Denetim Logları

Denetim Logları, DeepFilter üzerinde yapılan her yönetici işleminin — kimin, ne zaman, hangi işlemi, nereden gerçekleştirdiğinin — kaydını tutar. Bir ayarı kimin değiştirdiği, hangi hesabın sisteme giriş yaptığı veya karantina bildirimlerinin ne zaman gönderildiği gibi soruları geriye dönük olarak yanıtlamanızı sağlar.

Bu kayda neden ihtiyaç duyulur? Bir e-posta güvenlik sistemi kişisel veri barındırır ve kritik filtreleme kararları verir. Yetkisiz bir erişim, hatalı bir yapılandırma değişikliği ya da bir güvenlik olayı sonrasında "kim, ne zaman, neye dokundu" sorusunun kesin olarak yanıtlanabilmesi gerekir. Denetim Logları bu hesap verebilirlik zincirini kurar ve KVKK gibi veri koruma yükümlülüklerinin gerektirdiği denetlenebilirliği sağlar.

Kayıt nasıl güvence altına alınır? Her yönetici işlemi birbirinden bağımsız iki yere aynı anda yazılır. İlki, bu ekranın okuduğu kayıt veritabanıdır. İkincisi, sunucuda tutulan ve yalnızca yeni satır eklenen ayrı bir günlük dosyasıdır. Ekran yalnızca veritabanını gösterir; dosya ise arka planda, karşılaştırılabilir ikinci bir iz olarak tutulur.

En yeni işlem en üstte olacak şekilde zaman sırasına göre sıralanan denetim kaydı tablosu.

İşlemler

Bu ekran salt görüntülemedir: kayıtları okur, filtreler ve dışa aktarırsınız. Denetim kayıtları bu ekrandan düzenlenemez veya silinemez; her işlem yalnızca okunabilir bir iz olarak kalır.

Kayıtları okuma

Tablo her işlemi bir satırda, en yeni işlem en üstte olacak şekilde sıralar. Sütunlar bir kaydı yorumlamak için gereken bilgileri taşır:

• Tarih — İşlemin gerçekleştiği tarih ve saat. Liste her zaman en yeniden en eskiye sıralanır; belirli bir dönemi görmek için tarih filtresini kullanın.
• Kullanıcı — İşlemi yapan hesap iki satır halinde gösterilir: üstte hesabın e-posta adresi, altında o hesabın görünen adı. Alt satırdaki değer kullanıcının adıdır, rolü değildir. Alan — ise işlemi bir kullanıcı değil, sistemin kendisi otomatik olarak üretmiştir (örneğin zamanlanmış karantina bildirimleri).
• Aksiyon — İşlemin ne olduğunu anlatan okunabilir açıklama (örneğin "Oturum açma", "Karantinadan serbest bırakıldı", "Beyaz liste kaydı eklendi"). Açıklamanın altında işlemin teknik adı (login, quarantine_release, whitelist_add) küçük punto ile durur: ekranı okurken açıklamaya, destek talebi açarken ya da kaydı bir başka kayıtla eşleştirirken teknik ada bakarsınız.
• IP — İşlemin geldiği kaynak IP adresi. Otomatik/sistem kayıtlarında kaynak bir istek olmadığından bu alan — görünür.
• Detay — İşleme ait ek bilgiler (örneğin giriş yönteminde method: password, bildirimde alıcı e-posta adresi ve öğe sayısı). Uzun değerler tabloya sığması için kısaltılır ve sonuna … eklenir; tam metni görmek için hücrenin üzerine gelin. İç içe bilgiler anahtar=değer biçiminde okunur gösterilir; örneğin karantinada filtreye uyan tüm e-postalara uygulanan bir toplu işlemde kullanılan filtre ölçütleri ve işlenen e-posta sayısı bu sütunda yer alır.

info

Denetim Logları yalnızca genel yönetici (global admin) hesaplarına görünür. Alan yöneticisi (domain admin) rolündeki hesaplarda bu ekran İzle menüsü altında listelenmez.

Aksiyona göre filtreleme

Aksiyon filtresi, kayıtları tek bir işlem türüne daraltan bir açılır listedir. Liste, sistemdeki tüm işlem türlerini konularına göre gruplayarak sunar: Oturum ve Güvenlik, Karantina, Karantina Portalı, Bildirimler, Listeler, Alan Adı ve Sunucu, Kullanıcı Yönetimi, Ayarlar, Gelen Tarama, Giden E-posta, Sistem, Raporlar ve Geri Çekme. Böylece aradığınız işlemi adını bilmeden, ilgili başlığın altından bulursunuz; varsayılan seçim Tüm aksiyonlar'dır.

Bu yapı bir kolaylıktan fazlasıdır: filtre işlemin teknik adıyla birebir eşleşme yapar ve elle yazılan yarım bir metin hiçbir sonuç döndürmez. Seçim listeden yapıldığı için ad hatası ihtimali ortadan kalkar.

tip

Geri alınamaz işlemlerin izini ararken doğrudan ilgili gruba gidin: kullanıcı posta kutularından e-posta alan işlemler Geri Çekme başlığı altında (talebin oluşturulması, onaylanması, iptal edilmesi ve raporun dışa aktarılması ayrı ayrı kayıtlıdır), Zimbra bağlantısında yapılan değişiklikler ise Ayarlar başlığı altında listelenir.

Kullanıcı Yönetimi başlığı, yönetici hesapları üzerinde yapılan işlemleri toplar: kullanıcı oluşturma (Kullanıcı oluşturuldu), güncelleme (Kullanıcı güncellendi), silme (Kullanıcı silindi), parola sıfırlama (Kullanıcı parolası sıfırlandı), alan adı yöneticisinin sorumlu alan adlarının değiştirilmesi (Domain admin yetkileri güncellendi) ve parola politikasının değiştirilmesi (Parola politikası güncellendi). Bir hesabın iki faktörlü doğrulamasının yönetici tarafından sıfırlanması ise Oturum ve Güvenlik başlığı altında Doğrulayıcı uygulama (TOTP) devre dışı bırakıldı olarak görünür. Böylece "bu hesabı kim açtı, kimin parolasını kim sıfırladı" sorularının yanıtı da bu ekrandadır; aynı işlemler SIEM yönlendirmesi açıksa SIEM'e de iletilir (bkz. İzle → Log Yönetimi).

Karantina Portalı başlığı, son kullanıcıların karantina portalında yaptığı işlemleri toplar: portal ziyareti (Karantina portalı ziyareti), serbest bırakma (Portal: karantinadan serbest bırakıldı), silme (Portal: karantina kaydı silindi), önizleme (Portal: e-posta önizlendi) ve kişisel İzin/Engel Listesi değişiklikleri. Yalnızca yöneticinin serbest bırakabileceği bir e-postanın portaldan serbest bırakılma denemesi reddedildiğinde Portal: serbest bırakma reddedildi kaydı oluşur; Detay sütununda ilgili e-postaların kuyruk kimlikleri ve kilit nedeni yer alır. Portaldan yapılan serbest bırakma ve silme işlemleri ile reddedilen serbest bırakma denemeleri, SIEM yönlendirmesi açıksa SIEM'e de iletilir (bkz. İzle → Log Yönetimi).

Sistem başlığı SMTP Kuyruğu işlemlerini de toplar: seçili e-postaların yeniden denenmesi (Kuyruktaki e-posta yeniden denendi) ve silinmesi (Kuyruktan e-posta silindi), gönderene göre temizleme (Kuyruktan gönderene göre e-postalar temizlendi) ve aramaya uyan e-postaların tümünü silme (Kuyruktan filtreye uyan e-postalar silindi). Gönderene göre temizlemede ve aramaya uyanların tümünü silmede (bu sunucuda ya da eşlenmiş bir sunucudan başlatılmış olsun) silme başladığında ve bittiğinde birer kayıt oluşur: başlangıç kaydının Detay sütunu onaylanan sayıyı, bitiş kaydınınki gerçekten silinen e-posta sayısını ve sonucu taşır. İşlem beklenmedik fazlalık nedeniyle kendini durdurduysa bitiş kaydında outcome: count_exceeded görünür. Boş gönderen (geri dönen bildirim) satırının temizliğinde Detay sütununda null_sender: true işareti de yer alır.

Aynı başlık Çoklu Sunucu kayıtlarını da toplar: eşleştirme adımları (kod üretilmesi, eşleşmenin tamamlanması ya da kaldırılması gibi; açıklamaları Çoklu sunucu: ile başlar), eşlenmiş sunucuların izin değişiklikleri (Çoklu sunucu: eşlenmiş sunucunun izinleri değişti), eşlenmiş bir sunucunun adının değişmesi (Çoklu sunucu: eşlenmiş sunucunun adı değişti) ve ortak görünümden yapılan işlemler. Eşlenmiş bir sunucudan bu sunucunun kuyruğunda yapılan işlemler yukarıdaki kuyruk kayıtlarıyla kaydedilir; bu satırlarda Kullanıcı sütununda e-posta adresi yerine işlemi yapan kişinin adı ve isteğin geldiği sunucunun IP adresi (ör. Ayşe Yılmaz (192.0.2.10)) yer alır, IP sütunu da o sunucunun adresini gösterir. İşlemi başlatan sunucuda Çoklu sunucu: eşlenmiş sunucuda kuyruk işlemi yapıldı kaydı oluşur. Eşlenmiş bir sunucunun bu sunucunun SMTP kuyruğunu, e-posta trafiğini ya da Dashboard'unu görüntülemesi tek tek değil, sunucu ve ekran başına 10 dakikalık özetler hâlinde Çoklu sunucu: eşlenmiş sunucu bu sunucunun verisini görüntüledi (özet) olarak yazılır; özet satırında Kullanıcı sütunu görüntüleyen kişilerin ad ve IP etiketlerini (en çok üç) gösterir, IP sütunu — olur ve Detay sütununda okuma sayısı yer alır (bkz. Çoklu Sunucu).

Tarih aralığına göre filtreleme

Tarih düğmesi, kayıtları belirli bir döneme daraltan takvimli aralık seçicisini açar. Solda hazır dönemler (Bugün, Son 7 gün, Son 14 gün, Son 30 gün, Bu ay, Tümü) yer alır; kendi aralığınız için takvimde önce başlangıç, sonra bitiş gününe tıklarsınız ya da tarihleri takvimin altındaki Başlangıç ve Bitiş alanlarına yazarsınız. Filtre, başlangıç gününden bitiş gününün sonuna kadar olan kayıtları getirir; yani bitiş günü aralığa dahildir. Tek bir günün kayıtlarını görmek için takvimde aynı güne iki kez tıklayın. Liste yalnızca Uygula ile yenilenir; Vazgeç seçiciyi değişiklik yapmadan kapatır. Tarih kısıtını kaldırmak için Tümü'nü seçip uygulayın.

CSV olarak dışa aktarma

CSV İndir, o an uygulanan filtrelere uyan kayıtları bir CSV dosyası (audit-logs.csv) olarak indirir. İki noktada ekrandaki tablodan ayrılır:

• Ekrandaki tablo sayfalara bölünmüşken (sayfa başına 25 kayıt), CSV eşleşen tüm kayıtları tek dosyada, sayfalama olmadan içerir. Geniş bir dönemi tek seferde dışa aktarmak için filtreyi ayarlayıp bu düğmeyi kullanın.
• CSV, ekranda gösterilmeyen bir alanı daha taşır: işlemin yapıldığı istemci tanımlayıcısını (tarayıcı/istemci bilgisi). Böylece dosyada, ekrandaki beş sütuna göre daha ayrıntılı bir kayıt elde edersiniz.

tip

Uzun bir Detay değeri tabloda kısaltıldığı için okunamıyorsa, CSV İndir ile dışa aktarın; dosyada değerlerin tamamı kısaltılmadan yer alır.

Bir Güvenlik Olayını İnceleme

Ön koşullar

• İncelediğiniz olayın yaklaşık gerçekleşme tarihini bilmeniz aramayı hızlandırır. Kesin tarih bilinmiyorsa geniş bir aralıkla başlayıp daraltın.

Adımlar

1. İzle → Denetim Logları ekranını açın.
2. Tarih seçicisini açın, takvimde olayın gerçekleştiği günü (veya dar bir aralığı) seçip Uygula'ya basın.
3. Belirli bir işlem türünü izliyorsanız (örneğin giriş kayıtları), aksiyon filtresini açıp ilgili başlığın altından işlemi seçin (örneğin Oturum ve Güvenlik → Oturum açma).
4. Kalan satırlarda Kullanıcı ve IP sütunlarını birlikte değerlendirin: beklenmeyen bir hesabın veya tanımadığınız bir IP adresinin işlem yapıp yapmadığına bakın.
5. Şüpheli bir satır bulduğunuzda Detay sütununun üzerine gelerek işlemin ayrıntısını (örneğin giriş yöntemini) tam olarak inceleyin.

Doğrulama — bulgunuzu şuradan teyit edersiniz

• Aynı IP adresinden farklı hesaplara ait girişler, olağandışı saatlerde yapılan işlemler veya beklenmedik bir yapılandırma değişikliği kaydı araştırılması gereken işaretlerdir. Bulguyu kalıcı kanıt olarak saklamak için filtreyi koruyup CSV İndir ile dışa aktarın.

Dikkat Edilmesi Gerekenler

Kayıtların bütünlüğü. Denetim kayıtları bu arayüzden düzenlenemez veya silinemez; her işlem yalnızca eklenerek büyüyen bir iz bırakır. Bu, kayıtların kaza ya da kötü niyetle değiştirilmesini arayüz düzeyinde engeller.

note

Bu değiştirilemezlik arayüz düzeyindedir. Kayıtlar aynı zamanda sunucuda bağımsız bir günlük dosyasında (/var/log/deepfilter/audit.log) tutulur ve bu dosyaya yalnızca yeni satır eklenir. İki bağımsız iz, birinin tutarlılığını diğeriyle karşılaştırma imkânı verir.

Uzun süreli saklama. Bu ekranda görüntülenen denetim kayıtları otomatik olarak silinmez; kalıcı olarak saklanır. Bu, geçmişe dönük denetim için bir avantajdır. Yine de kayıtların düzenli olarak dışa aktarılıp sistem dışında güvenli bir konumda arşivlenmesi, olası bir veri kaybı veya sistem taşıma senaryosuna karşı koruma sağlar.

caution

Denetim kayıtları kanıt niteliği taşır. Düzenli aralıklarla CSV İndir ile dışa aktarıp güvenli bir konumda saklamak, uzun süreli denetlenebilirlik ve olası bir sistem değişikliğine karşı koruma için önerilir.

Sorun Giderme

Filtreledim ama hiç sonuç çıkmıyor. Seçtiğiniz işlem türü, verdiğiniz tarih aralığında hiç gerçekleşmemiş olabilir; aralığı genişletin ya da aksiyon filtresini Tüm aksiyonlar'a alıp kaydın gerçekten var olup olmadığını görün. Aradığınız işlemin hangi başlık altında olduğundan emin değilseniz, benzer bir kaydın Aksiyon sütunundaki açıklamasına bakıp aynı adı listeden seçin.

Kullanıcı sütunu boş (—) görünüyor. Bu bir hata değildir. İlgili işlem bir kişi tarafından değil, sistem tarafından otomatik olarak üretilmiştir (örneğin zamanlanmış karantina bildirimleri). Aynı nedenle bu kayıtlarda IP alanı da boştur.

Detay değeri kesik görünüyor (örneğin max_item…). Uzun değerler tabloya sığması için kısaltılır. Tam metni görmek için değerin üzerine gelin veya kaydı CSV İndir ile dışa aktarın; dosyada değerler kısaltılmaz.

İzle menüsünde Denetim Logları görünmüyor. Bu ekran yalnızca genel yönetici hesaplarına açıktır. Alan yöneticisi (domain admin) rolüyle oturum açtıysanız ekran menüde listelenmez; genel yönetici yetkisine sahip bir hesapla giriş yapın.