müfettiş
Moderatör
- Katılım
- 20 Ocak 2024
- Mesajlar
- 325
- Tepkime puanı
- 1
- Puanları
- 18
İstihbarat Paylaşım Platformları: MISP (Malware Information Sharing Platform)
Bir bankanın güvenlik ekibinde olduğunuzu hayal edin. Sabah saatlerinde size özel bir zararlı yazılım (Malware) bulaştı. Büyük uğraşlarla analiz ettiniz, IP adreslerini ve dosya imzalarını (Hash) bulup engellediniz.Aynı günün akşamı, yan sokağınızdaki diğer banka aynı virüsle saldırıya uğradı. Onlar da saatlerce analiz yaptı ve aynı sonuçları buldu.
Bu senaryodaki zaman ve emek kaybı korkunçtur. Eğer siz sabah bulduğunuz o IP adresini bir "havuza" atsaydınız ve diğer banka o havuzdan veriyi otomatik alıp güvenlik duvarına işleseydi, saldırı onlara ulaşamadan engellenmiş olacaktı. İşte MISP, bu "dijital bağışıklık sistemini" kuran platformdur.
Bölüm 1: MISP Nedir?
Açılımı "Malware Information Sharing Platform" olsa da, günümüzde kapsamı genişlemiş ve **"Açık Kaynak Tehdit İstihbaratı Platformu"**na dönüşmüştür.MISP; kurumların siber tehdit göstergelerini (IoC), finansal dolandırıcılık bilgilerini ve zafiyet verilerini güvenli, standartlaşmış ve yapılandırılmış bir şekilde saklamasını ve paylaşmasını sağlayan ücretsiz bir yazılımdır.
NATO'dan Avrupa Birliği'ne, ulusal CERT'lerden (Siber Olaylara Müdahale Ekipleri) özel bankalara kadar siber istihbarat dünyasının standart iletişim aracıdır.
Bölüm 2: MISP'in Çalışma Mantığı: Olaylar ve Nitelikler
MISP karmaşık bir veritabanı gibi görünse de mantığı basittir. Veriyi hiyerarşik bir yapıda tutar:1. Olaylar (Events)
Her şey bir "Olay" ile başlar. Bu, istihbaratın kapsayıcı klasörüdür.- Örnek: "X Bankasına Yönelik Phishing Kampanyası - Aralık 2025"
2. Nitelikler (Attributes)
Olayın içindeki teknik delillerdir (IoC).- ip-dst: 185.x.x.x (Saldırganın IP'si)
- domain: https://www.google.com/search?q=sahte-giris.com
- md5: 5e8ff9... (Zararlı dosyanın imzası)
- filename: Fatura.exe
3. Korelasyon (Correlation) - MISP'in Sihri
Burası en kritik noktadır. Siz sisteme yeni bir olay girdiğinizde, MISP otomatik olarak veritabanını tarar.- "Hey! Senin şimdi girdiğin bu IP adresi, 6 ay önce İspanya'daki bir enerji şirketinin girdiği olayda da geçmişti."Bu özellik, birbirinden tamamen bağımsız görünen saldırılar arasındaki gizli bağlantıları ortaya çıkarır ve saldırganın kimliğini (Attribution) bulmanızı sağlar.
Bölüm 3: Paylaşım Modelleri ve Gizlilik
Kurumlar veri paylaşmaktan korkar. "Ya müşteri verim sızarsa?" endişesi haklıdır. MISP bunu Dağıtım (Distribution) ayarlarıyla çözer.Bir istihbaratı girerken şu seviyeleri seçebilirsiniz:
- Your Organization Only: Sadece benim ekibim görsün (Kişisel veritabanı).
- This Community Only: Sadece benim bağlı olduğum sunucudaki üyeler görsün (Örn: Sadece Türkiye Bankalar Birliği üyeleri).
- Connected Communities: Benim sunucumun konuştuğu diğer güvenilir sunucular da görsün.
- All Communities: Herkes görsün (Genellikle eski ve anonim veriler için).
Bölüm 4: Ekosistem – Galaksiler ve Nesneler
MISP sadece IP ve Hash tutmaz, bağlamı (Context) da tutar. Buna MISP Galaxies denir.Teknik veriyi stratejik bilgiye dönüştürür:
- "Bu IP adresi (Teknik Veri), Lazarus Grubu (Tehdit Aktörü) tarafından, WannaCry saldırısında (Saldırı Adı), Enerji sektörünü (Hedef) vurmak için kullanıldı."
Bölüm 5: Entegrasyon ve Otomasyon (API)
MISP'in en büyük gücü, insan eli değmeden savunma yapabilmesidir.Senaryo:
- US-CERT (Amerika Siber Güvenlik Merkezi), MISP üzerinden yeni bir fidye yazılımı IP listesi yayınladı.
- Sizin şirketinizin MISP sunucusu, bu veriyi otomatik olarak çekti (Sync).
- Sizin Güvenlik Duvarınız (Firewall) veya SIEM ürününüz, MISP API'sine bağlanıp "Yeni tehdit var mı?" diye sordu.
- IP listesini aldı ve otomatik olarak engelledi.
Bölüm 6: Nasıl Başlanır? (Feeds)
Kendi MISP sunucunuzu kurduğunuzda içi boştur. Onu doldurmak için Feed (Besleme) eklemeniz gerekir.Dünyada güvenilir ve ücretsiz istihbarat sağlayan kaynaklar vardır:- CIRCL (Lüksemburg CERT): MISP'in geliştiricileridir, en kaliteli veri buradadır.
- AlienVault OTX: Kalabalık kaynaklı istihbarat.
- DigitalSide Threat-Intel: Güncel zararlı URL listeleri.
Sonuç: Dijital NATO
Siber savaş asimetriktir. Saldırganın başarılı olması için binlerce denemeden sadece birinde haklı çıkması yeterlidir. Savunmacının ise her seferinde haklı çıkması gerekir.Bu adaletsizliği dengelemenin tek yolu MISP gibi platformlardır. Bilgiyi paylaşmak, gücü kaybetmek değil; kolektif bir kalkan oluşturmaktır.
Unutmayın; siber güvenlikte rakibiniz diğer şirketler değil, saldırganlardır.
