#STHM-Siber Tehdit İstihbaratına Giriş

Selamun aleyküm dostlarım. Bu makalemizde tehdit istihbaratının ne olduğunu ve neden SOC analistleri için bu kadar önemli olduğuna. Tehdit istihbaratının yaşam döngüsünü ve dikkat edilmesi gereken göstergeleri inceyecesiz ve son olarak haber akışları, platformlar kullanarak istihbarat paylaşımı konusunda detalı bilgiler öğreneceğiz Cenab-ı Allah’ın izniyle.

Siber Tehdit İstihabaratı
Genç bir analist vardiyasına başlamak için oturum açtığında, karşısında iki yüz yeni uyarı bulur — zararsız ağ taramalarından, yerinde değilmiş hissi veren bir PowerShell beacon’ına kadar her şey vardır. Bilet kuyruğu işleri nazikçe sıraya koymaz; hızlı ve kendinden emin kararlar talep eder. CTI’nin gerçek değerini gösterdiği yer tam da burasıdır.
Tehdit istihbaratı, analistin bu iki yüz uyarıdan hangisinin gerçek bir tehlikeyi temsil ettiğine karar vermesine yardımcı olacak bağlamı sağlar. Güvenilir bağlam sayesinde SOC ekibi enerjisini doğru sorunlara harcar ve gösterge panelleri nihayet sakinleştiğinde daha rahat uyur.
Somut olarak bakıldığında CTI, üç temel soruya cevap arar:

• Bu uyarı göstergesinin diğer ucunda kim ya da ne var?
• Geçmişte nasıl bir davranış sergilediler?
• Kuruluşum buna nasıl yanıt vermeli ve şu anda benim ne yapmam gerekiyor?

• Indicator of Compromise (IOC / Uzlaşma Göstergesi): Log kayıtlarında görülen bir C2 adresi gibi, bir ihlalin kanıtı.
• Indicator of Attack (IOA / Saldırı Göstergesi): PowerShell’in bilinmeyen bir servisi çalıştırması gibi, kötü niyetli bir eylemin devam ettiğini gösteren belirti.
• Tactics, Techniques, and Procedures (TTP / Taktikler, Teknikler ve Prosedürler): Bir saldırganın, MITRE ATT&CK kimlikleri ve açıklamalarıyla ifade edilen ayrıntılı yöntemleri.

Beslemeler, Platformlar ve Aradaki Farkın Önemi​

Siber Tehdit İstihbaratı Kaynakları​

• Dahili Telemetri (Internal Telemetry): SIEM günlükleri (logs), EDR tespitleri ve oltalama (phishing) posta kutusu bildirimleri, anlık olarak kurumunuzla en yüksek doğrudan ilişkiye sahip verileri sağlar.
• Ticari Servisler (Commercial Services): Üreticilerin premium beslemeleri (feeds), ücretli korumalı alan (sandbox) servisleri ve kapalı kaynaklı analitikler. Bunlar yüksek doğruluk oranı sunar, ancak lisanslamaya bağlı olarak dışa aktarma ve paylaşım sınırları olabilir.
• Açık Kaynak İstihbaratı (OSINT): AbuseIPDB, URLhaus, IOC içeren kamuya açık bloglar ve akademik araştırmalar. Bu kaynaklardan alınan bilgilerin, uygulamaya konulmadan önce farklı kaynaklardan çapraz olarak doğrulanması gerekir.
• Topluluklar ve ISAC'lar (Communities & ISACs): Trafik Işığı Protokolü (TLP) etiketleriyle işaretlenmiş ve zengin bağlam içeren, sektöre özel listelerdir (örneğin finans sektörü için FS-ISAC).

Siber Tehdit İstihbaratı Sınıflandırmaları​

• Stratejik İstihbarat (Strategic Intel): Kurumun tehdit ortamını inceleyen ve iş kararlarını etkileyebilecek trendlere, kalıplara ve yeni ortaya çıkan tehditlere dayalı risk alanlarını belirleyen üst düzey istihbarattır. Sağlık sektöründe veri silme (data-wiping) yoluyla şantaj yapılmasına yönelik bir eğilim kayması öngören yıllık fidye yazılımı (ransomware) trend raporu buna bir örnektir.
• Taktiksel İstihbarat (Tactical Intel): Saldırganların taktik, teknik ve prosedürlerinin (TTP) analizi yoluyla davranışlarının değerlendirilmesidir. Bu, zararlı e-postalarda (malspam) yeni bir T1059.005 (Visual Basic) kötüye kullanımını detaylandıran Güvenlik Bildirimleri (Advisory notes) şeklinde olabilir.
• Operasyonel İstihbarat (Operational Intel): Bir saldırıyı gerçekleştirme motivasyonu ve niyetine ilişkin kampanya (campaign) odaklı detaylardır. Kurum içinde hedef alınabilecek kritik varlıkların (insan, süreç ve teknolojiler) anlaşılması açısından faydalıdır.
• Teknik İstihbarat (Technical Intel): Bir saldırıyla ilişkili IP adresleri ve hash değerleri gibi atomik (temel) göstergeler (IOC) ve kalıntılardır (artefacts).

​

Trafik Işığı Protokolü (TLP) — Doğru Paylaşım İçin Temel Kılavuz​

İstihbarat Formatları​

1. Adım: Yönlendirme (Direction) – Görevin Tanımlanması​

• Birincil Varlık (Primary Asset): PostgreSQL üretim (production) veri tabanı.
• İş Riski (Business Risk): GDPR kapsamında veri ihlali cezaları ve müşteri güveninin kaybolması.
• Mevcut Güvenlik Kontrolleri (Available Controls): IP ve alan adı (domain) tabanlı engelleme yapabilen NGFW; dosya özet değerine (hash) göre karantina uygulayabilen EDR.
• İlk CTI Hedefi: Tehdit beslemesi göstergelerini (indicators) kullanarak:
  
  • Güvenlik duvarında şüpheli IP adreslerini engellemek veya bunlara karşı alarm üretmek,
  • EDR katmanında bilinen zararlı dosya hash'lerini tespit etmek.

• Soru 1 (Q1): Şu anda PostgreSQL hizmetlerini istismar etmek veya veri tabanı kayıtlarını sızdırmak (exfiltrate) için hangi harici IP adresleri ve alan adları kullanılıyor?
• Soru 2 (Q2): Bu hafta PostgreSQL sürücülerini veya kimlik bilgilerini hedef alan hangi zararlı yazılım (malware) aileleri aktif durumda ve bunların dosya hash'leri nelerdir?

2. Adım: Toplama (Collection) – Ham Maddenin Bir Araya Getirilmesi​

3. Adım: İşleme (Processing) – Verilerin Normalleştirilmesi ve İlişkilendirilmesi​

• IPv6 adreslerinin sıkıştırılması, alan adlarının küçük harfe dönüştürülmesi veya IP alt ağ maskelerinin (subnet masks) kaldırılması gibi gösterge sözdizimlerini (syntax) normalleştirir.
• Platformun mevcut gösterge tablosundaki verilerle ilişkilendirme yapar ve mükerrer (yinelenen) kayıtları ayıklar (deduplication).
• Her bir girdiyi kaynak, tarih ve TLP etiketiyle işaretler.
• Nihai istihbarat setini iki adet eylem dosyasına dönüştürür; örneğin:
  
  • firewall_blocklist.csv: Göstergeyi, yapılacak eylemi ve açıklamaları içeren, güvenlik duvarına yüklenmeye hazır bir CSV dosyası.
  • edr_hash_rules.yar: Dosya hash'lerini engellemek için kullanılacak bir EDR YARA kuralı dosyası.

4. Adım: Analiz (Analysis) – Bilgiyi Değerlendirmeye ve Karara Dönüştürme​

• Güvenlik Duvarı Göstergeleri (Soru 1 - Q1):
  
  • Çapraz Kontrol (Cross-check): Son 30 günü kapsayan bir Splunk sorgusu, NGFW beslemesindeki IP adreslerinden birinin üretim (production) alt ağına karşı TCP 5432 portunu açmaya çalıştığını ancak başarısız olduğunu gösteriyor. Bu olay, göstergenin (indicator) kurum için geçerliliğini ve doğruluğunu kanıtlar.
• Hash Göstergeleri (Soru 2 - Q2):
  
  • Tersine Arama (Reverse-search): OpenCTI platformu, yeni hash değerini "PgSteal" zararlı yazılım ailesiyle ilişkilendiriyor; Any.Run sandbox (korumalı alan) analizi ise bu yazılımın kimlik bilgisi sızdırma (credential-dump) davranışı sergilediğini gösteriyor. Kurum tam olarak raporda adı geçen ODBC sürücüsünü kullandığı için, bu hash "yüksek öncelikli" olarak işaretlenir ve tehdidin kurumla ilişkisi doğrulanır.

5. Adım: Yayma (Dissemination) – İstihbaratın Doğru Alıcılara Ulaştırılması​

6. Adım: Geri Bildirim (Feedback) – Döngünün Ölçülmesi ve Geliştirilmesi​

MITRE ATT&CK​

​

• Uyarıda (alert) tespit edilen davranışı bir taktik/teknik eşleşmesiyle ilişkilendirin.
• İnceleme/önceliklendirme (triage) notunuza ilgili kimliği (ID) yazın: "FINANCE-Windows-00 makinesine karşı T1071.001 (web tabanlı C2) gözlemlendi."
• Notu Seviye 2 (L2) analistlerine veya Olay Müdahale (Incident Response) ekibine iletin; böylece hangi hafifletme (mitigation) yöntemlerinin ve tehdit aktörü profillerinin geçerli olduğunu anında anlayacaklardır.

MITRE D3FEND​

• Proxy sunucunuz, bir T1048.003 DNS tünelleme uyarısı üretir.
• Bununla eşleşen savunma tekniğini bulmak için D3FEND üzerinde arama yaparsınız: D3—NTDN DNS—istek analizi. İlgili sayfa uygulanabilecek pratik kontrolleri listeler: Geniş kapsamlı TXT kayıtlarını engellemek ve olağan dışı sorgu entropilerinde (uncommon query entropy) alarm üretmek.
• Uygulanması en mümkün olan kontrolü "sonraki eylemler" (next actions) alanınıza eklersiniz; böylece sadece bir teşhis koymakla kalmayıp, doğrudan bir hafifletme/önlem (mitigation) yöntemi de sunmuş olursunuz.

Siber Saldırı Zinciri (Cyber Kill Chain)​

​

CVE'ler, CVSS ve NVD​

• CVE (Common Vulnerabilities and Exposures - Ortak Zafiyetler ve Maruz Kalma Durumları): Keşfedilen zafiyetler için bir katalog numarası sağlar; örneğin, CVE-2023-4863.
• CVSS (Common Vulnerability Scoring System - Ortak Zafiyet Puanlama Sistemi): Zafiyetler için zamansal (temporal) ve çevresel (environmental) değişkenleri de hesaba katan, 0 ile 10 arasında değişen bir önem derecesi ölçeğidir.
• NVD (National Vulnerability Database - Ulusal Zafiyet Veri Tabanı): CVE numaralarını CVSS puanlarına, istismar kodlarına (exploits) ve etkilenen ürünlere bağlayan resmi/temel veri deposudur.

İstihbarat Paylaşımı ve İşlenmesi​

• STIX: Tehdit bilgilerini tanımlamak için kullanılan, daha önce de bahsettiğimiz yapılandırılmış JSON şemasıdır.
• TAXII: Tehditlerin tespiti, önlenmesi ve hafifletilmesi amacıyla, tehdit istihbaratını neredeyse gerçek zamanlı olarak değiş tokuş etmek için kullanılan bir dizi güvenli API protokolüdür (Trusted Automated eXchange of Indicator Information). İki farklı paylaşım modelini destekler: Tehdit istihbaratının bir üretici tarafından toplanmasını ve barındırılmasını sağlayan Koleksiyon (Collection) modeli ve tehdit istihbaratını merkezi bir sunucudan kullanıcılara yayınlayan Kanal (Channel) modeli.

Tehdit istihbaratını paylaşmanın önemli avantajları vardır; neredeyse gerçek zamanlı beslemeler, başka bir kuruluşun yaşadığı bir olay ile kendi önleyici prosedürleriniz arasındaki zaman açığını kapatır. Ek olarak, topluluğa yapılan katkılar, kuruluşlara değerli birer istihbarat kaynağı olarak karşılıklı güven kazandırır.

Bununla birlikte, her gösterge (indicator) paylaşılmamalıdır. Gizlilik yasaları, müşteri gizlilik sözleşmeleri (NDA) veya şirket içi rekabete dayalı hassas bilgiler ifşayı yasaklayabilir; ayrıca belirli IOC'lerin erkenden paylaşılması, saldırganlara yürüttükleri kampanyanın tespit edildiğine dair tüyo verebilir (tip off)
Okuduğunuz için teşekkür ederim

CW-Ommah
Bug Researchers Tim Sundu...
​