Server log'ları kritik delil; ancak bilirkişi raporunda zaman senkronizasyonu + hash + sunucu sahipliği belge halinde olmazsa karşı taraf manipülasyon iddiasıyla çürütür.
Yaygın log kaynakları
- Apache / Nginx access.log + error.log.
- IIS log (Windows Server).
- AWS CloudTrail / CloudWatch.
- Azure Activity Log.
- Application log (uygulama içi).
- Database query log.
- SIEM (Splunk, ELK, Sentinel).
Zaman senkronizasyonu (NTP)
- Sunucu zamanı NTP ile küresel atomik saatle senkron — şart.
- Senkron yoksa "saat manipüle edilmiş olabilir" iddiası geçerli.
- Bilirkişi raporu NTP konfig + sync log'unu görmeli.
Bilirkişi metodoloji
- Sunucu fiziksel/mantık erişim doğrulanır.
- Sahiplik / yetki belgeleri (cloud hesabı, IAM).
- Log dosyaları kopyalanır; hash (SHA-256) alınır.
- Zaman senkronizasyonu kontrol.
- Anomali tespiti (örn. tek IP'den çoklu giriş).
- Korelasyon (uygulama + DB + ağ).
- Sonuç + ekler (hash + log dosya).
AWS CloudTrail örneği
- CloudTrail tüm AWS API çağrılarını log'lar.
- S3'te zaman damgalı + immutable ("object lock") saklanmalı.
- Bilirkişi: IAM yetkili kullanıcı + log indirir + hash + analiz.
- S3 erişim log'u + KMS şifreleme log'u korelasyon.
Sıkça sorulan sorular
Log silinmiş; geri gelir mi?
S3 versioning + object lock + lifecycle politikası varsa evet. Yerel sunucuda silinmişse adli bilişim ile geri getirilebilir. SIEM'e gönderildiyse SIEM'de mevcut.
Karşı taraf "log manipüle edildi" diyor; nasıl yanıtlarız?
NTP sync + immutable storage + hash zinciri belgesi. SIEM ek olarak "tamper detection" ile manipülasyon riskini sıfırlar. Bilirkişi raporu bu ayrıntıları net göstermeli.
Üçüncü tarafın sunucusu (AWS); erişim sorun mu?
IAM yetkili kullanıcının izniyle erişim mümkün; cloud sağlayıcı ek bilirkişi raporu (örn. AWS GovCloud audit) verebilir. Yetkili kullanıcı eksikse mahkeme talebi ile AWS'e MLAT.
Log saklama süresi ne kadar olmalı?
KVKK m.7 saklama ilkeleri; veri tipi + amaç bağlı. Log için yaygın: 1-3 yıl; finansal sektör 10 yıl; sigortacılık 10 yıl. Şirket politikasında net olmalı.
Application log içinde kişisel veri var; KVKK uyumlu mu?
Olabilir. Log'da PII varsa KVKK m.5 hukuki sebep + maskeleme + erişim kontrol şart. Bilirkişi inceleme sırasında redaksiyon (PII çıkarma) önerilir.
İlgili mevzuat
- HMK m.199-205 — Belge ve delil ibrazı.
- HMK m.400-405 — Tespit; tanıklı / bilirkişili.
- CMK m.134 — Bilgisayar arama, kopyalama; hash zinciri.
- TCK m.243-245 — Bilişim suçları, dijital delil zinciri.
- e-İmza Kanunu (5070) — Elektronik imza ve zaman damgası.