Gece yarısı bir sunucuya art arda üç başarısız SSH denemesi gelir. Aynı gece, başka bir sunucuda normalde hiç kullanılmayan bir yönetici hesabı aktif olur. Bir üçüncüsünde, mesai saatleri dışında büyük bir dosya dışarı çıkar. Tek başına bakıldığında bu üç olayın hiçbiri alarm zili çaldırmaz; loglara gömülü, sıradan görünen kayıtlardır. Ama aynı gece, aynı IP aralığından geldiklerini fark ederseniz işte o zaman iş değişir. SIEMler de tam olarak bu korelasyon işi için vardır.
Akademik anlamda SIEM, bir altyapı/sistemden gelen logları toplama, depolama ve birbirleri ile ilişkilendirme işlevlerini üstlenen sistemdir ve günümüz güvenlik sistemlerinin temel elemanlarından biri haline gelmiştir. Ama "neden gerekli" sorusunun cevabı akademik tanımdan çok, rakamlarda saklı.
Görünürlük Sorunu Aslında Bir Ölçek Sorunu
Uzaktan çalışan personeller, bulut servisleri, IoT gibi cihazlar dolayısı ile kurumların sınırları artık eskisi gibi net değil. On yıl önce bir güvenlik ekibi "ağımız" derken tek bir binayı, birkaç sunucu odasını kastediyordu; bugün aynı cümle bir sürü SaaS uygulamasını, birden fazla bulut hizmet sağlayıcısını ve evden bağlanan yüzlerce cihazı kapsıyor.
Bu karmaşada her sistemi tek tek, elle takip etmek gerçekçi değil -O kadar cihaza merkezi bir konumdan erişim sağlamak zaten ayrı bir mesele-. SIEM'in yaptığı temel iş şudur: Syslog gibi protokoller veya kurulan agent programlar aracılığı ile sanal makineler, fiziksel makineler, güvenlik duvarları, antivirüs yazılımları, yönlendiriciler gibi donanım/yazılımlardan logları çekmek, depolamak ve verilen kurallar kapsamın korele etmektir.
Asıl Mesele Hız
SIEM meselesinin en önemli noktası burada. IBM'in 2025 Veri İhlali Maliyeti Raporu'na göre tüm dünya genelinde bir ihlalin fark edilip müdahale edilmesi 241 gün sürmektedir[2]. Bu, son dokuz yılın en iyi rakamı olmasına rağmen sekiz aya yakın bir süre demek. Sekiz ay boyunca bir saldırganın sistemde kalabilmesi demek
Rapor, bu sürenin maliyetle doğrudan orantılı olduğunu da gösteriyor: 200 günün altında yakalanan ihlaller, bu süreyi aşan ihlallere göre açıkça daha ucuza mal oluyor[2]. Küresel ortalama ihlal maliyeti 2025'te 4.44 milyon dolara geriledi. Bu düşüşün büyük kısmının yapay zekâ destekli tespit araçlarının savunma ekosistemimine girmesine bağlanılıyor[2]. Aynı raporda savunma maliyetini azaltan faktörler arasında güvenlik analitiği ve SIEM kullanımı, ihlal başı yaklaşık 212 bin dolarlık bir tasarruf ile listede yerlerini alıyorlar[2]. Yani SIEM'e yapılan yatırım bir lüks değil, doğrudan ileride tasarruf yapmamızı sağlayan bir yatırım.
İçeriden Gelen Tehdit
Güvenlik bütçelerinin büyük kısmı dışarıdan gelecek saldırılara ayrılır. Anlaşılır bir şey ,dışarıdaki tehdit daha somut bir olgu. Ama Ponemon Enstitüsü'nün DTEX Systems için hazırladığı 2025 raporu farklı bir durumu gözler önüne koymakta: içeriden kaynaklanan ihlaller kurumlara yılda ortalama 17.4 milyon dolara mal oluyor, üstelik bu rakam 2023'teki 16.2 milyon dolardan fazla durumda[3]. Bir içeriden olayın fark edilip kapatılması ortalama 81 gün sürüyor 2023'e göre biraz ilerleme var (86 gündü) ama yine de rahatsız edici derecede uzun bir pencere[3].
Bunun sebebi basit: işten ayrılmadan önce sessizce dosya indiren bir çalışan ya da paylaşılan bir hesabı normalde kullanılmayan saatlerde kullanan biri, güvenlik duvarının ya da antivirüsün radarına girmez. Bu tür sapmaları yakalayan şey, SIEM'in kullanıcı ve varlık davranış analitiği (UEBA) katmanıdır - kişinin normal davranışını öğrenip oradan sapmayı algılar[1].
KVKK'nın 72 Saati
Türkiye'de 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası, kişisel verilerin hukuka aykırı yollarla ele geçirilmesi durumunda veri sorumlusunu kuruma ve ilgili kişilere en kısa sürede bildirim yapmakla yükümlü tutuyor. Kişisel Verileri Koruma Kurulu bu "en kısa süre"yi 2019/10 sayılı kararıyla somutlaştırdı: ihlalin öğrenildiği andan itibaren en geç 72 saat içinde bildirilmesi gerekiyor[4].
Burada gözden kaçan bir şey var: vy 72 saatin başlangıcı ihlalin gerçekleştiği an değil, kurumun bunu makul özenle öğrenmesi gereken andır. Yani "biz bunu fark etmedik" savunması pek işe yaramıyor denetim, sizin ne zaman fark etmeniz gerektiğini de sorguluyor[4]. Elinizde zaman damgalı, tutarlı bir log kaydı yoksa bu 72 saatlik pencereyi savunmak neredeyse imkansız hale geliyor. GDPR ve ISO 27001 gibi diğer çerçevelerde de benzer bir mantık işliyor; SIEM'in ürettiği aranabilir log arşivi burada bir yan fayda değil, doğrudan bir gereklilik.
Yoğun Alarmlar
Şimdi biraz gerçekçi olalım. SIEM satan her firma kurulunca tam görünürlük vaad eder. Sahadaki tablo ise maalesef değil. ACM Computing Surveys'te yayımlanan güncel bir makale, SOC analistlerinin yüksek alarm hacmiyle baş edemediğini gösteriyor; aktarılan bir Trend Micro anketine göre SOC ekiplerinin yarısından büyük kısmı alarm yükünden yorulmuş hissediyor, analistler zamanlarının dörtte birinden fazlasını yanlış pozitifleri (false-positive) elemekle geçiriyor[5]. Sebep basit: SIEM'ler genelde yanlış negatifi önlemeye odaklandığı için tam tersi yönde fazlasıyla yanlış alarm üretiyor[5].
Bunun pratik anlamı şu: bir SIEM'i yönlendirici veya access point gibi kurup unutamazsınız. Kural setlerini kurumun kendi ihtiyaçlarına göre ince ayar yapmak, eşikleri zamanla düzeltmek, gereksiz alarmları ayıklamak. Bunların hepsi sürekli bakım gerektiren süreçler. Kötü ayarlanmış bir SIEM çözünürlük yerine gürültü üretir; bu da analistleri gerçek tehditlere karşı körleştirir.
İyi ayarlanmış bir SIEM ile vasat ayarlanmış bir SIEM arasındaki fark da tam bu noktada, kural setinde saklı. Rastgele yazılmış korelasyon kuralları -"beş dakikada üç başarısız giriş varsa alarm ver" gibi- gerçek saldırganları yakalamakta yetersiz kalıyor, çünkü saldırganlar da bu eşikleri fark ediyor ve etraflarından zamanla dolanmayı öğreniyor. MITRE ATT&CK yapısını referans alan kurallar burada fark yaratıyor. Saldırganın belirli bir taktiği nasıl gerçekleştirdiğini bilerek kural yazmak hangi durumların daha şüpheli olduğu sorusuna çok daha temiz yanıtlar veriyor. Akademik incelemeler de mevcut SIEM'lerin çoğunda korelasyon kurallarının hâlâ çok temel seviyede kaldığını, gelişmiş sapma analizinin az sayıda üründe mevcut olduğunu bildiriyor[1]. Yani bir SIEM satın almak işin yarısı; kuralları o kurumun kendi tehdit modeline göre yazmak diğer yarısı.
Sağlık ve Finans: Aynı Araç, Farklı Riskler
SIEM'in önemi sektörden sektöre göre de değişiyor. Sağlık kuruluşlarında gerçek zamanlı analitik, ölçeklenebilir log yönetimi ve uyumluluk raporlaması hasta verisini tek bir panelden izlemeyi mümkün kılıyor[1]. Finans tarafında ise resim biraz daha karmaşık: iş süreçlerinin bulut servisleri ve üçüncü partilerle genişlemesi, sıkı mevzuat baskısı ve genelde fark edilmeden kalan içeriden tehditler bir arada işliyor[1]. Modern SIEM'lerin UEBA katmanı burada da devreye giriyor bir kullanıcının alışılmış davranışından sapması anında işaretleniyor, anormal ağ trafiği üzerinden veri sızdırma girişimleri yakalanabiliyor[1]. Hesap suistimali takibi, denetim izinin korunması ve dolandırıcılık tespiti de finans kurumlarının SIEM'den beklediği ek faydalar arasında[1].
SIEM Tek Başına Yeterli Değil
SIEM kapalı bir sistem değil. SOAR çözümleri ile tehdit istihbaratı platformları ve uç nokta tespit araçları, SIEM'in eksik kaldığı yerleri tamamlıyor[1]. Literatürdeki eğilim şöyle: SIEM giderek uyumluluk ve daha geniş bir operasyonel risk platformuna dönüşürken, XDR daha odaklı ve derin tehdit tespitine odaklanıyor; ikisinin bir araya gelmesi ağ ve kullanıcı aktivitesine dair çok daha ayrıntılı bir görüntü veriyor[1]. Kısacası, bir SIEM lisansı satın almak bir mimari kurmakla aynı şey değil.
İyi haber şu ki bu artık büyük kurumlara özgü bir lüks değil. Bulut tabanlı, yönetilen SIEM hizmetleri küçük ve orta ölçekli kurumların da bu altyapıya erişebilmesini sağlıyor. Akademik tarafta da benzer bir yön var - makine öğrenmesi tabanlı veri toplama ve analiz yöntemlerini SIEM'e entegre eden çalışmalar[6], çok katmanlı saldırı tespiti için ilişkilendirme motorlarını yeniden tasarlayan araştırmalar[7] hep aynı hedefe koşuyor: SIEM'i daha erişilebilir, daha az insan emeği gerektiren bir hale getirmek.
SIEM'in Sınırları da Var
González-Granadillo ve ekibinin incelemesi bu konuda bizi şu sonuca ulaştırıyor: hiçbir SIEM gereken tüm veriyi maliyet etkin biçimde toplayamıyor, ilişkilendirme kuralları çoğu zaman temel düzeyde kalıyor, depolama kapasitesi sınırlı ve insana bağımlı müdahale süreçleri yavaş ve hataya açık[1]. Yazarlar, gelecek nesil SIEM'lerin yapay zekâ, SOAR entegrasyonu ve daha iyi risk metrikleriyle bu açıkları kapatması gerektiğini söylüyor[1]. Yani SIEM mucizevi bir kutu değil; doğru kurulduğunda ve sürekli bakımı yapıldığında işe yarayan bir araç.
Sonuçta
241 günlük ortalama tespit süresi, içeriden tehditlerin 17 milyon doları aşan yıllık faturası, 72 saatlik bildirim yükümlülüğü... Bu rakamlar yan yana durunca ortaya çıkan tablo net: merkezi görünürlüğü olmayan bir kurum ciddi bir kör noktayla yaşıyor demektir. Sağlık ve finans gibi hassas veri işleyen sektörlerde bu kör nokta yalnızca parasal değil, hukuki ve itibari bir soruna da dönüşebiliyor.
SIEM sihirli bir çözüm değil - alarm yorgunluğu, veri eksikliği, insana bağımlılık gibi gerçek sınırları var[1][5]. Bir SIEM lisansı satın almak, tek başına o kör noktayı kapatmıyor; doğru kurulum, doğru kural seti ve onu takip edecek yetkin bir ekip olmadan raflarda duran pahalı bir yazılımdan öteye geçemiyor. Ama bu şartlar sağlandığında SIEM, olayları erken tespit etmek, olay sonrası analiz yapmak, uyumluluk yükünü hafifletmek ve içeriden gelen riskleri görünür kılmak için elimizdeki en temel araç olmaya devam ediyor.
Asıl soru "saldırıya uğrar mıyım?" değil; "saldırıyı ne kadar hızlı fark edip müdahale edebilirim?" SIEM, bu soruya cevap vermenin maliyetini değil, cevapsız kalmanın maliyetini düşüren taraf.