Siber Tehdit İstihbaratı Nedir? Güvenlik Ekipleri Nasıl Kullanır?

Tehdit istihbaratı nedir?

Tehdit istihbaratı, ham tehdit verisinin toplanıp analiz edilerek bir kurumun karar vermesini sağlayacak bağlamla sunulmasıdır. NIST SP 800-150 bu kavramı; toplanmış, dönüştürülmüş, analiz edilmiş, yorumlanmış veya zenginleştirilmiş ve böylece karar süreçleri için gerekli bağlamı sağlayan tehdit bilgisi olarak tanımlar.

Bir IP adresi listesi tek başına istihbarat değildir. O adresin hangi kampanyada, ne zaman ve hangi amaçla kullanıldığı, ne kadar güvenilir olduğu ve sizin ortamınızla ilgisi bilindiğinde istihbarata dönüşür. NIST SP 800-150 tehdit bilgisini birkaç ana türe ayırır: göstergeler, saldırganın taktik, teknik ve prosedürleri (TTP'ler), güvenlik uyarıları, tehdit istihbaratı raporları ve araç yapılandırmaları.

Stratejik, taktik ve operasyonel istihbarat

Sektörde tehdit istihbaratı genellikle kullanıcısına göre üç düzeyde ele alınır:

• Stratejik — Yönetim için hazırlanır; sektörü hedefleyen tehdit grupları, eğilimler ve iş riskleri üzerine raporlardan oluşur.
• Taktik — Saldırganların nasıl çalıştığını anlatan TTP bilgisidir; tespit kurallarının ve savunma önceliklerinin belirlenmesinde kullanılır. MITRE ATT&CK bu bilginin ortak dilidir.
• Operasyonel ve teknik — Belirli kampanyalara ait IP adresleri, alan adları, URL'ler ve dosya hash'leri gibi göstergelerdir; SIEM ve güvenlik duvarı gibi araçlara otomatik olarak beslenir.

Kaynaklar da çeşitlidir: açık kaynak tehdit listeleri, ticari servisler, sektörel bilgi paylaşım toplulukları (ISAC'ler), ulusal siber olaylara müdahale merkezleri ve en değerlisi, kurumun kendi olaylarından çıkardığı göstergeler. Makineler arası paylaşımda yaygın standartlar, OASIS bünyesinde geliştirilen STIX ve TAXII'dir.

Güvenlik ekipleri tehdit istihbaratını nerede kullanır?

• Uyarı triyajı — Analist, bir uyarıdaki IP adresinin bilinen bir saldırı kaynağı olup olmadığını aynı ekranda görür.
• Tehdit avcılığı — Sektörü hedefleyen grupların TTP bilgisinden yola çıkarak loglarda henüz uyarıya dönüşmemiş izler aranır.
• Olay müdahalesi — Bir olayda bulunan göstergeler diğer sistemlerde aranarak saldırının kapsamı belirlenir.
• Önleme — Yüksek güvenilirlikli göstergeler güvenlik duvarı ve proxy engelleme listelerine aktarılır.

Hangi gösterge türleri kullanılır: IP, alan adı, hash?

Gösterge (IoC, indicator of compromise), bir saldırının yaklaştığını, sürdüğünü veya gerçekleşmiş olabileceğini düşündüren teknik bir izdir. En yaygın üç tür IP adresi, alan adı ve dosya hash'idir; her biri farklı loglarda aranır ve farklı bir ömre sahiptir.

NIST SP 800-150'nin verdiği gösterge örnekleri arasında komuta-kontrol sunucusunun IP adresi, şüpheli bir alan adı, zararlı içeriğe giden bir URL, zararlı bir çalıştırılabilir dosyanın hash'i ve kötü amaçlı bir e-postanın konu satırı yer alır. Bir göstergeyi kullanmadan önce iki soruyu sorun: Bu veri hangi logumda var ve ne kadar süre geçerli? Örneğin bir webshell dosyasının hash'i ancak dosya hash'lerini kaydeden bir kaynağınız varsa işe yarar.

Acı Piramidi: Göstergelerin değeri neden farklıdır?

David Bianco'nun Acı Piramidi (Pyramid of Pain) modeli, göstergeleri saldırgana verdikleri zahmete göre sıralar. Tabandaki hash değerlerini, IP adreslerini ve alan adlarını değiştirmek saldırgan için kolaydır; ağ ve sistem izleri, araçlar ve en tepedeki TTP'ler ise çok daha zor değişir. Pratik sonuç şudur: Gösterge eşleştirmesi hızlı kazanım sağlar, ancak kalıcı tespit için davranış tabanlı kurallar da gerekir. Örneğin bir brute-force saldırısını yalnızca kaynak IP listesiyle aramak yerine kısa sürede çok sayıda başarısız giriş ve ardından gelen başarılı oturumu kurala dönüştürmek, saldırgan adres değiştirdiğinde de çalışır.

Tehdit istihbaratı loglarla nasıl eşleştirilir ve zenginleştirilir?

Gösterge listeleri normalize edilmiş log alanlarıyla (kaynak ve hedef IP, alan adı, dosya hash'i) karşılaştırılır; eşleşen olaya göstergenin kategorisi, itibar bilgisi ve ilk ve son görülme tarihi gibi bağlam eklenir. Bu zenginleştirme sayesinde analist, olayı anlamak için ayrı bir araca geçmek zorunda kalmaz.

Eşleştirmenin işe yaraması için loglar önce ortak bir şemaya getirilmelidir. Bir güvenlik duvarı kaynak adresi src, bir web sunucusu client_ip adıyla yazabilir; normalizasyon bu alanları aynı isim altında topladığında tek bir gösterge listesi tüm kaynaklarda aranabilir. Bu, SIEM'in temel işlevlerinden biridir.

Zenginleştirilmiş bir olay, ham log satırına eklenmiş birkaç alanla bile analistin sorusunu yanıtlar:

src_ip=203.0.113.45 dst_port=22 action=allowed user=admin
ti.match=true ti.category=brute-force-source ti.reputation=malicious ti.first_seen=2026-10-20

Eşleşmenin yönü önemlidir

Bilinen bir tarama kaynağından gelen ve güvenlik duvarında engellenen bağlantı çoğu zaman yalnızca bilgi amaçlıdır. Buna karşılık iç ağdaki bir sunucunun aynı listedeki bir adrese bağlantı başlatması olası bir komuta-kontrol trafiğine işaret eder ve hemen incelenmelidir. Yeni bir gösterge geldiğinde geçmiş loglarda geriye dönük arama yapmak da daha önce fark edilmemiş temasları ortaya çıkarır.

Göstergelerin bir ömrü olduğunu da unutmayın. IP adresleri kısa sürede el değiştirebilir; geçerlilik süresi tanımlanmadan büyüyen bir liste zamanla yanlış pozitif kaynağına dönüşür. Kendi altyapınıza, iş ortaklarınıza ve kullandığınız bulut servislerine ait adresleri bir izin listesinde tutmak gereksiz uyarıları önler.

Risk puanı ile uyarılar nasıl önceliklendirilir?

Risk puanı, bir olayın ne kadar acil olduğunu tek bir sayıda özetler ve tehdit istihbaratı eşleşmesi bu puanın girdilerinden yalnızca biridir. Davranış, varlığın kritikliği ve olayın sonucu gibi bağlamsal bilgilerle birlikte değerlendirildiğinde ekip en önemli tehditlere önce odaklanır.

Her gösterge eşleşmesini yüksek öncelikli uyarıya çevirmek, analistleri kısa sürede uyarı yorgunluğuna sürükler. Daha sağlıklı yaklaşım, eşleşmeyi diğer sinyallerle birlikte puanlamaktır. Tipik girdiler şunlardır:

• Göstergenin güvenilirliği ve tazeliği — Birden fazla kaynakta doğrulanmış ve yakın zamanda görülmüş bir gösterge daha ağır basar; uzun süredir görülmeyen bir adres daha düşük ağırlık almalıdır.
• Kategori — Botnet komuta-kontrol sunucusu, brute-force kaynağı veya TOR çıkış düğümü farklı risk anlamları taşır.
• Bağlantı yönü ve sonuç — Engellenen gelen trafik ile başarılı bir giden bağlantı ya da başarılı bir oturum açma aynı şekilde puanlanmamalıdır.
• Varlığın kritikliği — Etki alanı denetleyicisi veya ödeme sistemiyle ilgili olaylar, test sunucusundaki olaylardan önce gelir.
• Davranış — Aynı kaynaktan art arda gelen başarısız girişlerin ardından başarılı bir oturum, tek bir eşleşmeden çok daha güçlü bir sinyaldir. Bu örüntü MITRE ATT&CK'te T1110 Brute Force tekniğiyle ilişkilidir.

Puan genellikle bilgilendirme, şüpheli aktivite ve yüksek risk gibi birkaç seviyeye ayrılır. Her seviye için bir müdahale süresi ve sorumlu tanımlamak, puanı ekibin günlük sürecine bağlar.

Puanın nasıl oluştuğu analist için görünür olmalıdır; hangi girdinin puanı ne kadar etkilediği anlaşılmazsa ekip puana güvenmez ve her uyarıyı yeniden elle değerlendirir. Puanlama kuralları da zamanla ayarlanmalıdır. Analistlerin yanlış pozitif olarak kapattığı eşleşmeler, kaynakların ve ağırlıkların gözden geçirilmesi için en iyi geri bildirimdir; bu çalışma genellikle bir SOC ekibinin günlük işinin parçasıdır.

Logchase tehdit tespiti, olayları ThreatPeak entegrasyonundan gelen kötü amaçlı IP göstergeleri, botnet aktivitesi, TOR çıkış düğümleri ve brute-force kaynaklarıyla zenginleştirir; her olaya davranış, tehdit istihbaratı ve bağlamsal bilgilere dayalı bir risk puanı atanabilir.