Log Yönetimi ve İmzalama (Sürüm 4.0.x)
Kullanım kılavuzunun bu bölümünde log yönetimi ve imzalama sürecinden bahsedilmiştir.
Log İmzalama
KLog Server, 5651 sayılı Kanun kapsamında toplanan log kayıtlarının bütünlüğünü ve sonradan değiştirilmediğini güvence altına almak için nitelikli zaman damgası ile imzalama kullanır. İmzalama işleminde log dosyasının SHA-512 özeti hesaplanır ve Kamu SM (TÜBİTAK BİLGEM Kamu Sertifikasyon Merkezi) onaylı zaman damgası sunucusuna gönderilir; karşılığında alınan zaman damgası mührü dosyayla birlikte saklanır. Bu sayede log dosyasının belirtilen tarihte var olduğu ve o tarihten sonra değiştirilmediği bağımsız olarak doğrulanabilir.
Log kayıtları gün boyunca farklı kaynaklardan alınır ve her gün saat 00:00-01:00 arasında sıkıştırılarak Kamu SM onaylı sertifika ve SHA-512 karma algoritması ile imzalanır. Log dosyaları imzalanmadan önce sistemden indirilemez.
İmzalama ve lisans doğrulama için sunucunun aşağıdaki hedeflere kısıtlama olmaksızın bağlanabiliyor olması gerekmektedir:
- klogserver.com (TCP 443)
- kamusm.gov.tr (TCP 443)
- zd.kamusm.gov.tr (TCP 80)
İmzalama sırasında sorun oluşursa veya Kamu SM sunucusuna bağlanılamazsa KLog Server log dosyasını bekletir ve bir sonraki gün yeniden imzalamayı dener. Daha fazla bilgi için Tercihler — Bildirimler bölümünü gözden geçirebilirsiniz.
İmzalama için log kaynağının geçerli lisansa sahip olması gereklidir. Daha fazla bilgi için Lisanslama bölümünü gözden geçirebilirsiniz.
Canlı Log
"Log Yönetimi" > "Canlı Log" bölümünden Syslog kaynaklarından alınan log akışı anlık olarak izlenebilir. Birden fazla kaynak tanımlıysa kaynak seçiciden istediğiniz kaynağı seçebilirsiniz. "Otomatik Kaydır" butonunu kapatarak akışı duraklatabilirsiniz; bu işlem yalnızca ekrana yazmayı durdurur.
Log Arama
"Log Yönetimi" > "Log Arama" bölümünden log dosyaları içinde arama yapabilirsiniz:
- "Log Yönetimi" > "Log Arama" bölümüne gidiniz.
- Birden fazla kaynak tanımlıysa arama yapılacak kaynağı kaynak seçiciden seçiniz.
- Tarih seçicisinden arama yapmak istediğiniz tarihi seçiniz. Güncel tarih seçilirse imzalanmamış loglarda, geçmiş tarih seçilirse imzalanmış loglarda arama yapılır.
- Anahtar kelimeyi giriş alanına yazınız ve "Dahil et" veya "Hariç tut" modunu seçiniz. Birden fazla anahtar kelime eklemek için "Ekle" butonunu kullanınız.
- "Ara" butonuna basınız.
Log Uyarıları
"Log Yönetimi" > "Log Uyarıları" bölümünden, gelen logların içeriğine göre otomatik e-posta uyarıları tanımlanabilir. Tanımladığınız desen (kelime veya düzenli ifade) belirlediğiniz sürede eşik sayısına ulaştığında ilgili alıcılara bildirim gönderilir. Eşleştirme loglar alınırken yapıldığı için veritabanı sorgusu gerektirmez.
Yeni Log Uyarısı Ekleme
Yeni bir log uyarı kuralı eklemek için:
- "Log Yönetimi" > "Log Uyarıları" bölümüne gidiniz.
- "Yeni Kural" butonuna tıklayınız.
- "Ad" alanına kuralı tanımlayan bir isim giriniz (örn. SSH Başarısız Giriş).
- "Kaynak" listesinden kuralın uygulanacağı log kaynağını seçiniz; tüm kaynaklar için "Tüm kaynaklar" seçeneğini kullanabilirsiniz.
- "Eşleşme Türü" olarak "Kelime" (düz metin) veya "Regex" (düzenli ifade) seçiniz. Regex desenleri ve kullanılabilecek karakterler hakkında daha fazla bilgi için Regex Rehberi bölümüne bakınız.
- "Desen" alanına aranacak ifadeyi giriniz. Sağdaki "Örnek Log" kartı en son log satırını alanlara ayırarak gösterir; bir alana ya da değere tıklayarak desene ekleyebilir, arama kutusuyla bugünün loglarında örnek arayabilirsiniz.
- Gerekirse "Büyük/küçük harf duyarlı" seçeneğini açınız.
- "Eşik" alanına kaç eşleşmede uyarı verileceğini, "Süre (dk)" alanına bu eşleşmelerin sayılacağı zaman penceresini, "Bekleme (dk)" alanına ise bir uyarıdan sonra tekrar uyarı gönderilmeden önce beklenecek süreyi giriniz.
- "Alıcılar" bölümünde "Alıcı Ekle" ile bildirim alacak kişileri ekleyiniz (admin, tüm yöneticiler, kaynak sahibi veya e-posta adresi).
- "Eşleşen Loglar" kartından desenin bugünün loglarıyla eşleşip eşleşmediğini doğrulayınız.
- "Kaydet" butonuna basınız.
Tanımlı kurallar listede görüntülenir. "Aktif" sütunundaki anahtarla bir kural etkinleştirilebilir veya devre dışı bırakılabilir; düzenleme ve silme işlemleri satır sonundaki butonlardan yapılır. Bir kural devre dışı bırakıldığında birikmiş eşleşme kayıtları temizlenir.
Regex Rehberi
"Eşleşme Türü" olarak "Regex" seçildiğinde desen, POSIX Genişletilmiş Düzenli İfade (ERE) sözdizimiyle değerlendirilir ve log satırının tamamıyla karşılaştırılır. "Büyük/küçük harf duyarlı" seçeneği kapalıyken eşleştirme büyük/küçük harf ayrımı yapmadan çalışır.
Aşağıdaki karakterler özel anlam taşır:
| Karakter | Anlamı | Örnek |
|---|---|---|
. | Herhangi bir tek karakter | a.c → "abc", "axc" |
* | Önceki ifade 0 veya daha fazla kez | ab*c → "ac", "abbc" |
+ | Önceki ifade 1 veya daha fazla kez | ab+c |
? | Önceki ifade 0 veya 1 kez | renk(ler)? |
[ ] | Köşeli ayraç içindeki karakterlerden biri | [Xgr] → X, g veya r |
[^ ] | Kümede olmayan bir karakter | [^0-9] |
[a-z] | Karakter aralığı | [0-9] |
( ) | Gruplama | (ab)+ |
| | Veya | hata|error |
^ / $ | Satırın başı / sonu | ^May, denied$ |
{n,m} | Tekrar sayısı aralığı | a{2,4} |
\ | Sonraki özel karakteri sıradan yapar (kaçış) | \. → gerçek nokta |
Sıradan karakterler oldukları gibi yazılır. Tırnak ("), eşittir (=), boşluk, harfler ve rakamlar özel değildir; doğrudan yazılabilir.
\" şeklinde kaçırmayınız. Regex'te " zaten sıradan bir karakterdir; \" ise "bir ters eğik çizgi ve ardından tırnak" anlamına gelir ve log satırında böyle bir dizi bulunmadığı için eşleşme gerçekleşmez. Örneğin device="XGS" aramak için deseni device="XGS" olarak yazınız, device=\"XGS\" olarak değil.Gerçek bir özel karakteri (nokta, parantez, artı vb.) aramak için önüne ters eğik çizgi koyun: \. \( \[ \+ \*. Örnek (IP başlangıcı): src_ip=45\.136\.
Örnek desenler:
device="XG[12S]"→device="XG1",device="XG2"vedevice="XGS"ile eşleşir.(Deny|Drop)→ "Deny" veya "Drop" geçen satırlar.failed.*password→ aynı satırda "failed" ve sonrasında "password" geçen satırlar.
Log Dosyaları
"Log Yönetimi" > "Log Dosyaları" bölümünden log ve imza dosyaları indirilip yönetilebilir. Dosya adı formatları:
- Syslog kaynakları: Pack_[IP]_[YYYY-AA-GG].zip
- Paylaşılmış klasör kaynakları: Pack_[IP]_[PaylaşımAdı]_[YYYY-AA-GG].zip
- İmza dosyaları: ilgili pack dosya adına .zd eklenerek adlandırılır.
Sayfa iki bölümden oluşmaktadır:
- Yıl ısı haritası — Son 12 aylık log aktivitesi renk kodlu gösterilir. Bir aya ait takvime gitmek için ilgili satıra tıklayınız.
- Aylık takvim — Seçilen aya ait log dosyaları gösterilir. Her güne ait hücrede indirme, dışa aktarma ve imza doğrulama simgeleri bulunur.
Kaynak seçim listesinde, aktif kaynakların yanı sıra kaynağı artık etkin olmayan iki tür arşiv de görünebilir:
- Sahipsiz arşiv — Hiçbir log kaynağı kaydına bağlı olmayan, disk üzerinde bulunan imzalı arşivlerdir. Genellikle fabrika ayarlarına dönüş ya da başka bir sunucudan alınan bir yedeğin geri yüklenmesi sonucu oluşur. Arşiv Eşleştirme ile ilgili kaynağa yeniden bağlanabilir.
- Silinmiş kaynak — Daha önce eklenip silinmiş bir kaynağa ait arşivlerdir. Kaynağın kaydı silinmiş olarak işaretlenir, ancak imzalı arşivleri yasal saklama gereği korunur. Bu arşivler de gerektiğinde Arşiv Eşleştirme ile başka bir kaynağa bağlanabilir.
Arşiv Eşleştirme
Sahipsiz arşivler, hiçbir log kaynağına bağlı olmayan, disk üzerinde bulunan imzalı log arşivleridir. Genellikle fabrika ayarlarına dönüş ya da başka bir sunucudan alınan bir yedeğin geri yüklenmesi sonucunda, arşiv klasör kimlikleri yeni log kaynaklarıyla örtüşmediğinde oluşur. Arşiv Eşleştirme aracı, bu arşivleri ait oldukları log kaynaklarına yeniden bağlamanızı sağlar.
Araca erişmek için "Log Yönetimi" > "Log Dosyaları" sayfasının üst kısmındaki "Arşiv Eşleştirme" butonuna tıklayınız. Açılan pencerede her sahipsiz arşiv için şu bilgiler listelenir:
- Arşiv (son bilinen) — Arşivin en son bilinen takma adı.
- Adres — Kaynağın IP/sunucu adresi ve (paylaşılmış klasörler için) paylaşım veya bucket adı.
- Dosya — Arşivde paket bulunan gün sayısı.
- Tarih Aralığı — Arşivin kapsadığı ilk ve son tarih.
Bir arşivi bağlamak için "Kaynak" listesinden hedef log kaynağını seçip "Bağla" butonuna tıklayınız ve açılan onay penceresinde işlemi doğrulayınız. Hedef kaynağın henüz bir arşivi yoksa arşiv doğrudan o kaynağa taşınır; hedef kaynağın zaten bir arşivi varsa iki arşiv birleştirilir.
Toplu İşlemler
"Log Yönetimi" > "Toplu İşlemler" bölümünden log dosyaları toplu olarak aktarılabilir veya silinebilir.
Toplu Dışa Aktarma
- "Log Yönetimi" > "Toplu İşlemler" bölümüne gidiniz.
- "Log kaynağı" listesinden kaynağı seçiniz.
- "Tüm loglar" veya belirli bir tarih aralığı seçiniz (en az bir aylık).
- Tarih aralığı seçtiyseniz başlangıç ve bitiş aylarını belirleyiniz.
- "Aktarım hedefi" listesinden hedefi seçiniz. Hedef yoksa önce Aktarım Hedefleri bölümünden tanımlamanız gerekmektedir.
- "Logları dışa aktar" butonuna basınız ve uyarı penceresinde onaylayınız.
Dosyalar aktarım hedefinde KLogServer/[Kaynak Adı]/[Yıl]/[Ay]/ dizinine aktarılır.
Toplu Temizleme
- "Log Yönetimi" > "Toplu İşlemler" bölümüne gidiniz.
- "Log kaynağı" listesinden kaynağı seçiniz.
- Tüm logları veya belirli bir tarih aralığını seçiniz.
- "Logları sil" butonuna basınız ve uyarı penceresinde onaylayınız.
Karantina Klasörü
Bilinmeyen (sisteme kayıtlı olmayan) veya silinmiş kaynaklardan gelen log dosyaları karantina klasöründe tutulur ve 30 gün sonra otomatik olarak silinir. Karantina klasörünü daha önce temizlemek için:
- "Log Yönetimi" > "Toplu İşlemler" bölümüne gidiniz.
- "Karantina Klasörü" kartında klasörün güncel boyutunu ve öğe sayısını görebilirsiniz.
- "Karantinayı Temizle" butonuna tıklayınız.
- Açılan onay penceresinde işlemi onaylayınız.