Tehdit İstihbaratı (CTI): Üretim ve Operasyonel Kullanım

Tehdit istihbaratı↗ (CTI), ham veriyi savunma kararlarını yönlendiren, bağlamlı ve eyleme dönüştürülebilir bilgiye çevirmektir. Bir IP listesi istihbarat değildir; o IP’nin kim tarafından, hangi kampanyada, hangi amaçla kullanıldığı istihbarattır. Bu rehber, istihbaratın nasıl üretileceğini, paylaşılacağını ve operasyona bağlanacağını anlatır.

İstihbarat döngüsü

1. Yönlendirme: Hangi sorulara yanıt arıyoruz? (istihbarat gereksinimleri)
2. Toplama: açık kaynak, ticari beslemeler, paylaşım toplulukları, kendi olay verileriniz.
3. İşleme: normalleştirme, zenginleştirme, tekilleştirme.
4. Analiz: bağlam kurma, ilişkilendirme, değerlendirme.
5. Yayım ve geri bildirim: doğru tüketiciye doğru biçimde ulaştırma.

Üç seviye

Yapılandırma ve paylaşım: STIX ve TAXII

İstihbaratı makineler arasında paylaşılabilir kılmak için OASIS’in STIX 2.1 veri modeli ve TAXII 2.1 taşıma protokolü kullanılır. STIX; saldırı örüntüsü, kampanya, gösterge, izinsiz giriş kümesi, zararlı yazılım↗, tehdit aktörü↗, araç ve zafiyet gibi nesneleri ve aralarındaki ilişkileri (ör. bir göstergenin bir zararlıyı işaret etmesi) tanımlar. TAXII ise STIX nesnelerini taşımak için tasarlanmış tamamlayıcı bir spesifikasyondur. MISP gibi platformlar bu formatlarla paylaşımı ve otomasyonu kolaylaştırır.

Atıf yaparken temkinli olun: göstergeler yanıltıcı (false flag) olabilir; güvenilirliği ve bağlamı olmayan veriyi doğrudan engellemeye almayın.

İstihbaratı operasyona bağlayın

CTI bir rapor arşivi olmamalı; tespiti ve avcılığı beslemelidir. Operasyonel ve taktik istihbarattan çıkan TTP’ler yeni av hipotezlerine ve tespit kurallarına dönüşmeli, bulgular da MITRE ATT&CK tekniklerine eşlenerek kapsam haritasıyla karşılaştırılmalıdır. Böylece istihbarat, SOC’un günlük işine canlı bir girdi olur.

Rehber 3 dk okuma

Tehdit Avcılığı (Threat Hunting) ve MITRE ATT&CK

Alarm beklemek yerine proaktif olarak tehdit aramak: hipotez temelli avlanma, MITRE ATT&CK ile TTP eşleme ve “acı piramidi” ile dayanıklı tespit.

Rehber 2 dk okuma

Tespit Mühendisliği ve Log Analizi (Detection Engineering)

Tespitleri kod gibi yönetmek: doğru telemetri, Sigma ile taşınabilir kurallar, yanlış pozitif ayarı ve ATT&CK kapsamıyla ölçülebilir bir tespit programı.

Kaynaklar ve son gözden geçirme

• OASIS, STIX Version 2.1 (Errata 01 ile birlikte, Nisan 2025) ve TAXII Version 2.1.

Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; spesifikasyonların güncel metni için OASIS’in resmî sayfalarına bakın.