E-posta Loglarında Anomaly Detection ile Güvenlik Tehdidini Erken Yakalayın

Kurumsal e-posta sistemleri, sadece iletişim aracı değil; aynı zamanda saldırganların hedef aldığı en önemli noktalardan biridir. Spam bot’lar veya ele geçirilmiş kullanıcı hesapları, kısa sürede binlerce zararlı veya spam e-posta gönderebilir. Bu durum, sadece itibar kaybına değil; kara listeye alınma ve ciddi teslimat sorunlarına da neden olur.

Anomaly detection (anormallik tespiti), klasik imza tabanlı filtrelerin ötesine geçerek; e-posta log’larındaki normal dışı davranışları otomatik olarak fark edip saldırıları erken aşamada durdurur.

 Anomaly Detection Nedir ve Nasıl Çalışır?

Anomaly detection, e-posta log’larında belirlenen normal davranış modellerine (örneğin; saatlik gönderim hacmi, IP adresi, ülke, domain, alıcı çeşitliliği) göre anormallikleri bulmaya yarayan gelişmiş bir güvenlik katmanıdır.

Tipik olarak şu veriler analiz edilir:

• Kullanıcı başına saatlik/günlük gönderim hacmi

• Gönderilen e-posta boyutu ve türü

• Bağlantı kurulan hedef IP’ler ve ülkeler

• E-posta gönderim saatleri

• SMTP hata kodları ve bounce oranları

Bu analiz SIEM platformları (Splunk, ELK Stack vb.), özel geliştirilmiş script’ler veya makine öğrenmesi modelleri ile yapılabilir.

 Örnek Anormallikler ve Alarm Senaryoları

✅ Bir kullanıcının normalde günde 10 e-posta gönderirken birdenbire 500 e-posta göndermesi
✅ Normalde Türkiye IP’sinden bağlanan bir hesabın Çin veya Rusya IP’sinden erişim sağlaması
✅ Aynı e-postanın çok sayıda farklı alıcıya kısa sürede gitmesi
✅ Gönderilen e-postalarda link ve ek oranının aşırı yükselmesi
✅ SPF/DKIM geçmeyen e-postaların sayısının artması

Bu sinyaller, spam bot veya ele geçirilmiş hesap olduğuna dair güçlü birer işarettir.

 Hangi Araçlar Kullanılabilir?

• SIEM platformları: Splunk, Elastic Stack (ELK), Graylog

• Log parser’lar: GoAccess, AWStats, custom Python/Perl script’ler

• Machine learning çözümleri: Anomalous pattern detection için scikit-learn, TensorFlow vb.

Log verileri genellikle Postfix, Exim, Microsoft Exchange veya cloud tabanlı (O365, Google Workspace) log’lardan toplanır.

⚙ Teknik Örnek: Elastic Stack ile Anomaly Detection

1️⃣ Logstash ile mail log’larını toplayın
2️⃣ Elasticsearch üzerinde verileri saklayın
3️⃣ Kibana’da görselleştirme ve threshold alarmları oluşturun
4️⃣ X-Pack Machine Learning veya Watcher ile otomatik anomaly detection kurun

Böylece;
– Normal dışı gönderim hacmi
– Ülke değişimi
– IP reputation düşüşü
gibi durumlarda anlık alarm üretebilirsiniz.

✅ Avantajları

• Spam bot ve hacked account kaynaklı toplu spam’lerin anında fark edilmesi

• Kara listeye girme riskinin azalması

• Olay müdahale süresinin kısalması

• Detaylı raporlama ve forensic inceleme kolaylığı

• Daha düşük False Positive oranı

Sadece antivirüs ve spam filtresi yeterli değildir; saldırganlar giderek daha sofistike yöntemler kullanıyor.
E-posta log’larında anomaly detection, spam bot veya ele geçirilmiş hesapların zarar vermeden fark edilmesini sağlar ve kurumunuzu proaktif şekilde korur.

Siz de e-posta altyapınızda gelişmiş log analitiği ve anomaly detection çözümleri kurmak için bizimle iletişime geçebilirsiniz.