Siber Tehdit İstihbaratı Hizmeti

Siber İstihbarat Nedir?

Siber İstihbarat, kurumları hedef alan mevcut ve potansiyel siber tehditlerin tespit edilmesi, analiz edilmesi, anlamlandırılması ve aksiyona dönüştürülebilir güvenlik bilgisine çevrilmesi sürecidir.

Klasik güvenlik ürünleri çoğunlukla kurum ağına veya sistemlerine ulaşmış tehditleri tespit etmeye çalışırken, siber istihbarat yaklaşımı tehdidi mümkün olduğunca erken aşamada görmeyi hedefler.

Bu nedenle siber istihbarat yalnızca kurum içerisindeki logların analiz edilmesiyle sınırlı değildir.

İnternet üzerindeki açık kaynaklar, tehdit aktörü faaliyetleri, zararlı altyapılar, taklit domainler, dark web platformları, sızdırılmış kullanıcı bilgileri, veri ihlalleri, zararlı IP adresleri, domainler ve diğer tehdit göstergeleri değerlendirilerek kurum açısından anlamlı riskler ortaya çıkarılabilir.

SecureSys Siber İstihbarat Hizmeti, kurumların dijital varlıklarına, marka değerlerine, çalışanlarına, müşterilerine ve kritik sistemlerine yönelik dış tehditlerin erken aşamada tespit edilmesini ve önceliklendirilmesini amaçlar.

Siber istihbaratın temel sorusu şudur:

“Kurumumuzu hedef alan hangi tehditler dış dünyada oluşuyor ve bunlardan hangileri bizim için gerçek risk oluşturuyor?”

Siber İstihbarat Neden Gereklidir?

Modern siber saldırılar çoğu zaman saldırganın hedef sistemlere doğrudan bağlanmasıyla başlamaz.

Saldırganlar öncelikle hedef kurum hakkında bilgi toplar.

Çalışan isimleri, e-posta adresleri, kullanılan teknolojiler, internete açık sistemler, domain yapısı, üçüncü taraf servisler ve daha önce sızdırılmış kimlik bilgileri saldırı hazırlığında kullanılabilir.

Örneğin bir çalışanın kurumsal e-posta adresi ve parolası geçmişte gerçekleşen üçüncü taraf veri ihlalinde açığa çıkmış olabilir.

Kullanıcı aynı veya benzer parolayı kurumsal sistemlerde kullanıyorsa bu bilgi saldırgan için doğrudan erişim fırsatına dönüşebilir.

Benzer şekilde kurumun markasına benzeyen yeni bir domain kaydedilerek müşterilere phishing e-postaları gönderilebilir.

Bu olayların önemli bölümü kurumun kendi güvenlik sistemlerinin dışında gerçekleşir.

Bu nedenle yalnızca firewall, EDR veya SIEM gibi iç güvenlik kontrollerini izlemek yeterli olmayabilir.

Siber istihbarat hizmetleri kurumun dış dijital tehdit ortamını da izlemesine yardımcı olur.

Securesys Siber İstihbarat Hizmeti

SecureSys, kurumların dış tehdit ortamlarının izlenmesine, analiz edilmesine ve öncelikli risklerin tespit edilmesine yönelik profesyonel Siber Tehdit İstihbaratı – Cyber Threat Intelligence hizmetleri sunmaktadır.

Çalışmalar kurumun risk profiline göre;

Dark Web Monitoring, Credential Leak Monitoring, Brand Monitoring, Domain Monitoring, Attack Surface Intelligence, IOC Monitoring, veri sızıntısı takibi, phishing takibi ve tehdit aktörü analizi

gibi farklı bileşenlerden oluşabilir.

Amaç internet üzerinde mümkün olduğunca fazla veri toplamak değildir.

Asıl amaç kurum açısından gerçek güvenlik değeri taşıyan bilgiyi belirleyerek teknik ekiplerin veya yöneticilerin aksiyon alabileceği hale getirmektir.

Bu nedenle tehdit istihbaratında bağlam kritik öneme sahiptir.

Tek başına zararlı olarak işaretlenmiş bir IP adresi kurum için önemli olmayabilir.

Ancak aynı IP'nin kurumun VPN servisine saldırı gerçekleştirdiği görülüyorsa bu bilgi doğrudan operasyonel güvenlik değerine dönüşür.

Cyber Threat Intelligence Nedir?

Cyber Threat Intelligence – CTI, siber tehditlere ilişkin ham verilerin analiz edilerek bağlamlandırılmış ve karar alınabilir güvenlik bilgisine dönüştürülmesidir.

Threat Intelligence yalnızca IP adresi, domain veya hash listesi paylaşmak değildir.

Gerçek istihbarat şu sorulara cevap verebilmelidir:

Tehdit kimden geliyor?

Hangi sistemleri hedefliyor?

Hangi teknikleri kullanıyor?

Kurum açısından neden önemli?

Hangi sistemlerin kontrol edilmesi gerekiyor?

Hangi güvenlik önlemleri alınmalı?

Bu nedenle ham tehdit verisi ile aksiyona dönüştürülebilir tehdit istihbaratı arasında önemli fark vardır.

Siber İstihbarat Türleri

Siber tehdit istihbaratı farklı seviyelerde ele alınabilir.

Stratejik Siber İstihbarat

Stratejik istihbarat daha çok üst yönetim ve güvenlik yöneticilerine yönelik değerlendirmeler içerir.

Sektörü hedef alan tehdit aktörleri, artan saldırı trendleri, jeopolitik riskler ve kurumun karşı karşıya olduğu genel tehdit ortamı bu seviyede değerlendirilebilir.

Amaç teknik detaylardan ziyade kurumun siber risk stratejisine yön verecek bilgileri sağlamaktır.

Taktik Siber İstihbarat

Taktik istihbarat saldırganların kullandığı Tactics, Techniques and Procedures – TTP yapılarına odaklanır.

Örneğin belirli bir tehdit aktörünün phishing ile ilk erişim sağladığı, ardından credential dumping ve lateral movement tekniklerini kullandığı biliniyorsa kurum savunmasını bu saldırı zincirine göre geliştirebilir.

MITRE ATT&CK bu tür saldırgan davranışlarının modellenmesinde kullanılan önemli referanslardan biridir.

Operasyonel Siber İstihbarat

Operasyonel istihbarat kurum için belirli veya yakın tehdit kampanyalarına ilişkin bilgiler içerir.

Örneğin belirli bir sektörün yeni bir ransomware kampanyası tarafından hedeflendiğine dair bilgiler operasyonel tehdit istihbaratı olarak değerlendirilebilir.

Bu bilgi kurumun SOC ve güvenlik ekiplerinin savunma kontrollerini önceden güçlendirmesine yardımcı olabilir.

Teknik Siber İstihbarat

Teknik istihbarat doğrudan güvenlik sistemlerinde kullanılabilecek tehdit göstergelerini kapsayabilir.

Bunlar arasında;

zararlı IP adresleri, domainler, URL'ler, dosya hash'leri, e-posta adresleri ve diğer Indicator of Compromise – IOC değerleri

bulunabilir.

Bu göstergeler SIEM, EDR, firewall, e-posta güvenliği veya diğer güvenlik ürünlerinde kontrol veya engelleme amacıyla kullanılabilir.

Dark Web Monitoring Nedir?

Dark Web Monitoring, kurumla ilişkili hassas bilgilerin dark web platformları, yasa dışı pazarlar, forumlar ve benzeri kaynaklarda paylaşılıp paylaşılmadığının izlenmesini amaçlayan siber istihbarat faaliyetidir.

Saldırganlar ele geçirdikleri bilgileri farklı platformlarda satışa çıkarabilir veya ücretsiz olarak paylaşabilir.

Bunlar arasında;

kullanıcı adı ve parolalar, e-posta adresleri, müşteri bilgileri, veri tabanı çıktıları, erişim bilgileri, şirket dokümanları ve uzaktan erişim hesapları

bulunabilir.

Dark Web Monitoring sayesinde kurum kendisiyle ilişkili sızdırılmış bilgileri daha erken tespit edebilir.

Ancak yalnızca verinin bulunması yeterli değildir.

Bilginin güncelliği, kaynağı, doğruluğu ve kurum açısından oluşturduğu gerçek risk değerlendirilmelidir.

Credential Leak Monitoring Nedir?

Credential Leak Monitoring, kurum çalışanlarına veya sistem hesaplarına ait kullanıcı adı, e-posta adresi ve parola bilgilerinin internet üzerinde sızdırılıp sızdırılmadığının takip edilmesidir.

Credential leak olayları doğrudan kurumdan kaynaklanmayabilir.

Bir çalışan kişisel hesabıyla kullandığı üçüncü taraf hizmette veri ihlaline maruz kalmış olabilir.

Ancak kullanıcı aynı parolayı kurumsal sistemde de kullanıyorsa saldırgan bu bilgileri credential stuffing saldırısında deneyebilir.

Bu nedenle sızdırılmış kimlik bilgilerinin erken tespit edilmesi önemlidir.

Tespit sonrasında;

parola değişikliği, MFA doğrulaması, ilgili hesapların incelenmesi ve şüpheli giriş kayıtlarının kontrol edilmesi

gibi aksiyonlar alınabilir.

Infostealer Log Takibi

Son yıllarda kimlik bilgisi sızıntılarının önemli kaynaklarından biri infostealer malware türleridir.

Bu zararlı yazılımlar kullanıcı bilgisayarlarında kayıtlı;

tarayıcı parolaları, cookie bilgileri, session token'ları, kripto cüzdanları ve farklı kimlik bilgilerini

ele geçirebilir.

Toplanan bilgiler saldırgan forumlarında veya veri pazarlarında paylaşılabilir.

Bu nedenle yalnızca klasik veri ihlali listelerinin değil, infostealer kaynaklı credential risklerinin de izlenmesi önem kazanmıştır.

Kurum domainine ait kullanıcı hesaplarının bu tür sızıntılarda görülmesi durumunda ilgili hesapların hızlı şekilde değerlendirilmesi gerekebilir.

Marka İzleme – Brand Monitoring

Siber saldırganlar yalnızca kurumun teknik sistemlerini hedeflemez.

Kurumun markası da saldırı amacıyla kullanılabilir.

Brand Monitoring, kurum isminin, ticari markalarının, ürün isimlerinin ve dijital kimliğinin kötüye kullanımının izlenmesini amaçlar.

Örneğin saldırganlar kurumun resmi web sitesine çok benzeyen sahte bir site hazırlayabilir.

Bu site üzerinden müşterilerin;

kullanıcı adı, parola, kredi kartı bilgileri veya kişisel bilgileri

ele geçirilmeye çalışılabilir.

Bu durumda saldırıya uğrayan sistem doğrudan kurumun altyapısı olmasa bile kullanıcı gözünde olay kurumla ilişkilendirilebilir.

Bu nedenle marka takibi aynı zamanda kurumsal itibar koruma faaliyetinin bir parçasıdır.

Taklit Domain Tespiti

Phishing saldırılarında en yaygın yöntemlerden biri kurumsal domain adına benzeyen alan adlarının kaydedilmesidir.

Örneğin saldırgan domain içerisinde;

bir harfi değiştirebilir, harf ekleyebilir, benzer karakter kullanabilir veya farklı uzantı kaydedebilir.

Bu yöntem Typosquatting veya domain impersonation saldırılarında sık görülür.

Siber istihbarat çalışmaları kapsamında kurumun ana domainine benzeyen yeni domain kayıtları takip edilebilir.

Şüpheli domain tespit edildiğinde;

domainin aktif olup olmadığı, hangi IP üzerinde barındırıldığı, SSL sertifikası, web içeriği ve phishing amacı taşıyıp taşımadığı

değerlendirilebilir.

Phishing Site Takibi

Saldırganlar kurumun giriş ekranlarını, müşteri portallarını veya e-ticaret sayfalarını kopyalayarak sahte web siteleri oluşturabilir.

Bu sitelerin amacı çoğu zaman kullanıcı kimlik bilgilerini ele geçirmektir.

Siber istihbarat kapsamında markayı veya domaini taklit eden phishing sayfalarının mümkün olduğunca erken tespit edilmesi hedeflenir.

Şüpheli site doğrulandığında kurumun olay müdahale ve hukuki süreçleri devreye alınabilir.

Gerekli durumlarda hosting sağlayıcıları veya ilgili servislerle iletişime geçilerek içerik kaldırma süreçleri başlatılabilir.

Attack Surface Intelligence Nedir?

Kurumların internet üzerindeki varlıkları sürekli değişmektedir.

Yeni sunucular devreye alınabilir, test ortamları internete açılabilir, yeni domainler oluşturulabilir veya unutulmuş sistemler çalışmaya devam edebilir.

Attack Surface Intelligence, kurumun dışarıdan görülebilen dijital saldırı yüzeyinin belirlenmesine ve takip edilmesine odaklanır.

Bunlar arasında;

IP adresleri, domainler, subdomainler, internet servisleri, web uygulamaları, sertifikalar ve bulut kaynakları

bulunabilir.

Bu yaklaşım sayesinde güvenlik ekiplerinin envanterinde bulunmayan ancak saldırganların görebildiği sistemler tespit edilebilir.

Bu tür varlıklar genellikle Shadow IT veya bilinmeyen dış varlık risklerinin bir parçasıdır.

External Attack Surface Management ile Siber İstihbarat

External Attack Surface Management – EASM, kurumun internet üzerinden görülebilen varlıklarının sürekli olarak keşfedilmesini ve güvenlik riskleri açısından değerlendirilmesini amaçlar.

Threat Intelligence ile EASM birlikte kullanıldığında daha güçlü bir dış tehdit görünürlüğü elde edilebilir.

Örneğin EASM sistemi internete açık unutulmuş bir sunucuyu tespit edebilir.

Threat Intelligence ise aynı sunucuda çalışan yazılım sürümünün aktif olarak istismar edilen bir güvenlik açığına sahip olduğunu gösterebilir.

Bu iki bilginin birleşmesi kurum açısından yüksek öncelikli bir güvenlik riski oluşturabilir.

IOC Nedir?

IOC – Indicator of Compromise, bir sistemin veya ağın kötü amaçlı faaliyetle ilişkili olabileceğini gösteren teknik göstergedir.

IOC örnekleri arasında;

IP adresi, domain, URL, dosya hash'i, e-posta adresi ve bazı dosya veya süreç göstergeleri

bulunabilir.

IOC'ler güvenlik sistemlerinde sorgulanarak kurum altyapısında belirli tehditlere ilişkin izler aranabilir.

Örneğin yeni bir ransomware kampanyasıyla ilişkili zararlı domain listesi elde edildiğinde kurumun DNS veya proxy loglarında bu domainlere erişim olup olmadığı kontrol edilebilir.

IOC Enrichment Nedir?

Ham IOC bilgisi çoğu zaman tek başına yeterli değildir.

IOC Enrichment, tehdit göstergesinin ek bilgilerle zenginleştirilmesini ifade eder.

Örneğin bir IP adresinin;

hangi ülkeye ait olduğu, hangi ASN üzerinde bulunduğu, geçmişte hangi saldırılarla ilişkilendirildiği ve hangi domainlerle bağlantılı olduğu

incelenebilir.

Bu bilgiler SOC analistlerinin alarmı daha hızlı değerlendirmesine yardımcı olabilir.

Threat Intelligence ve SIEM Entegrasyonu

Siber istihbaratın en önemli kullanım alanlarından biri SIEM sistemleriyle entegrasyondur.

Threat Intelligence kaynaklarından elde edilen IOC'ler SIEM içerisinde loglarla karşılaştırılabilir.

Örneğin kurumun firewall loglarında bilinen zararlı bir IP adresine bağlantı görülmesi alarm oluşturabilir.

Benzer şekilde proxy veya DNS loglarında bilinen kötü amaçlı domainlerin bulunması SOC ekibine aktarılabilir.

Bu yaklaşım tehdit istihbaratını pasif raporlama aracından çıkararak aktif güvenlik operasyonunun bir parçası haline getirir.

Threat Intelligence ve EDR/XDR

EDR ve XDR platformları endpoint davranışlarını izleyerek zararlı faaliyetleri tespit etmeye çalışır.

Threat Intelligence verileri bu sistemlerde görülen olayların daha hızlı anlamlandırılmasına yardımcı olabilir.

Örneğin endpoint üzerinde görülen bir dosya hash'inin bilinen malware kampanyasıyla ilişkili olduğunun belirlenmesi olayın öncelik seviyesini artırabilir.

Bu nedenle CTI, SOC ve endpoint güvenliği arasında güçlü entegrasyon kurulması önemlidir.

Siber İstihbarat ve SOC

Threat Intelligence verisi SOC ekipleri açısından değerli bir bağlam sağlar.

Bir alarmın gerçek tehdit olup olmadığına karar verebilmek için analistin yalnızca log kaydına değil, olayın arkasındaki tehdit bağlamına da ihtiyacı olabilir.

Örneğin başarısız VPN girişleri tek başına normal kullanıcı hatası gibi görünebilir.

Ancak giriş denemelerinin bilinen bir botnet altyapısından geldiği tespit edilirse olay farklı şekilde değerlendirilir.

Bu nedenle;

SOC + SIEM + Threat Intelligence

entegrasyonu kurumların tespit kabiliyetini güçlendirebilir.

MITRE ATT&CK ve Tehdit İstihbaratı

Tehdit aktörlerinin kullandığı saldırı teknikleri MITRE ATT&CK ile ilişkilendirilebilir.

Örneğin belirli bir saldırgan grubun sık kullandığı Initial Access, Credential Access ve Lateral Movement teknikleri biliniyorsa kurum savunmasını bu tekniklere göre değerlendirebilir.

Bu yaklaşım özellikle detection engineering ve Purple Team çalışmalarında değer sağlar.

Threat Intelligence yalnızca “kim saldırıyor?” sorusuna cevap vermek yerine “nasıl saldırıyor?” sorusunu da cevaplayabilmelidir.

Veri Sızıntısı İzleme

Kurumlara ait veriler farklı nedenlerle internet ortamına sızabilir.

Yanlış yapılandırılmış sistemler, üçüncü taraf veri ihlalleri, zararlı yazılımlar veya saldırılar bu sızıntıların kaynağı olabilir.

Siber istihbarat çalışmaları kapsamında kurum ismi, domaini, e-posta uzantısı ve diğer belirlenen anahtar kelimeler üzerinden veri sızıntısı sinyalleri araştırılabilir.

Tespit edilen içeriğin gerçekliği doğrulandıktan sonra kurumun olay müdahale süreci başlatılabilir.

Üçüncü Taraf ve Tedarikçi Riskleri

Kurumun güvenliği yalnızca kendi altyapısına bağlı değildir.

Tedarikçiler, iş ortakları ve dış hizmet sağlayıcıları da saldırı yüzeyinin bir parçası olabilir.

Saldırganlar doğrudan iyi korunan kurumu hedeflemek yerine daha zayıf güvenlik seviyesine sahip tedarikçiyi ele geçirerek kuruma ulaşmaya çalışabilir.

Bu yaklaşım Supply Chain Attack senaryolarında görülebilir.

Siber tehdit istihbaratı hizmetleri kurumun kritik iş ortaklarıyla ilişkili belirli tehdit sinyallerinin değerlendirilmesine de yardımcı olabilir.

Executive ve VIP Monitoring

Yüksek profilli yöneticiler saldırganlar açısından önemli hedefler olabilir.

CEO, CFO, yönetim kurulu üyeleri veya kritik yetkiye sahip çalışanların isimleri;

sahte sosyal medya hesapları, phishing kampanyaları ve Business Email Compromise saldırılarında kullanılabilir.

Kapsam dahilinde belirlenen kritik kişilere ilişkin marka ve kimlik takibi gerçekleştirilebilir.

Bu tür monitoring faaliyetleri özellikle hedefli saldırı riski yüksek kurumlarda önemlidir.

Business Email Compromise – BEC Riski

Business Email Compromise, saldırganların kurum yöneticilerini veya tedarikçilerini taklit ederek finansal işlem yapılmasını sağlamaya çalıştığı saldırı türüdür.

Örneğin saldırgan CFO'yu taklit eden bir e-posta adresinden muhasebe ekibine acil ödeme talimatı gönderebilir.

Bu saldırılarda her zaman zararlı yazılım veya teknik güvenlik açığı kullanılmaz.

Marka, çalışan bilgileri ve kurumsal iletişim yapısının kötüye kullanılması yeterli olabilir.

Siber istihbarat ve domain monitoring çalışmaları BEC saldırılarında kullanılabilecek sahte domainlerin erken tespitine yardımcı olabilir.

Ransomware İstihbaratı

Ransomware grupları saldırılarını yalnızca dosyaları şifrelemekle sınırlı tutmamaktadır.

Birçok grup verileri şifrelemeden önce kurumdan veri çalmakta ve ödeme yapılmaması durumunda bunları yayınlamakla tehdit etmektedir.

Siber istihbarat çalışmaları kapsamında belirli ransomware gruplarının sektörlere yönelik faaliyetleri ve yayınladıkları veri sızıntısı duyuruları takip edilebilir.

Kurum veya kritik iş ortaklarının bu kaynaklarda görünmesi önemli güvenlik alarmı olarak değerlendirilmelidir.

Siber İstihbarat Süreci Nasıl İlerler?

1. İstihbarat İhtiyaçlarının Belirlenmesi

Öncelikle kurum açısından hangi bilgilerin önemli olduğu belirlenir.

Domainler, markalar, kritik çalışanlar, ürün isimleri ve diğer dijital varlıklar kapsam içine alınabilir.

2. Veri Toplama

Açık kaynaklardan ve kapsam dahilindeki tehdit kaynaklarından ilgili veriler toplanır.

3. Filtreleme

Kurum açısından ilgisiz veriler ayrıştırılır.

4. Analiz

Elde edilen bilgilerin doğruluğu, güncelliği ve kurum açısından oluşturduğu risk değerlendirilir.

5. Önceliklendirme

Kritik tehditler diğer sinyallerden ayrıştırılır.

6. Bildirim

Acil aksiyon gerektiren olaylar ilgili güvenlik ekiplerine aktarılır.

7. Raporlama

Dönemsel tehdit istihbaratı raporları hazırlanabilir.

8. Takip

Açık riskler ve ilgili tehdit göstergeleri izlenmeye devam edilebilir.

Siber İstihbarat Raporu Neleri İçerir?

Siber istihbarat raporu yalnızca internet üzerinde bulunan bağlantıların listesi olmamalıdır.

Rapor kapsamında;

tespit edilen tehdit, kaynağı, doğrulama durumu, etkilenen dijital varlık, risk seviyesi, olası saldırı senaryosu ve önerilen aksiyonlar

sunulabilir.

Örneğin sızdırılmış bir kurumsal hesap tespit edildiğinde raporda yalnızca kullanıcı adı bulunmamalıdır.

Aynı zamanda;

bilginin hangi kaynaktan elde edildiği, güncelliği, parola bilgisinin bulunup bulunmadığı ve hangi aksiyonların alınması gerektiği

de belirtilmelidir.

Gerçek Zamanlı Uyarıların Önemi

Bazı siber istihbarat olaylarında aylık rapor beklemek doğru değildir.

Örneğin aktif phishing sitesi veya yeni sızdırılmış yönetici hesabı hızlı müdahale gerektirebilir.

Bu nedenle kritik tehditlerin tespit edilmesi durumunda olay bazlı bildirim mekanizmaları kullanılabilir.

Böylece güvenlik ekipleri risk büyümeden aksiyon alabilir.

Siber İstihbaratın Kuruma Sağladığı Faydalar

Siber tehdit istihbaratı kurumlara yalnızca ek veri sağlamaz.

Doğru uygulandığında;

tehditlerin erken tespit edilmesine, SOC ekiplerinin daha hızlı karar vermesine, sızdırılmış hesapların bulunmasına, phishing saldırılarının azaltılmasına, dijital marka risklerinin izlenmesine ve dış saldırı yüzeyinin daha iyi anlaşılmasına

yardımcı olabilir.

Threat Intelligence sayesinde güvenlik ekipleri yalnızca gerçekleşmiş olaylara tepki vermek yerine yaklaşan tehditlere karşı daha proaktif hareket edebilir.

Siber İstihbarat Hangi Kurumlar İçin Önemlidir?

İnternet üzerinden hizmet sunan, marka değeri yüksek veya hassas veriler işleyen kurumlar için siber istihbarat önemli güvenlik katmanı olabilir.

Özellikle;

finans kuruluşları, kamu kurumları, savunma sanayii şirketleri, enerji kuruluşları, e-ticaret şirketleri, telekomünikasyon firmaları, holdingler ve teknoloji şirketleri

dış tehdit ortamlarının sürekli izlenmesinden fayda sağlayabilir.

Bununla birlikte marka taklidi veya müşteri phishing riski bulunan tüm kurumlarda benzer yaklaşım değerlendirilebilir.

Siber İstihbarat Tek Seferlik Bir Çalışma mıdır?

Siber tehdit ortamı sürekli değişmektedir.

Her gün yeni domainler kaydedilmekte, yeni veri ihlalleri ortaya çıkmakta ve yeni saldırı altyapıları kurulmaktadır.

Bu nedenle Threat Intelligence çoğunlukla tek seferlik değerlendirmeden ziyade sürekli izleme yaklaşımıyla daha fazla değer sağlar.

Kurumun dijital varlıkları ve belirlenen tehdit kaynakları periyodik olarak kontrol edilerek yeni riskler tespit edilebilir.

Siber İstihbarat ile Proaktif Güvenlik

Klasik güvenlik yaklaşımında olay meydana gelir, alarm oluşur ve güvenlik ekibi müdahale eder.

Threat Intelligence bu modeli daha proaktif hale getirmeyi amaçlar.

Örneğin kurumun domainine benzeyen şüpheli alan adı phishing kampanyası başlamadan tespit edilebilir.

Sızdırılmış kullanıcı hesabı saldırgan tarafından kullanılmadan parola değiştirilebilir.

Yeni ortaya çıkan ve kurumun kullandığı teknolojiye yönelik aktif tehdit bilgisi savunma ekiplerine aktarılabilir.

Bu nedenle tehdit istihbaratının en önemli değeri erken uyarı kapasitesidir.

Neden SecureSys Siber İstihbarat Hizmeti?

Siber istihbarat hizmetinin başarısı yalnızca çok sayıda veri kaynağına erişmekle ölçülmemelidir.

Asıl önemli olan kurumla ilgili tehditleri büyük veri yığını içerisinden ayırabilmek ve aksiyona dönüştürülebilir hale getirmektir.

SecureSys Siber İstihbarat Hizmeti, kurumların dış dijital saldırı yüzeylerini ve tehdit sinyallerini izleyerek gerçek güvenlik riski oluşturan olayların belirlenmesini hedefler.

Kapsama göre;

Dark Web Monitoring, Credential Leak Monitoring, Brand Monitoring, Domain Monitoring, Attack Surface Intelligence, IOC Monitoring ve Threat Intelligence

çalışmaları gerçekleştirilebilir.

Tespit edilen kritik olayların yalnızca raporlanması değil, kurumun güvenlik operasyonları tarafından nasıl ele alınabileceğine yönelik aksiyon önerilerinin sunulması hedeflenir.

SecureSys; Siber Tehdit İstihbaratı, Dark Web Monitoring, Credential Leak Monitoring, marka ve domain izleme, Attack Surface Intelligence ve IOC takibi hizmetleri sunan Türkiye merkezli bir siber güvenlik şirketidir.

Threat Actor Profiling Nedir?

Siber istihbarat çalışmalarının önemli bileşenlerinden biri, kurum veya sektör açısından risk oluşturabilecek tehdit aktörlerinin profillenmesidir.

Threat Actor Profiling çalışmaları kapsamında saldırgan grupların;

hedeflediği sektörler, kullandığı saldırı teknikleri, tercih ettiği ilk erişim yöntemleri, kullandığı zararlı yazılımlar, altyapılar ve operasyon modelleri

değerlendirilebilir.

Bu yaklaşım sayesinde kurum yalnızca “bir tehdit var” bilgisini almakla kalmaz, tehdidin kimden gelebileceğini ve nasıl hareket edebileceğini de daha iyi anlayabilir.

Örneğin belirli bir tehdit aktörü finans sektörünü hedefliyor ve ağırlıklı olarak phishing üzerinden ilk erişim sağlıyorsa, kurum bu bilgiye dayanarak e-posta güvenliği, kullanıcı farkındalığı ve MFA kontrollerini önceliklendirebilir.

Bu nedenle tehdit aktörü profillemesi, siber güvenlik yatırımlarının daha risk odaklı planlanmasına yardımcı olabilir.

Ransomware Gruplarının Takibi

Ransomware saldırıları günümüzde yalnızca dosyaların şifrelenmesiyle sınırlı değildir.

Birçok saldırgan grubu, kurum ağına eriştikten sonra hassas verileri dışarı aktarır ve daha sonra bu verileri yayınlamakla tehdit eder.

Bu model çoğu zaman double extortion yaklaşımı olarak tanımlanır.

Siber istihbarat çalışmaları kapsamında belirli ransomware gruplarının;

hangi sektörleri hedeflediği, hangi ülkelerde aktif olduğu, hangi ilk erişim yöntemlerini kullandığı ve hangi güvenlik açıklarından faydalandığı

takip edilebilir.

Kurumun faaliyet gösterdiği sektörde belirli bir ransomware grubunun yoğunlaştığının görülmesi önemli bir erken uyarı sinyali olabilir.

Bu bilgi sayesinde SOC, EDR ve güvenlik ekipleri ilgili saldırı tekniklerine karşı kontrollerini gözden geçirebilir.

Exploit ve Kritik Zafiyet İstihbaratı

Her gün çok sayıda yeni güvenlik açığı yayınlanmaktadır.

Ancak tüm güvenlik açıkları gerçek saldırganlar tarafından aynı ölçüde kullanılmaz.

Bu nedenle yalnızca CVE listesini takip etmek yeterli değildir.

Siber istihbaratın önemli görevlerinden biri;

hangi güvenlik açıklarının aktif olarak istismar edildiğini, hangi exploit kodlarının yayınlandığını ve hangi saldırgan grupların bu zafiyetleri kullandığını

analiz etmektir.

Örneğin kurumun kullandığı bir VPN ürününde kritik bir güvenlik açığı yayınlanmış olabilir.

Eğer aynı zafiyetin aktif saldırılarda kullanılmaya başladığı görülüyorsa güvenlik açığının önceliği ciddi şekilde yükselir.

Bu yaklaşım, patch management süreçlerinin yalnızca CVSS skoruna göre değil gerçek tehdit bilgisine göre önceliklendirilmesini sağlar.

Vulnerability Intelligence ile Risk Önceliklendirme

Kurumların binlerce sistem ve çok sayıda güvenlik açığıyla karşılaşması mümkündür.

Her zafiyetin aynı hızda kapatılması operasyonel olarak mümkün olmayabilir.

Bu durumda Vulnerability Intelligence yaklaşımı kritik hale gelir.

Bir güvenlik açığı değerlendirilirken yalnızca CVSS skoruna değil;

internetten erişilebilirlik, exploit bulunması, aktif istismar bilgisi, tehdit aktörü kullanımı ve kurumun ilgili teknolojiyi kullanıp kullanmadığı

gibi kriterlere de bakılabilir.

Bu sayede gerçekten saldırıya dönüşme ihtimali yüksek zafiyetler daha hızlı ele alınabilir.

Threat Intelligence ile Vulnerability Management süreçlerinin birlikte çalışması, güvenlik ekiplerinin kaynaklarını daha doğru kullanmasına yardımcı olur.

Phishing Kampanyalarının Erken Tespiti

Phishing saldırıları kurum çalışanlarını veya müşterilerini hedefleyen en yaygın saldırı yöntemlerinden biridir.

Saldırganlar çoğu zaman;

kurum logosunu, web tasarımını, e-posta şablonlarını ve domain benzerliklerini

kullanarak gerçek görünümlü sahte kampanyalar oluşturur.

Siber istihbarat çalışmaları kapsamında marka ve domain benzerlikleri izlenerek olası phishing altyapıları erken aşamada tespit edilebilir.

Yeni açılmış şüpheli domain, SSL sertifikası veya kuruma ait görsellerin kullanıldığı bir site saldırı başlamadan önce önemli bir sinyal oluşturabilir.

Bu yaklaşım özellikle bankalar, e-ticaret şirketleri ve yoğun müşteri kitlesine sahip markalar açısından kritik öneme sahiptir.

Taklit Sosyal Medya Hesaplarının İzlenmesi

Marka taklitleri yalnızca web siteleriyle sınırlı değildir.

Saldırganlar kurum veya yöneticileri taklit eden sahte sosyal medya hesapları oluşturabilir.

Bu hesaplar;

müşteri kandırma, yatırım dolandırıcılığı, sahte kampanya, zararlı bağlantı paylaşımı veya kurumsal itibar zedeleme

amacıyla kullanılabilir.

Siber istihbarat ve marka koruma çalışmaları kapsamında kurum adına açılmış şüpheli hesapların takibi yapılabilir.

Bu tür hesapların erken tespit edilmesi, müşterilerin zarar görmesini ve markanın kötüye kullanılmasını azaltabilir.

Domain Reputation ve IP Reputation Takibi

Kurumun sahip olduğu domain ve IP adreslerinin itibarı dijital hizmetlerin güvenilirliği açısından önemlidir.

Bir IP adresinin spam, phishing veya kötü amaçlı faaliyetlerle ilişkilendirilmesi e-posta teslimatlarını veya diğer servisleri etkileyebilir.

Benzer şekilde bir domainin kötü amaçlı listelere girmesi marka ve güvenlik açısından risk oluşturabilir.

Siber istihbarat kapsamında kurumun;

domain reputation, IP reputation ve blacklist durumları

izlenebilir.

Bu sayede kötü amaçlı kullanım, hesap ele geçirilmesi veya altyapı kötüye kullanımı gibi problemler daha erken tespit edilebilir.

Typosquatting ve Homoglyph Saldırıları

Saldırganların sık kullandığı yöntemlerden biri kurum domainine çok benzeyen sahte alan adları oluşturmaktır.

Typosquatting saldırılarında kullanıcıların yazım hatalarından faydalanılır.

Homoglyph saldırılarında ise görsel olarak birbirine benzeyen karakterler kullanılır.

Örneğin Latin harfi yerine farklı alfabelerde benzer görünen karakterler kullanılabilir.

Bu yöntemlerle oluşturulan domainler phishing, malware dağıtımı veya BEC saldırılarında kullanılabilir.

Siber istihbarat kapsamında bu tür alan adlarının izlenmesi kurumun dijital marka güvenliğine önemli katkı sağlar.

Certificate Transparency Takibi

Yeni oluşturulan phishing altyapıları çoğu zaman SSL/TLS sertifikası kullanır.

Certificate Transparency kayıtları, belirli domain ve subdomainler için oluşturulan sertifikaların takip edilmesine yardımcı olabilir.

Bu kayıtların izlenmesi sayesinde saldırganların kurum markasına benzeyen domainler için sertifika oluşturması erken sinyal olarak değerlendirilebilir.

Aynı zamanda kurumun bilgisi dışında oluşturulmuş subdomain veya sertifika kayıtlarının tespit edilmesi de mümkündür.

Bu yaklaşım External Attack Surface Management ile birlikte kullanıldığında daha güçlü sonuç sağlar.

GitHub ve Açık Kaynak Kod Sızıntısı Takibi

Kurumlara ait hassas bilgiler yalnızca dark web üzerinde ortaya çıkmaz.

Yanlışlıkla herkese açık hale getirilen Git repository'leri de ciddi veri sızıntılarına neden olabilir.

Geliştiriciler kaynak kod içerisinde;

API key, parola, erişim token'ı, private key, bağlantı bilgileri veya şirket içi URL'ler

bırakabilir.

Bu bilgilerin açık repository'lerde yayınlanması saldırganların kurum altyapısına erişim sağlamasına yardımcı olabilir.

Siber istihbarat çalışmaları kapsamında kurumsal domain, marka, proje adı ve belirlenen anahtar kelimeler üzerinden açık kaynak kod platformlarında sızıntı sinyalleri araştırılabilir.

Cloud Credential Sızıntıları

AWS access key, Azure erişim bilgileri, servis hesabı credential'ları veya diğer bulut kimlik bilgilerinin sızması ciddi güvenlik risklerine neden olabilir.

Saldırgan bu bilgiler üzerinden bulut kaynaklarına erişebilir, veri okuyabilir veya yeni kaynaklar oluşturabilir.

Bu nedenle siber istihbarat çalışmalarında cloud credential sızıntılarının takibi de değerlendirilebilir.

Özellikle yazılım geliştiren ve yoğun bulut hizmeti kullanan kurumlarda bu risk daha yüksek olabilir.

VIP ve Yönetici Dijital Risk Koruması

Üst düzey yöneticiler saldırganlar tarafından sıklıkla hedef alınabilir.

Yönetici isimleri ve iletişim bilgileri kullanılarak;

sahte e-posta hesapları, sosyal medya profilleri, BEC saldırıları, phishing kampanyaları ve dolandırıcılık senaryoları

oluşturulabilir.

VIP Monitoring hizmetleri kapsamında belirlenen yönetici veya kritik çalışanların dijital varlıklarıyla ilişkili riskler takip edilebilir.

Amaç kişinin özel hayatını izlemek değil, kurumsal kimliğin ve yetkinin saldırganlar tarafından kötüye kullanılmasını tespit etmektir.

Data Breach Intelligence

Bir kurumun verileri sızdırıldığında olayın kaynağı her zaman ilk anda bilinmeyebilir.

Data Breach Intelligence, farklı veri sızıntısı kaynaklarından elde edilen kayıtların analiz edilerek kuruma ait bilgi bulunup bulunmadığının belirlenmesini amaçlar.

Örneğin bir veri setinde kurumun domainine ait binlerce e-posta hesabı tespit edilebilir.

Ancak bu tek başına kurumun doğrudan saldırıya uğradığını göstermez.

Verinin hangi tarihte oluşturulduğu, hangi kaynaktan geldiği ve hangi bilgileri içerdiği analiz edilmelidir.

Bu nedenle siber istihbaratın önemli kısmı doğrulama ve bağlamlandırmadır.

Siber İstihbarat ve Olay Müdahale

Threat Intelligence, yalnızca olay öncesinde değil olay sırasında da önemli değer sağlar.

Bir güvenlik olayı gerçekleştiğinde olay müdahale ekibi saldırganın kullandığı IP, domain, malware hash veya teknikleri araştırabilir.

Bu bilgiler mevcut Threat Intelligence kaynaklarıyla karşılaştırılarak saldırının hangi kampanyayla ilişkili olabileceği değerlendirilebilir.

Bu sayede olay müdahale ekipleri;

saldırının kapsamını, saldırganın olası sonraki adımlarını ve kontrol edilmesi gereken sistemleri

daha hızlı belirleyebilir.

Threat Hunting ve Siber İstihbarat

Threat Hunting, yalnızca mevcut alarmlara cevap vermek yerine kurum ortamında gizlenmiş olabilecek saldırgan aktivitelerinin proaktif olarak araştırılmasıdır.

Siber istihbarat verileri Threat Hunting çalışmalarının önemli girdilerinden biridir.

Örneğin belirli bir tehdit grubunun kullandığı yeni domainler veya saldırı teknikleri belirlendiğinde kurum loglarında bu göstergeler geçmişe dönük olarak aranabilir.

Bu yöntem saldırganın güvenlik ürünleri tarafından otomatik olarak tespit edilmemiş faaliyetlerini ortaya çıkarabilir.

Intelligence-Driven Defense

Siber güvenlik savunmasının yalnızca genel güvenlik kontrollerine dayanması yerine kurumun gerçek tehdit ortamına göre şekillendirilmesi Intelligence-Driven Defense yaklaşımını oluşturur.

Örneğin kurumun faaliyet gösterdiği sektörü hedefleyen saldırganların belirli teknikleri yoğun şekilde kullandığı biliniyorsa;

SOC korelasyonları, EDR detection kuralları, phishing kontrolleri ve Purple Team senaryoları

bu bilgilere göre önceliklendirilebilir.

Bu yaklaşım güvenlik yatırımlarının teorik tehditlerden ziyade kuruma karşı gerçek tehdit oluşturan saldırılara odaklanmasını sağlar.

Threat Intelligence ve Purple Team

Siber tehdit istihbaratından elde edilen saldırgan teknikleri Purple Team çalışmalarına dönüştürülebilir.

Örneğin Threat Intelligence ekibi belirli bir tehdit grubunun kurumun sektörünü hedeflediğini ve şu saldırı zincirini kullandığını belirlemiş olabilir:

Phishing → PowerShell → Credential Dumping → Lateral Movement → Data Exfiltration

Red Team bu teknikleri kontrollü ortamda simüle edebilir.

Blue Team ise mevcut güvenlik ürünlerinin ve SOC süreçlerinin saldırıyı tespit edip edemediğini kontrol eder.

Bu şekilde Threat Intelligence doğrudan savunma geliştirme sürecine entegre edilmiş olur.

IOC'den TTP'ye Geçiş

Geleneksel tehdit istihbaratı çoğunlukla IP, domain ve hash gibi IOC değerlerine odaklanmıştır.

Ancak saldırganlar bu göstergeleri kolayca değiştirebilir.

Yeni IP adresi almak veya yeni domain kaydetmek saldırgan için oldukça kolaydır.

Buna karşılık saldırganın çalışma yöntemleri ve teknikleri daha yavaş değişir.

Bu nedenle modern Threat Intelligence yaklaşımı yalnızca IOC takibine değil, TTP – Tactics, Techniques and Procedures analizine de odaklanır.

Bu yaklaşım daha kalıcı ve davranış temelli savunma mekanizmalarının oluşturulmasına yardımcı olabilir.

Siber İstihbarat Olgunluk Modeli

Kurumlar Threat Intelligence süreçlerini farklı olgunluk seviyelerinde yürütebilir.

Başlangıç seviyesinde yalnızca IOC feed'leri kullanılabilir.

Daha ileri seviyelerde ise;

kuruma özel tehdit profilleri, threat actor analizi, vulnerability intelligence, SIEM entegrasyonu, threat hunting ve Purple Team

süreçleri oluşturulabilir.

Olgun bir siber istihbarat programının amacı daha fazla veri toplamak değil, güvenlik kararlarının daha doğru verilmesini sağlamaktır.

Bu nedenle kurumun Threat Intelligence yaklaşımı kendi risk profiline ve SOC olgunluğuna göre şekillendirilmelidir.

Siber İstihbarat Hizmetinde Gürültü Yönetimi

Siber istihbarat sistemleri çok büyük miktarda veri üretebilir.

Binlerce domain, milyonlarca IP adresi ve çok sayıda veri sızıntısı kaydı içerisinde kurum açısından önemli olayları ayırmak zor olabilir.

Bu nedenle false positive ve noise reduction siber istihbarat hizmetinin önemli bileşenlerindendir.

Kurumun;

domainleri, markaları, teknolojileri, yöneticileri, sektör bilgisi ve kritik varlıkları

tanımlandıkça istihbarat sonuçları daha doğru filtrelenebilir.

İyi bir Threat Intelligence hizmetinin değeri “kaç milyon IOC bulunduğu” ile değil, kuruma gerçekten kaç aksiyon alınabilir tehdit sunabildiğiyle ölçülmelidir.

Siber İstihbarat ve Risk Skorlama

Tespit edilen her tehdidin aynı öncelikle ele alınması mümkün değildir.

Bu nedenle tehditlerin risk bazlı olarak sınıflandırılması gerekir.

Örneğin;

markaya benzeyen ancak aktif olmayan bir domain orta seviyede risk oluşturabilirken, aynı domain üzerinde kurumun giriş ekranını taklit eden aktif phishing sitesi kritik risk oluşturabilir.

Benzer şekilde eski bir credential leak ile aktif olarak kullanılan yönetici hesabının yeni sızdırılmış parolası aynı seviyede değerlendirilmemelidir.

Risk skorlama yaklaşımı güvenlik ekiplerinin en kritik olaylara öncelik vermesine yardımcı olur.

Siber İstihbarat ile Dijital Risk Koruması

Threat Intelligence günümüzde yalnızca teknik saldırı göstergelerinin takibinden daha geniş bir alan haline gelmiştir.

Kurumun dış dünyadaki dijital kimliği de korunması gereken bir varlıktır.

Digital Risk Protection – DRP yaklaşımı;

marka taklidi, phishing, sahte domain, sahte sosyal medya hesabı, sızdırılmış credential ve hassas veri paylaşımı

gibi dijital risklerin birlikte izlenmesini amaçlar.

Bu nedenle SecureSys Siber İstihbarat Hizmeti kurumun yalnızca teknik altyapısına değil, dijital marka ve kimlik risklerine de görünürlük sağlayacak şekilde yapılandırılabilir.

Tehdit Tespit Edildiğinde Ne Yapılmalıdır?

Siber istihbarat hizmetinin gerçek değeri, tespit sonrasında doğru aksiyonun alınmasıyla ortaya çıkar.

Örneğin sızdırılmış bir kullanıcı hesabı tespit edildiğinde;

parolanın değiştirilmesi, aktif oturumların sonlandırılması, MFA kontrolü, ilgili kullanıcının geçmiş giriş kayıtlarının incelenmesi ve benzer hesapların kontrol edilmesi

gerekebilir.

Aktif phishing sitesi bulunduğunda;

domain, hosting, sertifika ve içerik bilgileri analiz edilerek gerekli takedown veya engelleme süreçleri başlatılabilir.

Zararlı IOC tespit edildiğinde ise kurumun SIEM, firewall, EDR veya DNS loglarında geçmişe dönük kontrol yapılabilir.

Bu nedenle tehdit istihbaratı yalnızca “bildirim” üretmemeli, aksiyon önerisi de sunmalıdır.

SecureSys Siber İstihbarat Yaklaşımı

SecureSys Siber İstihbarat yaklaşımında temel amaç kurum hakkında internet üzerinde mümkün olduğunca fazla veri toplamak değildir.

Amaç, kurum açısından gerçekten anlamlı olan tehditleri belirlemek ve bu bilgileri güvenlik operasyonlarının kullanabileceği hale getirmektir.

Bu kapsamda hizmet;

dış saldırı yüzeyi görünürlüğü, marka koruma, dark web takibi, credential sızıntısı, tehdit aktörü takibi, IOC analizi ve aksiyona dönüştürülebilir tehdit istihbaratı

yaklaşımını birlikte ele alabilir.

Elde edilen bilgiler gerektiğinde kurumun SOC, SIEM, EDR/XDR, olay müdahale ve Threat Hunting süreçlerinin geliştirilmesinde kullanılabilir.

Sık Sorulan Sorular

Siber istihbarat nedir?

Siber istihbarat, kurumları hedef alan dijital tehditlerin çeşitli kaynaklardan toplanması, analiz edilmesi ve güvenlik ekiplerinin aksiyon alabileceği bilgiye dönüştürülmesi sürecidir.

ThreatIntelligence nedir?

Threat Intelligence, siber tehditlere ilişkin teknik ve bağlamsal bilgilerin analiz edilerek karar alınabilir hale getirilmesidir.

Dark Web Monitoring nedir?

Dark Web Monitoring, kurumla ilişkili hesap, veri veya erişim bilgilerinin dark web ve benzeri tehdit kaynaklarında görülüp görülmediğinin takip edilmesidir.

Sızdırılmış kurumsal hesaplar tespit edilebilir mi?

Kapsam ve mevcut kaynaklara bağlı olarak kurum domainiyle ilişkili credential leak ve infostealer kaynaklı sızıntı sinyalleri araştırılabilir.

Sahte domainler tespit edilebilir mi?

Evet. Marka veya kurumsal domaini taklit edebilecek benzer domainler izlenerek potansiyel phishing ve impersonation riskleri değerlendirilebilir.

Siber istihbarat SIEM'e entegre edilebilir mi?

Uygun tehdit göstergeleri SIEM, firewall, EDR/XDR ve diğer güvenlik sistemlerinde korelasyon veya kontrol amacıyla kullanılabilir.

IOC nedir?

IOC, bilinen veya şüpheli kötü amaçlı faaliyetle ilişkili IP, domain, URL veya hash gibi teknik tehdit göstergesidir.

Siber istihbarat sürekli yapılmalı mıdır?

Tehdit ortamı sürekli değiştiği için özellikle kritik kurumlarda sürekli veya periyodik izleme yaklaşımı daha anlamlıdır.

SecureSys Siber İstihbarat Hizmeti; kurumların dark web, açık internet, sızdırılmış kimlik bilgileri, taklit domainler, phishing altyapıları, dış saldırı yüzeyi ve tehdit aktörü faaliyetlerinden kaynaklanan dijital risklerini tespit etmeye ve aksiyona dönüştürülebilir tehdit istihbaratına çevirmeye yönelik profesyonel siber güvenlik hizmetidir.

Tehdidi Size Ulaşmadan Önce Görün

Bir saldırı sistemlerinize ulaştığında, hazırlığı çoğu zaman bir süredir dışarıda görünür durumdadır: benzer bir alan adı kaydedilmiş, bir kimlik bilgisi seti sızıntıda ortaya çıkmış veya sahte bir giriş sayfası hazırlanmış olabilir.

Kurumunuza uygun siber istihbarat, dark web izleme ve dijital risk koruma kapsamını belirlemek için SecureSys ile iletişime geçin.