Dosya Erişim Kayıtları Nasıl Takip Edilir?

Dosya Erişim Kayıtları Nasıl Takip Edilir?

Bir dosya sisteminde kimin, ne zaman ve hangi eylemi gerçekleştirdiğini bilmek, güvenlik olaylarını erken tespit etmek ve uyumluluk gerekliliklerini karşılamak için kritik bir adımdır. Bu yazıda, kurumsal ortamlarda sıkça karşılaşılan senaryolara göre takip edilebilen erişim kayıtlarını adım adım ele alıyorum; nasıl yapılandırılır, hangi bilgiler önemli ve hangi araçlar işinizi kolaylaştırır, bunları somut örneklerle açıklıyorum.

İzleme kapsamını belirlemek ve politikaları netleştirmekle başlamak gerekir. Öncelikle hangi dizinler ve dosya türleri için log toplanacağını, hangi eylemlerin (okuma, yazma, değiştirme, silme, izin değişikliği) kayda geçeceğini belirtin. Ayrıca kullanıcı bazlı mı yoksa olay bazlı mı izleme yapılacak, hangi süreyle kayıtların saklanacağı ve kimlere erişim raporları sunulacağı gibi konuları önceden taslak halinde belirlemek, gereksiz veri akışını ve depolama maliyetini azaltır.

Bir Windows ortamında, Güvenlik olay günlükleri (Security log) ile File-Access olaylarını etkinleştirmek iyi bir başlangıçtır. Grup İlkesi üzerinden Object Access kategorisini açıp, süreç içinde Dosya ve Klasör Erişimi ile İzin Verme ve İzin Reddi olaylarının tetiklenmesini sağlamak yeterlidir. Linux tarafında ise auditd veya fanotify gibi çözümler kullanılır. Auditd için temel kurulum: hangi dosya yolları için izleme belirlenir ve hangi eylemlerin loglanacağı secilir. Örneğin; /home ve /var/www alt dizinlerinde dosya açma (open), okuma (read), yazma (write), tamamlama (attribute change) olaylarını tetiklemek yaygın bir uygulamadır. Logların merkezi bir log yöneticisine göndermek için rsyslog, journald veya Fluent Bit gibi araçlar kullanılır. Böylece dağıtık sistemlerde tüm olaylar tek bir noktada toplanır ve analiz için hazır hale gelir.

Güvenlik açısından en kritik kısım, logların bütünlük ve süreklilikle korunmasıdır. Dosya bütünlüğü için imza/senkronizasyon teknikleri (HMAC, SHA-256) ile loglar değiştirilmez olarak işaretlenebilir. Logların zaman senkronizasyonunu sağlamak için NTP kullanımı zorunludur; zaman tutarsızlığı olay korelasyonunu bozar. Ayrıca olayları kategorilere ayırıp kritik olayları güvenlik alarmlarıyla eşiklere bağlamak, hızlı müdahale için gereklidir.

Son olarak, hangi metriklerin ve raporların sizi görünür kılacağını belirleyin: en çok erişim yapılan kullanıcılar, dosya türleri, belirli klasörlere yapılan ani erişim artışları, yetkisiz erişim denemeleri. Bu veriler, güvenlik olaylarını güncel tutmanın yanı sıra uyum denetimlerinde de yardımcı olur.

Bu konudaki deneyimleriniz veya karşılaştığınız zorluklar nelerdir? Özellikle hangi platformda hangi araçlarla log yönetimini kurarken karşılaştığınız pratik sorunları ve çözümleri paylaşmak isterseniz, yorumlarınızı merakla bekliyorum.