5651 Hangi Loglar Tutulur? Zorunlu Log Türleri

İşletmelerin sıkça karşılaştığı bir karmaşa: "Hangi logları tutmam gerekiyor?" Bu yazıda yasal zorunluluk altındaki log türlerini tek tek açıklıyoruz.

\n\n

Zorunlu Log Türleri

\n\n

1. Bağlantı (Session) Logları

Her internet oturumu için tutulması gereken temel kayıtlar:

Kullanıcının kaynak IP adresi (statik/dinamik)
Kullanıcının kaynak portu
Hedef IP adresi
Hedef portu
Kullanılan protokol (TCP, UDP, ICMP, vb.)
Bağlantı başlangıç zamanı
Bağlantı bitiş zamanı
Aktarılan veri miktarı (byte)

\n\n

2. NAT Logları

İç ağdaki bir IP'nin dış ağda hangi IP'ye çevrildiği bilgisi. Erişim sağlayıcı veya kurumsal NAT kullanılıyorsa zorunludur.

İç IP / İç port
Dış IP / Dış port (NAT sonrası)
Çevrim başlangıç ve bitiş zamanı

\n\n

3. Hotspot Kullanıcı Kayıtları

Toplu kullanım sağlayıcılar için zorunludur:

Kullanıcının cep telefonu numarası (SMS doğrulama)
TC kimlik numarası (zorunlu durumlarda)
Ad-soyad bilgisi
Bağlantı yapılan cihazın MAC adresi
Atanan IP adresi
Oturum başlangıç ve bitiş zamanı

\n\n

4. DHCP Logları

Hangi MAC adresine hangi IP'nin verildiğini gösteren kayıtlar:

MAC adresi
Atanan IP adresi
Lease süresi
Lease başlangıç ve bitiş zamanı

\n\n

5. DNS Sorgu Logları (Önerilir)

Zorunlu olmamakla birlikte, adli denetimde önemli olan DNS sorguları:

Sorgu yapan IP
Sorgulanan domain adı
Sorgu zamanı

\n\n

6. Authentication / RADIUS Logları

Kimlik doğrulama kayıtları (özellikle 802.1X kullanılıyorsa):

Kullanıcı adı
Doğrulama yöntemi
Doğrulama sonucu (başarılı/başarısız)
İstemci cihaz bilgisi

\n\n

Log Üretimi Yapılması Gereken Cihazlar

Firewall: FortiGate, Palo Alto, Cisco ASA, SonicWall, Check Point, Sophos, WatchGuard
Router/Switch: MikroTik, Cisco, Juniper, HP/Aruba, H3C
Wireless Controller: Aruba, Ruijie, Ubiquiti, Cisco WLC, Meraki
Sunucu: Active Directory (Logon/Logoff), Linux (auth.log)
Hotspot/NAC: SignLogger Hotspot, Cisco ISE

\n\n

Log Bütünlüğü ve Zaman Senkronizasyonu

Tutulan tüm loglar:

NTP ile senkron edilmiş zaman bilgisi taşımalı;
Elektronik imza veya hash zinciri ile bütünlüğü ispatlanmalı;
TÜBİTAK Kamu SM gibi yetkili kurumlardan alınan zaman damgası ile mühürlenmeli;
Yetkisiz erişime karşı şifreli ortamda saklanmalı.

\n\n

SignLogger ile Tüm Log Türleri

SignLogger yukarıdaki tüm log türlerini tek bir merkezi platformda toplar, normalize eder, elektronik imza ile mühürler ve aramaya hazır hâle getirir. SignLogger, günlük logları yetkili sertifika merkezi (TÜBİTAK Kamu SM) zaman damgası ve e-imzasıyla her gün otomatik imzalar; bu imzalama TÜBİTAK Kamu Sertifikasyon Merkezi (Kamu SM) entegrasyonu üzerinden yapılır: entegrasyon adımında her müşteri kendi Kamu SM kullanıcı adı ve parolasını SignLogger'a tanımlar, zaman damgası kontörünü de Kamu SM'den kendi adına satın alır; kontör bulunmadığında günlük imzalar sunucunun kendi sertifikası ve zaman damgasıyla atılır. Detay için dokümanlarımızı inceleyin.

Cihaz Türüne Göre Log Kaynakları

\n\n\n\n\n\n\n\n\n\n\n

Kaynak	Üretilen log	Toplama yöntemi
Firewall / UTM	Bağlantı (session), NAT, web filtreleme	Syslog (UDP/TCP 514), CEF
DHCP sunucusu	IP–MAC eşleştirme kayıtları	Syslog veya ajan (Windows DHCP için SignAgent)
Kablosuz kontrolcü / AP	İstemci ilişkilendirme, roaming	Syslog
Hotspot / captive portal	Kullanıcı doğrulama ve oturum kayıtları	RADIUS accounting, portal veritabanı
Proxy / DNS sunucusu	Alan adı ve URL erişimleri	Syslog
Windows sunucuları	Oturum açma, olay günlükleri	SignAgent ile ajan tabanlı toplama

\n\n

Doğru Loglamanın Ön Koşulu: Zaman Senkronizasyonu

Adli bir talepte NAT logu, DHCP kaydı ve hotspot oturumu saniye hassasiyetinde eşleştirilir. Tüm cihazların aynı NTP kaynağına senkron olması bu yüzden zorunludur; 30 saniyelik bir kayma bile yanlış kullanıcının işaret edilmesine yol açabilir. SignLogger kurulumlarında ilk kontrol listesi maddesi NTP yapılandırmasıdır.

\n\n

Format ve İletim: Syslog mu, CEF mi?

Çoğu cihaz standart syslog (RFC 5424) gönderir; kurumsal güvenlik duvarları ayrıca alan bazlı ayrıştırmayı kolaylaştıran CEF (Common Event Format) destekler. SignLogger her ikisini de kabul eder; Palo Alto için örnek CEF yapılandırması bu rehberde anlatılır. İletimde UDP yaygındır; kayıpsız aktarım istenen yoğun ortamlarda TCP tercih edilebilir.

\n\n

Örnek Olay: Bir Adli Talep Nasıl Eşleştirilir?

Sürecin neden bu kadar çok log türü gerektirdiğini bir senaryoyla görelim. Kolluk kuvvetinden gelen talep şöyle olsun: "12 Mart 2026 saat 21:47'de X.X.X.X IP adresinden ve 44321 numaralı porttan şu adrese erişen kullanıcının kimliği."

NAT logu: 21:47'de dış IP X.X.X.X:44321'i kullanan bağlantının iç kaynağı bulunur → 10.5.50.23:51544.
DHCP logu: O saatte 10.5.50.23 IP'sinin hangi MAC adresine atandığı bulunur → AA:BB:CC:DD:EE:FF.
Hotspot oturum kaydı: Bu MAC ile açık oturumun hangi doğrulanmış kullanıcıya ait olduğu bulunur → SMS ile doğrulanmış +90 5xx ... numarası.
Zaman damgası: Üç kaydın da imzalı arşivden geldiği, dolayısıyla sonradan değiştirilmediği ispatlanır.

Zincirdeki tek bir halka eksikse (örneğin DHCP logu tutulmamışsa) eşleştirme kişiye kadar inemez ve yükümlülük yerine getirilmemiş sayılabilir. Bu dört kaynağın tamamını tek platformda toplamanın yolu için 5651 Log Alma Zorunluluğu rehberine bakın.

Sık Sorulan Sorular

İçerik (paket içeriği) kaydetmek gerekiyor mu?

Hayır — 5651 trafik bilgisi ister (kim, ne zaman, nereye); paket içeriğinin kaydedilmesi gerekmez ve KVKK açısından da önerilmez.

Loglar hangi sırayla işlenir?

Toplama → normalize etme → günlük dosyalara yazma → zaman damgası + e-imza → sıkıştırılmış arşiv. İmzalama adımının ayrıntısı için E-İmzalı Log ve Zaman Damgası yazısına bakın.

Tek platformda hepsini toplayabilir miyim?

Evet — SignLogger firewall, DHCP, AP, hotspot ve Windows kaynaklarını tek sunucuda toplar; genel bakış için 5651 Log Alma Zorunluluğu rehberi ve özellikler sayfası.