Siber Tehdit İstihbaratı (CTI) Nedir? EchoCTI ile Uygulama

Çoğu kurum bir saldırıyı ilk kez kendi ağında gördüğünde fark eder. Oysa saldırının hazırlığı çok daha önce başlamıştır: karanlık ağda satışa çıkan bir parola listesinde ya da kurum adını taklit eden yeni bir alan adında.

Güvenlik ekiplerinin bu dış sinyalleri izleyecek zamanı ve görünürlüğü çoğu zaman yoktur. Siber tehdit istihbaratı bu boşluğu kapatır. Kurumun dışında olan biteni, içeride aksiyon alınabilecek bilgiye çevirir.

Kısaca: Siber tehdit istihbaratı (CTI), saldırganlar, kullandıkları altyapı ve kuruma yönelen tehditler hakkındaki ham verinin toplanması, doğrulanması ve önceliklendirilmesidir. Amacı, güvenlik ekibinin bir saldırıyı gerçekleşmeden görmesini ve SIEM, güvenlik duvarı gibi araçlarda somut aksiyon almasını sağlamaktır.

Siber tehdit istihbaratı nedir ve neyi kapsar?

Siber tehdit istihbaratı, "ne oluyor?" sorusundan çok "bu bizim için ne anlama geliyor?" sorusuna cevap arar. Bir IP adresinin kötü amaçlı olduğunu bilmek veridir. O IP adresinin sektörünüzü hedef alan bir APT grubuna ait olduğunu ve e-posta sunucunuzu taradığını bilmek ise istihbarattır. APT (Advanced Persistent Threat), belirli hedeflere uzun süre odaklanan organize saldırgan gruplarını anlatır.

Sahada dört istihbarat türünden söz edilir. Her biri farklı bir okuyucuya hizmet eder:

• Stratejik istihbarat: Üst yönetim için sektör ve bölge bazlı tehdit eğilimleri ve risk değerlendirmesi.
• Taktik istihbarat: Saldırganların taktik, teknik ve prosedürleri (TTP). Genellikle MITRE ATT&CK çerçevesiyle eşlenir.
• Operasyonel istihbarat: Belirli bir kampanyanın hedefi, zamanlaması ve hazırlık izleri.
• Teknik istihbarat: IP adresi, alan adı, dosya özeti gibi tehlike göstergeleri (IOC, Indicator of Compromise).

İyi bir program bu dört katmanı birbirine bağlar. Teknik göstergeler taktik bağlama, taktik bağlam da yönetimin risk kararına taşınır.

Kurumlar neden tehdit istihbaratına ihtiyaç duyar?

Güvenlik araçlarının çoğu kurumun içine bakar. EDR uç noktayı, SIEM günlük kayıtlarını, güvenlik duvarı ağ trafiğini izler. Çalınan kimlik bilgileri, sahte alan adları ve kurumu hedef alan forum konuşmaları ise bu araçların görüş alanının dışında kalır.

Tehdit istihbaratı olmayan bir ekip şu sorulara geç cevap verir:

• Kurumun hangi verisi ya da kimlik bilgisi dışarıda dolaşıyor?
• Sektörümüzü hedef alan gruplar hangi teknikleri kullanıyor ve savunmamız buna hazır mı?
• Yeni yayımlanan bir zafiyet, internete açık sistemlerimizden hangisini etkiliyor?

Düzenleyici çerçeve de bu görünürlüğü dolaylı olarak gerektirir. KVKK kapsamındaki 72 saatlik veri ihlali bildirim yükümlülüğü, sızıntının ne kadar erken fark edildiğine bağlıdır. Finans sektöründe BDDK düzenlemeleri siber olay yönetimini denetim kapsamına alır. Karanlık ağda satışa çıkan bir veri setini haftalar sonra öğrenmek, hem müdahale hem bildirim süresini daraltır.

SOC ekipleri için değer daha da somuttur. SOC ve SIEM ikilisi çalışan bir kurumda istihbarat, alarmlara bağlam ekler. Analist, bir bağlantının bilinen bir saldırgan altyapısına gidip gitmediğini saniyeler içinde görür ve önceliği buna göre belirler.

Tehdit istihbaratı döngüsü: ham veriden aksiyona

Siber tehdit istihbaratı tek seferlik bir rapor değil, sürekli dönen bir süreçtir. NIST SP 800-150, tehdit bilgisinin paylaşımı ve kullanımı üzerine yazdığı rehberde bu sürekliliği vurgular. Sahada döngü genellikle altı adımla anlatılır:

1. Planlama: İzlenecek varlıklar, markalar, yöneticiler ve anahtar kelimeler belirlenir.
2. Toplama: Açık kaynaklar, derin ve karanlık ağ, saldırgan kanalları ve teknik beslemeler taranır.
3. İşleme: Tekrarlar ayıklanır, farklı biçimlerdeki veri ortak bir yapıya getirilir.
4. Analiz: Bulgunun kurumla ilgisi ve güvenilirliği değerlendirilir. Otomatik puanlama analist doğrulamasıyla birleşir.
5. Yayma: Sonuç doğru kişiye doğru biçimde ulaşır. Yöneticiye rapor, SOC ekibine IOC, BT ekibine yama önceliği gider.
6. Geri bildirim: Hangi uyarının işe yaradığı ölçülür ve izleme kapsamı güncellenir.

Kurumların en çok zorlandığı adım toplama değil, işleme ve analizdir. Açık kaynak beslemelere ulaşmak kolaydır. Zor olan, binlerce göstergenin içinden kurumu gerçekten ilgilendiren birkaçını seçmektir.

Dark web izleme ve IOC beslemesi pratikte nasıl çalışır?

Dark web izleme, saldırganların iletişim kurduğu forumlarda, pazar yerlerinde ve mesajlaşma kanallarında kurumla ilgili terimlerin taranmasıdır. Alan adı, marka adı, yönetici isimleri ve kurumsal e-posta uzantısı tipik izleme terimleridir. Amaç, sızdırılmış kimlik bilgisi, satışa çıkan erişim ya da planlanan bir saldırı hakkında erken uyarı almaktır.

IOC beslemesi ise teknik tarafı taşır. Oltalama ve DDoS kampanyalarında kullanılan IP adresleri ve alan adları, zararlı dosya özetleri ve APT gruplarına ait göstergeler makinenin okuyabileceği biçimde aktarılır. Beslemenin değeri, SIEM, SOAR ve güvenlik duvarı gibi araçlara API üzerinden otomatik girmesine bağlıdır. Elle kopyalanan gösterge çoğu zaman geç kalır.

Senaryo: Bir perakende şirketinin güvenlik ekibi, dark web izleme uyarısıyla bir forumda şirketin VPN portalına ait çalışan kimlik bilgilerinin satışa çıktığını görür. Analist kaydı doğrular, ilgili hesaplar kimlik ekibine iletilir ve parolalar sıfırlanır. Aynı gün satıcının kullandığı IP adresleri IOC olarak SIEM'e ve güvenlik duvarına girer. Sonraki günlerde bu adreslerden gelen oturum açma denemeleri engellenmiş olarak kayıtlara düşer. Saldırı, hazırlık aşamasında durdurulmuş olur.

EchoCTI ile siber tehdit istihbaratı nasıl uygulanır?

EchoCTI, NSC Bilişim tarafından Türkiye'de geliştirilen bir tehdit istihbaratı platformudur. Bulut (SaaS) servisi olarak çalışır; kurumun ağına ajan ya da sunucu eklenmez. Servis, ana alan adı ve izlenecek anahtar kelimelerle başlar; istihbaratı üretir, önceliklendirir ve raporlar.

Platform, aynı varlık envanteri üzerinde çalışan dört modülden oluşur:

• Cyber Threat Intelligence (CTI): Yüzey, derin ve karanlık ağ izleme, APT grubu takibi, IOC toplama, GitHub ve zafiyet takibi. Ayrıntılar EchoCTI Cyber Threat Intelligence modülü sayfasında.
• Attack Surface Management (ASM): Ana alan adından başlayarak internete açık varlıkların keşfi, port ve aktif zafiyet taraması.
• Digital Footprint: Alan adı, alt alan adı ve IP varlıklarından oluşan dijital ayak izi envanteri ve değişiklik bildirimleri.
• Digital Risk Protection (DRP): Sahte alan adı, oltalama sitesi, marka taklidi ve yönetici bilgisi sızıntısı tespiti ile kaldırma (takedown) desteği.

CTI modülü, 250'yi aşkın açık kaynaktan ve üreticinin kendi izleme altyapısından gelen veriyi zenginleştirerek tehdit itibar puanı üretir. Otomatik tarama, uzman analistlerin manuel analiziyle birleşir. "Binlerce gösterge" sorununu hafifleten asıl katman budur. Bulgular API entegrasyonuyla SIEM, SOAR ve güvenlik duvarına aktarılır.

Kapsam, sürüm seviyesine göre ölçeklenir:

Dış saldırı yüzeyini tehdit istihbaratıyla birlikte ele almak, sürekli tehdit maruziyeti yönetimi (CTEM) yaklaşımının da ilk adımıdır. Önce neyin açıkta olduğu, sonra kimin hedef aldığı görülür. Ardından savunmanın bu tehditlere dayanıp dayanmadığı doğrulanır.

Tehdit istihbaratı platformu seçerken nelere bakılmalı?

Pazarda çok sayıda besleme ve platform var. Güvenlik karar vericisi için ayırt edici sorular şunlardır:

• Yerel kapsam: Türkçe forumlar, yerel pazar yerleri ve Türkiye'yi hedef alan kampanyalar kaynak listesinde var mı?
• İlgi filtresi: Platform genel besleme mi sunuyor, yoksa bulguyu kurumun varlık envanteriyle eşleştiriyor mu?
• Analist doğrulaması: Otomatik puanlamanın yanında insan analizi var mı? False positive yükünü belirleyen budur.
• Entegrasyon: IOC'ler API ile SIEM, SOAR ve güvenlik duvarına akabiliyor mu?
• Aksiyon desteği: Sahte alan adı veya profil için kaldırma süreci platform içinden başlatılabiliyor mu?
• Ekip yükü: Kullanıcı sayısı ve sorgu kotası, ekibin gerçek kullanımıyla uyumlu mu?

Sıkça Sorulan Sorular

Siber tehdit istihbaratı türleri nelerdir?

Siber tehdit istihbaratı dört türde ele alınır. Stratejik istihbarat yönetime tehdit eğilimlerini ve riski anlatır. Taktik istihbarat saldırgan tekniklerini MITRE ATT&CK gibi çerçevelerle açıklar. Operasyonel istihbarat belirli kampanyaların hedef ve zamanlamasını, teknik istihbarat ise IP, alan adı ve dosya özeti gibi IOC'leri kapsar.

Tehdit istihbaratı ile SIEM arasındaki fark nedir?

SIEM, kurumun kendi sistemlerinden gelen günlük kayıtlarını toplar ve olayları ilişkilendirir. Tehdit istihbaratı ise kurum dışındaki saldırgan altyapısı ve tehditler hakkında bağlam sağlar. İkisi birbirinin alternatifi değildir. IOC beslemesi SIEM'e aktarıldığında, iç kayıtlardaki şüpheli bir bağlantı bilinen bir saldırgan altyapısıyla eşleşir ve alarm önceliği netleşir.

Dark web izleme ne işe yarar?

Dark web izleme, kurumun adı, alan adı, yöneticileri ve kurumsal e-posta uzantısıyla ilgili konuşmaları saldırgan forumlarında ve pazar yerlerinde takip eder. Sızdırılmış kimlik bilgileri, satışa çıkan erişimler ve planlanan saldırılar hakkında erken uyarı verir. Böylece parola sıfırlama veya erişim kısıtlama gibi önlemler saldırı gerçekleşmeden alınabilir.

KOBİ'ler siber tehdit istihbaratına ihtiyaç duyar mı?

Evet, ancak ihtiyaç farklı biçimdedir. Küçük ve orta ölçekli kurumlar genellikle kendi analist ekibini kuramaz. Bu durumda dijital ayak izi, sızdırılmış kimlik bilgisi takibi ve marka taklidi tespiti gibi odaklı hizmetler en yüksek getiriyi sağlar. Bulut tabanlı bir platform, yerinde altyapı gerektirmeden bu görünürlüğü sunar.

Sonuç: Tehdit istihbaratına nereden başlanmalı?

SOC ve SIEM yapısı çalışan, alarmlarda bağlam eksikliği yaşayan kurumlar için öncelik IOC beslemesinin API ile güvenlik araçlarına bağlanmasıdır. Henüz SOC yapısı olmayan kurumlar dijital ayak izi ve dark web izleme ile başlamalı, raporları düzenli olarak değerlendirmelidir. Markası müşteriyle doğrudan temas eden e-ticaret, finans ve perakende kurumlarında ise dijital risk koruması ilk sıraya çıkar.

Technodus, EchoCTI çözüm ortağı olarak ilk dijital ayak izi çıkarımını ve bulguların önceliklendirilmesini kurumla birlikte yürütür. Uyarıları mevcut SIEM ve olay yönetimi akışına bağlar. EchoCTI tehdit istihbaratı platformu hakkında bilgi almak ya da kurumunuzun dış tehdit görünümünü birlikte değerlendirmek için iletişim sayfamızdan demo talep edebilirsiniz.