Bir veri ihlali ya da güvenlik olayı sonrası ilk soru genelde teknik değil, idaridir: bu ayar ne zaman değişti, kim değiştirdi, hangi cihazdan? Sophos Central’da bu sorunun cevabı Audit Log ekranında duruyor — konsolda yapılan her yönetimsel işlemi tarih, yapan hesap, işlem türü, değiştirilen öğe ve kaynak IP adresiyle birlikte kaydeden bir günlük. Denetim sırasında “kontrolü uyguladığımızı kanıtlayın” talebine somut yanıt olan da tam olarak bu kayıttır.
Audit Log hangi bilgiyi tutuyor?
Sophos’un resmi dokümantasyonuna göre her satırda altı alan bulunur: işlemin tarihi ve saati, değişikliği yapan yönetici hesabı, aktivite türü, eklenen/değiştirilen/silinen öğe, işlemin açıklaması ve işlemin geldiği IP adresi. Bir yöneticinin bir politikayı güncellemesi, bir kullanıcıya rol ataması, bir cihaz kaydını silmesi veya bir exclusion eklemesi gibi konsol üzerindeki neredeyse her değişiklik bu günlüğe düşer. Kayıtlar tarih aralığına, IP adresine veya “Modified By” (kim değiştirdi) alanına göre filtrelenebiliyor.
Bu, saldırı veya tehdit tespiti loglarından farklı bir şey. Endpoint’te yakalanan bir zararlı ya da firewall’da engellenen bir bağlantı ayrı ürün loglarında görünür; Audit Log ise konsolun kendisinde kim ne yaptı sorusuna odaklanır. İki günlük türü birbirini tamamlar: biri tehdidi, diğeri yönetimsel değişikliği kayıt altına alır.
Denetimde bu kayıt neden soruluyor?
7545 sayılı Siber Güvenlik Kanunu ve KVKK’nın Kişisel Veri Güvenliği Rehberi gibi düzenlemeler, kurumdan yalnızca bir güvenlik ürünü kurmuş olmasını değil, kontrollerin uygulandığını ve izlenebildiğini göstermesini bekler. Bir denetimde “erişim yetkisi kısıtlandı mı”, “bu politika kim tarafından ne zaman devreye alındı” gibi sorulara sözlü açıklama yerine tarihli, isim isim bir kayıt sunabilmek, sürecin ciddiyetini gösterir. Audit Log, bu tür sorulara Sophos Central tarafında somut kanıt üreten mekanizmadır — ayrıca 7545 sayılı Kanun’un getirdiği yükümlülükler kapsamında iç süreç dokümantasyonuna da katkı sağlar.
90 günlük sınır ve dışa aktarma nasıl çalışıyor?
Konsol varsayılan olarak son 7 günün kayıtlarını gösterir; tarih aralığı değiştirilerek geriye dönük en fazla 90 güne kadar görüntüleme yapılabilir. Seçilen aralık ya da son 90 gün, CSV veya PDF formatında dışa aktarılabiliyor. Pratik sonucu şu: 90 günden eski bir kaydı denetimde sunmak isteyen bir kurum, bu süreyi konsola güvenip beklememeli, düzenli aralıklarla (örneğin aylık) dışa aktarım alıp kendi arşivinde saklamalı. Bir kurumsal değerlendirme sürecinde bu arşivleme adımının bir prosedüre bağlanması, denetim hazırlığını tek seferlik bir işten sürekli bir disipline dönüştürür.
Kimler bu günlüğü görebilir?
Sophos’un dokümantasyonu rol bazlı bir kısıtlama tanımlamıyor; konsola yönetici olarak giriş yapan hesaplar günlüğü görüntüleyebiliyor. Bu da erişim yönetiminin kendisini önemli kılıyor — Sophos Central’da yönetici rollerinin nasıl yapılandırıldığı ayrı bir konu ama Audit Log ile doğrudan bağlantılı: kim değiştirebiliyorsa, kimin ne değiştirdiğini de büyük ölçüde o çevre belirliyor. Rol tanımları dar tutulduğunda Audit Log’daki kayıtlar da daha anlamlı ve az gürültülü hale gelir.
Kurumsal değerlendirme için kontrol listesi
Sophos ortamı zaten kurulu bir kurum için aşağıdaki sorular, mevcut yapının denetime ne kadar hazır olduğunu gösterir:
- Son bir yılda kritik bir politika değişikliği (firewall kuralı, exclusion, kullanıcı rolü) yapıldığında bu değişikliği kimin onayladığı belgelenmiş mi?
- Audit Log dışa aktarımı bir prosedüre bağlı mı, yoksa yalnızca ihtiyaç anında mı hatırlanıyor?
- Konsola yönetici erişimi olan hesap sayısı, gerçekten değişiklik yapması gereken kişi sayısıyla örtüşüyor mu?
Bu üç soruya net yanıt veremeyen kurumlar için mevcut Sophos lisansının kapsamı ve yönetici yapılandırması birlikte gözden geçirilebilir; lisans yenileme sürecinde bu tür bir gözden geçirme genellikle ek maliyet doğurmaz.
Xen Bilişim’in bu süreçteki yeri
Xen Bilişim, Sophos Kayıtlı İş Ortağı olarak lisans temini ve yenilemenin ötesinde, Audit Log ve rol yapılandırması gibi konsol ayarlarının kurumun denetim ihtiyaçlarına göre kurgulanmasında da teknik destek sağlar. Mevcut bir Sophos ortamının denetime hazırlık açısından değerlendirilmesini isteyen kurumlar teklif alın sayfasından ya da doğrudan Sophos Central ürün sayfasından iletişime geçebilir.
Sık sorulan sorular
Audit Log ayrı bir modül mü, ek ücret gerektiriyor mu? Audit Log, Sophos Central yönetim konsolunun standart bir parçasıdır ve konsola yönetici olarak erişimi olan hesaplar için ayrıca bir modül satın alınmadan görüntülenebilir.
90 günden eski bir kaydı geri getirmek mümkün mü? Dokümantasyona göre konsol üzerinden görüntüleme ve dışa aktarma 90 günle sınırlı. Bu sürenin ötesi için tek yol, düzenli aralıklarla alınmış ve kurum tarafında arşivlenmiş CSV/PDF dışa aktarımlarıdır.
Audit Log, firewall veya endpoint’teki tehdit olaylarını da gösteriyor mu? Hayır. Audit Log, Central konsolundaki yönetimsel değişiklikleri (kim neyi değiştirdi) kaydeder. Engellenen saldırı, tespit edilen zararlı gibi tehdit olayları ürün bazlı ayrı loglarda tutulur.
Kayıtlar denetimde tek başına yeterli mi? Audit Log, “kim ne zaman değiştirdi” sorusuna somut kanıt sağlar ama tek başına bir uyum programı değildir. KVKK ve 7545 kapsamında beklenen bütüncül tedbirlerin (erişim yönetimi, şifreleme, yedekleme) bir parçası olarak değerlendirilmelidir.