Siber tehdit istihbaratı programı nasıl kurulur?
Sıfırdan siber tehdit istihbaratı programı: istihbarat gereksinimlerini belirleme, kaynak seçimi, önceliklendirme, SOC’a entegrasyon ve programın işe yaradığını gösteren metrikler.
Programlar neden başarısız oluyor?
Siber tehdit istihbaratı programlarının çoğu kaynak yetersizliğinden değil, soru yetersizliğinden başarısız olur. Ekip önce beslemeleri satın alır, sonra o beslemelerle ne yapacağını arar. Sonuç tanıdıktır: kimsenin okumadığı haftalık bülten, kimsenin kapatmadığı bir uyarı kuyruğu ve yenilenmeyen bir sözleşme.
Doğru sıra terstir: önce cevaplanması gereken sorular, sonra o soruları cevaplayacak kaynaklar. CTI’ın ne olduğu konusunda temele ihtiyaç varsa CTI nedir yazısı bu programın önkoşulu.
1. İstihbarat gereksinimlerini yazın
İstihbarat gereksinimi (PIR), programın anayasasıdır. Beş ile on arasında, her biri tek cümlelik ve cevabı bir karar değiştiren sorular olmalı. Örnekler:
- Bizim alan adlarımıza ait, çalınmış ve hâlâ geçerli olan kimlik bilgisi var mı?
- Kritik tedarikçilerimizin çalışanları son 90 günde sızıntıya düştü mü?
- Sektörümüzü hedefleyen fidye yazılımı grupları hangi ilk erişim yöntemini kullanıyor?
- Yöneticilerimizin kişisel hesapları kurumsal erişimle ilişkilendirilmiş durumda mı?
Test şu: bir gereksinimin cevabı “evet” olduğunda ne yapacağınızı yazamıyorsanız, o gereksinim listeye girmemeli.
2. Kaynakları gereksinime göre seçin
Kaynak sayısı bir kalite göstergesi değil. Her gereksinim için “bu soruyu hangi kaynak cevaplar?” diye sorun; hiçbir gereksinime hizmet etmeyen kaynağı almayın.
Pratikte ilk yılda en yüksek getiriyi veren kaynak, sızdırılmış kimlik bilgileridir: doğrulaması ucuz, kurumla eşleştirmesi kesin ve aksiyonu tek adım. Stratejik aktör raporları önemlidir ama küçük ekipte ölçülebilir risk azaltımı üretmesi çok daha uzun sürer.
Kaynak değerlendirmesinde sorulacak somut sorular: veri kuruma nasıl eşleştiriliyor, kayıt kaynağa düştükten sonra kaç saatte görünüyor, her bulgunun altındaki kanıta inilebiliyor mu.
3. Önceliklendirmeyi otomatikleştirin
Bir programın ölçeklenip ölçeklenmemesi burada belirlenir. Analistin her kaydı elle değerlendirmesi gerekiyorsa program, hacim arttığı anda durur. Otomatikleştirilmesi gereken kararlar:
- Kapsam. Kayıt gerçekten bize mi ait? Tam alan adı eşleşmesi ile alt dize eşleşmesi arasındaki fark, yüzlerce hatalı pozitif farkıdır.
- Kimlik sınıflandırma. Çalışan mı, müşteri mi, üçüncü taraf mı? Aksiyon sahibi bu sınıfa göre değişir.
- Şiddet. Kimlik bilgisi hangi sisteme ait — VPN, e-posta, pazarlama aracı?
- Beyaz liste. Test hesapları, honeypot’lar, kasıtlı olarak paylaşılmış kimlikler kalıcı olarak susturulabilmeli.
4. Çıktıyı mevcut iş akışına bağlayın
İstihbarat, ayrı bir ekranda yaşıyorsa tüketilmiyor demektir. Çıktı, ekibin zaten baktığı yere düşmelidir: ticket sistemi, SOC kuyruğu, kimlik yönetimi, uyarı kanalı.
Sızdırılmış kimlik bilgisi için hedeflenecek akış nettir ve büyük ölçüde otomatikleştirilebilir: bulgu gelir, sahibi belirlenir, şifre döndürme talebi açılır, oturumlar sonlandırılır, bulgu kapatılır. Bu döngü kurulmadan hiçbir besleme değer üretmez.
5. Doğru metrikleri ölçün
Yanlış metrikler bir programı iyi gösterip işe yaramaz hâlde tutar. Toplanan IOC sayısı, üretilen rapor sayısı ve izlenen kaynak sayısı bunlardan üçü — hepsi girdi ölçer, sonuç ölçmez.
Ölçülmesi gerekenler:
- Bulgunun ortaya çıkmasıyla kapatılması arasındaki süre.
- Aksiyona dönüşen bulguların toplam bulgulara oranı.
- Hatalı pozitif oranı ve zaman içindeki eğilimi.
- Aynı varlık için tekrar eden maruziyet sayısı — kök nedenin çözülmediğini gösterir.
- Dış kaynaktan mı, iç tespitten mi öğrendiğiniz — tespit boşluğunun ölçüsü.
İlk 90 gün için gerçekçi bir plan
Küçük bir ekip için işleyen sıralama, kapsamı daraltıp döngüyü tamamlamaktan geçer:
- 1.–2. hafta: Gereksinimleri yazın, varlık envanterini ve alan adı listesini netleştirin.
- 3.–6. hafta: Tek bir yüksek getirili kaynakla başlayın — sızdırılmış kimlik bilgisi maruziyeti. Geçmiş maruziyeti temizleyin.
- 7.–10. hafta: Önceliklendirme kurallarını ve beyaz listeyi kurun; hatalı pozitifleri ölçülebilir hâle getirin.
- 11.–13. hafta: Kapanış döngüsünü otomatikleştirin, ilk metrik setini yönetime sunun, ikinci kaynağı ancak bundan sonra ekleyin.
Bir sonraki adım için CTI ile SIEM farkı ve stealer log nedir yazıları, kaynak tarafını derinleştirir.
Sık sorulan sorular
- Siber tehdit istihbaratı programı için kaç kişi gerekir?
- Önceliklendirme otomatikleştirildiğinde tek kişilik bir sorumlulukla başlanabilir. Kritik olan kişi sayısı değil, elle değerlendirilmesi gereken kayıt sayısıdır; kapsam ve beyaz liste kuralları kurulmadan her ek kaynak analist yükünü doğrusal artırır.
- Hangi kaynakla başlamak gerekir?
- Sızdırılmış kimlik bilgisi maruziyeti. Kuruma eşleştirmesi kesin, doğrulaması ucuz ve aksiyonu tek adımdır: şifre döndürme ve oturum sonlandırma. Stratejik aktör raporları değerlidir ama ölçülebilir risk azaltımına dönüşmesi çok daha uzun sürer.
- İstihbarat gereksinimi (PIR) nasıl yazılır?
- Tek cümlelik, cevabı bir kararı değiştiren sorular olarak. Beş ile on arası yeterlidir. Bir gereksinimin cevabı olumlu olduğunda atılacak adımı yazamıyorsanız, o gereksinim listeye girmemelidir.
- Programın işe yaradığı nasıl ölçülür?
- Girdi değil sonuç ölçün: bulgunun ortaya çıkışı ile kapanışı arasındaki süre, aksiyona dönüşen bulgu oranı, hatalı pozitif eğilimi, aynı varlıkta tekrar eden maruziyet ve dış kaynaktan öğrenilen olayların oranı.
İlgili içerikler
Kendi alan adınızı test edin
StealerHunt, stealer log’larını ve sızıntı arşivlerini sürekli tarayıp her kaydı sizin alan adlarınızla eşleştirir. Kurumunuza ait sızmış kimlik bilgisi olup olmadığını ücretsiz kontrol edebilirsiniz.