5651 Loglama: Firewall Yapılandırması ve Bulut Avantajları

5651 Sayılı Kanun ve Firewall Loglama Zorunluluğu: Yasal Çerçeve

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, Türkiye'de internet erişimi sunan tüm kurum ve işletmeleri kapsamlı log kaydı tutmaya mecbur kılmaktadır. Kanunun 6. maddesi ve BTK'nın 2014/DK-ÇED/467 sayılı Kararnamesi, erişim sağlayıcılarının kullanıcı bağlantı kayıtlarını en az bir yıl süreyle saklamasını zorunlu tutar. Bu kayıtlar; kullanıcı IP adresi, bağlantı zamanı (başlangıç-bitiş), atanan dinamik IP, MAC adresi ve zaman damgası (timestamp) gibi kritik verileri içermelidir.

Firewall cihazları, ağ güvenliğinin yanı sıra bu yasal yükümlülüğün yerine getirilmesinde birincil veri kaynağıdır. FortiGate, Sophos XG/XGS, MikroTik RouterOS, SonicWall TZ/NSa serisi gibi kurumsal güvenlik duvarları, varsayılan yapılandırmalarında trafik loglarını üretir ancak 5651 uyumluluğu için özel syslog formatı, zaman senkronizasyonu ve kesintisiz saklama altyapısı gerektirir. Yasal denetimler sırasında BTK veya Emniyet Müdürlüğü tarafından talep edilen kayıtların eksik, bozuk veya zaman damgası tutarsız olması halinde, işletmeler 5651 madde 9/B uyarınca 50.000 TL'den başlayan idari para cezalarıyla karşılaşabilmektedir.

Bu yazıda, yaygın firewall platformlarında 5651 uyumlu loglama yapılandırmasını adım adım inceleyecek, ardından donanım tabanlı log saklama ile bulut tabanlı NextLog5651 çözümünü disk dolma, yedekleme karmaşıklığı ve maliyet açısından karşılaştıracağız.

Firewall Platformlarında 5651 Uyumlu Syslog Yapılandırması

FortiGate Serisi: Syslog ve Log Filtreleme

Fortinet FortiGate cihazları, GUI ve CLI üzerinden esnek syslog yapılandırması sunar. 5651 uyumluluğu için traffic log kategorisinin mutlaka aktif edilmesi ve harici bir syslog sunucusuna yönlendirilmesi gerekir. FortiOS 7.x sürümlerinde yapılandırma şu adımları izler:

• Log & Report > Log Settings menüsünden "Syslog" seçeneğini etkinleştirin.
• Syslog sunucu IP adresini (örn. NextLog5651 bulut alıcı IP'si veya yerel log sunucusu) ve port numarasını (varsayılan 514/UDP veya güvenli 6514/TCP-TLS) girin.
• Log Filter bölümünde "Traffic" kategorisini işaretleyin; "Forward Traffic" ve "Local Traffic" alt kategorilerini dahil edin.
• Facility ve Severity ayarlarını "local7" ve "information" olarak belirleyin; bu, log hacmini kontrol altında tutar ancak yasal gereklilik olan tüm bağlantı kayıtlarını yakalar.
• CLI üzerinden config log syslogd setting komutuyla reliable modunu etkinleştirerek TCP tabanlı güvenilir iletim sağlayın; bu, ağ kesintilerinde log kaybını önler.

FortiGate'in yerleşik disk alanı (örneğin FortiGate 60F modelinde 64 GB SSD), yoğun trafikte 7-10 gün içinde dolabilir. Bu nedenle harici syslog hedefi olmadan 5651 uyumluluğu sağlanamaz. Ayrıca FortiAnalyzer gibi ek donanım satın alımı, lisans ve bakım maliyetlerini önemli ölçüde artırır.

Sophos XG/XGS Firewall: Syslog ve SIEM Entegrasyonu

Sophos XG ve XGS serisi, Firewall Rule bazında detaylı loglama ve merkezi syslog iletimi destekler. 5651 için kritik olan "User Activity" ve "Firewall" log türlerini yapılandırmak gerekir:

• Log Settings > Syslog Server bölümünden yeni bir sunucu tanımı oluşturun; IP, port ve protokol (UDP/TCP) belirtin.
• "Firewall" ve "User Activity" kategorilerini seçin; bu, kullanıcı kimlik doğrulama (hotspot/captive portal) ve trafik geçiş kayıtlarını kapsar.
• Sophos'un RFC 5424 formatı kullandığını doğrulayın; NextLog5651 gibi modern log alıcıları bu standardı otomatik ayrıştırır.
• Zaman senkronizasyonu için System > Administration > Time menüsünden NTP sunucularını (örn. tr.pool.ntp.org) yapılandırın ve saat dilimini "Europe/Istanbul" olarak ayarlayın; yasal raporlarda zaman damgası tutarsızlığı en sık rastlanan ret nedenidir.

Sophos Central gibi bulut yönetim platformları log depolama sunsa da, KVKK madde 12 uyarınca kişisel verilerin yurt dışı sunucularda saklanması izin gerektirir. NextLog5651'in Türkiye veri merkezli bulut altyapısı bu sorunu ortadan kaldırır.

MikroTik RouterOS: Syslog ve Action Kuralları

MikroTik cihazları, düşük maliyet ve yüksek esneklik nedeniyle KOBİ ve otel sektöründe yaygındır. Ancak varsayılan yapılandırma 5651 uyumlu değildir; manuel firewall action kuralları ve syslog yapılandırması şarttır:

• /system logging action menüsünden yeni bir "remote" action oluşturun; hedef IP ve port belirtin.
• /system logging altında "firewall" topic'ini yeni action'a yönlendirin: add topics=firewall action=remote.
• Firewall filter chain'inde action=accept kurallarına log=yes log-prefix="5651" parametresi ekleyin; bu, kabul edilen trafiğin loglanmasını sağlar (varsayılan sadece drop loglanır).
• NAT kurallarında da log=yes aktif edin; dinamik IP ataması (DHCP) kayıtlarıyla eşleştirme için /ip dhcp-server lease loglarını da syslog'a yönlendirin.
• MikroTik'in dahili belleği (örn. RB4011 modelinde 1 GB RAM) log buffer'ı için yetersizdir; 24 saat içinde eski kayıtlar silinir. Gerçek zamanlı syslog iletimi olmadan 5651 uyumluluğu imkansızdır.

MikroTik'in The Dude veya User Manager gibi ek yazılımları log toplama sunsa da, bunlar ayrı sunucu kurulumu ve bakım gerektirir. Bulut tabanlı çözümler bu karmaşıklığı ortadan kaldırır.

SonicWall TZ/NSa Serisi: Log Kategorileri ve Offload

SonicWall cihazları, "Connection" ve "Security Services" log kategorilerini ayrı ayrı yönetir. 5651 için her iki kategori de gereklidir:

• Log > Syslog menüsünden "Enable Syslog" işaretleyin; sunucu IP, port ve format (BSD/IETF) seçin.
• "Connection Events" altında "All Connections" seçeneğini aktif edin; bu, izin verilen trafiği de loglar (varsayılan sadece engellenen bağlantılar).
• "Security Services" kategorisinde IPS, Anti-Malware ve Content Filtering loglarını dahil edin; yasal soruşturmalarda bu veriler talep edilebilir.
• SonicWall'un Log Offload özelliğini kullanarak, dahili flash belleğe yazma yerine doğrudan syslog'a iletim yapın; bu, cihaz performansını artırır ve disk aşınmasını önler.

SonicWall Analytics gibi ek lisanslar, yıllık binlerce dolar maliyet getirir. NextLog5651, tek bir abonelikle sınırsız cihaz entegrasyonu sunar.

Donanım Tabanlı Loglama: Disk Dolma ve Yedekleme Sorunları

Geleneksel yaklaşımda, firewall logları yerel bir sunucuda (Windows/Linux) veya NAS cihazında saklanır. Bu modelin üç kritik sorunu vardır:

1. Disk Kapasitesi ve Maliyet Sarmalı

Orta ölçekli bir işletme (100 kullanıcı, 500 GB/gün trafik), günde ortalama 2-5 GB syslog verisi üretir. Bir yıllık saklama için minimum 1 TB, güvenli yedekleme dahil 3 TB disk alanı gerekir. Disk dolduğunda:

• Eski loglar otomatik silinir (log rotation); bu, yasal talep sırasında eksik kayıt anlamına gelir ve ceza riski doğurur.
• Kapasite artırımı (disk ekleme/değiştirme) kesinti ve veri taşıma maliyeti getirir.
• RAID yapılandırması, yedek güç kaynağı gibi donanım yatırımları toplam maliyeti katlar.

Bulut tabanlı NextLog5651, otomatik ölçeklendirme ile disk dolma sorununu ortadan kaldırır; kullanıcı hiçbir müdahale yapmadan kapasite ihtiyaç anında artırılır.

2. Yedekleme ve Felaket Kurtarma Karmaşıklığı

5651 kayıtları, yangın, sel, hırsızlık gibi fiziksel risklere karşı korunmalıdır. Yerel sunucu modelinde:

• Günlük/haftalık yedekleme scriptleri yazılmalı, test edilmeli ve izlenmelidir.
• Yedek kopyalar fiziksel olarak farklı lokasyonda (offsite) saklanmalıdır; bu, ek depolama maliyeti ve lojistik gerektirir.
• Veri bütünlüğü (checksum/hash doğrulama) sürekli kontrol edilmelidir; bozuk yedek, yasal talep sırasında işe yaramaz.
• Geri yükleme (restore) testleri düzenli yapılmalıdır; birçok işletme, felaket anında yedeklerin çalışmadığını öğrenir.

NextLog5651, coğrafi olarak dağıtık veri merkezlerinde otomatik replikasyon yapar; kullanıcı hiçbir yedekleme işlemi yönetmez, sistem 7/24 veri bütünlüğünü garanti eder.

3. Donanım Arızası ve Bakım Yükü

Yerel log sunucuları, disk arızası, güç kaynağı bozulması, fan arızası gibi risklere açıktır. Ortalama bir sunucunun MTBF (Mean Time Between Failures) değeri 3-5 yıldır; bu süre içinde en az bir kritik bileşen değişimi gerekir. Arıza sırasında:

• Log toplama durur; yasal yükümlülük ihlali başlar.
• Yedek parça temini ve teknisyen müdahalesi zaman alır; özellikle küçük şehirlerde günler sürebilir.
• Veri kurtarma maliyeti, bazen yeni sunucu maliyetini aşar.

Bulut altyapısı, SLA (Service Level Agreement) ile %99,9 uptime garantisi sunar; donanım arızası kullanıcıyı etkilemez, otomatik failover devreye girer.

Bulut Tabanlı NextLog5651: Donanımsız Loglama Avantajları

NextLog5651, firewall ve hotspot loglarını doğrudan bulut altyapısına ileten SaaS modelidir. FortiGate, Sophos, MikroTik, SonicWall gibi tüm platformlarla syslog protokolü üzerinden entegre olur; cihazda sadece hedef IP yapılandırması yeterlidir. Donanımlı çözümlere göre avantajları:

Gerçek Dünya Senaryosu: Otel Zinciri Örneği

50 odalı bir otel, günde ortalama 200 misafir cihazı (telefon, tablet, laptop) bağlar. Her cihaz günde 1-3 GB trafik üretir; toplam 400 GB/gün. MikroTik veya Sophos firewall, günde yaklaşık 8 GB syslog oluşturur. Yerel sunucu modelinde:

• 1 TB disk, 125 günde dolar; yıllık saklama için 3 TB gerekir.
• Yedekleme için ek 3 TB harici disk veya NAS: 15.000-25.000 TL.
• Elektrik, soğutma, bakım: yıllık 5.000-8.000 TL.
• IT personeli veya dış hizmet: yıllık 20.000-40.000 TL.
• Toplam 5 yıllık maliyet: 250.000-400.000 TL.

NextLog5651 ile aynı otel:

• Aylık 1.500 TL abonelik (sınırsız log, otomatik yedekleme dahil).
• 5 yıllık maliyet: 90.000 TL.
• %70-75 maliyet tasarrufu; sıfır donanım ve bakım yükü.

Ayrıca NextLog5651, Opera PMS, Elektraweb, Amonra gibi otel yönetim sistemleriyle entegre çalışır; misafir check-in/check-out kayıtları otomatik eşleştirilir, yasal raporlama tam otomatik hale gelir.

Zaman Senkronizasyonu ve Yasal Geçerlilik

5651 uyumluluğunda en çok gözden kaçan nokta, zaman damgası tutarlılığıdır. BTK denetimleri, log kayıtlarının UTC veya yerel saat diliminde (Europe/Istanbul) tutarlı olmasını, NTP senkronizasyonunun aktif olmasını kontrol eder. Firewall, log sunucusu ve hotspot sistemlerinin saat farkı 1 saniyeden fazla olmamalıdır; aksi halde kayıtlar yasal delil olarak kabul edilmez.

NextLog5651, gelen her syslog mesajına sunucu tarafında UTC zaman damgası ekler ve cihaz saati ile karşılaştırır; 5 saniyeden fazla sapma durumunda otomatik uyarı gönderir. Kullanıcı, dashboard üzerinden tüm cihazların NTP durumunu gerçek zamanlı izler.

NTP Yapılandırma Kontrol Listesi

• FortiGate: System > Settings > System Time; NTP sunucuları: 0.tr.pool.ntp.org, 1.tr.pool.ntp.org, 2.tr.pool.ntp.org
• Sophos: System > Administration > Time; "Synchronize with NTP" aktif; saat dilimi Europe/Istanbul
• MikroTik: /system ntp client set enabled=yes primary-ntp=0.tr.pool.ntp.org secondary-ntp=1.tr.pool.ntp.org
• SonicWall: System > Settings > Time; NTP sunucuları ekle; "Use NTP" işaretle
• Tüm cihazlarda saat dilimi Europe/Istanbul olmalı; UTC kullanıyorsanız raporlarda +3 saat dönüşümü yapın.
• Ayda bir NTP senkronizasyon loglarını kontrol edin; sürekli başarısız denemeler, ağ veya firewall kuralı sorununa işaret eder.

KVKK ve Kişisel Veri Güvenliği: Bulut vs Yerel

6698 sayılı Kişisel Verilerin Korunması Kanunu, 5651 loglarının kişisel veri kapsamında olduğunu belirtir (IP adresi, MAC adresi, kullanıcı kimliği). KVKK madde 12, veri işleyenin teknik ve idari tedbirler almasını zorunlu kılar:

• Erişim kontrolü: Sadece yetkili personel log kayıtlarına erişmeli; her erişim loglanmalı.
• Şifreleme: Loglar disk üzerinde ve iletim sırasında şifrelenmelidir (AES-256, TLS 1.2+).
• Anonim hale getirme: Yasal saklama süresi dolduktan sonra (1 yıl + 6 ay ek süre), veriler anonim hale getirilmeli veya silinmelidir.
• Veri ihlali bildirimi: Yetkisiz erişim durumunda 72 saat içinde KVKK Kurumu'na bildirim yapılmalıdır.

Yerel sunucu modelinde, bu tedbirlerin uy