Bir olay sonrası soruşturmada ilk soru hep aynıdır: bu bağlantıyı kim kurdu? Elinizde yalnızca 10.20.7.42 varsa iş yeni başlıyor demektir. O adres o saatte hangi bilgisayardaydı? O bilgisayarda kim oturum açmıştı? DHCP kirası ne zaman değişti? Kayıtlar farklı sistemlerde, farklı saat dilimlerinde ve çoğu zaman eksik.
Kayıt neden kişiyle tutulmalı?
5651 sayılı kanun ve ilgili düzenlemeler, kurumların iç ağlarındaki erişim kayıtlarını belirli bir süre saklamasını ve bu kayıtların sonradan değiştirilmediğini ispatlayabilmesini bekler. Ama denetimin ötesinde asıl ihtiyaç operasyoneldir: güvenlik ekibi, bir uyarı geldiğinde kiminle konuşacağını bilmek zorundadır.
NameDefence her DNS sorgusunu kaydederken istemci IP'sini kullanıcı ve bilgisayar adıyla eşler:
- Active Directory veya LDAP ile bilgisayar ve kullanıcı eşlemesi
- Microsoft Entra ID'ye katılmış cihazlarda kullanıcı adı
- Kurum dışındaki dizüstü bilgisayarlarda uç nokta ajanının bildirdiği oturumdaki kullanıcı
- Yerleşik DHCP sunucusunun kira kayıtları ve cihaz parmak izi
Böylece log satırında "10.20.7.42" değil, "KURUM\ayse.yilmaz, MUH-PC-14" yazar. Kullanıcı analitiği ekranı da IP geçmişine değil bu damgaya göre çalışır; bir kişinin DHCP adresi gün içinde değişse bile sorguları tek yerde görünür.
Zaman damgalı arşiv
Kayıt tutmak yetmez; o kaydın sonradan değiştirilmediğini gösterebilmek gerekir. NameDefence günlük DNS ve DHCP kayıtlarını sıkıştırılmış arşiv dosyalarına yazar ve her dosyanın özetini RFC 3161 uyumlu bir zaman damgası sunucusuna imzalatır. Damga, dosyanın o tarihte bu içerikle var olduğunu kanıtlar; tek bir bayt değişse doğrulama başarısız olur.
Arşivler belirlediğiniz süre boyunca saklanır, süresi dolanlar kendiliğinden silinir. Zaman damgası sunucusu olarak kurumunuzun anlaştığı herhangi bir sağlayıcı kullanılabilir.
Raporlar
Denetim zamanı geldiğinde ihtiyacınız olan şey ham log değil, anlaşılır rapordur. KVKK, ISO 27001 ve BDDK için hazır rapor şablonları; log saklama, erişim, izleme ve web filtreleme gibi kontrollerin üründe nasıl karşılandığını tek belgede gösterir.
Kısacası
IP adresi bir insan değildir. Kaydı kişiyle tutun, arşivi zaman damgasıyla mühürleyin; soruşturma da denetim de dakikalar içinde biter.