Sistem Günlükleri Teknik İnceleme İçin Nasıl Hazırlanır?
Birol Çelik tarafından · 6 Kasım 2026
Bir girişin ne zaman gerçekleştiğini, bir isteğin hangi servise ulaştığını veya bir ayarın ne zaman değiştiğini araştırırken sistem günlükleri iyi bir başlangıç sağlar. Teknik ekibin kayıtları karşılaştırabilmesi için günlük dosyalarıyla birlikte kaynak ve zaman bilgilerini de hazırlayın.
1. Olayı hangi sistemlerin kaydettiğini belirleyin
Bir oturum açma olayında uygulama, kimlik sağlayıcısı ve ters vekil sunucu farklı aşamaları kaydedebilir. Her kaynak için sistem adını, ortamı, toplanan olay türünü ve verinin mevcut tarih aralığını yazın. Bir kaynak belirli bir olay türünü tutmuyorsa bunu baştan belirtin.
2. İlgili zaman aralığını ham biçimde dışa aktarın
İncelenecek anın öncesini ve sonrasını içeren gerekçeli bir aralık seçin. Mümkünse kaynağın desteklediği ham dışa aktarmayı kullanın. Arayüzdeki arama ölçütlerini, seçilen zaman aralığını ve dışa aktarmanın yapıldığı zamanı bir notta saklayın. Görüntülenen toplam ile dosyadaki satır sayısı farklıysa sayfalama veya dışa aktarma sınırını kontrol edin.
3. Kaynak zamanını ve saat dilimini birlikte saklayın
Günlük satırındaki özgün zaman damgasını koruyun. Çalışma tablosuna karşılaştırma için ayrı bir UTC sütunu ekleyebilirsiniz. Örneğin varsayımsal bir sistemde 10.14.32 +03:00 ile 07.14.32 UTC aynı ana karşılık gelir. Kaynağın saat ayarı veya saat dilimi belirsizse bunu not edin ve eşleştirmeyi kesin olarak işaretlemeyin.
4. Birleştirme için ortak alanları not edin
İstek kimliği, olay türü, sonuç kodu ve kaynak zaman damgası gibi alanlar farklı günlüklerin karşılaştırılmasına yardımcı olur. Örneğin uygulamadaki hata kaydı ile vekil sunucudaki isteğin aynı istek kimliğine sahip olması bir eşleştirme dayanağı sunar. Alan ortak değilse zaman yakınlığını ve diğer göstergeleri birlikte değerlendirin.
5. Eksikleri ve paylaşım sınırını kayda alın
Saklama süresi, günlük rotasyonu, sonradan devreye alınan kayıt ayarları ve erişilemeyen zaman aralıklarını açıklayın. Kayıt bulunamayan bir zaman diliminde hangi kaynakların kapsandığını belirtin. Teknik ekibe ilk aşamada kapsamı ve alan listesini iletin. Günlüklerdeki erişim anahtarlarını ve ilgisiz kişisel verileri paylaşım kopyasından ayırın, orijinali kendi güvenli ortamınızda koruyun.
Teknik ekibe iletilecek kısa paket
- Yanıtlanmasını istediğiniz soru ve tarih aralığı.
- Kaynak listesi, dışa aktarma filtreleri ve ham dosyalar.
- Saat dilimleri, ortak alanlar ve kayıt boşlukları.
- Hangi kopyaların nasıl paylaşılacağına ilişkin aktarım notu.
Elinizde hangi kayıtların bulunduğunu birlikte değerlendirmek için dosya ön değerlendirmesi talep edebilirsiniz. İlgili okuma: Dijital deliller nasıl değerlendirilir?
Teknik kaynak: NIST SP 800-92, Guide to Computer Security Log Management.