İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Tehdit İstihbaratı Nedir?

İngilizce: Threat Intelligence

Yayın: · Son güncelleme:

Tehdit İstihbaratı Nedir? Kısaca

Tehdit istihbaratı, saldırgan grupların hedefleri, yöntemleri ve bıraktıkları teknik izler hakkında toplanıp analiz edilen, kurumların saldırılara karşı daha iyi hazırlanmasını ve karar almasını sağlayan bilgidir.

Tehdit İstihbaratı nedir?
İçindekiler
  1. Tehdit istihbaratı nedir?
  2. Hangi türleri var?
  3. Nelere dikkat etmeli?

Tehdit istihbaratı nedir?

Tehdit istihbaratı, saldırganlar hakkında toplanan ve işe yarar hâle getirilen bilgidir. Ham veri tek başına istihbarat değildir. Bir IP adresi listesi ancak "bu adresler şu gruba ait, şu sektörü hedefliyor ve şu yöntemi kullanıyor" bağlamıyla birleştiğinde anlam kazanır.

Amaç, saldırıya uğramadan önce hazırlanmak ve olay anında daha hızlı karar vermektir. Kimin, neden ve nasıl saldırabileceğini bilmek savunmayı odaklar.

Hangi türleri var?

İstihbarat genellikle kullanıcısına göre üç düzeyde ele alınır:

Düzey Kullanıcı Örnek içerik
Stratejik Yönetim Sektörü hedefleyen eğilimler
Operasyonel Güvenlik ekipleri Saldırgan grupların yöntemleri
Teknik SOC ve araçlar Zararlı IP, alan adı, dosya imzası

Teknik düzeydeki bilgiler çoğu zaman IOC olarak adlandırılır ve güvenlik duvarı, EDR ya da SIEM gibi araçlara otomatik aktarılır.

Örneğin finans sektöründe sahte fatura e-postalarıyla yayılan yeni bir zararlı yazılım kampanyası duyurulduğunda, bir banka bu kampanyanın alan adlarını ve dosya imzalarını hemen engelleme listesine ekleyebilir. Aynı zamanda çalışanlarına bu e-postaları anlatan kısa bir uyarı gönderebilir.

Nelere dikkat etmeli?

Her istihbarat akışı kuruma uygun değildir. Kendi sektörünüz, coğrafyanız ve teknolojinizle ilgisiz bilgiler gürültü üretir. Kaynakların güvenilirliği ve bilginin tazeliği de değerlendirilmelidir, çünkü saldırganlar altyapılarını sık değiştirir.

Türkiye'de ulusal düzeyde siber olay ve tehdit bildirimleri yapan resmî birimler de bulunur. Proaktif kullanım için tehdit avcılığı maddesine göz atabilirsiniz.

Sıkça Sorulan Sorular

Tehdit istihbaratı nereden elde edilir?

Ticari sağlayıcılar, açık kaynaklar, sektörel paylaşım grupları ve resmî bildirimler başlıca kaynaklardır. Kurumun kendi olay kayıtları da değerli bir iç kaynaktır.

Küçük bir kurum tehdit istihbaratını nasıl kullanabilir?

Güvenlik ürünlerinin içinde gelen hazır istihbarat akışlarını açık tutmak ve sektörüne yönelik resmî uyarıları takip etmek iyi bir başlangıçtır.

İlgili terimler

IOC(Indicator of Compromise)IOC (Indicator of Compromise), bir sistemin ele geçirildiğini ya da saldırıya uğradığını gösteren teknik iz anlamına gelir. Zararlı IP adresi, alan adı, dosya özeti ve şüpheli kayıt değişiklikleri tipik örneklerdir.Tehdit Avcılığı(Threat Hunting)Tehdit avcılığı (threat hunting), güvenlik araçlarının uyarı üretmesini beklemeden, bir hipotezden yola çıkarak ağda ve cihazlarda fark edilmeden kalmış saldırgan izlerini proaktif olarak arama çalışmasıdır.Tehdit Aktörü(Threat Actor)Tehdit aktörü, bir kuruma, kişiye ya da sisteme siber saldırı düzenleyen veya düzenleme potansiyeli taşıyan kişi, grup ya da kuruluştur. Türlerine ve motivasyonlarına göre sınıflandırılır.OSINT(Open Source Intelligence)OSINT (Open Source Intelligence), herkese açık kaynaklardan, örneğin web siteleri, sosyal medya, haberler ve kamu kayıtlarından bilgi toplayıp analiz ederek anlamlı bir sonuca ulaşma yöntemidir.SOC(Security Operations Center)SOC (Security Operations Center), bir kurumun ağlarını, sistemlerini ve kullanıcı etkinliğini sürekli izleyen, güvenlik olaylarını tespit edip analiz eden ve müdahaleyi koordine eden güvenlik operasyon merkezidir.EDR(Endpoint Detection and Response)EDR (Endpoint Detection and Response), bilgisayar, sunucu gibi uç noktalardaki süreç, dosya ve ağ etkinliğini sürekli kaydedip şüpheli davranışları tespit eden ve güvenlik ekibine uzaktan müdahale imkânı veren güvenlik çözümüdür.