Siber tehdit istihbaratı (CTI) nedir?

Siber tehdit istihbaratının tanımı

Siber tehdit istihbaratı (İngilizce cyber threat intelligence, kısaca CTI), bir kuruma yönelik mevcut ya da olası saldırılar hakkında toplanan verinin analiz edilip bağlama oturtulmuş hâlidir. Ham veri tek başına istihbarat değildir: bir IP adresi, bir alan adı ya da dark web'deki bir satış ilanı, ancak "bu bizi ilgilendiriyor mu, ne kadar acil, ne yapmalıyız" sorularına cevap verdiğinde istihbarata dönüşür.

Türkçede siber istihbarat terimi de çoğunlukla aynı anlamda kullanılır. Siber istihbarat daha geniş bir çerçeveyi (devlet düzeyindeki istihbarat faaliyetleri dahil) kapsayabilse de kurumsal güvenlik bağlamında konuşulan şey genellikle tehdit istihbaratıdır: saldırganın bakış açısından kurumunuzu görmek.

Neden gerekli?

Güvenlik ekipleri çoğunlukla içeriye bakar: ağ trafiği, uç nokta kayıtları, SIEM alarmları. Oysa bir saldırı çoğu zaman kurumun ağına dokunmadan önce dışarıda iz bırakır. Bir çalışanın kişisel bilgisayarına bulaşan stealer zararlısı kurumsal VPN parolasını çalar ve bu kayıt bir pazarda satışa çıkar. Kurum adına benzeyen bir alan adı kaydedilir, birkaç gün sonra üzerinde oltalama sayfası yayına girer. Unutulmuş bir test sunucusu internete açık kalır.

Siber tehdit istihbaratı bu dış izleri saldırıdan önce yakalamayı hedefler. İyi kurulmuş bir CTI süreci:

• sızan kimlik bilgilerini, kullanılmadan önce sıfırlatmanızı sağlar,
• sahte alan adlarını ve marka taklitlerini yayına girdiği gün tespit eder,
• saldırı yüzeyinizdeki unutulmuş varlıkları görünür kılar,
• sektörünüzü hedefleyen fidye yazılımı gruplarının yöntemlerini (TTP) önceden bilmenizi sağlar,
• SOC ekibinin alarm yükünü, bağlamı olmayan bulguları eleyerek azaltır.

Tehdit istihbaratının dört türü

Stratejik istihbarat

Yönetim ve CISO için hazırlanır. Sektördeki tehdit eğilimleri, jeopolitik gelişmeler, fidye yazılımı ekosistemindeki değişimler gibi uzun vadeli risk kararlarını besler. Teknik detaydan çok "bu bizim için ne anlama geliyor" sorusuna odaklanır.

Taktik istihbarat

Saldırganların taktik, teknik ve prosedürlerini (TTP) anlatır. MITRE ATT&CK çerçevesiyle eşlenir; tespit kurallarının ve savunma önceliklerinin belirlenmesinde kullanılır.

Operasyonel istihbarat

Belirli bir kampanya ya da tehdit aktörü hakkında bilgidir: kimi hedefliyor, hangi altyapıyı kullanıyor, ne zaman aktif. Olay müdahalesi ve tehdit avcılığı (threat hunting) için değerlidir.

Teknik istihbarat

Doğrudan savunma araçlarına beslenebilen göstergelerdir (IOC): zararlı IP adresleri, alan adları, dosya özetleri (hash), URL'ler. Güvenlik duvarı, proxy ve SIEM'e otomatik aktarılır. Ömrü kısadır; bu yüzden güncelliği ve doğruluğu kritiktir.

Siber tehdit istihbaratı kaynakları

• Açık kaynak istihbaratı (OSINT): sertifika şeffaflık kayıtları, DNS verisi, kod depoları, sosyal medya, güvenlik bültenleri.
• Dark web ve deep web: yeraltı forumları, veri sızıntısı siteleri, fidye yazılımı gruplarının yayın sayfaları, Telegram kanalları.
• Stealer log'lar: bilgi çalan zararlıların topladığı tarayıcı parolaları, oturum çerezleri ve cihaz bilgileri.
• Tehdit beslemeleri (threat feed): ticari ve topluluk kaynaklı IOC listeleri.
• Kuruma özel dış tarama: alan adlarınız, IP bloklarınız, açık servisleriniz ve sertifikalarınız üzerinden yapılan sürekli keşif.

İstihbarat yaşam döngüsü

CTI tek seferlik bir rapor değil, sürekli dönen bir süreçtir:

1. Gereksinim: Neyi korumak istiyorsunuz? Alan adları, markalar, yöneticiler, tedarikçiler.
2. Toplama: Yukarıdaki kaynaklardan ilgili verinin sürekli çekilmesi.
3. İşleme: Tekilleştirme, normalizasyon, zenginleştirme.
4. Analiz: Bulgunun kurumla ilgisinin, güvenilirliğinin ve etkisinin değerlendirilmesi.
5. Yayma: Doğru kişiye, doğru biçimde iletim: vaka, bildirim, SIEM kaydı, yönetici özeti.
6. Geri bildirim: Aksiyonun sonucuna göre gereksinimlerin güncellenmesi.

Bir CTI platformunda nelere bakılmalı?

• Kuruma özgülük: Genel tehdit haberleri yerine sizin alan adlarınız, markanız ve çalışanlarınızla eşleşen bulgular.
• Kaynak şeffaflığı: Her bulgunun nereden ve hangi güven düzeyiyle geldiğinin görünmesi.
• Vaka yönetimi: Bulgunun bir sahibi, durumu ve kapanış gerekçesi olması.
• Aksiyon: Sahte alan adı için kapatma (takedown) talebi, sızan parola için sıfırlama akışı gibi somut bir sonraki adım.
• Entegrasyon: SIEM, SOAR, ticketing ve mesajlaşma araçlarına aktarım; REST API.
• Veri yerleşimi ve KVKK: Verinin nerede tutulduğu ve kiracılar arasında nasıl ayrıldığı.

InsightGuard siber tehdit istihbaratına nasıl yaklaşıyor?

InsightGuard, LastGuard tarafından geliştirilen yerli bir siber tehdit istihbaratı platformudur. Kurumunuzun ağına ajan kurmadan, tamamen dışarıdan çalışır: dark web ve stealer log izleme, sahte alan adı ve oltalama tespiti, marka ve VIP koruması, saldırı yüzeyi yönetimi ve tehdit beslemesini tek bir komuta ekranında birleştirir. Her bulgu bir vakaya dönüşür; vaka sahibi, önem derecesi ve önerilen aksiyonla birlikte.

Modüllerin ayrıntısı için özellikler sayfasına, sektörel örnekler için kullanım senaryolarına göz atabilirsiniz.