Siber tehdit istihbaratı nedir?

Siber tehdit istihbaratı nedir?

Siber tehdit istihbaratı, mevcut veya ortaya çıkmakta olan tehditler hakkında, birden çok kaynaktan toplanan ve analiz edilerek bağlam kazandırılan kanıta dayalı bilgidir. Amaç sadece "bir saldırı var" demek değil; saldırının kime ait olabileceğini, neyi hedeflediğini, hangi yöntemle geldiğini ve kurumunuz için ne anlama geldiğini söyleyebilmektir.

Tanımın en çok atlanan kısmı "bağlam" kelimesi. Bir IP adresi, bir dosya özeti ya da bir alan adı tek başına istihbarat değildir. Bunlar gözlem, yani veridir. Veri; nerede görüldüğü, hangi kampanyaya ait olduğu, hangi aktörün altyapısıyla eşleştiği ve sizin sistemlerinizde karşılığı olup olmadığı bilgisiyle birleştiğinde istihbarata dönüşür.

Kurumlar bu ayrımı neden önemsemeli? Çünkü güvenlik ekiplerinin en kıt kaynağı zaman. Bir güvenlik operasyon merkezinde günde binlerce uyarı üretilir ve bunların büyük kısmı aynı birkaç davranışın tekrarıdır. Tehdit istihbaratı, bu yığının içinden gerçekten önemli olanı ayırmak ve savunma yatırımını nereye yönlendireceğine karar vermek için kullanılır.

Pratikte dört işi yapar:

• Önceliklendirir. Hangi açığın gerçekten sömürüldüğünü, hangisinin yalnızca teorik kaldığını gösterir.
• Bağlam verir. Bir alarmın sıradan bir yanlış yapılandırma mı yoksa hedefli bir kampanyanın parçası mı olduğunu ayırt etmeye yardım eder.
• Öngörü sağlar. Sektörünüzdeki benzer kurumlara ne olduğunu bilmek, sıradaki denemenin ne olacağına dair fikir verir.
• Hızlandırır. Olay müdahalesinde "bu alan adını daha önce gören oldu mu" sorusuna dakikalar içinde cevap çıkar.

Bunun karşılığında istihbaratın bir sınırı da var: hiçbir besleme tek başına doğru değildir. Kaynağın güvenilirliği, bilginin tazeliği ve sizin ortamınıza uygunluğu ayrı ayrı sorgulanmalı. Doğrulanmamış bir göstergeyi doğrudan engelleme kuralına yazmak, kendi kullanıcılarınızı dışarıda bırakmanın en kısa yoludur.

Dört istihbarat seviyesi

Tehdit istihbaratı tek bir ürün değildir; farklı sorulara cevap veren katmanlardan oluşur. Bu katmanları karıştırmak, yönetim kuruluna teknik gösterge listesi sunmak ya da analist masasına sektör raporu bırakmak gibi sonuçlar doğurur.

1. Stratejik istihbarat. Yönetim seviyesine hitap eder. Tehdit ortamının genel eğilimlerini, hangi aktör gruplarının hangi sektörleri hedeflediğini ve bunun iş riskine nasıl yansıdığını anlatır. Karar vericinin bütçe ve öncelik tartışmasında kullandığı katmandır.
2. Taktik istihbarat. Saldırganın nasıl çalıştığını anlatır: hangi teknikleri kullanıyor, hangi aşamalardan geçiyor, hangi zayıflıkları arıyor. Savunma tarafında kural, izleme ve mimari kararlarının dayanağıdır.
3. Operasyonel istihbarat. Yakın vadede gerçekleşmesi beklenen kampanyalarla ilgilidir. Zamanı dar, eyleme dönük bilgidir: şu anda hangi sektöre yönelik bir dalga var, hangi yöntem kullanılıyor, bu hafta neye bakmalıyız.
4. Teknik istihbarat. Makinelerin kullandığı katmandır: IP adresleri, alan adları, dosya özetleri ve benzeri göstergeler. Güvenlik duvarı, uç nokta koruması ve SIEM gibi araçlara beslenir. Buradaki asıl mesele göstergenin kendisi değil, ne kadar süre geçerli olduğudur.

İstihbarat nereden gelir?

İstihbaratın kalitesi büyük ölçüde kaynağın çeşitliliğine bağlıdır. Tek kaynaktan beslenen bir ekip, o kaynağın kör noktalarını da devralır. Kurumlar genellikle dört kaynak ailesini birlikte kullanır.

Kaynak aileleri:

• Açık kaynaklar. Güvenlik araştırmacılarının yayımladığı analizler, açık tehdit platformları, güvenlik üreticilerinin raporları ve kamuya açık göstergeler. Geniş kapsama sağlar; doğrulama yükü kullanıcıdadır.
• Ticari beslemeler. Belirli bir yöntemle toplanmış, sürekli güncellenen ve çoğunlukla araçlara doğrudan bağlanan veri akışları. Kapsamı geniştir; kuruma özgü bağlamı yoktur.
• Kamu kurumları ve sektör kuruluşları. Ulusal siber olay müdahale merkezlerinin duyuruları, sektörel bilgi paylaşım toplulukları ve düzenleyici uyarıları. Yerel mevzuat ve sektörünüze özgü tehditler açısından en değerli kaynaktır.
• Kurumun kendi verisi. Kendi günlükleriniz, kimlik doğrulama kayıtlarınız, geçmiş olaylarınız, güvenlik duvarı ve uç nokta telemetrisi. En az kullanılan, buna karşılık en yüksek alaka düzeyine sahip kaynak budur.

Son madde çoğu kurumda eksik kalır. Dışarıdan gelen istihbarat, kendi ortamınızdaki izlerle eşleştirilmediği sürece genel geçer bilgi olarak kalır. "Bu göstergelerden herhangi biri son 90 günde günlüklerimizde göründü mü" sorusuna cevap veremiyorsanız, istihbaratı satın almışsınız ama kullanmamışsınız demektir.

Türkiye'de bu tabloya yerel bir katman daha eklenir: sektörel düzeyde yayımlanan uyarılar ve kritik altyapıya yönelik duyurular. Bu duyuruların bir kısmı, uluslararası beslemelerde henüz yer almamış kampanyaları içerebilir. Kendi sektörünüzün bilgi paylaşım kanallarına üye olmak, çoğu zaman yeni bir araç satın almaktan daha hızlı sonuç verir.

İstihbarat döngüsü nasıl işler?

İstihbarat bir kerelik alım değil, sürekli dönen bir süreçtir. Klasik olarak beş adımda anlatılır ve adımlardan biri atlandığında üretilen şey istihbarat olmaktan çıkar.

1. Yönlendirme. Neyi bilmek istediğinizi tanımlamak. "Tüm tehditleri izlemek" bir gereksinim değildir; "finans uygulamalarımıza yönelik kimlik avı kampanyaları" bir gereksinimdir. Bu adım atlanırsa toplanan veri hiçbir soruya cevap vermez.
2. Toplama. Belirlenen gereksinime uygun kaynaklardan veri çekmek. Burada amaç çok veri toplamak değil, doğru veriyi toplamaktır.
3. İşleme. Farklı biçimlerdeki veriyi karşılaştırılabilir hâle getirmek: tekrarları ayıklamak, göstergeleri normalize etmek, yanlış pozitifleri elemek.
4. Analiz. Veriye anlam katmak. Bu adım insan gerektirir. Bir gösterge listesini süzmek otomatikleşebilir; "bu kampanya bizi neden hedeflesin" sorusunun cevabı otomatikleşmez.
5. Dağıtım ve geri bildirim. Sonucu doğru kişiye, doğru biçimde ve zamanında ulaştırmak. Yönetim kurulu bir sayfalık risk özeti ister; güvenlik duvarı bir gösterge listesi; olay müdahale ekibi ise zaman çizelgesi ve davranış bilgisi. Aynı raporu üçüne göndermek, üçünde de işe yaramaz.

Nereden başlamalı?

Tehdit istihbaratı programı kurmak, büyük bir platform satın alarak başlayan bir iş değildir. Sıra genellikle tersidir: önce soru, sonra süreç, en son araç.

1. Kritik varlıkları ve soruları yazın. Hangi üç sistem sizin için gerçekten kritik ve o sistemlerle ilgili hangi soruya cevap arıyorsunuz? Bu liste, hangi kaynağa ihtiyacınız olduğunu kendiliğinden daraltır.
2. Önce kendi günlüklerinizi kullanın. Dış beslemeye para ayırmadan önce kimlik doğrulama, uç nokta ve ağ kayıtlarınızın tutulup tutulmadığını ve ne kadar geriye gittiğini kontrol edin. Kaydı olmayan bir ortamda istihbaratın eşleşeceği bir şey yoktur.
3. Kaynakları katmanlandırın. Her kaynağa aynı güveni vermeyin. Kaynağın geçmiş doğruluğu, güncelleme sıklığı ve sizin sektörünüzü kapsayıp kapsamadığı ayrı ayrı değerlendirilmeli.
4. İstihbaratı iş akışına bağlayın. Bir gösterge geldiğinde kim ne yapacak? Kim doğrulayacak, kim kurala çevirecek, kim kapatacak? Süreç tanımlı değilse beslemeler yalnızca bir panoyu doldurur.
5. Otomasyonu son adıma bırakın. Alarm zenginleştirme ve tekrar eden kontroller otomatikleşebilir. Ancak otomatik engelleme, yanlış pozitifin üretim ortamını durdurduğu gün sorgulanmaya başlar. Önce gözlem, sonra otomatik karar.

Bir de uyum tarafı var. Kişisel veri içeren bir ihlal söz konusu olduğunda, veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapmakla yükümlüdür. İstihbarat bu noktada iki işe yarar: ihlali daha erken fark etmeyi sağlar ve ihlalin kapsamını daha hızlı belirlemeye yardım eder. Bildirim süresinin ihlalin başlangıcından değil, fark edildiği andan işlemeye başladığını hatırlatmakta fayda var.

Sonuç olarak tehdit istihbaratı, saldırgan hakkında bildiklerinizi savunma kararlarınıza bağlayan köprüdür. Köprünün bir ucu dış dünyada, diğer ucu sizin günlüklerinizde durur. İki uç birleşmediği sürece veri akar, ama karar değişmez.