SIEM'e Log Almadan Önce: NTP Saat Senkronu Neden Kritik

Merhaba,

SIEM'e log akıtmaya başlamadan önce en sık atlanan konu: saat senkronu. Dağınık zaman damgaları korelasyonu öldürür; saldırı zaman çizelgesi güveneceği kalmaz. Bu yazıda neden kritik olduğunu ve Linux'ta chrony ile nasıl düzelteceğinizi anlatıyorum.

Ne bozulur?

• Aynı oturumun firewall logu 14:01, sunucu auth logu 13:48 görünür
  
• Kerberos / sertifika doğrulama hataları (saat kayması)
  
• SIEM kuralı "5 dakika içinde 10 fail" eşiğini kaçırır veya yanlış tetikler
  
• Adli zaman çizelgesi mahkemede / postmortem'de çöker
  

chrony kurulumu (Debian/Ubuntu)
Reference ID ve System time satırlarına bakın. "Last offset" mikrosaniye-milisaniye bandındaysa iyidir; saniyelerce kayma varsa kaynak veya firewall UDP/123 sorununa bakın.


Kaynak seçimi
Kurumsal ortamda iç NTP (domain controller veya dedicated NTP) kullanın. Ev labında pool.ntp.org veya ülkenizdeki pool uygun olabilir. /etc/chrony/chrony.conf örneği:
Değişince:

Windows tarafı (kısa)
Domain'e üyeyse genelde DC'den alır. Workgroup labında:
Hyper-V / VMware misafirlerinde host zaman senkronu ile guest NTP çakışabilir; tek kaynak seçin.

SIEM kontrol listesi

1. Tüm kaynaklarda UTC mi, yoksa local time mı? Belgeleyin.
   
2. Normalize ederken timezone alanını koruyun.
   
3. Dashboard'a "en çok kayan host" paneli koyun (offset metric).
   
4. Yeni kaynak onboarding: önce NTP, sonra agent.
   

Hızlı teşhis
Konteynerlerde host saati geçer; VM'lerde RTC + NTP birlikte düşünülmeli.

Kaynaklar

• chrony resmi dokümantasyon
  
• RFC 5905 (NTP)
  
• NIST zaman hizmetleri bilgilendirmeleri
  

Sizin SIEM'inizde saat kaymasından doğan en komik (veya acı) yanlış alarm neydi?

Virtualizasyon tuzakları
VMware Tools / Hyper-V time sync host'u kaynak alırken guest chrony de dış NTP'ye giderse osilasyon görürsünüz. Tek kaynak seçin. Snapshot'a geri dönüş eski saate de döndürebilir; snapshot sonrası chronyc makestep düşünün.

Dağıtık izleme metriği
node_exporter veya osquery ile chrony offset metriğini Prometheus'a alın; 100ms üstü için alarm. SIEM'den önce bu alarm çoğu "garip korelasyon" ticket'ını önler.


Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.

Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.

Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.

Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.

Değişiklik yönetimi ile ilişki
Sürüüm yükseltmelerinden sonra regresyon testi yapın. 'Aynı config' yeni sürümde farklı varsayılanlara bağlanmış olabilir. Release note'daki breaking change bölümünü okuyun.

Eğitim tatbikatı
Dış bağımlılık (feed, imza seti, konteyner imajı) için bütünlük doğrulaması yapın. İmzasız feed ile gelen kural seti tedarik zinciri riskidir.

Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.

Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.

Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.

Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.

Uygulama notu
Bu rehberdeki komutları olduğu gibi kopyalamadan önce yolları, arayüz adlarını ve IP adreslerini kendi ortamınıza göre değiştirin. Dağıtım farkları (Debian/Ubuntu/RHEL/Windows sunucu) çıktı biçimini değiştirebilir; man sayfası ve resmi dokümantasyon birincil kaynaktır. Bir adım beklediğiniz sonucu vermezse önce yetki (sudo/Administrator), sonra sürüm, en son da yapılandırma dosyası sırasıyla bakın. Değişiklikleri geri almak için snapshot veya yapılandırma yönetimi (Ansible/Git) kullanın; 'elle bir dokundum' geçmişi denetimde kaybolur. Alarm ve log örneklerini ekip kanalında paylaşırken kişisel veri ve iç IP şemasını maskeleyin.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Anlatılanları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız sistemlerde uygulayın. Yetkisiz erişim ve sistemlere müdahale 5237 sayılı TCK'nın 243, 244 ve 245. maddeleri kapsamında suçtur.