tespiti ve müdahale sunar. Bazı kuruluşlar SIEM yerine XDR’ye geçmeyi tercih ediyor.

Popüler SIEM Çözümleri

IBM QRadar

Kurumsal segmentte en köklü SIEM platformlarından biridir. Gelişmiş korelasyon motoru, yapay zeka destekli tehdit tespiti ve kapsamlı entegrasyon desteğiyle büyük ölçekli ortamlara uygundur. MBR Teknoloji, IBM Security QRadar konusunda deneyimli mühendis ekibiyle danışmanlık, kurulum ve fine-tuning hizmetleri sunmaktadır.

Microsoft Sentinel

Azure üzerine inşa edilmiş bulut-native SIEM çözümüdür. Microsoft 365 ve Azure ekosistemiyle doğal entegrasyonu ile özellikle Microsoft altyapısı yoğun kurumlar için güçlü bir seçenek. Kullandıkça öde modeli esneklik sağlar.

Splunk

Veri analizi odaklı, yüksek esneklikte SIEM çözümüdür. Özelleştirme kapasitesi çok yüksek ama uzmanlık gerektirir. Büyük kurumsal yapılar için tercih edilir.

Elastic SIEM

Açık kaynak tabanlı, uygun maliyetli seçenek. Teknik ekibi güçlü kurumlar için etkili bir alternatif. Lisans maliyeti düşük ama yönetim yükü yüksek.

Fortinet FortiSIEM

Fortinet altyapısıyla derin entegrasyon sunar. FortiGate, FortiEDR ile birlikte kullanıldığında güçlü görünürlük sağlar. Fortinet ekosistemi ağırlıklı kurumlar için avantajlı.

SIEM Kurumunuz İçin Uygun mu?

Her kurumun SIEM’e ihtiyacı vardır ama her kurumun aynı SIEM yaklaşımına ihtiyacı yoktur.

Kesinlikle SIEM Gerektirenler

• 50+ kullanıcılı ve kişisel veri işleyen şirketler (KVKK log yükümlülüğü)
• Finans, sağlık, e-ticaret sektörleri (BDDK, sektörel düzenlemeler)
• ISO 27001 sertifikası almak veya sürdürmek isteyen kurumlar
• Siber sigorta yaptırmak isteyen kurumlar (çoğu poliçe log yönetimi istiyor)
• Sızma testi sonucu “görünürlük eksikliği” tespit edilen kurumlar

Küçük İşletmeler İçin Alternatifler

10-50 kullanıcılı küçük işletmeler için tam ölçekli kurumsal SIEM yerine şu alternatifler değerlendirilebilir:

• Yönetilen SIEM / SOC hizmeti: SIEM platformunu kendiniz kurmak yerine servis olarak almak
• EDR/XDR çözümleri: Uç nokta merkezli görünürlük, SIEM’e kıyasla daha kolay yönetim
• Firewall log yönetimi: Temel log izleme için NGFW’nin entegre analitik yetenekleri

SIEM Başarısı İçin Kritik Faktörler

SIEM satın almak yetmez; doğru kurulumu ve sürekli bakımı gerektirir.

Log Kaynağı Kapsamı

SIEM’e bağlı olmayan sistem kör noktadır. Tüm kritik sistemlerin log kaynağı olarak tanımlanmış olması şarttır.

Korelasyon Kurallarının Özelleştirilmesi

Varsayılan kurallar başlangıç için iyi ama kurumun özel altyapısına göre kurallar özelleştirilmelidir. Çok fazla yanlış pozitif uyarı güvenlik ekibini yorar ve gerçek tehditlerin gözden kaçmasına neden olur.

Düzenli Fine-Tuning

SIEM statik bir araç değildir. Altyapı değiştikçe, yeni sistemler eklendikçe, korelasyon kuralları güncellenmeli; eski ve gereksiz kurallar temizlenmelidir.

İnsan Faktörü

SIEM uyarı üretir; yorumlamak, önceliklendirmek ve müdahale etmek insan gerektirir. Yeterli güvenlik analisti kapasitesi olmadan SIEM yalnızca uyarı deposuna dönüşür.

MBR Teknoloji SIEM Hizmetleri

MBR Teknoloji olarak IBM Security QRadar başta olmak üzere kurumsal SIEM platformlarında uçtan uca hizmet sunuyoruz.

Hizmet kapsamımız:

• Mevcut log yönetimi altyapısı değerlendirmesi
• SIEM platform seçimi ve mimari tasarım
• IBM QRadar kurulum ve yapılandırması
• Log kaynaklarının bağlanması ve normalleştirilmesi
• Korelasyon kuralları geliştirme ve özelleştirme
• KVKK ve uyumluluk rapor şablonları
• Periyodik fine-tuning ve bakım
• Yönetilen SIEM hizmeti (SOC-as-a-Service)

Güvenlik Testleri ve SIEM Hizmetlerimizi inceleyin →