Cyber Threat Intelligence (Siber Tehdit İstihbaratı) Nedir?

Siber Tehdit İstihbaratı: Dijital Dünyanın Erken Uyarı Radarı

Günümüz internet ortamı tam bir pusu bölgesi gibi. Şirket ağları, kullanıcı verileri ve kritik sistemler — hepsi saldırganların av alanı. İşte burada siber tehdit istihbaratı (Cyber Threat Intelligence – CTI) devreye giriyor. CTI, saldırganların planlarını önceden koklayan, davranışlarını analiz eden ve savunmayı proaktif hale getiren akıllı bir kalkan gibi çalışır.

Bir antivirüs tek başına “karşılaşınca vur” anlayışıyla hareket ederken, CTI “bana yaklaşanı bile tanırım” modunda. Yani olay sadece engellemek değil, kime neden saldırıldığını anlamak ve savunmayı sürekli güncel tutmaktır.

Tehdit İstihbaratı Nasıl Çalışır?

CTI’nin kalbi veri. Saldırı denemeleri, malware analizleri, loglar, karanlık web tartışmaları, açık kaynak raporları… Hepsi devasa bir havuzda toplanır. Sonra makine öğrenimi, otomasyon ve analistlerin uzmanlığı devreye girer.

basit mantık:

1. 1. Topla → milyonlarca saldırı izi
   2. Analiz et → ne, nereden, kimden, hangi taktik?
   3. Paylaş → güvenlik araçlarına besle
   4. Uygula → saldırılar daha yaşanmadan kapıdan döner

Bu süreç, sadece bir dosyayı kötü amaçlı bulmakla kalmaz. Saldırganın davranışını, hedefini ve taktiklerini de çözerek savunmayı bütünsel hale getirir.

Siber Tehdit Analizi: CTI’nin Beyni

Siber tehdit analizi, ham veriyi anlamlı bilgiye çeviren katman.

Şöyle düşün:

1. 1. bir dosya ağda 3 farklı noktada görüldü
   2. davranışı normal dışı
   3. bilinen zararlılarla benzer imzaları var

analiz hemen şunu diyebilir:

“bu dosya → potansiyel tehdit, izlemeye al”

İşte buradan çıkan sonuçlar, istihbarat verisine dönüşür.

Analiz olmazsa, CTI sadece bir çöp yığını olur.

Analiz varsa, CTI nokta atışı karar verir.

CTI Neden Oyunu Değiştiriyor?

Klasik güvenlik sistemleri “kapıdan geçen iyi mi kötü mü?” diye bakar.

Ama modern saldırganlar hileci: şifreleme, gizlenme, kimlik sahtekarlığı…

CTI bunun önüne şöyle geçer:

1. 1. tehdit yaratılmadan önce davranış modellerini öğrenir
   2. saldırganın kampanyasını takip eder
   3. hedef sektörünü, coğrafyasını, taktiklerini arşivler
   4. diğer ağlara da “bak bu adam bunları yapıyor” diye evrensel koruma yayar

Bu yüzden tek tek manuel kararlarla vakit kaybetmezsin.

Sistem kendi kendine ağda “kırmızı kart” dağıtır.

Tehdit İstihbarat Platformları: Tüm Bilginin Merkezi

Her kurum kendi başına milyonlarca veri kaynağını analiz edemez.

O yüzden Threat Intelligence Platform (TIP) kullanılır.

Bu platformlar:

1. 1. farklı veri formatlarını tek yerde toplar
   2. tehditleri skorlar (risk 1–10 gibi)
   3. güvenlik ürünlerine otomatik besler
   4. raporları sade hale getirir (“bu IP = ransomware dağıtıyor” gibi)

Bir bakıma şirketin CTI mutfağıdır; ham malzemeyi servise hazır hale getirir.

Tehdit İstihbaratı Neleri İçerir?

CTI sadece “mac.exe virüs mü?” değildir.

Olay saldırganın ekosistemini anlamaktır.

Taktikler, Teknikler ve Prosedürler (TTP’ler)

Saldırganlar neyi nasıl yapıyor?

1. 1. phishing
   2. lateral movement
   3. credential stuffing
   4. 0-day exploitation

Güvenlik araştırmacıları bunların IoC (Indicator of Compromise) ve IoA (Indicator of Attack) kayıtlarını oluşturur:​

• 1. zararlı hash
  2. kötü IP
  3. şüpheli domain
  4. C2 sunucuları

Bu veriler sektöre göre filtrelenebilir:

finans sektörü → banka kimlik avı kampanyaları

e-ticaret → fraud botlar

enerji → devlet destekli APT grupları

Marka Koruması

adamlar şirket ismini çalıp kimlik avı maili basıyor​

• 1. sahte domain (örn: amaz0n . com)
  2. taklit sosyal medya hesapları
  3. APK klonları

CTI bunları tespit eder → hızlıca kapattırır

marka güveni = para, itibar, müşteri

İhlal İzleme

şirket hacklenmiş ama kimse bilmiyor 

ta ki veriler dark web’e düşene kadar

CTI neyi tarar:

1. 1. çalışan hesapları
   2. müşteri bilgiler
   3. IP, source code, özel belgeler
   4. sızdırılan VPN erişimleri

Bu sayede ihlali maalesef satışa çıkınca öğrenmek yerine önceden fark etme ihtimalin artar.

Siber Tehdit İstihbaratının Kuruluşa Katkıları​

• 1. proaktif savunma: “bize dokunmadan kes”
  2. maliyet düşüşü: olayı yaşadıktan sonra değil, öncesinde çöz
  3. risk yönetimi: kaynakları doğru önceliklere kaydır
  4. stratejik farkındalık: kimin seni, neden hedeflediğini bil
  5. otomasyon: analistlerin boğulduğu iş yükünü makineye bırak

Şirketler CTI’ye yatırım yaptıkça, savunma sistemleri katlanarak güçlenir.

tekil ürün → sınırlı koruma

istihbarat destekli ürün → kolektif zeka

SONUÇ

Siber tehdit istihbaratı bir araç değil, bir felsefe.

Saldırıya maruz kalmadan önce veriyi konuşur, davranışı okur ve duvarları güçlendirir.

Dijital dünyada “güvende kalmak” = bilmek + filtrelemek + paylaşmak.