Zeek log türleri, açık kaynaklı ağ güvenlik izleme aracı Zeek’in trafiği ayrıştırırken ürettiği, her biri farklı bir protokole ya da olay sınıfına ayrılmış günlük dosyalarıdır. Zeek bir imza motoru değildir; ağdan geçen paketleri protokol düzeyinde çözümler ve gördüğü her bağlantıyı, sorguyu, dosya transferini yapılandırılmış birer kayda dönüştürür. Sonuç, ham paketlerin yerini alacak kadar zengin ama sorgulanabilir bir olay defteridir.

Zeek, ham paketleri okumak yerine onları protokole göre ayrıştırıp ağdaki her etkileşimi anlamlı, tek satırlık bir kayda çeviren bir olay motorudur.

Temel Log Kategorileri

Zeek’in ürettiği loglar protokole ve amaca göre ayrışır. En sık başvurulan birkaçı şunlardır:

• conn.log: Her ağ bağlantısının özetini tutar; kaynak, hedef, port, süre ve aktarılan bayt bilgisiyle tüm analizin omurgasıdır.
• dns.log: Yapılan alan adı sorgularını ve yanıtlarını kaydeder; komuta-kontrol ve veri sızdırma tespitinde kritik rol oynar.
• http.log: Şifresiz web isteklerinin URL, yöntem, kullanıcı aracısı ve yanıt kodu ayrıntısını verir.
• ssl.log: Şifreli oturumların el sıkışma üst verisini, sertifika ve SNI bilgisini içerik açılmadan kaydeder.
• files.log: Ağ üzerinden aktarılan dosyaları ve özet değerlerini izleyerek bilinen zararlıların yakalanmasını sağlar.

Bu ayrım, analistin tüm trafiği tek bir yığın olarak değil, soruyu ilgilendiren protokol üzerinden okumasını sağlar. Bir DNS anomalisi araştırılırken conn.log yerine doğrudan dns.log’a bakmak, aramayı hem hızlandırır hem de bağlama oturtur.

Paket Kaydına Göre Farkı

Ham paket yakalama her baytı saklar ve en derin görünürlüğü verir, ama depolama maliyeti çok yüksektir ve analizi yavaştır. Zeek logları ise paketleri özetleyerek boyutu büyük ölçüde küçültür ve haftalar boyunca saklanabilir hale getirir. Pratikte iki yaklaşım tamamlayıcıdır: Zeek logları geniş zaman aralığında hızlı arama için, tam paket kaydı ise şüpheli bir anın mikroskop altına alınması için kullanılır.

Adli ve Avcılık Değeri

Bir olay sonrası incelemede Zeek logları, saldırganın ağ üzerindeki hareketini geriye doğru izlemenin en verimli yoludur; conn.log ile bağlantı zinciri, dns.log ve ssl.log ile de hedeflenen sunucular ortaya çıkarılır. Bu yapılandırılmış kayıtlar ağ adli analizi çalışmasının temelini oluşturur. Aynı loglar proaktif kullanımda da güçlüdür: analist, olağandışı uzunlukta DNS sorguları ya da nadir kullanıcı aracıları gibi zayıf sinyalleri tarayarak tehdit avcılığı yürütebilir.

İzleme Sürecine Entegrasyon

Zeek loglarının değeri, merkezî bir platformda başka kaynaklarla birleştiğinde katlanır. Ağ katmanındaki bu kayıtlar bir SIEM içinde uç nokta ve kimlik verisiyle ilişkilendirildiğinde, tek başına anlamsız bir bağlantı kaydı doğrulanmış bir tehdide dönüşür. Privia Security, Zeek tabanlı ağ görünürlüğünü olgun bir tespit sürecinin içine yerleştirmek için SOC olgunlaştırma hizmeti sunar.