SIEM maliyetini oluşturan 6 kalem
- Lisans. EPS, veri hacmi (GB/gün), cihaz sayısı ya da kullanıcı bazlı modeller var. Üç yıl sonra ne ödeyeceğinizi lisansın fiyatından çok modelin kendisi belirler.
- Donanım ve altyapı. Sunucular, SSD/NVMe diskler, ağ. İndeksleme kullanan mimarilerde indeks dosyaları için ayrıca disk ve RAM gerekir.
- Log depolama. Saklama süresi uzadıkça düz orantılı büyür. 5651 kapsamında 2 yıl saklıyorsanız disk ihtiyacınız 1 yıla göre ikiye katlanır.
- Kurulum ve eğitim. Devreye alma haftalar sürüyorsa bu süre danışmanlık ve proje maliyeti olarak size döner.
- Bakım ve güncelleme. Yıllık bakım bedeli, artı sürüm geçişlerinin kesinti ve efor maliyeti.
- Operasyon ekibi. Kural yazımı, parser bakımı, kapasite yönetimi derken ürünü ayakta tutmak ciddi kişi-saat ister. Özel sorgu dili olan ve sürekli tuning isteyen ürünlerde bu iş tam zamanlı mühendis kadrosuna dönüşür.
Lisans modeli, fiyat etiketinden daha önemli
Veri hacmi üzerinden fiyatlanan modellerde yeni bir log kaynağı eklemek doğrudan faturayı büyütür. Bu da güvenlik ekibini "hangi logu toplamasak?" diye düşünmeye iter ki bu sorunun kendisi başlı başına bir güvenlik riskidir. EPS bazlı modellerde ise tepe yük anlarını doğru planlamak gerekir. Teklif alırken satıcıya şu soruyu sorun: log hacmim her yıl %30 büyürse üç yılda ne öderim? Modeller arasındaki gerçek fark bu cevapta ortaya çıkar. Oriana'da lisans hacim büyümesini cezalandırmaz; platform kapsamı ve saklama süresi üzerinden ilerler. Kaynak sayınıza göre tahmini modeli lisans hesaplayıcıda görebilirsiniz.
Log depolama: en hızlı büyüyen kalem
Depolama ihtiyacını üç şey belirler: EPS, ortalama olay boyutu ve saklama süresi. Hesap basit:
Günlük ham log (GB) = EPS × ortalama olay boyutu (byte) × 86.400 / 10⁹
Örnek verelim. 5.000 EPS ve 500 byte ortalama olay boyutuyla günde yaklaşık 216 GB ham log üretirsiniz. Yılda 79 TB eder. İndeksleme kullanan sistemlerde üstüne bir de indeks dosyalarının yükü biner.
Burada mimari fark devreye giriyor. Elasticsearch tabanlı sistemler hızlı arama için veriyi indeksleriyle birlikte RAM'e yaslar; canlı veri kısa bir süre sıcak tutulur, gerisi ya silinir ya da yavaş bir arşive iner. Oriana'da ise veri baştan beri diskte yaşar ve yıllarca orada kalır. Veriyi bu kadar uzun süre diskte tutabilmemizin sırrı sıkıştırma: patentli Minimize algoritması arşiv verisini iç testlerde 1/40 oranına kadar sıkıştırıyor. Yani kabaca 40 GB log, diskte 1 GB yer kaplıyor. Deduplication da tekrar eden kayıtları ayıklayarak bunun üzerine ek tasarruf sağlıyor. Kendi EPS'inize ve saklama sürenize göre rakamları log depolama maliyeti hesaplayıcıda birkaç saniyede görebilirsiniz.
EPS, olay boyutu ve saklama süresi faturayı nasıl değiştirir?
- EPS maliyete iki kez yazılır: hem lisans kademesini hem donanım boyutunu belirler. Şişirilmemiş ama tepe yükü de hesaba katan bir EPS tahmini, vereceğiniz en etkili maliyet kararıdır.
- Olay boyutu gözden kaçar: ayrıntılı audit politikaları ortalama olay boyutunu 300 byte'tan 800 byte'a çıkarabilir. Aynı EPS'te 2,5 kat fazla disk demek bu.
- Saklama süresini mevzuat belirler: 5651, KVKK ve sektör düzenlemeleri alt sınırı koyar. Sıcak/arşiv ayrımı yapmayan mimarilerde bütün bu veri pahalı diskte yaşar. Doğrusu, güncel verinin SSD'de durması, arşivin HDD ya da Object Storage'a inmesidir.
Üç yıllık TCO tablosu nasıl kurulur?
Kısa listenizdeki her ürün için aynı tabloyu doldurun. Dolduramadığınız her hücre, satıcıya sorulacak bir soru demektir:
- Lisans: yıl 1, 2, 3 (yüzde 30 hacim büyümesi senaryosuyla)
- Sunucu donanımı ve büyüme payı
- Sıcak disk (SSD/NVMe) ve arşiv depolama (HDD/Object)
- Kurulum, entegrasyon, eğitim (tek seferlik)
- Yıllık bakım ve destek
- Operasyon eforu: kişi-saat/ay × 36 ay
Tabloyu doldururken satıcı rakamlarının hangi koşulda ölçüldüğünü de sorun. Biz kendi rakamlarımızın ölçüm koşullarını performans test metodolojisi sayfasında açık açık yazıyoruz; aynısını her satıcıdan isteyin.
Maliyeti asıl düşüren şey: mimari
SIEM maliyetinde kazanç lisans pazarlığından değil, mimari seçimden gelir. İndeks veritabanı olmayan bir motor; indeks disklerini, indeksleme için harcanan CPU ve RAM'i, bir de indeks bakım eforunu baştan ortadan kaldırır. Diskte sıkıştırma, saklama süresi uzadıkça etkisi katlanan bir tasarruf sağlar. Hazır kural seti ve arayüzden kural yazımı da tam zamanlı tuning mühendisi ihtiyacını azaltır. Bu üçünün toplamı, üç yıllık dönemde çoğu zaman lisans bedelinin kendisinden büyüktür.
Sonuç
SIEM maliyetini teklif sayfasından değil, üç yıllık TCO tablosundan okuyun. Lisans modelinin büyüme senaryosundaki davranışı, depolamanın saklama süresiyle çarpan etkisi ve operasyon eforu asıl belirleyiciler. Rakamları doğrulamanın en kısa yolu da kendi log verinizle yapılmış bir POC.
Kendi EPS'inizle başlangıç rakamlarını görmek için log maliyeti hesaplayıcıyı deneyin; üç yıllık TCO'nuzu birlikte çıkarmak isterseniz demo talebi bırakın.
Son güncelleme: 1 Kasım 2026. Performans ve tasarruf değerleri iç test sonuçlarıdır; ortama ve veri setine göre değişir. Ölçüm koşulları için performans test metodolojisi sayfamıza bakabilirsiniz.