Temel İstihbarat ve Siber Tehdit İstihbaratına Giriş

 

---

Giriş

Dijital dönüşüm ile birlikte bilgi, günümüzün en değerli varlığı haline gelmiştir. Devletler, askeri kurumlar, şirketler ve bireyler artık yalnızca fiziksel saldırılarla değil; aynı zamanda siber saldırılarla da karşı karşıyadır.

Modern güvenlik anlayışında artık sadece saldırıları engellemek yeterli değildir. Önemli olan saldırıyı gerçekleşmeden önce öngörebilmek, saldırganı tanıyabilmek ve olası riskleri analiz edebilmektir.

İşte bu noktada Siber Tehdit İstihbaratı (Cyber Threat Intelligence - CTI) devreye girer.

Cyber Threat Intelligence;

• saldırganları tanımayı,

• kullandıkları yöntemleri öğrenmeyi,

• hedeflerini analiz etmeyi,

• gelecek saldırıları tahmin etmeyi,

• savunma mekanizmalarını güçlendirmeyi amaçlayan sistematik bilgi üretme sürecidir.

---

1. İstihbarat Nedir?

İstihbarat;

Ham verilerin toplanması, doğrulanması, analiz edilmesi ve karar vericilerin kullanabileceği bilgiye dönüştürülmesidir.

Burada önemli nokta:

Her bilgi istihbarat değildir.

Örneğin;

Bir IP adresi tek başına yalnızca veridir.

185.199.xxx.xxx

Bu IP'nin;

• hangi ülkeye ait olduğu

• daha önce zararlı faaliyetlerde bulunup bulunmadığı

• hangi malware ailesi tarafından kullanıldığı

• hangi APT grubuna ait olduğu

araştırılırsa artık bu bilgi "istihbarat" olur.

---

Veri – Enformasyon – İstihbarat İlişkisi

VERİ
↓
İşlenir
↓
ENFORMASYON
↓
Analiz edilir
↓
İSTİHBARAT
↓
Karar

Örnek

Veri

10 başarısız SSH denemesi

Enformasyon

SSH brute-force saldırısı olabilir.

İstihbarat

Kaynak IP,
APT29 tarafından kullanılan
bilinen bir C2 sunucusudur.

Karar

IP engellenir
Firewall güncellenir
IOC paylaşılır

---

İstihbaratın Özellikleri

İyi bir istihbarat;

• Doğru olmalıdır.

• Güncel olmalıdır.

• Doğrulanabilir olmalıdır.

• Karar vermeye yardımcı olmalıdır.

• Tarafsız olmalıdır.

• Zamanında sunulmalıdır.

---

İstihbaratın Amaçları

İstihbaratın temel amacı;

Belirsizliği azaltmaktır.

Örneğin;

Bir kurumun amacı yalnızca saldırıyı görmek değildir.

Asıl amaç;

• Kim saldırıyor?

• Neden saldırıyor?

• Ne zaman saldıracak?

• Hangi açıklığı kullanacak?

• Hangi veriyi hedefliyor?

sorularının cevabını bulmaktır.

---

2. İstihbarat Çarkı (Intelligence Cycle)

İstihbarat tek seferlik bir işlem değildir.

Sürekli tekrar eden bir süreçtir.

         PLANLAMA
              │
              ▼
          TOPLAMA
              │
              ▼
         İŞLEME
              │
              ▼
          ANALİZ
              │
              ▼
         RAPORLAMA
              │
              ▼
          GERİ BESLEME
              │
              └──────────────┐
                             │
                             ▼
                         PLANLAMA

---

Aşama 1 — Planlama

Bu aşamada ihtiyaç belirlenir.

Sorular;

• Hangi tehdit araştırılacak?

• Hangi kurum hedef?

• Hangi bilgiler gerekli?

• Süre nedir?

---

Aşama 2 — Toplama

Bilgi kaynaklarından veri toplanır.

Kaynaklar

• Log kayıtları

• Firewall kayıtları

• IDS

• IPS

• SIEM

• Malware örnekleri

• Dark Web

• Açık kaynaklar (OSINT)

• Sosyal medya

• Honeypot sistemleri

---

Aşama 3 — İşleme

Ham veriler analiz edilebilir hale getirilir.

Örneğin

Firewall Log
↓
JSON
↓
Normalize
↓
IOC çıkar
↓
SIEM aktar

---

Aşama 4 — Analiz

En kritik aşamadır.

Sorular

Bu saldırıyı kim yaptı?

Neden yaptı?

Hedef kim?

Tekrar eder mi?

Risk seviyesi nedir?

---

Aşama 5 — Yayınlama

Analiz edilen bilgiler;

• Yönetim

• SOC

• CERT

• CSIRT

• Siber Güvenlik Ekibi

ile paylaşılır.

---

Aşama 6 — Geri Besleme

İstihbarat sürekli geliştirilir.

Yeni saldırılar

↓

Yeni IOC

↓

Yeni analiz

↓

Yeni kurallar

---

3. İstihbaratın Temel İlkeleri

Başarılı istihbarat belirli prensiplere dayanır.

Doğruluk

Yanlış bilgi en büyük tehdittir.

---

Güncellik

Bir IOC'nin değeri zamanla azalır.

Örneğin;

Bir IP adresi bugün zararlı olabilir.

Yarın ise tamamen temiz olabilir.

---

Tarafsızlık

Analiz kişisel yorumlardan arındırılmış olmalıdır.

---

Gizlilik

İstihbaratın korunması gerekir.

---

Süreklilik

İstihbarat tek seferlik değildir.

---

İhtiyaca Uygunluk

Karar vericinin ihtiyacını karşılamalıdır.

---

4. Alanlarına Göre İstihbarat

İstihbarat birçok farklı alanda kullanılabilir.

---

Askeri İstihbarat

• Düşman birlikleri

• Silah sistemleri

• Operasyon planları

---

Ekonomik İstihbarat

• Finansal analiz

• Şirket birleşmeleri

• Enerji

• Petrol

• Doğalgaz

---

Politik İstihbarat

• Diplomatik gelişmeler

• Seçimler

• Uluslararası ilişkiler

---

Endüstriyel İstihbarat

• Rakip analizi

• Patentler

• Üretim teknolojileri

---

Siber İstihbarat

Modern dünyanın en hızlı gelişen istihbarat alanıdır.

İçerdiği bilgiler;

• Malware

• IOC

• TTP

• Exploit

• CVE

• APT

• Dark Web

• Botnet

• Phishing

• Zero-Day

---

5. Ölçeklerine Göre İstihbarat

İstihbarat kapsamına göre sınıflandırılır.

Stratejik
↓
Operasyonel
↓
Taktik

Her biri farklı karar vericilere hitap eder.

---

6. Stratejik İstihbarat

En üst seviyedeki istihbarattır.

Karar vericiler

• Bakanlıklar

• Üst yönetim

• Genel müdürler

• CEO

• Devlet kurumları

Süre

Aylar

Yıllar

---

İçeriği

Jeopolitik riskler

APT grupları

Ulusal tehditler

Siber savaşlar

Yeni teknolojiler

---

Örnek

Önümüzdeki 2 yıl içinde
Enerji sektörüne yönelik
APT saldırılarında
%40 artış beklenmektedir.

---

7. Taktik (Cari) İstihbarat

SOC ekiplerinin en çok kullandığı istihbarattır.

Anlık tehditleri içerir.

Örnek

IOC
IP
Hash
Domain
URL
Dosya adı
Registry
Mutex
YARA Rule
Sigma Rule

SOC bunu kullanarak;

Firewall

EDR

Antivirüs

IDS

IPS

kurallarını günceller.

---

IOC Örneği

IP
185.XXX.XXX.10

SHA256
5E6B8F......

Domain
update-security-login[.]com

---

8. Operasyonel İstihbarat

Stratejik ile taktik arasında yer alır.

Amaç

Saldırı kampanyalarını analiz etmektir.

İncelenen konular

• Hangi grup?

• Hangi malware?

• Hangi teknik?

• Hangi hedef?

---

MITRE ATT&CK ile ilişki

Örneğin

Initial Access
↓
Phishing
↓
PowerShell
↓
Credential Dumping
↓
Lateral Movement
↓
Exfiltration

Operasyonel istihbarat bu zinciri inceler.

---

9. İstihbarat Analizi

Toplanan bilgilerin anlamlı hale getirilmesidir.

Analiz sırasında;

• korelasyon yapılır,

• ilişki kurulur,

• saldırı zinciri çıkarılır,

• risk puanlanır.

---

Analiz Teknikleri

Trend Analizi

Belirli dönemlerdeki saldırılar incelenir.

---

Korelasyon Analizi

Farklı loglar ilişkilendirilir.

---

Ağ Analizi

Saldırgan altyapısı incelenir.

---

Malware Analizi

• Statik analiz

• Dinamik analiz

• Bellek analizi

---

IOC Analizi

IP

Hash

URL

Domain

---

TTP Analizi

MITRE ATT&CK teknikleri belirlenir.

---

10. Psikolojik İstihbarat

Psikolojik istihbarat;

İnsan davranışlarını analiz etmeye odaklanır.

Siber güvenlikte;

• Sosyal mühendislik

• Phishing

• Spear Phishing

• Deepfake

• Dezenformasyon

• Manipülasyon

gibi yöntemlerde büyük öneme sahiptir.

---

Amaç

İnsanların;

• korkularını,

• meraklarını,

• güven duygularını,

• alışkanlıklarını

kullanarak bilgi elde etmektir.

---

Örnek

Bir e-posta:

Hesabınız kapatılacaktır.
Lütfen giriş yapınız.

Teknik olarak zararlı değildir.

Ancak psikolojik baskı oluşturur.

---

Siber güvenlik operasyonlarında savunmayı proaktif hale getirmenin en önemli yolu, tehditleri ve bu tehditlerin arkasındaki aktörleri önceden tanımaktır. Bu makalede, Siber Tehdit İstihbaratının (CTI) temellerini, istihbarat çarkının nasıl işlediğini ve istihbaratın farklı analiz seviyelerini detaylıca inceleyeceğiz.

1. İstihbaratın Tanımı

İstihbarat; ham verinin (data) toplanıp, işlenip, analiz edilerek anlamlı ve karar vericiler tarafından kullanılabilir bir "bilgiye" dönüştürülmüş halidir.

Siber güvenlik bağlamında Siber Tehdit İstihbaratı, ağlara, sistemlere veya verilere yönelik mevcut ya da potansiyel saldırılar hakkında toplanan, analiz edilen ve bağlam kazandırılan kanıta dayalı bilgidir. Sadece bir zararlı IP adresini bilmek ham "veri" iken; o IP adresinin hangi siber suç grubu tarafından, hangi motivasyonla ve hangi zafiyeti sömürmek için kullanıldığını bilmek "istihbarattır".

2. İstihbarat Çarkı (Intelligence Cycle)

İstihbarat üretimi, doğrusal olmayan ve sürekli devam eden bir döngüdür. Bu çark genellikle beş veya altı temel aşamadan oluşur:

1. Planlama ve Yönlendirme: Hangi bilgiye ihtiyaç duyulduğunun (istihbarat gereksinimleri) ve hedeflerin belirlenmesi.

2. Toplama: Belirlenen hedeflere yönelik OSINT (Açık Kaynak), ağ logları, güvenlik cihazları veya sızdırılmış veri tabanları gibi kaynaklardan ham verilerin toplanması.

3. İşleme: Toplanan farklı formatlardaki verilerin analiz edilebilir ve standart bir yapıya (normalizasyon, deşifreleme, çeviri) dönüştürülmesi.

4. Analiz ve Üretim: İşlenen verilerin uzmanlar tarafından incelenerek anlamlandırılması, olaylar arası bağlantıların kurulması ve bir istihbarat ürünü (rapor, kural seti, brifing) haline getirilmesi.

5. Dağıtım: Üretilen istihbaratın; doğru zamanda, doğru formatta ve doğru alıcılara (analistler, yöneticiler, sistemler) iletilmesi.

6. Geri Bildirim: Üretilen istihbaratın ihtiyacı karşılayıp karşılamadığının değerlendirilmesi ve bir sonraki döngü için çarkın iyileştirilmesi.

3. İstihbaratın Temel İlkeleri

Üretilen istihbaratın karar vericiler için faydalı olabilmesi adına belirli nitelikleri taşıması şarttır:

• Zamanındalık (Timeliness): İstihbarat, karar verici harekete geçmeden veya saldırı gerçekleşmeden önce elde olmalıdır. Gecikmiş istihbaratın operasyonel değeri yoktur.

• Doğruluk (Accuracy): Bilginin güvenilir kaynaklara dayanması, doğrulanmış olması ve gerçeği yansıtması.

• Kullanılabilirlik (Usability): İstihbaratın, alıcının anlayabileceği ve doğrudan aksiyon alabileceği formatta sunulması.

• Objektiflik (Objectivity): Analiz sürecinin ve sonuç raporlarının, analistin kişisel önyargılarından arındırılmış olması.

4. Alanlarına Göre İstihbarat

Toplama kaynaklarına göre istihbarat disiplinleri farklı alanlara ayrılır:

• OSINT (Açık Kaynak İstihbaratı): Web siteleri, sosyal medya, haber bültenleri ve kamuya açık veri tabanlarından elde edilen bilgiler.

• HUMINT (İnsan İstihbaratı): Doğrudan insan kaynaklarından, görüşmelerden veya sızma yoluyla elde edilir. Siber dünyada, kapalı forumlarda tehdit aktörleriyle kurulan iletişimler bu kapsama girer.

• SIGINT (Sinyal İstihbaratı): Elektronik sinyallerin, telsiz iletişimlerinin ve şifreli veri paketlerinin dinlenip analiz edilmesi.

• CYBINT / DNINT (Siber / Dijital Ağ İstihbaratı): Siber uzaydan, ağ trafik akışlarından ve zararlı yazılım (malware) analizlerinden elde edilen, doğrudan siber operasyonlara özgü istihbarat.

5. Ölçeklerine Göre Siber Tehdit İstihbaratı

İstihbarat, hitap ettiği kitleye ve hizmet ettiği amaca göre hiyerarşik seviyelere ayrılır.

Stratejik İstihbarat

• Odak Noktası: "Kim" (Who) ve "Neden" (Why).

• Hedef Kitle: Üst yönetim, yönetim kurulları, politika yapıcılar.

• Kapsam: Uzun vadeli trendler, finansal etkiler ve jeopolitik motivasyonlardır. Teknik detaylardan (IP adresleri, kod blokları) ziyade büyük resme odaklanır. Örneğin; belirli bir ülkeye yönelik devlet destekli siber casusluk faaliyetlerinin artış trendi ve bunun kurumsal risk analizine etkisi stratejik istihbaratın konusudur.

Operasyonel İstihbarat

• Odak Noktası: "Nasıl" (How) ve "Nerede" (Where).

• Hedef Kitle: Güvenlik Operasyon Merkezi (SOC) yöneticileri, Olay Müdahale ekipleri ve Tehdit Avcıları.

• Kapsam: Tehdit aktörlerinin motivasyonları, mevcut saldırı kampanyaları ve kullandıkları TTP'ler (Taktik, Teknik ve Prosedürler). Bir APT grubunun sistemlere sızmak için hangi kimlik avı temalarını kullandığı ve içeride yatay hareket (lateral movement) yaparken hangi komut dosyalarından faydalandığı bu seviyede incelenir.

Taktik (Cari) İstihbarat

• Odak Noktası: "Ne" (What).

• Hedef Kitle: Ağ yöneticileri, Sistem uzmanları ve Güvenlik cihazları (Firewall, IDS/IPS, SIEM).

• Kapsam: Kısa ömürlü, anlık ve doğrudan sistemlere beslenebilecek teknik "uzlaşma göstergeleridir" (IoC - Indicators of Compromise). Zararlı yazılım barındıran IP adresleri, komuta kontrol (C2) domain adları ve zararlı dosya hash (MD5, SHA256) değerleri taktik istihbarat ürünleridir.

6. İstihbarat Analizi

Analiz aşaması, toplanan verilerin yığınlar halinden çıkarılarak "Neden" ve "Nasıl" sorularına mantıksal çerçevede cevap verecek hale getirilmesidir.

Bu süreçte güvenlik analistleri, yapılandırılmış analitik teknikler (Örn: Rakip Hipotezlerin Analizi) kullanarak veriler arasındaki boşlukları doldurur. Analiz sürecindeki en büyük risk bilişsel önyargılardır (Cognitive Biases). Analistin, sadece kendi başlangıç varsayımını doğrulayan verileri dikkate alması ve çelişen verileri göz ardı etmesi, üretilen istihbaratın yanlış ve yanıltıcı olmasına yol açar.

7. Psikolojik İstihbarat

Psikolojik istihbarat, düşmanın (veya hedefin) zihniyetini, karar verme süreçlerini, kültürel yapısını ve zaaflarını anlamaya odaklanır. Siber güvenlik alanında bu yaklaşım iki farklı perspektif sunar:

1. Saldırgan Profillemesi: Tehdit aktörlerinin (hacktivistler, siber suçlular, devlet destekli gruplar) psikolojik motivasyonlarını (para, ideoloji, itibar veya korku) anlamak, onların hedeflerini ve bir sonraki hamlelerini tahmin etmeyi kolaylaştırır.

2. Sosyal Mühendislik Savunması: Kurum içindeki bireylerin psikolojik zaaflarının (korku, merak, acelecilik, otoriteye itaat) saldırganlar tarafından oltalama (phishing) gibi yöntemlerle nasıl manipüle edildiğini analiz etmeyi sağlar. Bu analizler, insan faktörünü güçlendirecek eğitimlerin tasarlanmasında temel alınır.

---

Sonuç

Siber Tehdit İstihbaratı, modern siber güvenliğin temel bileşenlerinden biridir. Ham veriyi anlamlı bilgiye dönüştürerek kurumların yalnızca mevcut saldırılara tepki vermesini değil, gelecekteki tehditleri öngörmesini de sağlar. Etkin bir CTI programı; doğru işleyen istihbarat çarkı, stratejik–operasyonel–taktik istihbaratın birlikte kullanılması, güçlü analiz süreçleri ve karşı istihbarat önlemleri ile desteklenmelidir.