SIEM Log Normalizasyonu: Ham Olaydan Ortak Alanlara
SIEM Nedir? (Security Information and Event Management) teknolojisi, siber güvenlikte log yönetimi, tehdit algılama ve olay müdahalesi için neden gereklidir? En iyi SIEM araçları ve çalışma mantığı bu rehberde.
SIEM log normalizasyonu, farklı ürünlerin olay alanlarını ortak bir analiz modeline dönüştürmektir. Bir kaynak src_ip, başka bir kaynak clientAddress yazabilir. Analistin aynı arama mantığını kullanabilmesi için bu alanların anlamı doğru eşleştirilmelidir.
Ham Log, Ayrıştırma ve Normalizasyon Farkı
- Ham log: Kaynak sistemin ürettiği özgün kayıt.
- Ayrıştırma: Kayıttaki alanların belirlenip çıkarılması.
- Normalizasyon: Alanların SIEM’in ortak alan ve olay modeline eşlenmesi.
Alanı çıkarmak tek başına yeterli değildir. Bir IP adresi yanlışlıkla hedef yerine kaynak alanına yazıldığında kayıt aramada görünse bile korelasyon yanlış bağlamla çalışabilir.
Temsili Bir Olay Üzerinde Alan Eşleme
Bu kayıt eğitim için kurgulanmıştır; gerçek bir ürün payload’u veya müşteri logu değildir.
timestamp=2026-10-08T10:00:00Z action=login user=lab_user src_ip=192.0.2.10 dst_ip=192.0.2.20 result=failed| Alan | Kontrol sorusu |
|---|---|
| timestamp | Olayın üretildiği zaman mı, SIEM’e ulaştığı zaman mı? |
| user | Etkinliği yapan hesap mı, kaydı yazan servis mi? |
| src_ip / dst_ip | Bağlantıyı başlatan ve hedef sistem doğru mu? |
| action / result | İşlem ve başarısı ayrı alanlar mı? |
Yeni Log Kaynağı İçin Kabul Kontrolü
- Kaynakta bir başarılı ve bir başarısız test işlemi üretin.
- Ham kaydı SIEM’de görüntüleyin; beklenen kaynağa ait olduğunu doğrulayın.
- Zaman dilimi, kullanıcı, IP ve sonuç alanlarını payload ile karşılaştırın.
- Aynı alanlarla arama yapın; ilgili olayların doğru bulunduğunu kontrol edin.
- Alan kaybolması, boş değer ve beklenmeyen olay sınıfını kayda alın.
QRadar’da Neye Bakılır?
Log Activity ekranında olayın payload’u ile normalize alanlarını birlikte inceleyin. Doğru log source type ve DSM seçimi, ürünün olayları yorumlama biçimini etkiler. Özel özellikler ile çıkarılan değerleri birden fazla payload örneğinde doğrulayın; tek örneğe uyan bir desenin farklı olaylara da uyduğunu varsaymayın.
Kaynak ve Kapsam
Genel olay toplama ve analiz çerçevesi için IBM SIEM açıklaması; QRadar ürün bilgisi için IBM QRadar SIEM. Alan tablosu ve kabul testi bu rehber için hazırlanmış örneklerdir.
İlgili Rehberler
