Siber Tehdit İstihbaratı (Cyber Threat Intelligence - CTI)
Siber güvenlik dünyasında, sistemlerimizi korumak için genellikle ateş duvarları (firewall), antivirüs yazılımları veya güncel yamalar gibi "savunma" mekanizmalarına odaklanırız. Ancak, modern tehdit ortamında sadece kapıyı kilitlemek yeterli değildir; kapıyı kimin, neden ve hangi maymuncukla açmaya çalışacağını önceden bilmek gerekir.
İşte siber güvenlik stratejisini reaktif (olay sonrası) olmaktan çıkarıp proaktif (olay öncesi) hale getiren bu kavrama Siber Tehdit İstihbaratı (Cyber Threat Intelligence - CTI) adı verilir.
Görünmeyeni Görmek: Siber Tehdit İstihbaratı (CTI) Nedir ve Nasıl Uygulanır?
Siber Tehdit İstihbaratı (CTI), kurumların bilişim altyapılarına yönelik mevcut veya potansiyel saldırılar hakkında toplanan, analiz edilen ve anlamlandırılan veriler bütünüdür.
Bir sistem yöneticisi için binlerce satırlık güvenlik duvarı logu sadece "veri"dir. USOM tarafından yayınlanan zararlı IP adresleri listesi bir "bilgi"dir. Ancak bu IP adreslerinin, ağınızda kurulu olan spesifik bir servisi (örneğin eski sürüm bir web sunucusu veya açık bir veritabanı portu) hedef alan belirli bir saldırgan grubuna (APT) ait olduğunu bilmek ve buna göre önlem almak istihbarattır.
1. Siber Tehdit İstihbaratının Katmanları
CTI, hitap ettiği kitleye ve içerdiği teknik detaya göre dört temel seviyeye ayrılır:
Stratejik İstihbarat (Strategic): Kurumun üst düzey yöneticileri için hazırlanır. "Siber saldırı trendleri neler?", "Eğitim veya kamu kurumları neden hedef alınıyor?", "Finansal riskimiz nedir?" gibi soruları yanıtlar. Teknik terimlerden uzaktır.
Operasyonel İstihbarat (Operational): Yaklaşan veya devam eden spesifik saldırı kampanyalarını inceler. Saldırganların kim olduğu (motivasyonları) ve hedeflerinin ne olduğu ile ilgilenir.
Taktiksel İstihbarat (Tactical): Güvenlik mimarları ve sistem yöneticileri içindir. Saldırganların nasıl saldırdığına odaklanır. Burada TTP (Tactics, Techniques, and Procedures) yani Taktik, Teknik ve Prosedürler kavramı devreye girer (Örn: Saldırganlar ağa sızmak için genellikle oltalama e-postaları kullanıyor ve ardından içeride yatay hareket etmek için Samba protokolündeki bir zafiyeti sömürüyor).
Teknik İstihbarat (Technical): SOC (Siber Güvenlik Operasyon Merkezi) analistleri ve ağ yöneticileri içindir. Kısa ömürlü ve teknik verilerdir. Bunlara IoC (Indicators of Compromise - Uzlaşma Göstergeleri) denir. (Örn: Zararlı yazılım barındıran bir IP adresi, kötü amaçlı bir dosyanın MD5 hash değeri, oltalama amaçlı bir domain).
2. CTI Yaşam Döngüsü (İstihbarat Çarkı)
Ham verinin işe yarar bir istihbarata dönüşmesi için belirli bir süreçten geçmesi gerekir. Bu süreç sürekli dönen bir çark gibidir:
Yönlendirme ve Planlama (Direction): Neyi korumaya çalışıyoruz? Hangi verilere ihtiyacımız var? (Örneğin: "Öğrenci veritabanımızı fidyeci yazılımlardan (Ransomware) korumak için güncel saldırı vektörlerini bilmemiz gerekiyor.")
Toplama (Collection): Verilerin toplanması aşamasıdır. Açık kaynaklardan (OSINT), haber bültenlerinden, NVD (Ulusal Zafiyet Veritabanı) kayıtlarından, USOM bildirimlerinden, güvenlik duvarı loglarından veya karanlık ağdan (Dark Web) veri toplanabilir.
İşleme (Processing): Toplanan devasa verinin temizlenmesi ve yapılandırılmasıdır. (Örneğin: Farklı kaynaklardan gelen IP adreslerinin tek bir formata, örneğin JSON formatına dönüştürülmesi).
Analiz (Analysis): Temizlenen verilerin anlamlandırıldığı aşamadır. "Bu veriler bizim altyapımız için ne ifade ediyor?" sorusu yanıtlanır.
Dağıtım (Dissemination): Üretilen istihbaratın ilgili ekiplere (sistem yöneticileri, ağ uzmanları veya yönetim) doğru formatta ulaştığı aşamadır.
Geri Bildirim (Feedback): Sağlanan istihbaratın işe yarayıp yaramadığının değerlendirildiği ve bir sonraki planlama aşamasının iyileştirildiği adımdır.
3. Sistem Yöneticileri ve Geliştiriciler İçin Pratik Uygulamalar
Siber Tehdit İstihbaratını teoriden pratiğe dökmek, büyük bütçeler gerektirmeden açık kaynaklı araçlarla da yapılabilir:
Açık Kaynaklı Platformlar (MISP): Malware Information Sharing Platform (MISP) gibi açık kaynaklı istihbarat paylaşım platformları kurarak, küresel olarak yayınlanan IoC (IP, Domain, Hash) verilerini otomatik olarak ağınıza çekebilirsiniz.
Altyapı Entegrasyonu: USOM veya AlienVault OTX gibi platformlardan alınan IoC'leri, doğrudan okullardaki veya veri merkezlerindeki güvenlik duvarlarına (Firewall), IDS/IPS (Saldırı Tespit Sistemleri) cihazlarına veya DNS filtreleme sunucularına otomatik kurallar olarak entegre edebilirsiniz.
Güvenli Yazılım Geliştirme: Kendi geliştirdiğiniz Python, Django veya Flutter uygulamalarında kullandığınız kütüphaneleri seçerken, bu kütüphanelerin geçmişte hangi TTP'lere veya CVE'lere maruz kaldığını bilmek, mimariyi baştan güvenli tasarlamanızı sağlar.
Özetle
Siber Tehdit İstihbaratı, "Gelecek saldırı ne olabilir?" sorusunun bilimsel ve veriye dayalı yanıtıdır. Doğru kullanıldığında, altyapınızdaki sanal makinelerden akıllı tahtalara kadar tüm uç noktaları körlemesine değil, hedefe yönelik ve bilinçli bir şekilde korumanızı sağlar. İstihbarat bir yazılım değil, bir süreçtir.
Siber Güvenlikte Tehdit Analizi ve İstihbarat Yönetimi
İçindekiler
Giriş
Siber Tehdit İstihbaratı Nedir?
Siber Güvenlikte İstihbaratın Önemi
CTI’nin Temel Amaçları
Siber Tehdit İstihbaratı Türleri
Stratejik İstihbarat
Operasyonel İstihbarat
Taktiksel İstihbarat
Teknik İstihbarat
IOC (Indicator of Compromise) Kavramı
TTP Kavramı
MITRE ATT&CK Framework
Siber Tehdit Kaynakları
Zararlı Yazılım Analizi
Oltalama Kampanyalarının Analizi
Tehdit İstihbaratı Toplama Süreci
Açık Kaynak İstihbaratı (OSINT)
Dark Web ve Siber Tehditler
Tehdit İstihbaratı Platformları
SIEM ve CTI İlişkisi
SOC Merkezlerinde CTI Kullanımı
Kurumlar İçin CTI Süreci
Yapay Zekâ ve Tehdit İstihbaratı
Gerçek Hayattan Siber Saldırı Örnekleri
Siber Tehdit İstihbaratı Araçları
Türkiye’de Siber Tehdit İstihbaratı
Etik ve Hukuki Boyut
Öğrenciler İçin Uygulama Çalışmaları
Sonuç
Terimler Sözlüğü
1. Giriş
Dijital sistemlerin yaygınlaşmasıyla birlikte siber saldırılar da giderek artmaktadır.
Saldırganlar artık:
Otomasyon sistemleri
Yapay zekâ destekli araçlar
Zararlı yazılımlar
Oltalama kampanyaları
Botnet ağları
kullanarak çok daha gelişmiş saldırılar gerçekleştirmektedir.
Bu saldırıları önceden anlayabilmek için yalnızca antivirüs kullanmak yeterli değildir.
İşte bu noktada Siber Tehdit İstihbaratı (Cyber Threat Intelligence - CTI) devreye girer.
2. Siber Tehdit İstihbaratı Nedir?
Siber Tehdit İstihbaratı (CTI):
Siber tehditlerle ilgili bilgilerin toplanması, analiz edilmesi ve anlamlı hale getirilmesi sürecidir.
Amaç:
Saldırıları önceden tespit etmek
Riskleri azaltmak
Kurumları korumak
Güvenlik ekiplerini bilgilendirmek
3. Siber Güvenlikte İstihbaratın Önemi
Eskiden güvenlik sistemleri saldırı gerçekleştikten sonra tepki veriyordu.
Modern CTI yaklaşımında ise:
Tehditler önceden analiz edilir
Saldırgan davranışları incelenir
Risk tahmini yapılır
Savunma önceden hazırlanır
Bu yaklaşım “proaktif güvenlik” olarak adlandırılır.
4. CTI’nin Temel Amaçları
Tehditleri Erken Tespit Etmek
Yeni saldırı yöntemleri takip edilir.
Saldırgan Davranışlarını Anlamak
Hacker gruplarının çalışma yöntemleri incelenir.
Kurumları Korumak
Savunma sistemleri güncellenir.
Olay Müdahalesini Hızlandırmak
Saldırı anında daha hızlı tepki verilir.
5. Siber Tehdit İstihbaratı Türleri
| Tür | Amaç |
|---|---|
| Stratejik | Yönetim seviyesinde risk analizi |
| Operasyonel | Gerçek saldırı kampanyalarını inceleme |
| Taktiksel | Saldırgan tekniklerini analiz etme |
| Teknik | Zararlı IP, hash, domain bilgileri |
6. Stratejik İstihbarat
Üst düzey yöneticilere yönelik hazırlanır.
İçerik:
Ülke bazlı tehditler
Kritik sektör riskleri
Siber savaş analizleri
Finansal etkiler
Amaç:
Karar verme süreçlerini desteklemektir.
7. Operasyonel İstihbarat
Gerçek saldırı operasyonlarını analiz eder.
Örnek:
Fidye yazılımı kampanyaları
Oltalama saldırıları
Devlet destekli saldırılar
Bu istihbarat SOC ekipleri için önemlidir.
8. Taktiksel İstihbarat
Saldırganların kullandığı yöntemleri inceler.
Örnek:
Kimlik avı teknikleri
Zararlı makro kullanımı
Yetki yükseltme yöntemleri
9. Teknik İstihbarat
En teknik seviyedeki verileri içerir.
Örnek:
Zararlı IP adresleri
Hash değerleri
Domain bilgileri
Zararlı URL’ler
Bu bilgiler güvenlik cihazlarında engelleme için kullanılır.
10. IOC (Indicator of Compromise) Kavramı
IOC:
Bir sistemin saldırıya uğradığını gösteren teknik işaretlerdir.
Örnek IOC’ler:
Şüpheli IP adresleri
Zararlı hash değerleri
Anormal log kayıtları
Bilinmeyen bağlantılar
11. TTP Kavramı
TTP:
Tactics, Techniques and Procedures
anlamına gelir.
Saldırganların:
Nasıl hareket ettiği
Hangi teknikleri kullandığı
Hangi adımları izlediği
incelenir.
12. MITRE ATT&CK Framework
MITRE ATT&CK
MITRE ATT&CK saldırgan davranışlarını sınıflandıran önemli bir framework’tür.
İçerisinde:
Persistence
Privilege Escalation
Credential Access
Defense Evasion
gibi birçok saldırı tekniği bulunur.
13. Siber Tehdit Kaynakları
Açık Kaynaklar
Güvenlik blogları
CVE kayıtları
CERT raporları
Ticari Kaynaklar
Profesyonel güvenlik şirketlerinin raporları.
Dark Web
Siber suç forumları ve veri sızıntıları.
Honeypot Sistemleri
Saldırganları izlemek için kurulan sahte sistemler.
14. Zararlı Yazılım Analizi
CTI ekipleri zararlı yazılımları analiz eder.
Analiz Türleri
Statik Analiz
Kod çalıştırılmadan incelenir.
Dinamik Analiz
Sandbox ortamında çalıştırılır.
15. Oltalama Kampanyalarının Analizi
Phishing saldırıları CTI çalışmalarında önemli yer tutar.
İncelenen noktalar:
Sahte domainler
Gönderen adresleri
Zararlı bağlantılar
Sosyal mühendislik teknikleri
16. Tehdit İstihbaratı Toplama Süreci
1. Veri Toplama
Farklı kaynaklardan veri alınır.
2. Filtreleme
Önemsiz veriler ayıklanır.
3. Analiz
Tehdit değerlendirmesi yapılır.
4. Raporlama
Güvenlik ekiplerine bilgi sunulur.
5. Aksiyon
Koruma önlemleri uygulanır.
17. Açık Kaynak İstihbaratı (OSINT)
OSINT:
Open Source Intelligence
anlamına gelir.
İnternette herkese açık verilerin analiz edilmesidir.
Örnek kaynaklar:
Sosyal medya
Forumlar
GitHub depoları
Alan adı kayıtları
18. Dark Web ve Siber Tehditler
Dark Web üzerinde:
Çalıntı veriler
Zararlı yazılımlar
Exploit kitleri
Kimlik bilgileri
satılabilmektedir.
CTI ekipleri bu alanları takip eder.
19. Tehdit İstihbaratı Platformları
MISP
Açık kaynak tehdit paylaşım platformudur.
OpenCTI
CTI yönetimi için kullanılan platformdur.
ThreatConnect
Kurumsal CTI çözümüdür.
20. SIEM ve CTI İlişkisi
SIEM sistemleri log toplar ve analiz eder.
CTI ile birlikte kullanıldığında:
IOC eşleştirmesi yapılır
Zararlı IP’ler tespit edilir
Otomatik alarm oluşturulur
21. SOC Merkezlerinde CTI Kullanımı
SOC:
Security Operations Center
anlamına gelir.
SOC ekipleri:
7/24 güvenlik izleme yapar
Tehditleri analiz eder
Olay müdahalesi gerçekleştirir
CTI verileri SOC için kritik öneme sahiptir.
22. Kurumlar İçin CTI Süreci
Risk Analizi
Kurumun tehdit profili belirlenir.
Veri Toplama
IOC ve tehdit bilgileri alınır.
Entegrasyon
SIEM ve güvenlik sistemlerine aktarılır.
Müdahale
Tehditlere karşı aksiyon alınır.
23. Yapay Zekâ ve Tehdit İstihbaratı
Yapay zekâ:
Büyük verileri analiz eder
Anormal davranışları tespit eder
Otomatik alarm üretir
Ancak saldırganlar da yapay zekâ kullanmaktadır.
Bu nedenle güvenlik sürekli gelişmelidir.
24. Gerçek Hayattan Siber Saldırı Örnekleri
WannaCry
Fidye yazılımı saldırısı.
SolarWinds
Tedarik zinciri saldırısı.
Log4Shell
Kritik uzaktan kod çalıştırma açığı.
Colonial Pipeline
Enerji altyapısını etkileyen saldırı.
25. Siber Tehdit İstihbaratı Araçları
Açık Kaynak Araçlar
MISP
OpenCTI
YARA
Wireshark
Zeek
Ticari Araçlar
CrowdStrike
Recorded Future
Palo Alto Cortex
IBM X-Force
26. Türkiye’de Siber Tehdit İstihbaratı
Türkiye’de:
USOM
SOME ekipleri
Kamu kurumları
Siber güvenlik firmaları
CTI faaliyetleri yürütmektedir.
Amaç:
Ulusal siber güvenliği güçlendirmektir.
27. Etik ve Hukuki Boyut
Tehdit istihbaratı çalışmaları etik kurallara uygun olmalıdır.
Dikkat edilmesi gerekenler:
Yetkisiz erişim yapılmamalı
Kişisel veriler korunmalı
Hukuki sınırlar aşılmamalı
28. Öğrenciler İçin Uygulama Çalışmaları
Çalışma 1
Bir IOC listesi oluştur.
Örnek:
Zararlı IP
Zararlı domain
Hash değeri
Çalışma 2
Bir phishing e-postasını analiz et.
İncele:
Gönderen adresi
Link yapısı
Dil hataları
Çalışma 3
Wireshark ile ağ trafiği incele.
Amaç:
Şüpheli bağlantıları tespit etmek.
29. Sonuç
Siber Tehdit İstihbaratı modern siber güvenliğin temel bileşenlerinden biridir.
CTI sayesinde:
Tehditler önceden tespit edilir
Savunma güçlenir
Olay müdahalesi hızlanır
Kurumlar daha güvenli hale gelir
Gelecekte yapay zekâ destekli CTI sistemleri daha da yaygınlaşacaktır.
30. Terimler Sözlüğü
| Terim | Açıklama |
|---|---|
| CTI | Siber Tehdit İstihbaratı |
| IOC | Saldırı göstergesi |
| TTP | Saldırgan davranış modeli |
| OSINT | Açık kaynak istihbaratı |
| SOC | Güvenlik Operasyon Merkezi |
| SIEM | Güvenlik olay yönetim sistemi |
| Malware | Zararlı yazılım |
| Phishing | Oltalama saldırısı |
| Sandbox | İzole analiz ortamı |
| Threat Feed | Tehdit veri akışı |
Mini Test Soruları
CTI ne anlama gelir?
IOC nedir?
TTP kavramı neyi ifade eder?
MITRE ATT&CK ne amaçla kullanılır?
OSINT nedir?
SOC merkezleri ne iş yapar?
SIEM ve CTI nasıl birlikte çalışır?
Dark Web neden önemlidir?
Zararlı yazılım analizi neden yapılır?
Yapay zekâ CTI süreçlerinde nasıl kullanılır?
Özet
Siber Tehdit İstihbaratı:
Tehditleri analiz eder
Saldırıları önceden anlamayı sağlar
Güvenlik ekiplerini güçlendirir
Siber savunmayı geliştirir
Modern siber güvenlik dünyasında CTI bilgisi hem kurumlar hem de öğrenciler için büyük önem taşımaktadır.
Yorumlar