Log kaynak kritikliği sınıflandırması, bir kurumun ürettiği yüzlerce günlük akışını güvenlik açısından taşıdıkları değere göre derecelendirme çalışmasıdır. Her sistem kayıt üretir ama hepsi aynı önemde değildir; kimlik sunucusunun günlüğü ile bir yazıcının günlüğü savunma açısından aynı ağırlığı taşımaz. Sınıflandırma, bu farkı açıkça ortaya koyarak izleme kaynaklarının nereye yoğunlaşacağını belirler.

Kritiklik sınıflandırması, sınırlı izleme kapasitesini kurumu en çok etkileyecek günlük kaynaklarına yönlendiren önceliklendirme haritasıdır.

Neye Göre Sınıflandırılır?

Bir kaynağın kritikliği birkaç somut ölçüte dayanır: kapsadığı varlığın iş açısından değeri, saldırgan için taşıdığı hedef çekiciliği ve o günlüğün bir saldırıyı erken görebilme potansiyeli. Etki alanı denetleyicileri, kimlik yönetimi sistemleri, VPN geçitleri ve internete açık uygulama sunucuları genellikle en üst kademeye girer; çünkü bir ihlalin genellikle ya başlangıç noktası ya da dönüm noktası buralardan geçer.

Sınıflandırma çoğunlukla üç ya da dört kademeli bir ölçekle yapılır: kritik, yüksek, orta ve düşük. Kritik kademedeki kaynaklar gerçek zamanlı izlenir ve en agresif tespit kuralları bunlara uygulanır; alt kademelerde ise korelasyon ve tutma politikaları daha gevşetilebilir. Bu kademeleme keyfi değil, kurumun tehdit modeliyle gerekçelendirilmiş olmalıdır.

İzleme ve Bütçe Üzerindeki Etkisi

Sınıflandırmanın pratik karşılığı hem tespit tasarımında hem de maliyet tarafında görülür. Bir SIEM platformunun alım ve saklama maliyeti işlenen veri hacmiyle doğrudan artar; bu nedenle her kaynağı aynı yoğunlukta toplamak hem ekonomik değildir hem de gereksizdir. Kritiklik haritası, yüksek değerli kaynakların tam ayrıntıyla, düşük değerli kaynakların ise özetlenmiş biçimde toplanmasına imkân tanır.

Bu haritayı kuran çalışma, sağlıklı bir log yönetimi pratiğinin ilk adımıdır. Hangi kaynakların hangi ayrıntıyla, hangi formatta ve nereye toplanacağı ancak kritiklik netleştikten sonra tutarlı biçimde tasarlanabilir. Aksi halde ekip ya her şeyi toplayıp veride boğulur ya da yanlış kaynakları eksik izleyip kör noktalar bırakır.

Tespit ve Müdahaleye Katkısı

Kritik kaynakların net biçimde işaretlenmesi, proaktif savunmayı da yönlendirir. Tehdit avcılığı yapan bir analist, avını en yüksek değerli günlüklerden başlatarak sınırlı zamanını en olası saldırı yollarına ayırır. Bir soruşturma başladığında ise kritik kaynakların tam ve güvenilir kayıt tutması, olayın kök nedenine daha hızlı ulaşmayı sağlar.

Bir olay yaşandığında, hangi kaynağın delil değeri taşıdığını önceden bilmek olay müdahale hızını doğrudan etkiler. Kritiklik sınıflandırması yapılmamış bir ortamda ekip, olay anında hangi günlüklere bakacağını el yordamıyla arar. Privia Security’nin SOC olgunlaştırma hizmeti, günlük kaynaklarının kritikliğe göre haritalanmasını ve izleme önceliklerinin bu haritaya oturtulmasını içerir.