5651 log kaydı rehberi: yükümlülükler, saklama ve bütünlük kanıtı

5651 sayılı Kanun nedir

5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun", 2007 yılında yürürlüğe girmiştir. Kanun; internet erişimi sağlayan ve internet ortamında toplu kullanım imkânı sunan kuruluşlara, sundukları hizmete ilişkin bazı kayıtları tutma ve gerektiğinde yetkili mercilere sunma yükümlülüğü getirir. Amaç, internet üzerinden işlenebilecek suçlarla mücadelede kimin, ne zaman, hangi bağlantıyı yaptığının sonradan tespit edilebilmesidir.

Kimler yükümlü

Kanun ve ilgili düzenlemeler kapsamında en çok gündeme gelen taraf, "internet toplu kullanım sağlayıcıları"dır: kendi müşterilerine, ziyaretçilerine ya da öğrencilerine internet erişimi sunan işletmeler. Uygulamada en sık karşılaşılan örnekler:

• Oteller, pansiyonlar ve konaklama tesisleri
• Kafeler, restoranlar, AVM'ler
• Hastaneler ve sağlık kuruluşları
• Okullar, üniversiteler ve eğitim kurumları
• Fabrikalar, plazalar, ofis binaları ve diğer işyerleri

5651 sayılı Kanun md. 7/2, içerik engelleme ve erişim kaydı tutma yükümlülüğünü "ticari amaçla olup olmadığına bakılmaksızın bütün internet toplu kullanım sağlayıcılara" getirir — yani müşterisine/misafirine/çalışanına ücretsiz Wi-Fi veren bir otel, kafe ya da ofis de bu yükümlülüğün kapsamındadır. İzin belgesi, sabit IP ve idari para cezası gibi ek yükümlülükler ise yalnızca "ticari amaçla internet toplu kullanım sağlayıcı" — internet salonu ve benzeri, interneti ücret karşılığı satan işyerleri içindir. Maddelerin birebir metni ve kapsam ayrımı için Mevzuat sayfasına ve 5651 sayılı Kanun rehberine bakabilirsiniz.

İlgili yönetmelik ne istiyor

İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik, tüm toplu kullanım sağlayıcılardan içerik filtreleme sistemi kullanmasını ve erişim kayıtlarını (iç IP, başlangıç/bitiş zamanı, MAC, hedef IP, NAT IP/port) elektronik ortamda tutmasını ister (md. 4). Ticari amaçla olanlar için ayrıca, kaydedilen bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini teyit eden bir değerin günlük olarak kaydedilmesi istenir (md. 5/1-e). Başka bir deyişle, sadece "log tutmak" yetmez — o logların sonradan değiştirilmediğinin de gösterilebilmesi beklenir. Maddelerin tam metni için İnternet Toplu Kullanım Sağlayıcıları Yönetmeliği sayfasına bakabilirsiniz.

Saklama süresi

Yönetmelik, erişim kayıtlarının saklama süresini açıkça iki yıl olarak belirler (md. 4/1-b; ticari amaçla olanlar için ayrıca md. 5/1-d). "En az 1, en fazla 2 yıl" ya da "1 yıl" gibi ifadeler bu maddeye dayanmaz. Ayrıntılar için 5651'e göre log saklama süresi rehberine bakabilirsiniz. izgate tarafında saklama süresi panelden sizin belirlediğiniz bir ayardır; iki yıl önerilen/varsayılan değerdir, dilediğiniz süreyi girip değiştirebilirsiniz.

Bütünlük kanıtı neden gerekli

Bir log kaydının hukuki değeri, büyük ölçüde değiştirilmediğinin gösterilebilmesine bağlıdır. Düz metin bir log dosyası, diskine erişimi olan biri tarafından satır eklenerek, silinerek ya da değiştirilerek kolayca bozulabilir — ve bu değişikliğin yapıldığını sonradan kanıtlamak neredeyse imkânsızdır. Bu nedenle olgun bir log kaydı sistemi üç unsuru bir arada sunar:

• Bütünlük (hash zinciri)Her kayıt parçasının özeti bir öncekinin özetini de taşır; aradan tek bir satır silinse ya da değiştirilse zincir kırılır ve bu anında tespit edilir.
• Kimlik doğrulama (dijital imza)Arşiv, kurulumunuza özel gizli bir anahtarla imzalanır; imza olmadan üretilmiş ya da başka bir anahtarla imzalanmış sahte bir dosya doğrulamadan geçemez.
• Zaman kanıtı (zaman damgası)Bağımsız bir zaman damgası hizmeti, kaydın hangi anda var olduğunu kurumunuzdan bağımsız olarak onaylar; imzanın sonradan atılmadığını gösterir.

izgate bunu nasıl sağlıyor

izgate, firewall'unuzdan gelen her log satırını önce diskteki güvenli bir kuyruğa yazar; satır, arama veritabanına ve imzalı arşive ulaşmadan kuyruktan silinmez. Bu, elektrik kesintisi ya da yeniden başlatmanın log kaybına yol açmamasını sağlar.

Arşiv tarafında akış şöyledir:

• Segmentleme: Loglar, kiracı/cihaz/tür/gün bazında biriktirilir ve sıkıştırılmış segment dosyaları hâlinde arşive yazılır.
• SHA-256 zinciri: Her segmentin özeti hesaplanır ve bir önceki segmentin özetiyle zincirlenir; böylece geçmişte tek bir segment bile sessizce değiştirilemez.
• Ed25519 imza: Segment ve zincir bilgisi, kurulumunuza özel bir Ed25519 anahtarıyla imzalanır.
• Günlük nitelikli zaman damgası: O güne ait, henüz damgalanmamış imzalı segmentler bir Merkle kökünde birleştirilir ve bu kök günde bir kez, İzHost'un merkezi servisi üzerinden Kamu SM'den alınan nitelikli bir zaman damgasıyla mühürlenir.
• Canlı ve arşiv ayrı disk: Hızlı arama için kullanılan canlı veritabanı ile imzalı arşiv, ayrı fiziksel disklerde tutulur; birinin dolması ya da arızalanması diğerini etkilemez.

Sıfır log kaybı: neden önemli

5651 kapsamında tutulan bir kaydın delil değeri, yalnızca bütünlüğüyle değil eksiksizliğiyle de ölçülür. Ağ trafiği yoğunken ya da sunucu kısa süreliğine yeniden başladığında satır kaybeden bir sistem, sonradan "o saatte kayıt yok" durumuyla karşılaşabilir. izgate bu riski, syslog alıcısının önüne koyduğu diskteki güvenli bir kuyrukla azaltır: gelen her satır önce kuyruğa yazılır; satır, hem hızlı arama veritabanına hem de imzalı arşive ulaştığı doğrulanmadan kuyruktan silinmez. Elektrik kesintisi ya da servisin yeniden başlaması durumunda kuyrukta bekleyen satırlar kaldığı yerden işlenmeye devam eder.

Aynı ilke, cihaz tarafında da geçerlidir: izgate her cihazı IP adresinden değil seri numarasından tanır. Bir firewall'un IP adresi değişse bile (DHCP yenilemesi, ağ yeniden yapılandırması), seri numarası aynı kaldığı sürece loglar doğru cihaza yazılmaya devam eder — aksi hâlde adresi paylaşan iki farklı cihazın kayıtları karışabilir ya da yanlışlıkla birleştirilebilir.

Kullanıcı eşleştirme

Ham bir trafik kaydı yalnızca IP adresi ve zaman gösterir; "bu IP o saatte kimdeydi?" sorusuna cevap vermez. izgate, misafir portalı ve RADIUS oturumlarından gelen kimlik bilgisini firewall loglarıyla otomatik birleştirir; arama ekranında kullanıcıya, MAC adresine ya da takma koda göre filtreleme yapılabilir. Misafir kayıtlarında gerçek kimlik (telefon/TCKN) firewall'a ve loglara hiç yazılmaz; her misafire sabit bir takma kod (mg-xxxxxx) atanır, firewall/RADIUS kullanıcı adı ve log user= alanı bu kodu taşır; takma kod ↔ kişi eşlemesi yalnızca izgate'te şifreli tutulur ve yetkili arama ekranında çözülür.

Arşiv doğrulama ve dışa aktarma

Kolluk kuvvetleri ya da adli mercilerden bir talep geldiğinde, ilgili dönemin kayıtlarını tek bir pakette dışa aktarabilirsiniz. Dışa aktarılan paket şu bileşenleri içerir:

• README: Paketin nasıl doğrulanacağını açıklayan kısa bir metin.
• Katalog: Segmentlerin listesi, zincir sırası ve özet bilgileri.
• Segment dosyaları: Sıkıştırılmış ham log verisi.
• Manifest: Segmentin özeti, önceki segmentin özeti ve dijital imza.
• TSA belirteci: Zaman damgası sunucusundan alınan bağımsız zaman kanıtı.

Panel üzerinden herhangi bir segmentin ya da tüm zincirin bütünlüğü tek tıkla doğrulanabilir: hash zinciri, imza ve zaman damgası birlikte kontrol edilir, sonuç "zincir sağlam" ya da hatanın nerede olduğu şeklinde raporlanır.

Log taşıma: UDP, TCP ve TLS

Firewall'lar logları genellikle syslog protokolüyle gönderir; ancak taşıma yöntemi güvenilirliği doğrudan etkiler. izgate üç yöntemi birlikte destekler:

• UDP: En yaygın ve en kolay kurulan yöntemdir, ancak paket kaybı olduğunda gönderen ya da alıcı tarafta herhangi bir uyarı üretmez; yoğun ağlarda sessiz veri kaybına açıktır.
• TCP: Bağlantı tabanlı olduğu için paket kaybı olasılığı belirgin şekilde düşer; kısa kesintilerde veri yeniden gönderilir.
• TLS: TCP'nin güvenilirliğine ek olarak, log içeriğinin ağ üzerinde şifreli taşınmasını sağlar; sertifika tanımlandığında izgate bu yolu da kabul eder.

Mümkün olan cihazlarda TCP ya da TLS'e geçmek, özellikle yoğun saatlerde ve uzak lokasyonlardan log gönderiminde bütünlüğü güçlendirir.

Uyum kontrol listesi

• Ağınızdaki tüm firewall/erişim noktalarının logları merkezi olarak toplanıyor mu?
• Loglar güvenilir bir taşıma yöntemiyle (TCP/TLS, kayıpsız kuyruk) mi gönderiliyor, yoksa kayıp riski taşıyan düz UDP mi kullanılıyor?
• Kayıtlar hash zinciri, dijital imza ve bağımsız zaman damgasıyla korunuyor mu?
• Canlı ve arşiv kayıtları ayrı disklerde mi tutuluyor?
• Misafir/kullanıcı kimliği ile trafik kaydı arasında otomatik bir eşleşme var mı?
• Saklama süreniz güncel mevzuata göre mi belirlendi?
• Bir talep geldiğinde ilgili dönemi imzalı ve doğrulanabilir şekilde dışa aktarabiliyor musunuz?

Yaygın hatalar

• UDP kaybı: Düz UDP syslog, ağ yoğunluğunda ya da alıcı tarafta kısa kesintilerde sessizce satır kaybedebilir; kayıp fark edilmeden aylar geçebilir.
• İmzasız düz dosya: Sadece diske yazılan, imzasız ve zincirsiz log dosyaları teknik olarak "tutulmuş" görünse de bütünlük kanıtı sunmaz; değiştirildiği ne kanıtlanabilir ne de dışlanabilir.
• Kullanıcı eşleşmesi yok: Yalnızca IP bazlı kayıt tutan sistemlerde, paylaşımlı ağlarda (misafir Wi-Fi, NAT arkası) hangi kişinin hangi bağlantıyı yaptığı sonradan tespit edilemez.
• Tek disk dolması: Canlı ve arşiv verisinin aynı diskte tutulduğu kurulumlarda, disk dolduğunda ya kayıt durur ya da eski kayıtlar sessizce silinir; ayrı disk ve doluluk uyarısı bu riski azaltır.

Sıkça sorulan sorular

Misafir Wi-Fi kimlik doğrulamasını inceleyin