SIEM nedir; TR7 loglarını SIEM'e göndermek ne sağlar?

Kısa cevap

SIEM (Security Information and Event Management), farklı kaynaklardan gelen güvenlik ve olay loglarını tek merkezde toplayan, korelasyon kurallarıyla birbiriyle ilişkilendiren ve alarm üreten sistemdir (NIST CSRC); Splunk, QRadar ve ArcSight bu tür ürünlerdir. TR7 loglarının SIEM'e gönderilmesi diğer sistemlerle birlikte merkezi izleme ve korelasyon, SIEM kurallarıyla gerçek zamanlı uyarı, cihaz kapasitesinden bağımsız uzun süreli saklama ve denetim izlerinin cihaz dışında ayrı bir kopyasını sağlar (Log Forwarding · Ne işe yarar). TR7'de cihaz logları Log Forwarding ile, vService erişim ve WAF logları vService'e atanan Logs profiliyle, AGS denetim olayları AGS Log Forwarding profiliyle Syslog üzerinden gönderilir. WAF saldırı bilgisinin hangi alanlarla gideceği WAF Management'taki SIEM & Attack Details kartında belirlenir.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Settings → General Settings → Log Forwarding	Log Sources (User Logs, Notification Logs, GTM Logs, Health Check Logs), Message Format	Kullanıcı, bildirim, GTM ve health check loglarını SIEM'e gönderme
Load Balancer → Profiles → Logs	Line Format: CEF Format, TR7 JSON Format, TR7 WAF Log	vService erişim loglarını ve WAF saldırı bilgisini SIEM'in ayrıştırabileceği biçimde gönderme
Left Monitor Panel → WAF-Protected vServices → vService → WAF Management	SIEM & Attack Details kartı: Attack Details in WAF Info, Attack Payload in WAF Info, WAF Info Language	Log satırına eklenen saldırı bilgisinin (WAF info) alanlarını, payload'ını ve dilini belirleme
AGS → Integrations → Log Forwarding	Log Forwarding profili	AGS denetim olaylarını (giriş, MFA, kilitleme, oturum) SIEM'e gönderme

• WAF loglarının SIEM'e gönderilmesi: WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)? · Yalnızca saldırı kayıtları: SIEM'e yalnızca saldırı kayıtlarını gönderebilir miyim?
• Log biçimleri: CEF (Common Event Format) nedir; TR7'de hangi loglar CEF biçiminde gönderilebilir?

Sık Karıştırılan Noktalar

• "TR7 kendi başına bir SIEM'dir." TR7 logları üretir, cihazda gösterir ve gönderir; farklı kaynakların korelasyonu ve uzun süreli analiz SIEM tarafında yapılır.
• "Tek bir ayar bütün logları SIEM'e yollar." Cihaz logları, vService erişim ve WAF logları ve AGS denetim olayları üç ayrı ekrandan gönderilir.
• "SIEM & attack details kartı logları SIEM'e gönderir." Kart yalnızca saldırı bilgisinin içeriğini belirler; gönderimi vService'e atanan Logs profili yapar, profil atanmamışsa saldırı bilgisi hiçbir yere gitmez.

Dokümantasyonda nasıl yapılır

• Log Forwarding · Ne işe yarar
• Logs profili · SIEM entegrasyonu
• SIEM & Attack Details
• AGS · Log Forwarding

İlgili sorular

• Logları SIEM'e (Syslog) nasıl gönderirim?
• WAF loglarını SIEM'e nasıl gönderirim; hangi formatlar saldırı bilgisini yapısal taşır (CEF, JSON)?
• SIEM'e gönderilen saldırı alanları nelerdir (score, severity, scope, name, category, CWE, MITRE, CAPEC, OWASP, target)?