- Bu IP neden önemli?
- Bizi hedefleyen kim?
- Ne yapmaya çalışıyor?
- Hangi sistemlerimizi hedefleyebilir?
- Bu saldırganın kullandığı diğer yöntemler nelerdir?
- Bu bilgi yalnızca bugünkü saldırıya mı ait, yoksa daha büyük bir kampanyanın parçası mı?
- Önümüzdeki günlerde ne beklemeliyiz?
İşte burada: tehdit verisi ile tehdit istihbaratı arasındaki fark ortaya çıkar.
NIST, siber tehdit bilgisini kurumun siber tehditleri tanımlamasına, değerlendirmesine, izlemesine ve bunlara cevap vermesine yardımcı olabilecek bilgi olarak tanımlar. Bunun yalnızca IOC'ları değil; saldırganların taktik, teknik ve prosedürlerini, savunma önerilerini ve olay analizlerinden elde edilen bulguları da kapsadığını belirtir.
1. Veri, bilgi ve istihbarat aynı şey değildir
- Basit bir örnek üzerinden ilerleyelim. Elimizde: "185.xxx.xxx.xxx" IP adresi var. Bu: veridir.
- Araştırıyoruz ve bu adresin: bir phishing kampanyasında kullanıldığına ilişkin güvenilir raporlar buluyoruz. Bu: bilgidir.
Artık değerlendirmemiz şöyle olabilir: “Kurumumuzun kullandığı VPN altyapısı ve internet erişimli kimlik hizmetleri açısından kısa vadeli saldırı riski artmıştır. İlgili davranışların SIEM/EDR üzerinde aranması ve dış erişimli sistemlerde ek kontroller uygulanması önerilmektedir.”
2. İstihbaratın değeri alıcısına göre belirlenir
Dünyanın herhangi bir yerindeki zararlı IP adresi bizim için otomatik olarak önemli değildir. Öncelikle şu soruyu sormalıyız: “Bu bilgi bizim hangi kararımızı değiştirecek?”
Örneğin kurumunuzda Linux sunucu bulunmuyorsa yalnızca Linux sistemlerini etkileyen yeni bir zafiyet hakkında onlarca sayfalık rapor operasyonel öncelik olmayabilir.
Buna karşılık kullandığınız VPN cihazında aktif istismar edilen bir zafiyet varsa: Aynı bilgi: SOC, Zafiyet yönetimi, BT operasyonu ve yöneticiler için son derece önemli olabilir.
3. Intelligence Requirement — İstihbarat ihtiyacı
- Kritik hizmetlerimizi hangi saldırgan gruplar hedefliyor?
- Kullandığımız ürünlerde hangi zafiyetler aktif olarak istismar ediliyor?
- Kurumumuza yönelik phishing altyapısında değişiklik var mı?
- Tedarikçilerimizi hedefleyen yeni saldırı kampanyaları var mı?
- Ransomware gruplarının kullandığı yeni ilk erişim yöntemleri neler?
- Yakın dönemde hangi tehdit gelişmeleri kritik hizmetlerimizin riskini artırabilir?
4. Üç seviyeli tehdit istihbaratı
Uygulamada tehdit istihbaratını üç farklı karar seviyesinde düşünmek yararlıdır.
- IP adresleri,
- Domainler,
- Hash değerleri,
- URL'ler,
- Saldırı imzaları.
- Saldırganın ilk erişim yöntemi,
- Kullandığı araçlar,
- Hedeflediği teknolojiler,
- TTP'ler,
- Kampanya örüntüleri.
- Tehdit ortamındaki değişim,
- Sektör eğilimleri,
- Saldırgan motivasyonları,
- Yeni teknoloji riskleri,
- Tedarik zinciri gelişmeleri,
- Kritik bağımlılıkların hedef haline gelmesi.
5. IOC neden değerlidir?
- Zararlı dosya hash'i,
- Saldırgan IP adresi,
- Domain,
- URL,
- Belirli dosya adı.
6. Fakat IOC tek başına neden yeterli değildir?
- IP adresini değiştirir.
- Yeni domain kaydeder.
- Dosyayı yeniden derler.
- Hash değeri değişir.
- Eski IOC artık işe yaramayabilir.
- Ancak saldırganın çalışma biçimi aynı kalabilir.
- Kimlik bilgisi çalmaya,
- PowerShell kullanmaya,
- Uzak servis oluşturmaya,
- LSASS üzerinden credential elde etmeye, çalışıyor olabilir.
7. TTP nedir?
TTP: Tactics, Techniques and Procedures anlamına gelir. MITRE ATT&CK'te:
- Tactic, saldırganın neden bir eylem gerçekleştirdiğini;
- Technique, bu amacı nasıl gerçekleştirdiğini;
- Procedure ise tekniğin gerçek dünyadaki somut uygulamasını, ifade eder.
8. MITRE ATT&CK neden önemlidir?
MITRE ATT&CK, gerçek dünyada gözlemlenen saldırgan davranışlarına dayanan bir bilgi tabanıdır ve saldırganların operasyon sırasında sistemlerle nasıl etkileşim kurduklarını taktik ve teknikler üzerinden sınıflandırır.
Bu nedenle tehdit istihbaratından: “APT-X şu teknikleri kullanıyor.” bilgisi elde edildiğinde sadece rapor hazırlamak yerine: şunları sorabiliriz:
- Bu teknikleri sistemlerimizde görebiliyor muyuz?
- SIEM detection kuralımız var mı?
- EDR bu davranışı yakalayabiliyor mu?
- Bu tekniği engelleyen kontrolümüz var mı?
Threat Intelligence
↓
ATT&CK
↓
Detection Engineering
9. IOC'dan davranışa geçmek
Örnek: İstihbarat raporunda şunlar var:
IP: 185.xxx.xxx.xxx
Domain: example-bad.com
Hash: abc123...
Bunlar değerlidir. Ancak rapor aynı zamanda saldırganın:
- Phishing,
- Credential theft,
- PowerShell,
- Remote services,
- Archive collection
kullandığını belirtiyorsa daha güçlü savunma mümkündür. IP değişebilir. Domain değişebilir. Hash değişebilir. Ama davranışların bir kısmı tekrar görülebilir.
10. Kampanya ne demektir?
Örneğin: birkaç hafta içerisinde farklı kurumlarda:
- Aynı phishing teması,
- Benzer altyapı,
- Aynı saldırı araçları,
- Benzer TTP'ler
görülüyorsa bunlar aynı veya ilişkili kampanyaya işaret edebilir. Bu durumda analiz artık: “Bu IP kötü mü?” seviyesinden: “Belirli hedeflere yönelik devam eden operasyonel faaliyet görüyor muyuz?” seviyesine geçer.
11. Aktör atfında neden dikkatli olunmalıdır?
Siber tehdit raporlarında sıkça: “Bu saldırıyı X grubu yaptı.” gibi ifadeler görülür.
- Ancak attribution — atıf karmaşık bir analitik problemdir.
- Aynı araçlar farklı gruplar tarafından kullanılabilir.
- Kod tekrar kullanılabilir.
- Altyapı kiralanabilir.
- Saldırgan başka grubun davranışını taklit edebilir.
Bu nedenle: aynı IP, araç veya teknik görülmesi tek başına kesin aktör atfı için yeterli olmayabilir. İyi analitik yaklaşım: kanıtın gücüyle sonucun kesinliğini birbirine uydurmalıdır.
12. Fact, Assumption ve Assessment ayrılmalıdır
Tehdit istihbaratı raporunda şu üç katmanı ayırmak yararlıdır.
13. Confidence Level neden gereklidir?
Analist bir sonuca varabilir. Ancak: ne kadar emin? Örneğin: “Bu saldırının aynı aktör tarafından yürütüldüğünü değerlendiriyoruz.”
Bu cümlede güven seviyesi bilinmiyor. Daha iyi ifade: “Mevcut altyapı ve TTP benzerlikleri nedeniyle faaliyetlerin ilişkili olduğunu orta güven seviyesinde değerlendiriyoruz.” olabilir.
14. Kaynak güvenilirliği neden önemlidir?
Aynı IOC üç farklı yerden gelebilir.
Birincisi: resmî CERT bildirimi.
İkincisi: güvenilir güvenlik üreticisinin teknik raporu.
Üçüncüsü: kaynağı bilinmeyen sosyal medya hesabı.
Üçünde de aynı IP olabilir. Ancak: kaynak güvenilirliği aynı değildir. Bu nedenle CTI analisti şu soruları sormalıdır:
- Kaynağın geçmiş doğruluğu nedir?
- Bilginin yaşı nedir?
- Başka kaynaklar doğruluyor mu?
- Birincil gözlem mi, başka kaynağın tekrar yayımı mı?
- Kaynağın çıkarı veya olası yanlılığı var mı?
15. Çok kaynaklı doğrulama
Örneğin tek bir blog: “X grubunun finans sektörünü hedeflediğini” iddia ediyor. Bunu doğrudan yönetim raporuna taşımak yerine:
- Başka güvenlik firmaları,
- Resmî CERT kaynakları,
- Teknik IOC'lar,
- Olay kayıtları,
- MITRE ATT&CK davranışları, ile karşılaştırabiliriz.
16. İstihbarat yalnızca geçmişi anlatmamalıdır
- Aynı sektör hedefleniyor,
- İlk erişim yöntemi değişiyor,
- Kimlik altyapısına saldırılar artıyor,
- Yeni exploit zincirleri kullanılıyor
17. Indicator of Warning — Erken uyarı göstergesi
IOC ile erken uyarı göstergesini ayırmak yararlıdır. IOC çoğunlukla: “Bir kompromize durumu olmuş olabilir.” sorusuna yardım eder.
Erken uyarı göstergesi ise: “Risk ortamında önemli bir değişim yaşanıyor mu?” sorusuna odaklanabilir. Örneğin:
- Aynı sektörde art arda olaylar,
- Kullandığımız teknolojiye yönelik exploit yayımlanması,
- Aktif istismar artışı,
- Tedarikçimizin hedef alınmaya başlaması,
- Kimlik altyapısına yönelik kampanyaların artması
- Erken uyarı sinyali olabilir.
18. Weak signal ile tek başına karar verilmemelidir
Tek bir zayıf sinyal: büyük saldırının kesin geleceğini göstermez. Örneğin forum üzerinde: “X sektörünü hedefleyeceğiz.” mesajı görülebilir.
- Bu gerçek plan olabilir.
- Propaganda olabilir.
- Dikkat dağıtma olabilir.
- Hiçbir şey olmayabilir.
Doğru yaklaşım: sinyali yok saymak ile sinyali kesin gerçek kabul etmek arasında olmalıdır. Sorulması gereken:
- Başka göstergeler var mı?
- Geçmiş davranışla uyumlu mu?
- Teknik altyapı hazırlanıyor mu?
- İlgili zafiyetlerde tarama artıyor mu?
- Kimlik avı trafiği artıyor mu?
19. Indicators & Warnings mantığı
- Sektörde benzer ransomware olaylarında artış.
- Kullandığımız VPN ürününe yönelik aktif istismar.
- Kurum alan adlarını taklit eden phishing domainlerinde artış.
- Çalışan e-posta hesaplarına credential phishing dalgası.
- Geçersiz VPN girişlerinde olağan dışı artış.
- Sızdırılmış kimlik bilgileriyle ilgili tehdit kaynağı bildirimi.
Tek bir gösterge kriz anlamına gelmez. Ama birkaç göstergenin birlikte görülmesi: Savunma seviyesini geçici olarak yükseltme kararına neden olabilir. Örneğin:
- Patch hızlandırılır,
- SOC hunting başlatılır,
- MFA kontrolleri sıkılaştırılır,
- Kritik yedekler yeniden doğrulanır,
- Yönetim bilgilendirilir.
20. 2026 tehdit ortamı neden stratejik istihbarata örnek?
ENISA'nın 22 Eylül 2026 tarihinde yayımladığı güncel Threat Landscape 2026, 1 Ocak–31 Aralık 2025 dönemindeki olay ve gelişmeleri analiz etmektedir. ENISA bu değerlendirmede ransomware'in kısa vadede en yüksek etkiye sahip olay türlerinden biri olmaya devam ettiğini, kamu yönetiminin en çok hedeflenen sektör olduğunu ve dijital bağımlılıkların genişleyen saldırı yüzeyine katkıda bulunduğunu belirtmektedir. ENISA ayrıca gelişen yapay zekâ modellerinin kötü niyetli operasyonları giderek daha fazla desteklemesinin beklendiğini değerlendirmektedir.
Bu bilgi yönetici için: “Şu IP'yi bloklayın.” anlamına gelmez. Stratejik CTI açısından şu soruları doğurur:
- Kurumumuz bu eğilimlerden hangilerine maruz?
- Kamu hizmetlerimizin DDoS ve ransomware dayanıklılığı yeterli mi?
- Dijital bağımlılıklarımız nerede yoğunlaşıyor?
- AI destekli saldırıların insan ve teknik kontroller üzerindeki etkisini nasıl izleyeceğiz?
21. Tehdit istihbaratı ile zafiyet yönetimi birleşmelidir
Dolayısıyla: Vulnerability Management ve Threat Intelligence birbirinden kopuk çalışmamalıdır. Basit zincir:
Zafiyet bulundu↓
Tehdit gerçekten bunu kullanıyor mu?
↓
Bizdeki sistem maruz mu?
↓
Hangi kritik hizmet etkilenir?
↓
Patch önceliğini yükselt
22. Threat Intelligence → Detection Engineering
İstihbarat raporu: “Aktör T1059 Command and Scripting Interpreter tekniğini yoğun biçimde kullanmaktadır.” diyebilir.
Asıl değerli soru: “Biz bunu görebiliyor muyuz?” olmalıdır. Sonrasında:
- SIEM use-case,
- EDR detection,
- Threat hunting query,
- Log gereksinimi, oluşturulabilir.
23. Threat Intelligence → Security Architecture
CTI yalnızca SOC için değildir. Örneğin tehdit analizi: saldırganların sürekli olarak;
- Ayrıcalıklı kimlikleri,
- Uzaktan yönetim sistemlerini,
- VPN altyapısını
- Hedeflediğini gösteriyor olabilir.
Bunun mimari sonucu: PAM, phishing-resistant MFA, yönetim ağlarının ayrıştırılması, conditional access, internet erişimlerinin sınırlandırılması olabilir.
24. Yöneticiye IOC listesi verilmemelidir
Üst yöneticiye: 45 IP, 67 domain, 14 hash listesi gönderilmesi genellikle karar desteği sağlamaz. Yönetim seviyesindeki CTI raporu daha çok şöyle olmalıdır:
- İki bağımsız güvenilir kaynakta aktif kampanya bildirimi.
- İlgili TTP'ler sektörde gözleniyor.
- Kurum altyapısında aynı ürün mevcut.
- Patch önceliğini yükselt,
- Threat hunting gerçekleştir,
- Kritik hesapları gözden geçir,
- Kurtarma kapasitesini doğrula.
25. Executive CTI Brief nasıl hazırlanmalıdır?
Kısa bir yönetici CTI raporu şu yapıyı kullanabilir:
| Bölüm | Cevaplanacak soru |
|---|---|
| Key Judgment | En önemli değerlendirmemiz nedir? |
| Why Now? | Bu bilgi neden şimdi önemli? |
| Affected Assets | Hangi sistem/hizmetlerimiz etkilenebilir? |
| Threat Behaviour | Saldırgan nasıl hareket ediyor? |
| Evidence | Değerlendirmeyi hangi bilgiler destekliyor? |
| Confidence | Bu değerlendirmeye ne kadar güveniyoruz? |
| Impact | Başarılı saldırının sonucu ne olabilir? |
| Indicators & Warnings | Hangi gelişmeleri takip etmeliyiz? |
| Recommended Actions | Şimdi hangi karar gerekiyor? |
| Next Review | Değerlendirmeyi ne zaman güncelleyeceğiz? |
26. İstihbarat paylaşımı neden önemlidir?
Bir saldırgan aynı yöntemi birden fazla kuruma karşı kullanabilir. Bir kurum saldırıyı erken fark etmişse diğer kurumlar aynı saldırıya hazırlanabilir.
NIST SP 800-150, siber tehdit bilgisi paylaşımının kuruluşların hem kendi güvenlik durumlarını hem de diğer kuruluşların savunma kapasitesini geliştirebileceğini belirtmektedir. Rehber paylaşım hedeflerinin, bilgi kaynaklarının, dağıtım kurallarının ve güven ilişkilerinin önceden oluşturulmasını önerir.
27. TLP 2.0 ne işe yarar?
Threat Intelligence paylaşımında: Traffic Light Protocol - TLP yaygın kullanılan sınıflandırma mekanizmalarından biridir.
28. STIX ve TAXII neden kullanılır?
Tehdit bilgisi yalnızca PDF veya e-posta halinde paylaşılırsa: insanların okuyup manuel işlem yapması gerekir. Daha otomatik paylaşım için standart yapılar kullanılabilir.
TAXII Siber tehdit bilgilerinin sistemler arasında taşınmasını sağlayan uygulama katmanı protokolüdür.
OASIS'in STIX 2.1 standardı siber tehdit ve observable bilgisini ifade edecek veri yapısını tanımlarken, TAXII 2.1 bu bilgilerin ölçeklenebilir biçimde sistemler arasında iletişimini tanımlar.
29. Türkiye açısından tehdit istihbaratı
7545 sayılı Siber Güvenlik Kanunu sonrasında Siber Güvenlik Başkanlığının resmî açıklamasında siber olayların tespiti, önlenmesi ve etkilerinin azaltılmasına yönelik merkezi ve koordineli yapı içerisinde risk analizi, zafiyet testi ve siber tehdit istihbaratı faaliyetlerinin kurumsal zemine kavuşturulmasının amaçlandığı belirtilmektedir.
Başkanlık ayrıca güncel güvenlik bildirimlerini yayımlamakta ve olay müdahale süreçlerinin kurumlar arasında koordineli yürütülmesine yönelik faaliyetlerini sürdürmektedir.
30. İstihbarat üretim döngüsü
Bu yazı kapsamında uygulamada kullanılabilecek bir CTI döngüsü şöyle kurulabilir:
↓
2 — Topla
Hangi veri kaynaklarına ihtiyacımız var?
↓
3 — Doğrula
Kaynak güvenilir mi?
↓
4 — Zenginleştir
IOC hangi kampanya, TTP, zafiyet veya sistemle ilişkili?
↓
5 — Analiz et
Bu bilgi kurumumuz için ne anlama geliyor?
↓
6 — Belirsizliği belirt
Ne kadar eminiz?
Neyi bilmiyoruz?
↓
7 — Etkiyle ilişkilendir
Hangi kritik hizmet riske giriyor?
↓
8 — Erken uyarı göstergelerini belirle
Bir sonraki gelişmede neyi izleyeceğiz?
↓
9 — Karara dönüştür
SOC, CISO veya üst yönetim ne yapmalı?
↓
10 — Paylaş
Doğru bilgiyi doğru hedef kitleye ulaştır.
↓
11 — Geri bildirim al
Ürün karar vermeye yaradı mı?
↓
12 — Güncelle
Yeni bilgi geldiğinde değerlendirmeyi değiştir.
Bu yapıya: Tehdit İstihbaratı – Erken Uyarı – Karar Zinciri adı verilebilir.
31. Tehdit istihbaratının performansı nasıl ölçülür?
CTI ekibinin performansı yalnızca: “Kaç IOC topladık?” olmamalıdır. Daha anlamlı göstergeler:
- Kaç istihbarat ürünü karar değişikliğine yol açtı?
- Tehdit bilgisinden kaç detection kuralı üretildi?
- Aktif tehdit nedeniyle kaç zafiyetin önceliği değiştirildi?
- Uyarılar ne kadar erken geldi?
- Yanlış veya güncelliğini kaybetmiş IOC oranı ne?
- İstihbarat gereksinimlerinin yüzde kaçı cevaplanabiliyor?
- Yönetim hangi istihbarat ürünlerini kullanıyor?
32. Sık yapılan tehdit istihbaratı hataları
Sonuç: Tehdit istihbaratının amacı saldırganı tanımak değil, kararı iyileştirmektir
- Tehdit istihbaratının en düşük seviyesinde: IP, domain, hash bulunabilir.
- Bir üst seviyede: TTP vardır.
- Daha sonra: kampanya, aktör, hedef, niyet, yetenek analizi gelir.
- Ancak süreç burada da bitmez. Asıl soru: “Bu tehdidin bizim kurumumuz açısından anlamı nedir?” olmalıdır.
- Gerçek CTI zinciri: IOC → Davranış → Kampanya → Tehdit → Kurumsal Etki → Erken Uyarı → Karar şeklinde ilerler.
- İstihbaratın değeri: ne kadar bilgi içerdiğiyle değil, doğru kişiye, doğru zamanda, doğru kararı verdirecek kadar belirsizliği azaltıp azaltmadığıyla ölçülmelidir.
- Bir SOC analisti için: “Bu domain kötü amaçlıdır.” değerli bilgi olabilir.
- Bir CISO için: “Bu kampanyada kullandığımız teknolojiler hedefleniyor.” daha değerlidir.
- Üst yönetim için ise: “Bu gelişme kritik hizmetimizin riskini yükseltiyor ve bugün şu üç kararı vermemiz gerekiyor.” asıl istihbarattır.
- Tehdit istihbaratının olgunlaştığı nokta da budur. Geçmiş saldırıyı anlatmaktan, bir sonraki kararı hazırlamaya geçmek.
- Ve stratejik erken uyarının temel sorusu şudur: “Henüz kriz oluşmadan önce, yaklaşan riskteki değişimi görebiliyor muyuz?”