Denetim Kayıtlarını SIEM'e Aktarma

Panelin Günlükler sayfası son 500 olayı gösterir. Denetim ve uyum için bu yeterli değildir: kayıtlar yalnız sunucuda durur, eski kayıt aranamaz ve sunucu kaybedilirse kayıtlar da gider. Sunucu, olay akışını kurumunuzun SIEM'ine gönderebilir.

Neler gönderilir

Panelde gördüğünüz denetim olaylarının aynısı: kullanıcı ekleme/silme, cihaz engelleme, politika ve rota değişiklikleri, kurulum anahtarı işlemleri, uzaktan erişim oturumları. Her kayıt şu alanları taşır:

{
  "id": 1421,
  "account": "default",
  "time": "2026-09-21T21:39:54Z",
  "actor": "erkan@firmaniz.com.tr",
  "activity": "user.created",
  "target_id": "…",
  "target_name": "veli@firmaniz.com.tr",
  "details": { }
}

Hedef seçenekleri

Syslog (UDP)Syslog (TCP)HTTPS (webhook)

Kurumsal SIEM'lerin ortak paydası. RFC 5424 biçimi; ileti gövdesi yukarıdaki JSON'dur.

sudo helmqet reconfigure qetra-vpn --set olay_aktar=syslog://10.0.0.5:514

Kayıp toleransı düşükse TCP kullanın (RFC 6587 uzunluk önekli çerçeveleme).

sudo helmqet reconfigure qetra-vpn --set olay_aktar=syslog+tcp://siem.firmaniz.com.tr:6514

Splunk HEC, Elastic, Sentinel gibi toplayıcılar için. Gövde bir JSON dizisidir (parti başına en çok 200 kayıt).

sudo helmqet reconfigure qetra-vpn \
    --set olay_aktar=https://siem.firmaniz.com.tr/api/olay \
    --set olay_aktar_token=<toplayici-belirteci>

Belirteç Authorization: Bearer başlığında gider; komut çıktısında ve yapılandırma farkında maskelenir.

http:// kabul edilmez

Denetim kaydı kullanıcı adları, e-postalar ve cihaz adları taşır. Düz metin göndermek kaydın kendisini bir sızıntıya çevirirdi. Syslog'un şifrelemesi yoktur; onu yalnız güvenilen ağ içinde kullanın.

Saklama süresi

Varsayılan: sınırsız (kayıtlar silinmez).

sudo helmqet reconfigure qetra-vpn --set olay_saklama_gun=365

Budama, gönderilmemiş kaydı silmez

Dışa aktarım açıkken budama aktarım imlecini geçemez: yaşı dolmuş ama henüz SIEM'e gitmemiş bir kayıt silinmez. Aksi hâlde hedef birkaç gün ulaşılamaz kalsa kayıtlar sessizce yok olurdu.

Doğrulama

Panelde Günlükler sayfasının üstündeki şerit durumu söyler:

Şerit	Anlamı
Yeşil: "Denetim kayıtları dışarı aktarılıyor (syslog)"	Akıyor; son gönderim zamanı yazar
Turuncu: "yalnız bu sunucuda tutuluyor"	Hedef tanımlı değil
Turuncu: "yapılandırma geçersiz"	Adres hatalı yazılmış — kayıtlar gitmiyor
Kırmızı	Hedefe ulaşılamıyor; hata metni ve bekleyen kayıt sayısı görünür

Sunucudan hızlı bakış:

sudo helmqet logs qetra-vpn | grep -i "olay aktarimi"

Kayıp yerine tekrar

Gönderim başarısız olursa imleç ilerlemez: bağlantı geri geldiğinde biriken kayıtlar sırayla gider. Sunucu tam gönderim sırasında yeniden başlarsa aynı parti bir kez daha gönderilebilir. Bu bilinçli bir seçimdir — kaybolan bir denetim kaydı geri getirilemez, tekrarlanan kayıt ise id alanına bakılarak ayıklanır.

Kapatma

sudo helmqet reconfigure qetra-vpn --set olay_aktar=

Saklama ayarı bağımsızdır; aktarım kapalıyken de eski kayıtlar budanmaya devam eder.