İstihbarat Raporu Yazımı: Analitik Dil ve Karar Vericiler İçin Raporlama

İstihbarat Raporu Yazımı: Analitik Dil ve Karar Vericiler İçin Raporlama​

İstihbarat raporlaması, bir çeviri faaliyetidir. Sizin "SQL Injection yoluyla ele geçirilen hashlenmiş veri sızıntısı" dediğiniz şeyi, karar verici "Müşteri verilerimiz çalındı ve prestij kaybı yaşıyoruz" olarak okumalıdır.

İyi bir rapor, okuyucuya "Benim ne yapmam gerekiyor?" sorusunun cevabını saniyeler içinde vermelidir.

Bölüm 1: Raporun Altın Kuralı – BLUF (Bottom Line Up Front)​

Karar vericilerin vakti kısıtlıdır. 50 sayfalık raporun sonundaki "sonuç" kısmına bakmazlar. Bu yüzden istihbarat dünyasında BLUF kuralı uygulanır: En Önemli Bilgi En Başta.

Raporun ilk paragrafı şunları içermelidir:

• Ne oldu/olacak? (Tehdit nedir?)
• Bizi nasıl etkiler? (Risk nedir?)
• Ne yapmalıyız? (Öneri nedir?)

---

Bölüm 2: Analitik Dil ve Tahmin Dereceleri​

İstihbaratçı asla "Bence" demez. Ayrıca "Kesinlikle olacak" veya "Olabilir" gibi belirsiz kelimelerden kaçınır. Bunun yerine, CIA tarafından da kullanılan "Olasılık Kelimeleri" (Words of Estimative Probability) kullanılır.

• Neredeyse Kesin (%90-%99): Somut kanıtlar var.
• Muhtemelen (%60-%80): Veriler bu yöne işaret ediyor.
• Mümkün (%40-%50): İhtimal dahilinde ama yeterli veri yok.

---

Bölüm 3: İstihbarat Raporunun Standart Yapısı​

Profesyonel bir CTI (Cyber Threat Intelligence) raporu genellikle 4 ana bölümden oluşur:

1. Yönetici Özeti (Executive Summary)​

Teknik olmayan, stratejik özet. "Şirketimizin itibarı tehlikede, acil yama yapılması lazım" mesajını verir.

2. Tehdit Analizi (Threat Landscape)​

Saldırgan kim? (APT Grubu ismi), Hangi yöntemi kullanıyor? (TTP'ler), Neden bizi hedef alıyor? (Motivasyon).

3. Teknik Detaylar ve IoC'ler​

Burada mikroskobu devreye alıyoruz. Tespit edilen IP'ler, Hash'ler, domainler ve MITRE ATT&CK eşleşmeleri bu bölümdedir. (Teknik ekipler için).

4. Öneriler ve Hafifletme (Recommendations)​

"Ne yapmalıyız?" kısmıdır.

• Hemen: "Şu IP'leri firewall'dan engelleyin."
• Orta Vade: "Çalışanlara oltalama eğitimi verin."

---

Bölüm 4: Analitik Yanılgılardan Kaçınmak​

Bir analistin en büyük düşmanı kendi önyargılarıdır. Rapor yazarken şu tuzaklara düşmeyin:

• Ayna Görüntüsü (Mirror Imaging): "Saldırgan benim gibi düşünüyor" varsayımı. (Hayır, o bir suçlu veya devlet ajanı gibi düşünüyor).
• Teyit Önyargısı (Confirmation Bias): Sadece kendi hipotezinizi destekleyen verileri görüp, aksini kanıtlayanları görmezden gelmek.
• Grup Düşüncesi (Groupthink): Ekipteki herkes aynı şeyi söylüyor diye sorgulamadan kabul etmek.

---

Bölüm 5: Görselleştirmenin Gücü​

Karmaşık bir saldırı trafiğini anlatmak yerine bir "Saldırı Zaman Çizelgesi" (Timeline) veya "İlişki Grafiği" (Maltego çıktısı gibi) kullanın.

Bir grafik, binlerce satır log verisinden daha ikna edicidir.