CTI nedir?

01CTI nedir?

CTI, İngilizce Cyber Threat Intelligence ifadesinin kısaltmasıdır; Türkçede siber tehdit istihbaratı olarak geçer. CTI, saldırganlar hakkındaki ham veriyi — kim oldukları, hangi araçları kullandıkları, hangi kurumları hedefledikleri, elinde hangi verinin bulunduğu — toplayıp doğrulayıp bir güvenlik ekibinin karar alabileceği hâle getirme disiplinidir.

Kritik ayrım şurada: veri, bilgi ve istihbarat aynı şey değil. Bir IP adresi listesi veridir. O IP’lerin son 30 günde bir fidye yazılımı grubuna ait komuta sunucusu olduğu bilgidir. “Bu IP’ler bizim VPN’imize üç kez bağlanmayı denedi, aynı grup bizim sektörümüzdeki iki kurumu geçen ay şifreledi, önce şu erişimi kapatın” cümlesi ise istihbarattır. CTI’ın işi bu son cümleyi üretmektir.

Bu yüzden “istihbarat” sayılmanın üç şartı vardır: bağlam (kime, ne zaman, hangi koşulda), zamanlama (karar penceresi kapanmadan gelmesi) ve eyleme dönüştürülebilirlik (okuyanın atacağı somut bir adım olması). Üçünden biri yoksa elinizde bülten var, istihbarat yok.

02CTI’ın dört türü

CTI tek bir çıktı değil. Kime hitap ettiğine ve ne kadar süre geçerli kaldığına göre dört katmana ayrılır. Bir programın tıkanması genellikle yalnızca bir katmanı üretip diğerlerini atlamasından kaynaklanır.

Stratejik CTI

Yönetim ve yönetim kurulu için. Teknik gösterge içermez; sektörünüzü hedefleyen aktör eğilimleri, düzenleyici baskı, bütçe ve risk kararlarını besler. Geçerlilik süresi aylar.

Operasyonel CTI

Belirli bir kampanya veya aktör hakkında. “Bu grup şu anda Türkiye’deki finans kurumlarına şu yöntemle giriyor” seviyesindedir. SOC’un neye hazırlanacağını belirler. Geçerlilik süresi haftalar.

Taktik CTI

Saldırganın TTP’leri — teknikleri, taktikleri ve prosedürleri. MITRE ATT&CK gibi çerçevelerle eşleştirilir, tespit kuralına ve tehdit avına dönüşür. Geçerlilik süresi uzundur, çünkü saldırganlar araç değiştirir ama davranış kalıbını nadiren değiştirir.

Teknik CTI

IOC seviyesi: hash, alan adı, IP, sızmış kullanıcı adı ve şifre çiftleri. En hızlı tüketilen ve en çabuk bayatlayan katman; makine hızında beslenmesi gerekir. Sızdırılmış kimlik bilgileri bu katmanın en yüksek getirili kısmıdır çünkü doğrulaması ucuz ve aksiyonu nettir: şifreyi döndür, oturumu kapat.

03İstihbarat döngüsü nasıl işler?

CTI, altı adımlı klasik istihbarat döngüsünü izler. Döngü olması tesadüf değil: son adım ilk adımı yeniden yazar.

1. Yönlendirme. Hangi soruya cevap arıyorsunuz? Bu adım atlandığında ekip her şeyi toplar, hiçbir şeyi kullanmaz.
2. Toplama. Kaynaklar devreye girer: açık kaynak (OSINT), dark web ve kapalı forumlar, stealer log arşivleri, fidye yazılımı sızıntı siteleri, ticari beslemeler, kendi telemetriniz.
3. İşleme. Ham veri normalize edilir, tekilleştirilir, ayrıştırılır. Pratikte en çok emek yiyen ve en çok küçümsenen adım budur.
4. Analiz. Veri kurumunuzun varlıklarıyla eşleştirilir, doğrulanır ve önceliklendirilir. “Bizi ilgilendiriyor mu?” sorusu burada cevaplanır.
5. Yayım. Çıktı doğru kitleye doğru formatta gider — yönetime tek sayfa, SOC’a ticket, güvenlik duvarına API.
6. Geri bildirim. Hangi istihbarat işe yaradı, hangisi gürültüydü? Cevap birinci adımı günceller.

Bir CTI programını değerlendirirken bakılacak yer üçüncü ve dördüncü adımlardır. Toplama kapasitesi satın alınabilir; işleme ve analiz kalitesi bir programı diğerinden ayıran şeydir.

04CTI verisi nereden gelir?

Kaynak çeşitliliği kulağa iyi gelir ama her kaynağın maliyeti ve gürültü oranı farklıdır. Pratikte ağırlığı taşıyan kaynaklar şunlar:

• Stealer log’ları. Bilgi hırsızı zararlıların bulaştığı cihazlardan çalıp dışarı taşıdığı tarayıcı şifreleri, oturum çerezleri ve cihaz bilgisi. Kurumsal hesap ele geçirmenin bugünkü birincil girdisi. Ayrıntı için stealer log nedir yazısına bakın.
• Sızıntı ve ihlal arşivleri. Üçüncü taraf servislerden sızmış hesap veritabanları. Şifre yeniden kullanımı yüzünden hâlâ tehlikeli.
• Fidye yazılımı sızıntı siteleri. Kurbanların isim ve sektör bazında duyurulduğu yerler; sektörel hedefleme sinyali verir.
• Kapalı forumlar ve mesajlaşma kanalları. Erişim satışı, ilk erişim brokerları, ekip ilanları.
• Açık kaynak (OSINT) ve teknik yüzey. Sertifika kayıtları, DNS, açığa çıkmış servisler, kod depoları.
• Kendi telemetriniz. En değerli ve en çok ihmal edilen kaynak; harici istihbaratın anlam kazanması için gereken zemin.

05CTI pratikte ne işe yarar?

CTI’ın işe yarayıp yaramadığı, ürettiği çıktının bir işi değiştirip değiştirmediğine bakılarak anlaşılır. Somut kullanım alanları:

• Hesap ele geçirmeyi önleme. Çalınan bir kimlik bilgisi kullanılmadan önce tespit edilirse aksiyon tek satırdır: şifreyi döndür, oturumu sonlandır, MFA’yı zorla.
• Uyarı önceliklendirme. SOC’taki binlerce alarmdan hangisinin gerçekten aktif bir aktörle ilgili olduğunu belirler.
• Tehdit avı. Taktik CTI, “şu davranışı arayın” diyerek log yığınında nereye bakılacağını söyler.
• Olay müdahalesi. Bir olayın hangi aktöre ait olduğunu bilmek, sonraki adımını tahmin etmeyi sağlar.
• Üçüncü taraf riski. Tedarikçinizin çalışanlarının kimlik bilgileri sızdıysa risk sizin de riskinizdir.
• Yönetime raporlama. Risk konuşmasını varsayımdan kanıta taşır.

06CTI çözümü seçerken nelere bakılır?

Piyasadaki çoğu CTI paketi geniş kapsam vaat eder: on iki modül, yüzlerce besleme, tek ekran. Kapsam kâğıt üzerinde iyi görünür ama alım kararını belirlemesi gereken sorular şunlar:

• Eşleştirme kalitesi. Veri sizin alan adlarınızla nasıl eşleştiriliyor? Alt dize eşleşmesi mi, tam alan adı eşleşmesi mi? Bu tek fark yüzlerce hatalı pozitif demektir.
• Tazelik. Bir kayıt kaynağa düştükten sonra sizin ekranınıza kaç saatte geliyor?
• Doğrulanabilirlik. Her bulgunun kanıtına inebiliyor musunuz, yoksa bir skora güvenmeniz mi isteniyor?
• Kapanış döngüsü. Bulgu bir duruma (triage, whitelist, kapatıldı) bağlanabiliyor mu, yoksa sonu olmayan bir akış mı?
• Gürültü sorumluluğu. Filtrelemeyi satıcı mı yapıyor, sizin analistiniz mi?

StealerHunt bilinçli olarak geniş bir CTI paketi değil: tek bir işi — sızdırılmış kimlik bilgisi maruziyetini — ham stealer log’undan kapatılmış bulguya kadar uçtan uca üstlenen bir breach intelligence platformudur. Karşılaştırma için CTI ile SIEM farkı ve program kurulumu yazılarına bakabilirsiniz.