Dark Web Monitoring Nedir? Sızdırılmış Kimlik Bilgileri ve Kurumsal Veriler Nasıl Takip Edilir?

Bir kurumun verileri her zaman kendi sistemlerinden sızmaz.

Bir çalışanın kullandığı üçüncü taraf platform veri ihlali yaşayabilir.

Bir kullanıcı kişisel cihazında zararlı yazılıma maruz kalabilir.

Bir tedarikçi hesabı ele geçirilebilir.

Bir çalışan aynı parolayı birden fazla yerde kullanabilir.

Bir saldırgan, kurum ağına erişim sağladıktan sonra elde ettiği kullanıcı bilgilerini farklı platformlarda satışa çıkarabilir.

Sonuç olarak şirketin e-posta adresleri, kullanıcı hesapları, oturum bilgileri, erişim verileri veya hassas dokümanları kurumun kendi güvenlik ekipleri fark etmeden internetin farklı noktalarında dolaşmaya başlayabilir.

Bu nedenle modern siber güvenlikte yalnızca kurumun iç sistemlerini izlemek yeterli değildir.

Kurumun dış dünyadaki dijital maruziyetinin de takip edilmesi gerekir.

Bu yaklaşımın önemli parçalarından biri Dark Web Monitoring – Dark Web İzleme olarak adlandırılır.

Dark Web Monitoring; kurum adı, domain, çalışan e-posta adresleri, kullanıcı hesapları, sızdırılmış credential'lar, satılan erişimler ve hassas veriler gibi göstergelerin dark web, yeraltı forumları, leak site'lar ve diğer riskli kaynaklarda takip edilmesini amaçlayan siber tehdit istihbaratı faaliyetidir.

Ancak Dark Web Monitoring yalnızca “şirketimizin adı geçti mi?” kontrolü değildir.

Asıl değer şu soruda ortaya çıkar:

Bulunan bilgi gerçek mi, güncel mi ve kurum açısından ne kadar riskli?

Dark Web Nedir?

Dark Web, internetin standart arama motorları tarafından indekslenmeyen ve özel erişim yöntemleri gerektiren bölümlerini ifade eder.

Dark web'in tamamı siber suç amacıyla kullanılmaz.

Gizlilik, sansürden kaçınma, gazetecilik veya anonim iletişim gibi meşru kullanım alanları da bulunabilir.

Ancak siber tehdit istihbaratı açısından dark web önemli bir kaynaktır çünkü bazı tehdit aktörleri;

• çalınmış kullanıcı hesaplarını,
• veri tabanı sızıntılarını,
• şirket ağlarına erişimleri,
• malware loglarını,
• ödeme kartı verilerini,
• fidye yazılımı sızıntılarını,
• saldırı araçlarını

bu tip platformlarda paylaşabilir veya satabilir.

Bu nedenle Dark Web Monitoring, Cyber Threat Intelligence – CTI süreçlerinin önemli bir bileşenidir.

Deep Web ile Dark Web Aynı Şey midir?

Hayır.

Bu iki kavram sık sık birbirine karıştırılır.

Deep Web, arama motorları tarafından indekslenmeyen internet içeriklerinin genel adıdır.

Örneğin;

kurumsal intranet,

özel e-posta hesabı,

internet bankacılığı,

abonelik gerektiren içerikler

deep web içerisinde değerlendirilebilir.

Dark Web ise erişim için özel ağlar veya araçlar kullanılan, internetin daha sınırlı ve anonimlik odaklı bölümlerini ifade eder.

Dolayısıyla:

Her Dark Web içeriği Deep Web'dir, ancak her Deep Web içeriği Dark Web değildir.

Siber güvenlik açısından asıl önemli olan isimlendirmeden çok, kurumun hassas verilerinin hangi kanallarda dolaştığını anlayabilmektir.

Dark Web Monitoring Nedir?

Dark Web Monitoring, kurumla ilgili belirli anahtar göstergelerin riskli kaynaklarda sistematik olarak aranmasıdır.

Örneğin;

şirket domain'i,

çalışan e-posta adresleri,

marka adı,

yönetici isimleri,

kurumsal IP blokları,

ürün isimleri,

kritik sistem isimleri

takip edilebilir.

Bunlarla ilişkili olarak;

credential leak,

stealer log,

combo list,

database dump,

Initial Access satış ilanı,

ransomware leak

gibi içerikler araştırılabilir.

Ancak profesyonel bir Dark Web Monitoring hizmetinin sadece veri toplaması yeterli değildir.

Bulunan içeriğin;

doğrulanması,

zamanının belirlenmesi,

kaynağının analiz edilmesi,

etkilenen hesabın aktif olup olmadığının kontrol edilmesi,

kurumsal risk ile ilişkilendirilmesi

gerekir.

Credential Leak Nedir?

Credential Leak – Kimlik Bilgisi Sızıntısı, kullanıcı adı, e-posta adresi, parola veya kimlik doğrulama bilgilerinin yetkisiz şekilde açığa çıkmasıdır.

Bu bilgiler farklı nedenlerle sızabilir.

Örneğin;

üçüncü taraf veri ihlali,

phishing saldırısı,

infostealer malware,

yanlış yapılandırılmış sistem,

çalışan cihazının ele geçirilmesi

sonucunda credential exposure ortaya çıkabilir.

Bir kurum için en kritik risklerden biri şudur:

Sızdırılmış parola hâlâ aktif mi?

Eğer aktifse saldırgan Valid Accounts tekniğini kullanarak sisteme meşru kullanıcı gibi giriş yapmaya çalışabilir.

Stealer Log Nedir?

Stealer Log, genellikle bilgi hırsızı zararlı yazılımlar tarafından ele geçirilen verilerin kayıtlarını ifade eder.

Bu loglar içerisinde;

browser'da kayıtlı kullanıcı adları ve parolalar,

cookie'ler,

oturum bilgileri,

form verileri,

bazı uygulama token'ları,

cihaz bilgileri

bulunabilir.

Burada kritik fark şudur:

Bir stealer log yalnızca yıllar önce gerçekleşmiş klasik veri ihlali olmayabilir.

Çok daha güncel bir cihaz kompromizasyonunu gösterebilir.

Örneğin bir çalışan kişisel bilgisayarından kurumsal Microsoft 365 hesabına giriş yaptıysa ve cihaz infostealer ile enfekte olduysa bu hesap bilgileri saldırganların eline geçebilir.

Bu nedenle stealer log tespiti yüksek öncelikli değerlendirilmelidir.

Infostealer Malware Nedir?

Information Stealer – Infostealer, cihaz üzerindeki hassas bilgileri ele geçirmek amacıyla geliştirilen zararlı yazılım kategorisidir.

Hedeflenen veriler arasında;

browser credential'ları,

cookie'ler,

session token'ları,

saved passwords,

uygulama verileri

bulunabilir.

Kurumsal risk açısından problem şudur:

Saldırı doğrudan şirket cihazında gerçekleşmek zorunda değildir.

Çalışanın kişisel cihazı ele geçirilmiş olabilir.

Ancak kullanıcı aynı cihazdan kurumsal servislere erişiyorsa kurumsal credential veya session bilgileri saldırganın eline geçebilir.

Bu durum BYOD Security – Kişisel Cihaz Güvenliği ve kimlik güvenliğinin neden birlikte düşünülmesi gerektiğini gösterir.

Combo List Nedir?

Siber suç ekosisteminde karşılaşılan kavramlardan biri Combo List'tir.

Combo list'ler genellikle farklı kaynaklardan toplanmış;

e-posta:kullanıcı adı

veya

e-posta:parola

kombinasyonlarını içeren listeler şeklinde olabilir.

Bu listelerdeki verilerin tamamı güncel olmayabilir.

Bazıları yıllar önceki veri ihlallerinden gelebilir.

Ancak parola tekrar kullanımı nedeniyle eski credential'lar bile risk oluşturabilir.

Örneğin kullanıcı beş yıl önce kullandığı parolayı hâlâ kurumsal hesabında kullanıyorsa eski sızıntı güncel bir saldırı vektörüne dönüşebilir.

Password Reuse Neden Kritik Bir Risk?

Password Reuse – Parola Tekrar Kullanımı, aynı veya benzer parolanın birden fazla sistemde kullanılmasıdır.

Bu davranış saldırganların eski veri sızıntılarını değerlendirmesine olanak sağlar.

Örneğin bir çalışan;

kişisel alışveriş sitesinde,

sosyal medya hesabında,

kurumsal e-posta hesabında

benzer parola kullanıyorsa üçüncü taraf veri ihlali şirket güvenliğini de etkileyebilir.

Bu riskin azaltılması için;

MFA,

phishing-resistant authentication,

password manager,

breached password detection,

Conditional Access

gibi kontroller birlikte kullanılmalıdır.

Initial Access Broker Nedir?

Dark web ve siber suç ekonomisinin önemli aktörlerinden biri Initial Access Broker – IAB'dır.

Initial Access Broker'lar kurumlara ait ilk erişimleri elde ederek bu erişimleri başka saldırgan gruplara satabilir.

Örneğin satışa çıkarılan erişim;

VPN hesabı,

RDP erişimi,

Citrix veya remote access hesabı,

cloud account,

web shell,

kurumsal kullanıcı hesabı

olabilir.

Bu model saldırı ekosistemini uzmanlaştırır.

Bir grup ilk erişimi elde eder.

Başka bir grup satın alır.

Başka bir aktör ransomware operasyonunu gerçekleştirir.

Bu nedenle dark web üzerinde bir kuruma ait “access for sale” ilanı görülmesi son derece kritik olabilir.

Access for Sale Ne Demektir?

Yeraltı forumlarında bazen belirli şirketlere veya sektörlere ilişkin erişimler satışa sunulabilir.

İlanda;

şirket sektörü,

ülke,

ciro aralığı,

erişim tipi,

yetki seviyesi

gibi bilgiler yer alabilir.

Her ilanın gerçek olduğu varsayılmamalıdır.

Siber suç forumlarında dolandırıcılık da yaygındır.

Ancak kurum özellikleriyle güçlü şekilde eşleşen bir satış ilanı tespit edilirse olay high-priority threat intelligence olarak ele alınmalıdır.

Gerekirse Incident Response ve Threat Hunting süreçleri başlatılmalıdır.

Ransomware Leak Site Nedir?

Birçok ransomware grubu yalnızca sistemleri şifrelemekle kalmaz.

Saldırı öncesinde verileri dışarı çıkarmaya ve şirketi veri yayma tehdidiyle baskı altına almaya çalışabilir.

Bu yaklaşım Double Extortion – Çifte Şantaj olarak bilinir.

Bazı gruplar kurbanlarını kendi leak site'larında yayımlar.

Bu platformlarda;

şirket adı,

veri örnekleri,

geri sayım,

çalındığı iddia edilen veri miktarı

gibi bilgiler paylaşılabilir.

Dark Web Monitoring kapsamında bu leak site'ların takibi özellikle büyük kurumlar açısından önemlidir.

Double Extortion Nedir?

Geleneksel ransomware saldırısında saldırgan dosyaları şifreleyerek ödeme talep eder.

Double Extortion modelinde ise saldırgan önce verileri ele geçirmeye çalışır.

Ardından sistemleri şifreleyebilir.

Şirket yedeklerden geri dönse bile saldırgan:

“Ödeme yapmazsanız verileri yayımlarız.”

tehdidini kullanabilir.

Bu nedenle ransomware güvenliği yalnızca backup güvenliği değildir.

Data Exfiltration Detection da kritik öneme sahiptir.

Triple Extortion Nedir?

Bazı saldırılarda şantaj daha da genişleyebilir.

Buna Triple Extortion – Üçlü Şantaj denilebilir.

Şifreleme ve veri sızıntısına ek olarak saldırgan;

müşterilerle iletişime geçebilir,

iş ortaklarını tehdit edebilir,

DDoS uygulayabilir

veya farklı baskı yöntemleri kullanabilir.

Bu durum ransomware saldırılarının yalnızca teknik olay değil, kurumsal kriz yönetimi problemi olduğunu gösterir.

Dark Web'de Şirket İsminin Geçmesi Her Zaman Kritik midir?

Hayır.

Bu önemli bir ayrımdır.

Bir Dark Web Monitoring platformunun;

“Şirket adınız bulundu.”

şeklinde alarm üretmesi tek başına yeterli değildir.

Örneğin şirket adı;

genel bir sektör tartışmasında,

eski bir veri dump'ında,

başka bir şirketle ilişkili içerikte

geçebilir.

Bu nedenle her bulgu analiz edilmelidir.

Profesyonel Threat Intelligence yaklaşımında şu sorular sorulur:

Kaynak güvenilir mi?

Veri ne kadar güncel?

Gerçek çalışan hesapları bulunuyor mu?

Credential aktif olabilir mi?

Kurumsal sistemlerle ilişkili mi?

Tehdit aktörünün kapasitesi nedir?

Acil aksiyon gerekiyor mu?

Bağlam olmadan veri gürültüye dönüşür.

False Positive Dark Web Monitoring'de Neden Önemlidir?

Dark web kaynakları temiz ve standart veri tabanları değildir.

Aynı veri farklı platformlarda tekrar tekrar paylaşılabilir.

Eski leak'ler yeniymiş gibi yayınlanabilir.

Sahte veri paketleri satılabilir.

Birden fazla şirket benzer isme sahip olabilir.

Bu nedenle profesyonel Dark Web Monitoring hizmetinde validation – doğrulama kritik öneme sahiptir.

Aksi halde güvenlik ekipleri yüzlerce düşük değerli alarm ile uğraşabilir.

Bu da alert fatigue oluşturabilir.

Credential Exposure Bulunduğunda Ne Yapılmalı?

Kurum çalışanına ait sızdırılmış credential bulunduğunda otomatik olarak paniğe kapılmak yerine yapılandırılmış bir müdahale süreci izlenmelidir.

Öncelikle credential'ın;

hangi kaynaktan geldiği,

hangi tarihe ait olduğu,

hesabın aktif olup olmadığı,

parolanın hâlâ geçerli olup olmadığı

kontrol edilmelidir.

Risk doğrulanıyorsa;

parola reset,

aktif session sonlandırma,

MFA kontrolü,

Conditional Access incelemesi,

geçmiş authentication log analizi,

EDR endpoint kontrolü

gerçekleştirilebilir.

Gerekirse Threat Hunting başlatılmalıdır.

Session Cookie Sızıntısı Neden Paroladan Daha Kritik Olabilir?

Modern authentication sistemlerinde başarılı giriş sonrasında kullanıcıya session token veya cookie verilebilir.

Bu bilgiler belirli koşullarda kullanıcı oturumunu temsil eder.

Dolayısıyla saldırganın her zaman parolaya ihtiyacı olmayabilir.

Ele geçirilen aktif session bilgileri ciddi risk oluşturabilir.

Bu nedenle bir infostealer olayında yalnızca:

“Parolayı değiştirdik.”

demek her zaman yeterli olmayabilir.

Aktif session'ların sonlandırılması ve token invalidation gibi işlemler de gerekebilir.

Bu durum modern Identity Security'nin yalnızca parola yönetiminden ibaret olmadığını gösterir.

MFA Varsa Credential Leak Önemsiz midir?

Hayır.

MFA, credential theft riskini önemli ölçüde azaltabilir.

Ancak sızdırılmış kimlik bilgisi yine de güvenlik olayıdır.

Çünkü saldırgan;

MFA fatigue,

sosyal mühendislik,

session hijacking,

legacy authentication,

zayıf recovery process

gibi farklı yolları değerlendirebilir.

Bu nedenle kurumların mümkün olduğunca phishing-resistant MFA ve güçlü Conditional Access politikaları kullanması önemlidir.

Dark Web Monitoring ile Brand Protection Arasındaki İlişki

Dark Web Monitoring yalnızca sızdırılmış kullanıcı hesaplarını takip etmez.

Kurumsal marka kötüye kullanımları da izlenebilir.

Örneğin;

şirket adına benzeyen domain,

sahte müşteri portalı,

phishing sitesi,

taklit sosyal medya hesabı,

sahte mobil uygulama

tespit edilebilir.

Bu faaliyetler Digital Risk Protection – DRP veya External Threat Monitoring kapsamında değerlendirilebilir.

Özellikle bankalar, e-ticaret şirketleri, holdingler ve geniş müşteri kitlesine sahip markalar açısından bu alan önemlidir.

Typosquatting Nedir?

Typosquatting, gerçek bir domain adına çok benzeyen alan adlarının saldırı amacıyla kaydedilmesidir.

Örneğin şirket domain'i:

securecompany.com

ise saldırgan buna görsel olarak benzeyen farklı bir domain kullanabilir.

Amaç kullanıcının adresi fark etmeden phishing sayfasına girmesini sağlamaktır.

Dark Web Monitoring ve Digital Risk Protection çalışmalarında marka benzeri domain'lerin tespit edilmesi önemlidir.

Özellikle yeni kayıt edilen domain'lerin izlenmesi erken uyarı sağlayabilir.

Domain Monitoring Neden Önemlidir?

Şirket markasına benzeyen yeni domain'ler saldırının henüz başlamadığı aşamada tespit edilebilir.

Bu nedenle domain monitoring proaktif güvenlik yaklaşımıdır.

Bir domain;

henüz phishing e-postasında kullanılmamış,

henüz zararlı içerik yayınlamamış

olabilir.

Ancak marka benzerliği ve kayıt davranışı risk oluşturabilir.

Bu durumda güvenlik ekibi domain'i önceden inceleyebilir ve gerektiğinde engelleme veya takedown süreçlerini başlatabilir.

Digital Risk Protection Nedir?

Digital Risk Protection – DRP, kurumun kendi kontrolü dışında kalan internet kaynaklarındaki dijital riskleri izleyen yaklaşımı ifade eder.

Bu kapsam;

Dark Web Monitoring,

credential leak monitoring,

brand impersonation,

phishing domain detection,

social media impersonation,

data leak monitoring

gibi alanları içerebilir.

DRP'nin amacı kurum dışındaki dijital risklerin mümkün olduğunca erken tespit edilmesidir.

Bu açıdan DRP, External Attack Surface Management ile birlikte düşünülebilir.

Dark Web Monitoring ile External Attack Surface Management Arasındaki Fark

Bu iki kavram birbirine yakındır ancak farklı alanlara odaklanır.

External Attack Surface Management – EASM, kurumun internet üzerinde görülebilen teknik varlıklarını keşfetmeye odaklanır.

Örneğin;

domain,

subdomain,

IP,

cloud asset,

internet service

gibi varlıklar.

Dark Web Monitoring ise kurumla ilişkili çalınmış, sızdırılmış veya suç ekosisteminde dolaşan bilgileri takip eder.

En güçlü yaklaşım ikisini birlikte kullanmaktır.

EASM:

“Saldırgan hangi sistemlerimizi görebiliyor?”

Dark Web Monitoring:

“Saldırgan hangi bilgilerimizi zaten elde etmiş olabilir?”

sorusuna cevap verir.

Threat Intelligence ile Dark Web Monitoring Arasındaki Fark

Dark Web Monitoring, Cyber Threat Intelligence'ın bir bileşeni olabilir.

Ancak ikisi aynı şey değildir.

Threat Intelligence çok daha geniştir.

CTI;

threat actor,

APT,

malware,

TTP,

IOC,

vulnerability intelligence,

campaign intelligence,

dark web intelligence

gibi farklı alanları kapsayabilir.

Dark Web Monitoring ise bunların belirli bir bölümüne odaklanır.

Bu nedenle yalnızca dark web verisi sağlayan bir platformun bütün CTI ihtiyacını karşıladığı düşünülmemelidir.

Dark Web Intelligence Nedir?

Dark Web Intelligence, dark web ve benzeri yeraltı kaynaklarından elde edilen bilgilerin doğrulanıp analiz edilerek tehdit istihbaratına dönüştürülmesidir.

Örneğin;

Veri: Şirket domain'ine ait 25 e-posta adresi bulundu.

Bu tek başına monitoring çıktısıdır.

Ancak:

İstihbarat: Hesapların 8'i aktif çalışanlara ait, veriler yakın tarihli bir infostealer logundan geliyor ve iki kullanıcıda kurumun uzaktan erişim servislerine ilişkin credential izi bulunuyor.

Bu artık aksiyon alınabilir intelligence'dır.

Aradaki fark bağlam ve analizdir.

Dark Web Monitoring SOC ile Nasıl Entegre Edilmelidir?

Dark web bulgularının e-posta ile PDF raporu olarak gönderilip bırakılması ideal yaklaşım değildir.

Kritik bulgular doğrudan SOC ve Incident Response süreçlerine aktarılmalıdır.

Örneğin riskli credential tespit edildiğinde;

SIEM üzerinde kullanıcı geçmişi aranabilir,

Identity Provider kayıtları incelenebilir,

EDR üzerinde kullanıcı endpoint'i kontrol edilebilir,

şüpheli IP ve domain'ler aranabilir,

aktif session'lar değerlendirilebilir.

Böylece dış tehdit istihbaratı iç telemetry ile doğrulanır.

Bu yaklaşım External-to-Internal Correlation açısından son derece değerlidir.

Threat Hunting Nasıl Kullanılır?

Bir stealer log içerisinde aktif çalışana ait credential bulunduğunu düşünelim.

Kullanıcının parolası hemen değiştirilir.

Ancak süreç burada bitmemelidir.

Threat Hunting ekibi geçmiş verilere bakarak;

şüpheli login var mı,

alışılmadık lokasyon var mı,

yeni cihaz kullanılmış mı,

beklenmeyen mailbox rule oluşmuş mu,

olağan dışı cloud erişimi olmuş mu,

endpoint üzerinde malware izi var mı

sorularını araştırabilir.

Çünkü credential leak bazen yalnızca gelecekteki risk değil, gerçekleşmiş bir kompromizasyonun göstergesi olabilir.

IOC Enrichment Nedir?

Dark web veya Threat Intelligence kaynağından alınan teknik göstergeler ek bilgilerle zenginleştirilebilir.

Bu sürece IOC Enrichment denir.

Örneğin bir IP adresi için;

reputation,

ASN,

coğrafi konum,

ilk görülme tarihi,

son görülme tarihi,

ilişkili malware,

ilişkili threat actor

bilgileri eklenebilir.

Bu sayede SOC analisti alarmı daha hızlı değerlendirebilir.

Dark Web Monitoring ve SIEM Entegrasyonu

Bazı tehdit istihbaratı göstergeleri SIEM'e aktarılabilir.

Örneğin;

malicious domain,

IP,

URL,

hash

değerleri kurum telemetry'siyle karşılaştırılabilir.

Ancak bütün dark web verisinin otomatik olarak SIEM'e yüklenmesi doğru olmayabilir.

Çok fazla düşük kaliteli IOC performans ve false positive problemi oluşturabilir.

Bu nedenle;

confidence score,

relevance,

freshness,

context

kriterleri kullanılmalıdır.

Credential Leak Monitoring'de Öncelik Nasıl Belirlenir?

Bütün credential sızıntıları aynı risk seviyesinde değildir.

Örneğin aşağıdaki kriterler kullanılabilir:

Hesap aktif mi?

Aktif hesaplar daha yüksek önceliklidir.

Kullanıcı privileged mı?

Yönetici ve kritik rol hesapları daha yüksek risklidir.

Veri ne kadar yeni?

Yeni stealer log genellikle eski breach'ten daha yüksek öncelik taşıyabilir.

Kaynak nedir?

Infostealer, phishing kit veya IAB kaynağı önemlidir.

MFA var mı?

Koruma seviyesi değerlendirilir.

Kritik sistem erişimi var mı?

Finans, VPN, cloud veya administrator erişimleri daha yüksek etki oluşturabilir.

Bu yaklaşım risk tabanlı müdahale sağlar.

VIP ve Executive Monitoring Nedir?

Üst düzey yöneticiler, yönetim kurulu üyeleri ve kritik pozisyonlardaki kullanıcılar saldırganlar açısından daha değerli olabilir.

Bu nedenle bazı kurumlar VIP Monitoring veya Executive Protection programları uygular.

Bu kapsamda;

kurumsal e-posta,

marka taklidi,

sızdırılmış hesap,

sahte sosyal medya profili,

phishing girişimleri

daha yakından takip edilebilir.

Özellikle CEO Fraud ve Business Email Compromise saldırıları açısından bu yaklaşım önemlidir.

Business Email Compromise – BEC Nedir?

Business Email Compromise – BEC, saldırganların kurumsal e-posta hesaplarını ele geçirerek veya taklit ederek finansal dolandırıcılık gerçekleştirmeye çalıştığı saldırı türüdür.

Örneğin saldırgan;

CEO,

CFO,

finans yöneticisi,

tedarikçi

gibi davranarak sahte ödeme talebi gönderebilir.

Bu nedenle credential leak ve mailbox compromise finans departmanları açısından ciddi risk taşır.

Dark Web Monitoring, Identity Security ve e-posta güvenliği BEC riskinin azaltılmasında birlikte ele alınmalıdır.

Third-Party Credential Exposure Neden Önemlidir?

Bir kurumun güvenlik seviyesi çok güçlü olabilir.

Ancak tedarikçisinin kullanıcı hesabı ele geçirilmiş olabilir.

Bu tedarikçinin;

VPN,

remote support,

B2B portal,

dosya paylaşımı

üzerinden kuruma erişimi varsa saldırgan trusted relationship kullanabilir.

Bu nedenle Dark Web Monitoring kapsamında kritik üçüncü tarafların riskleri de değerlendirilebilir.

Bu yaklaşım Third-Party Cyber Risk Management açısından önemlidir.

Ransomware Grubu Şirketinizi Leak Site'a Eklerse Ne Yapılmalı?

Böyle bir durumda olayın gerçekliği hızla doğrulanmalıdır.

İlk adım kamuya açıklama yapmak veya saldırganla iletişim kurmak değildir.

Öncelikle;

Incident Response,

DFIR,

hukuk,

üst yönetim,

ilgili regülasyon ve gizlilik ekipleri

koordine edilmelidir.

Teknik olarak;

kompromizasyon kapsamı,

veri exfiltration,

persistence,

lateral movement,

credential exposure

araştırılmalıdır.

Dark Web Monitoring burada alarm görevi görür.

Asıl süreç Incident Response ve kriz yönetimidir.

Dark Web Monitoring Bir Güvenlik Ürünü Satın Almakla Biter mi?

Hayır.

Bir platform;

binlerce forum,

leak site,

credential kaynağı

takip ediyor olabilir.

Ancak asıl değer alarm sonrasında ne yapıldığıdır.

Bir güvenlik ekibinin;

veriyi doğrulaması,

risk skorlaması,

etkilenen kullanıcıyı belirlemesi,

SOC'a aktarması,

Incident Response başlatması,

iyileştirme gerçekleştirmesi

gerekir.

Dolayısıyla Dark Web Monitoring bir dashboard değil, operasyonel süreç olmalıdır.

Dark Web Monitoring Raporunda Neler Olmalıdır?

Profesyonel bir Dark Web Monitoring veya Digital Risk Protection raporunda şu alanlar bulunabilir:

Executive Summary

Yönetim için kritik dış tehdit görünümü.

Credential Exposure

Sızdırılmış hesap ve credential analizi.

Stealer Log Findings

Bilgi hırsızı kaynaklı riskler.

Access Broker Findings

Kuruma ait olabilecek erişim satışları.

Ransomware Exposure

Leak site ve fidye yazılımı ilişkili bulgular.

Brand Impersonation

Sahte domain ve marka taklitleri.

Threat Actor Context

Bulgunun ilişkili olduğu aktör veya kampanya.

Risk Score

Bulgunun güncellik, doğruluk ve etkiye göre önceliği.

Recommended Actions

SOC, IAM, Incident Response ve yönetim için öneriler.

Bu format monitoring verisini doğrudan yönetilebilir siber riske dönüştürür.

Dark Web Monitoring Başarısı Nasıl Ölçülür?

Başarı;

“Bu ay 10.000 kayıt bulduk.”

şeklinde ölçülmemelidir.

Daha anlamlı metrikler şunlardır:

Kaç gerçek credential exposure tespit edildi?

Kaç aktif kullanıcı hesabı koruma altına alındı?

Kaç phishing domain'i erken tespit edildi?

Kaç kritik bulgu Incident Response'a dönüştü?

Kaç sahte marka kullanımı engellendi?

Ortalama tespit ile müdahale süresi neydi?

Kaç false positive elendi?

Bu metrikler hizmetin gerçek güvenlik değerini gösterir.

Dark Web Monitoring Kurumlar İçin Neden Önemlidir?

Kurumlar kendi ağlarını kontrol edebilir.

Ancak bütün interneti kontrol edemez.

Bir çalışanın kişisel cihazında meydana gelen kompromizasyon,

üçüncü taraf veri ihlali,

tedarikçi sızıntısı,

infostealer kampanyası

kurumun doğrudan kontrolünün dışında olabilir.

Bu nedenle dış tehdit görünürlüğü gereklidir.

Modern güvenlik stratejisi yalnızca:

“Kendi sistemlerimizi koruyor muyuz?”

sorusunu sormamalıdır.

Şu soruyu da sormalıdır:

“Kurumumuzla ilgili hangi hassas bilgiler dış dünyada dolaşıyor?”

Sonuç: Saldırganın Elindeki Bilgiyi Siz de Görmelisiniz

Bir kullanıcı adı.

Eski bir parola.

Aktif bir session.

Bir VPN hesabı.

Sızdırılmış bir şirket dokümanı.

Kurumsal erişim satış ilanı.

Sahte bir domain.

Bunların her biri farklı kaynaklardan ortaya çıkabilir.

Ancak doğru şekilde ilişkilendirildiğinde kurum açısından kritik bir saldırının erken göstergesi olabilir.

Dark Web Monitoring'in gerçek değeri burada ortaya çıkar.

Amaç internetin karanlık köşelerinde mümkün olduğunca fazla veri toplamak değildir.

Amaç saldırganın elinde bulunan ve kurumun güvenliğini etkileyebilecek bilgileri saldırı gerçekleşmeden veya büyümeden fark etmektir.

Bu nedenle Dark Web Monitoring;

Cyber Threat Intelligence,

SOC,

Threat Hunting,

Identity Security,

Incident Response,

Digital Risk Protection

ile birlikte çalışmalıdır.

En güçlü güvenlik modeli içeriden dışarıya ve dışarıdan içeriye aynı anda bakabilen modeldir.

İçeride EDR bir kullanıcı davranışını görebilir.

Dışarıda Threat Intelligence aynı kullanıcının credential'ını stealer log içerisinde görebilir.

Bu iki bilgi birleştirildiğinde sıradan görünen bir olay kritik hale gelebilir.

Ve işte modern tehdit istihbaratının asıl gücü budur:

Dağınık sinyalleri bir saldırı hikâyesine dönüştürmek.

Bir sonraki adım ise bu istihbaratı gerçek savunma testine dönüştürmektir.

Yani kurumun karşı karşıya olduğu tehdit aktörlerini ve onların TTP'lerini Red Team senaryolarında kullanmak.