Web Sunucusu Günlüklerinde IP Adresi ve Trafik Nasıl Analiz Edilir?
Web sunucusu erişim günlükleri analiz edilirken her istek tek başına değerlendirilmez. Zaman, kaynak IP adresi, HTTP yöntemi, hedef, durum kodu, yanıt boyutu ve istemci sinyalleri birlikte okunur; kayıtlar sitenin olağan trafik düzeyiyle karşılaştırılır ve belirgin sapmalar daha ayrıntılı incelenir.
Tek bir IP adresi, yüksek istek sayısı veya belirli bir durum kodu saldırı kanıtı değildir. Güvenilir bir değerlendirme, zaman aralığını, istek dizisini, etkilenen hedefleri, sunucu yanıtlarını ve bilinen bakım ya da yayın değişikliklerini aynı bağlamda ele alır.
Bu yaklaşım yalnız yetkili olduğunuz web sunucusunun erişim günlükleri içindir. Uygulama, CDN, WAF, DNS ve e-posta günlükleri farklı alanlar ve güven sınırları taşır. Bu kaynaklardaki alanların neyi kaydettiği doğrulanmadan kayıtlar aynı biçimde yorumlanmamalıdır.
Günlük Kaynağının, Saatlerin ve İstemci Adresinin Doğrulanması
Doğru analiz, kayıtların hangi sistem tarafından ve hangi koşullarda üretildiğini bilmekle başlar. Aynı site birden fazla web sunucusunda çalışıyorsa saat farkları olayların sırasını, günlük biçimi farkları ise alanların yorumunu bozabilir. Aynı isteğin aracı sistemde, web sunucusunda veya kopyalanmış günlük dosyalarında tekrar kaydedilmesi de toplam istek sayısını olduğundan yüksek gösterebilir.
Erişim Günlüklerinde Zaman, Kapsam ve Biçim
İncelenen kaydın saat dilimi, yaz saati uygulaması ve zaman damgasının isteğin başlangıcını mı yoksa tamamlanmasını mı gösterdiği açıkça belirlenmelidir. Sunucuların ortak ve güvenilir bir zaman kaynağı kullanması, kayıtların karşılaştırılmasını kolaylaştırır. Önceden oluşmuş saat hataları bu ayarla düzelmez; eski kayıtlar analiz edilirken bilinen saat sapması hesaba katılmalı, orijinal zaman damgaları korunmalıdır.
Günlük dosyalarının belirli aralıklarla kapatılıp yenisinin açılması, arşivleme ve sunucuyu yeniden başlatma zamanları da analiz kapsamına alınmalıdır. Bir dosyanın aniden küçülmesi trafik düşüşü değil, yeni günlük dosyasına geçiş olabilir; boş bir dönem ise kayıt üretiminin durduğunu, erişim yetkisinin değiştiğini veya verinin başka bir hedefe yönlendirildiğini gösterebilir.
Reverse Proxy Arkasında İstemci IP Adresi
Reverse proxy, istemcinin isteğini alıp arka uç sunucusuna ileten aracı sistemdir. Web sunucusu bir reverse proxy, yük dengeleyici veya CDN arkasındaysa doğrudan bağlantıyı çoğu zaman bu aracı kurar. Günlükteki adres alanı ise sunucu ayarına göre bağlantıyı kuran aracıyı ya da aracının bildirdiği istemciyi gösterebilir. İstemci adresini ileten başlıklar yalnız tanımlı ve doğrulanmış aracılardan kabul edilmeli; güvenilmeyen istemcilerin gönderdiği değerler gerçek adres gibi kullanılmamalıdır.
İletilen adres zincirinin ilk veya son öğesini evrensel olarak “gerçek IP adresi” kabul etmek hatalıdır. Kullanılan başlığın zincir düzeni, her aracının mevcut değeri silme veya yeni adres ekleme davranışı ve sunucunun hangi aracıya güvendiği birlikte kontrol edilmelidir. Örneğin X-Forwarded-For zincirinde yalnız soldaki adresi almak yeterli değildir; sunucuya en yakın doğrulanmış aracıdan geriye doğru güven sınırı izlenir.
Erişim Günlüğü Alanlarının Birlikte Okunması
Erişim günlüğündeki alanlar tek başına sınırlı anlam taşır. Aşağıdaki karşılaştırma, her alanın analize ne kattığını ve hangi sınırlamalarla yorumlanması gerektiğini gösterir.
| Alan | Analizdeki İşlevi | Yorumlama Sınırı |
|---|---|---|
| Zaman | İstek sırasını, yoğunluk dönemini ve olay süresini gösterir. | Saat dilimi veya saat sapması yanlışsa sistemler arası zaman eşleştirmesi bozulur. |
| Uzak adres | Aynı ağ kaynağından görülen istekleri geçici olarak gruplar. | NAT ile adres paylaşımı, internet servis sağlayıcısının bir genel IPv4 adresini aboneler arasında paylaştırdığı CGNAT, aracı bağlantılar ve VPN tünelleri nedeniyle belirli bir kişiyi göstermez. |
| HTTP yöntemi | İsteğin okuma, veri gönderme veya başka bir işlem amacı taşıdığı konusunda bağlam verir. | Yöntemin sıra dışı olması tek başına kötü niyet kanıtlamaz. |
| Hedef | İstenen yolun ve varsa sorgu bölümünün hangi kaynağa yöneldiğini gösterir. | Hassas veriler sorgu bölümüne yazılmışsa günlükte gereksiz veri oluşabilir. |
| Durum kodu | Sunucunun isteğe verdiği sonucun genel sınıfını açıklar. | Uygulama içindeki iş sonucunu veya olay nedenini tek başına göstermez. |
| Yanıt boyutu | Günlük alanının tanımına göre yanıtın büyüklüğünü veya gönderilen veri miktarını karşılaştırmaya yardım eder. | Yanıt boyutu her biçimde gerçekten aktarılan bayt sayısı değildir; başlıkların dahil edilmesi, sıkıştırma ve aracı sistemler değeri etkiler. |
| İstemci sinyalleri | User-Agent istemci yazılımının bildirdiği bilgiyi, Referer ise varsa isteğin geldiği sayfa adresini taşır; otomasyon veya trafik kaynağı hakkında ipucu verebilir. | Bu alanlar eksik bırakılabilir veya kolayca taklit edilebilir. |
Durum kodunun ilk hanesi yanıt sınıfını gösterir: 2xx başarılı yanıtı, 3xx yönlendirme sınıfını, 4xx istemciyle ilişkili hatayı ve 5xx sunucu hatasını belirtir. Her 3xx kodu başka bir adrese yönlendirme değildir; 304 yanıtı, istemcinin koşullu isteğine karşılık önbellekteki geçerli kopyayı kullanabileceğini bildirir. Bununla birlikte 200 kodu uygulama işlevinin beklenen biçimde tamamlandığını, 404 kodu tarama yapıldığını veya 500 kodu güvenlik olayı yaşandığını tek başına kanıtlamaz.
Yanıt boyutlarını karşılaştırmadan önce günlükteki alanın neyi ölçtüğü belirlenmelidir. Örneğin Apache erişim günlüğündeki %b, HTTP başlıkları dışındaki yanıt boyutudur; bağlantı yarıda kesildiğinde gerçekten gönderilen miktardan farklı olabilir. HEAD yönteminde sunucu yanıt gövdesi göndermez; 204 ve 304 yanıtlarında da gövde bulunmaz. Bu nedenle aynı hedefi, yöntemi ve durum kodunu karşılaştırmak, olağan boyut farklarını olası içerik veya aktarım sorunlarından ayırmaya yardım eder.
Trafik Kalıplarının Farklı Zaman Aralıklarında Karşılaştırılması
Trafik kalıbı, tek bir satırdan değil, belirli bir zaman penceresindeki tekrar ve ilişkilerden oluşur. İnceleme aralığını dakikalık, saatlik ve günlük düzeylerde karşılaştırmak, kısa süreli sıçrama ile kalıcı davranış değişikliğini ayırmaya yardım eder.
Trafik Yoğunluğu ve Zaman Dağılımı
Toplam istek sayısı, görülen kaynak adres sayısı, en sık istenen hedefler, durum kodu dağılımı ve toplam yanıt hacmi aynı zaman diliminde birlikte değerlendirilmelidir. Analiz, yalnız istek sayısına değil, artışın belirli bir hedefte mi yoğunlaştığına, tüm siteye mi yayıldığına ve yanıtların olağan durum kodu ile boyut dağılımını koruyup korumadığına dayanmalıdır.
Olağan trafik profili, hafta içi ve hafta sonu, kampanya dönemi, bakım penceresi ve arama motoru taraması gibi düzenli farkları içermelidir. Yeni yayımlanan bir sayfa nedeniyle oluşan meşru yoğunluk, önceki haftanın aynı saatindeki trafikle bağlam gözetilmeden karşılaştırılırsa anormal görünebilir.
Hata ve Yönlendirme Kalıpları
404 yanıtlarının belirli eski bağlantılarda toplanması içerik taşıma veya bozuk bağlantı sorununa işaret edebilir. Birçok rastgele yolda hızlı ve ardışık 404 görülmesi ise otomatik keşif veya tarama ihtimalini artırır; yine de kesin değerlendirme için yöntem, hız, User-Agent ve istek dizisi birlikte incelenmelidir.
401 ve 403 artışı yetkisiz erişim denemeleriyle ilişkili olabileceği gibi yanlış erişim kuralı veya süresi dolmuş oturum davranışından da kaynaklanabilir. 5xx artışı incelenirken dağıtım değişikliği, uygulama hatası, kapasite sorunu ve bağımlı hizmet kesintisi gibi işletim nedenleri de değerlendirilmelidir.
301, 302, 303, 307 ve 308 yanıtları normal yönlendirmelerin parçası olabilir; 304 kayıtları ise başka bir hedefe yönlendirme sayısına katılmamalıdır. Aynı istemcinin kısa sürede aynı iki veya daha fazla hedef arasında tekrar tekrar yönlendirilmesi; yönlendirme döngüsü, hatalı HTTP/HTTPS geçişi veya yanlış ana makine kuralı olasılığını gösterir.
Bot, Tarama ve Sıra Dışı İstek Dizileri
Eksik veya tanınmayan User-Agent, kısa aralıklarla çok sayıda hedef denemesi, ardışık numaralı yollar, alışılmadık yöntemler ve sürekli değişen sorgu değerleri otomasyon göstergeleri olabilir. Bu sinyallerin her biri meşru izleme, entegrasyon veya test trafiğinde de görülebilir.
Aynı kaynaktan gelen isteklerin sıra ve hızını, hedeflerin niteliğini, durum kodlarını ve yanıt boyutlarını birlikte değerlendirmek daha güvenilir bir sonuç verir. Örneğin rastgele yönetim yollarını deneyen, çoğunlukla 404 veya 403 yanıtı alan ve çok kısa aralıklarla tekrarlanan bir istek dizisi, tek bir 404 kaydından daha güçlü bir inceleme işaretidir.
Trafik Anormalliklerinin Kaydedilmesi ve İlgili Ekibe Aktarılması
Anormallik, olağan davranıştan ölçülebilir bir sapmadır; tek başına saldırı anlamına gelmez. İnceleme kaydı sapmanın başlangıç zamanını, devam edip etmediğini ve bittiyse bitiş zamanını içermelidir. Etkilenen hedefler, kaynak dağılımı, durum kodları, yanıt hacmi ve aynı dönemde yapılan değişiklikler de bu kayda eklenmelidir.
- İlk değerlendirme, olağan trafik profiliyle karşılaştırılan zaman aralığını açıkça belirtir.
- Sapma kaydı, hangi değerin değiştiğini ve değişimin ne kadar belirgin olduğunu gösterir.
- Kaynak dağılımı, davranışın tek bir IP adresine, bir adres grubuna veya geniş bir kaynak kümesine yayılıp yayılmadığını gösterir.
- Zaman çizelgesi, davranış ile yayın, bakım, yapılandırma ve kapasite değişiklikleri arasındaki ilişkiyi ortaya koyar.
- Değerlendirme kaydı, “meşru otomasyon”, “işletim sorunu” veya “inceleme gerektiren trafik” gibi kanıt düzeyine uygun bir sınıf kullanır.
Kanıtın neyi gösterdiğini ve hangi noktaları açıklayamadığını belirtmek yanlış müdahale riskini azaltır. Bozuk bağlantı bulguları içerik ekibine, uygulama ve kapasite sorunları ilgili teknik ekibe, saldırı şüphesi ise güvenlik ekibine aktarılır. DDoS saldırısına müdahale veya IP adresi engelleme gibi kararlar ayrı bir olay müdahale planında ele alınır. Gerektiğinde başka günlük türleri de incelenir; alanlar ve saatler eşleştirildikten sonra, varsa sistemin ürettiği ortak istek kimliği kayıtları ilişkilendirmek için kullanılır.
IP Adresinin Kimlik Değil Ağ Sinyali Olarak Kullanılması
Bir IP adresi belirli bir anda web sunucusunun gördüğü ağ kaynağını temsil eder. Ev ağları, iş yeri ağları, CGNAT, kurumsal proxy, VPN ve mobil bağlantılar nedeniyle aynı adres birden fazla kullanıcının trafiğinde görülebilir. Tek bir kullanıcı da zaman içinde farklı adreslerden bağlantı kurabilir.
IPv6 ağlarında geçici adres kullanımı da aynı cihazın zaman içinde farklı kaynak adresleriyle görünmesine yol açabilir. Adreslerin ortak başlangıç bitlerini ifade eden IPv6 prefix'ine göre gruplama, aynı ağa ait farklı cihazları bir araya getirebilir. Bu nedenle gruplamanın zaman aralığı ve ağ kapsamı belirtilmeli; yalnız IP adresinden veya ortak prefix'ten belirli bir kişi, hesap sahibi ya da saldırgan kimliği çıkarılmamalıdır.
Adresin ait olduğu internet servis sağlayıcısı, VPN sağlayıcısı veya barındırma hizmeti hakkında ek kayıtlar bağlam sağlayabilir, ancak bu bilgi isteği gönderen kişinin kimliğini göstermez. Erişim kaydını bir hesapla ilişkilendirmek gerekiyorsa yetkili ekip, ek kanıtları kurumun olay müdahale prosedürüne göre değerlendirmelidir.
Erişim Günlüklerinde Gizlilik, Saklama Süresi ve Denetim Kaydı
Erişim günlükleri IP adresi, istenen yol, zaman ve istemci sinyalleri gibi kişisel veya hassas kabul edilebilecek veriler içerebilir. Sunucu yöneticisi yalnız işletim ve güvenlik için gerekli alanları kaydetmeli; sorgu dizilerindeki parolalar gibi hassas verilerin günlüğe taşınmasını önlemelidir. Saklama süresini sorumlu ekip, belgelenmiş ihtiyaç ve yükümlülüklere göre belirler.
Günlüklere erişim görevle sınırlanmalı; okuma, dışa aktarma ve silme yetkileri ayrı ayrı yönetilmelidir. Orijinal kayıtların bütünlüğü korunmalı, analiz için üretilen özetlerin hangi kaynak ve zaman aralığından türetildiği izlenebilmelidir.
Saklama süresi için tek ve evrensel bir sayı yoktur. Olay inceleme ihtiyacı, depolama kapasitesi, sözleşmeler, kurum politikası ve geçerli hukuki yükümlülükler birlikte değerlendirilmelidir; süresi dolan kayıtlar kontrollü biçimde silinmelidir.
