Paylaşımlı klasörde bir proje dizini kaybolduğunda ilk soru hep aynıdır: Bu dosyayı kim sildi, kim taşıdı, izinleri kim değiştirdi?
Kurumsal dosya sunucusu, şirketin en çok kullanılan ve en az izlenen sistemlerinden biridir. Bir klasör silindiğinde, yanlış yere taşındığında ya da paylaşım izinleri genişletildiğinde çoğu kurum bunu ancak bir kullanıcı şikâyet edince öğrenir. Aynı kör nokta, fidye yazılımının dosyaları birer birer şifrelediği ilk dakikalarda da geçerlidir.
Dosya sunucusu denetimi bu soruları kayıtla cevaplar. ManageEngine ekosisteminde bu işi yapan iki ürün vardır: veri güvenliği odaklı DataSecurity Plus nedir ve hangi modüllerden oluşur sorusunun cevabı bir yanda, Active Directory ile dosya denetimini aynı konsolda birleştiren ADAudit Plus özellikleri öbür yanda. Bu yazı ikisinin dosya sunucusu tarafında nerede örtüştüğünü ve nerede ayrıştığını anlatır.
Kısaca: Dosya sunucusu denetimi, paylaşımlardaki her dosya işlemini kim, ne, ne zaman ve hangi makineden bilgisiyle kaydeder; silme, taşıma, yeniden adlandırma ve izin değişikliği anında görünür olur. Toplu yeniden adlandırma gibi olağan dışı artışlar da fidye yazılımının erken işaretidir ve uyarıyla birlikte otomatik yanıt tetiklenebilir.
Kurumsal dosya sunucusunda "dosyayı kim sildi?" sorusu neden cevapsız kalır?
Windows, dosya erişimini kendi güvenlik günlüğüne yazabilir. Ancak bunun için nesne erişimi denetim ilkesinin açılması ve izlenecek her klasörde SACL (sistem erişim denetim listesi) tanımlanması gerekir. Varsayılan kurulumda bu ayarlar kapalıdır; olay yaşandıktan sonra açmak geçmişi geri getirmez.
Denetim açık olsa bile ham kayıtlarla çalışmak zordur. Bir silme işlemi tek bir olay olarak değil, 4663 (nesneye erişim denemesi), 4660 (nesne silindi) ve izin değişikliğinde 4670 gibi birbirine bağlı olay kimlikleriyle yazılır. Bu olayları birleştirmek, binlerce okuma kaydının arasından anlamlı olanı ayıklamak ve günlük dolup üzerine yazılmadan saklamak ayrı bir iştir.
NAS cihazlarında tablo daha da dağınıktır. NetApp, Dell EMC ya da Synology gibi depolama sistemleri denetim kaydını kendi biçiminde tutar. Birden fazla depolama platformu olan bir kurumda "dosyayı kim sildi" sorusu, her cihazın arayüzünde ayrı ayrı aranan bir cevaba dönüşür.
Dosya sunucusu denetimi neyi kaydeder?
Merkezi bir dosya sunucusu denetimi aracı, işletim sisteminin ve depolama cihazının ürettiği olayları toplar, ilişkilendirir ve okunabilir bir denetim izine çevirir. Her kayıt dört soruyu birlikte cevaplar: kim (kullanıcı hesabı), ne (işlem ve dosya yolu), ne zaman (zaman damgası) ve nereden (istemci makine ya da IP adresi).
ManageEngine'in her iki ürünü için de resmi dokümanlarda yer alan temel olay kapsamı şöyledir:
- Oluşturma, okuma, değiştirme ve silme: dosya ve klasör düzeyinde, başarılı ve başarısız denemeler ayrı ayrı
- Taşıma ve yeniden adlandırma: önceki ve yeni ad ya da konum birlikte kaydedilir
- İzin değişiklikleri: paylaşım ve NTFS izinlerinde eklenen, kaldırılan ya da değiştirilen haklar, değişiklik öncesi ve sonrası değerlerle
- Kopyalama: kritik dosyaların kopyalanması (DataSecurity Plus pano ve sağ tık kopyalama işlemlerini ayrıca izler)
- Başarısız erişim: yetkisi olmayan bir dosyayı okuma, yazma ya da silme girişimleri
Bu kayıtlar raporlanabilir ve uyarıya bağlanabilir. Örneğin finans paylaşımında mesai dışı yapılan her silme işlemi için e-posta uyarısı tanımlamak, "dosyayı kim sildi" sorusunu olaydan dakikalar sonra cevaplanır hale getirir. Saklanan denetim izi, KVKK kapsamında kişisel veriye erişimin kayıt altına alınması gibi uyum gereksinimlerinde de kanıt olarak kullanılır.
Fidye yazılımı tespiti: toplu şifrelemeyi ilk dakikalarda fark etmek
Fidye yazılımı bir dosya sunucusuna ulaştığında davranışı benzerdir: kısa sürede çok sayıda dosyayı açar, şifreler, yeniden adlandırır ya da uzantısını değiştirir. Tek bir kullanıcı hesabından, tek bir istemciden gelen bu olağan dışı artış, dosya sunucusu denetiminin en net yakaladığı örüntüdür.
Her iki ürün de eşik tabanlı uyarı kullanır: belirli bir süre içinde belirli sayıda yeniden adlandırma, silme ya da değiştirme olayı görülürse kritik uyarı üretilir. Eşik, sunucunun büyüklüğüne, kullanıcı sayısına ve olağan iş yüküne göre ayarlanmalıdır. Ayrışan noktalar ayrıntıdadır:
- DataSecurity Plus, eşiğe ek olarak fidye yazılımlarının şifrelenmiş dosyalara eklediği bilinen dosya uzantılarından oluşan bir kitaplıkla çalışır. Yerleşik yanıt, bulaşmanın görüldüğü makineyi otomatik olarak kapatabilir ve kullanıcının oturumunu sonlandırabilir. Saldırının başladığı istemcinin IP adresi kök neden analizi için raporlanır.
- ADAudit Plus, eşiğin yanında kullanıcı davranışı analitiğiyle (UBA) her hesabın olağan dosya etkinliği tabanını çıkarır; bir kullanıcının değiştirme ya da silme hacmi kendi tabanından saparsa uyarı üretir. Toplu dosya etkinliğinde önceden tanımlı yanıtlar (sunucuyu yalıtma, kullanıcı oturumunu sonlandırma gibi) ya da özel betikler çalıştırılabilir; BT hizmet yönetimi platformunda otomatik olay talebi açılabilir.
Senaryo: Bir lojistik şirketinde cuma akşamı, muhasebe paylaşımında tek bir kullanıcı hesabından dakikalar içinde yüzlerce yeniden adlandırma olayı görülür. Eşik aşıldığı anda kritik uyarı düşer ve tanımlı yanıt devreye girer: kullanıcının oturumu kesilir, olayın başladığı istemci makine kapatılır. Pazartesi sabahı ekip denetim izinden hangi dosyaların ne zaman değiştiğini çıkarır ve yedekten yalnızca o dosyaları geri yükler. Hasar tüm paylaşıma değil, ilk dakikalarda değişen dosyalarla sınırlı kalır.
Burada dikkat edilmesi gereken nokta şudur: Dosya sunucusu denetimi bir uç nokta güvenliği ürününün yerine geçmez. Fidye yazılımını sunucuya ulaşmadan durdurmak EDR'ın işidir; dosya denetimi ise şifreleme başladığında son savunma hattı ve sonrasında hangi dosyanın etkilendiğini gösteren kayıttır.
DataSecurity Plus ve ADAudit Plus farkları: karşılaştırma tablosu
İki ürün de dosya sunucusu denetimi yapar, ancak çıkış noktaları farklıdır. ADAudit Plus kimlik merkezlidir: Active Directory, Windows sunucular, iş istasyonları ve dosya sunucuları aynı konsolda denetlenir. DataSecurity Plus veri merkezlidir: dosya denetiminin yanında dosyanın kendisini (içerik, izin, depolama) ve verinin kurumdan çıkışını ele alır. Aşağıdaki tablo ManageEngine'in resmi ürün sayfaları ve sistem gereksinimleri dokümanına göre hazırlanmıştır (Ekim 2026 itibarıyla).
| Yetenek | DataSecurity Plus | ADAudit Plus |
|---|---|---|
| Çıkış noktası | Veri güvenliği: dosya denetimi, analizi, keşfi ve sızıntı önleme | Kimlik ve erişim denetimi: AD, sunucu, iş istasyonu, dosya sunucusu |
| Dosya olayları (silme, taşıma, yeniden adlandırma, izin değişikliği, başarısız erişim) | Var | Var |
| Desteklenen depolama | Windows dosya sunucusu, failover cluster, NetApp ONTAP, Dell EMC Isilon, Nutanix Files | Windows dosya sunucusu, failover cluster, NetApp, Dell EMC (VNX, Unity, Isilon dahil), Synology, Hitachi, Huawei, QNAP, Amazon FSx, Azure dosya depolama; eklentiyle CTERA, Nutanix, Qumulo |
| Active Directory ve oturum açma denetimi | Kapsam dışı | Var (AD değişiklikleri, oturum açma ve kapatma, hesap kilitlenmeleri) |
| Fidye yazılımı tespiti | Eşik tabanlı uyarı ve bilinen fidye yazılımı uzantıları kitaplığı | Eşik tabanlı uyarı ve UBA davranış tabanı |
| Otomatik yanıt | Bulaşan makineyi kapatma, oturumu sonlandırma, özel betik | Önceden tanımlı yanıtlar (yalıtma, oturum sonlandırma), özel betik, ITSM'de olay talebi |
| Dosya analizi (ROT veri, izin, depolama, sahiplik) | Yerleşik modül | Windows dosya sunucuları için ayrı File Analysis eklentisi |
| Hassas veri keşfi ve veri risk değerlendirmesi | Var (kişisel veri, PCI, sağlık verisi kalıpları) | Yok |
| Uç nokta DLP ve bulut koruması | Var (USB, e-posta, yazıcı kanalları; web trafiği ve gölge uygulama denetimi) | Yok |
Tablodaki en pratik fark depolama listesidir. Synology, Hitachi, Huawei ve QNAP gibi NAS cihazları ADAudit Plus'ın resmi listesinde yer alır; DataSecurity Plus'ın dosya denetimi listesinde yoktur. Kurumdaki depolama envanteri, ürün seçimini çoğu zaman tek başına belirler.
Hangi durumda hangisi seçilir?
Ürün seçimi "hangisi daha iyi" sorusuyla değil, dosya sunucusu denetiminin hangi soruya cevap vereceğiyle başlar. Sahada en sık karşılaşılan üç durum şöyledir:
- Soru "kim yaptı" ise ADAudit Plus: Dosya silme olayını aynı kullanıcının oturum açma kaydı, hesap kilitlenmesi ya da grup üyeliği değişikliğiyle aynı zaman çizelgesinde görmek istiyorsanız kimlik merkezli yaklaşım daha uygundur. Karma NAS ortamı olan kurumlarda da geniş depolama listesi avantaj sağlar. AD tarafındaki davranış analitiği, içeriden tehditlerin Active Directory üzerinden tespiti ile birlikte düşünülebilir.
- Soru "veriye ne oluyor" ise DataSecurity Plus: Dosya denetimine ek olarak paylaşımlardaki gereksiz ve eski veriyi temizlemek, herkese açık izinleri bulmak, kişisel veri içeren dosyaları keşfetmek ve verinin USB ya da e-postayla çıkışını kontrol etmek gerekiyorsa veri merkezli yaklaşım tek üründe toplanır.
- İkisi birlikte: ADAudit Plus ile kimlik ve oturum tarafı, DataSecurity Plus ile veri keşfi ve sızıntı önleme tarafı kapsanabilir. Bu durumda dosya sunucusu denetiminin hangi üründe yapılacağına önceden karar verilmeli; aynı paylaşımı iki ajanla izlemek gereksiz yük ve çift uyarı üretir.
Karar öncesinde üç bilgiyi netleştirmek yeterlidir: depolama platformlarının listesi, Active Directory denetiminin zaten bir araçla yapılıp yapılmadığı ve hassas veri keşfi ya da DLP ihtiyacının bu projeye dahil olup olmadığı. DataSecurity Plus modülleri ve lisans kalemleri ile ADAudit Plus'ın denetim kapsamı bu üç cevaba göre eşleştirilir.
Sıkça Sorulan Sorular
Dosyayı kim sildi, Windows olay günlüğünden bulunabilir mi?
Bulunabilir, ancak olaydan önce nesne erişimi denetiminin açılmış ve klasörde SACL tanımlanmış olması gerekir. Silme işlemi 4663 ve 4660 gibi birden fazla olay kimliğine dağılır, günlük dolduğunda eski kayıtların üzerine yazılır. Dosya sunucusu denetimi aracı bu olayları birleştirip tek satırlık, aranabilir bir kayda çevirir.
DLP izleme (DLP monitoring) ile dosya sunucusu denetimi aynı şey mi?
Aynı şey değildir. Dosya sunucusu denetimi paylaşımlarda kimin hangi dosyaya ne yaptığını kaydeder. DLP izleme ise verinin USB, e-posta, yazıcı ya da web üzerinden kurum dışına çıkışını izler ve politikaya göre engeller. DataSecurity Plus ikisini aynı üründe sunar; DLP tarafının ayrıntısı veri sızıntısı önleme yazısında anlatılmıştır.
Dosya sunucusu denetimi fidye yazılımını tamamen engeller mi?
Tek başına engellemez, ancak hasarı sınırlar. Toplu yeniden adlandırma ve değiştirme artışını ilk dakikalarda fark eder, makineyi kapatma ya da oturumu kesme gibi otomatik yanıtları tetikler. Fidye yazılımının sunucuya ulaşmasını önlemek uç nokta güvenliği ürünlerinin görevidir; dosya denetimi son savunma hattı ve kurtarma için kayıt kaynağıdır.
NAS cihazlarında dosya denetimi yapılabilir mi?
Yapılabilir, ancak destek cihaza ve ürüne göre değişir. ManageEngine'in resmi listelerine göre DataSecurity Plus dosya denetiminde NetApp ONTAP, Dell EMC Isilon ve Nutanix Files desteklenir. ADAudit Plus'ın listesinde bunlara ek olarak Synology, Hitachi, Huawei, QNAP, Amazon FSx ve Azure dosya depolama da yer alır. Satın alma öncesinde cihaz modeli ve yazılım sürümü üreticinin güncel listesiyle karşılaştırılmalıdır.
Sonuç: Önce soruyu, sonra ürünü seçin
Kurumsal dosya sunucusunda silinen, taşınan ya da izni değişen her dosya bir kayıt bırakmalıdır. Hedefiniz bu kaydı kimlik ve oturum bilgisiyle birlikte görmekse ve karma bir NAS ortamınız varsa ADAudit Plus öne çıkar. Hedefiniz dosya denetimini veri keşfi, izin temizliği ve sızıntı önlemeyle tek çatıda toplamaksa DataSecurity Plus daha bütüncül bir cevaptır. Fidye yazılımı tespiti ve otomatik yanıt her ikisinde de vardır; fark, tespitin dayandığı yöntem ve yanıtın biçimindedir.
Technodus, ManageEngine yetkili çözüm ortağı olarak dosya sunucusu denetimi projelerinde depolama envanterinin çıkarılmasından denetim ilkelerinin yapılandırılmasına, fidye yazılımı eşiklerinin kurumun iş yüküne göre ayarlanmasından uyarı ve raporların devreye alınmasına kadar süreci uçtan uca yürütür. Siber güvenlik yönetimi çözümleri kapsamında iki ürünü kendi ortamınızda karşılaştırmalı denemek için ekibimizle iletişime geçebilirsiniz.