Tehdit Avcılığı (Threat Hunting) ve İstihbarat İlişkisi

Tehdit Avcılığı (Threat Hunting) ve İstihbarat İlişkisi​

Klasik bir Güvenlik Operasyon Merkezi (SOC) "reaktif" çalışır. Güvenlik duvarından veya antivirüsten bir uyarı (alert) gelir, analist bu uyarıyı inceler ve müdahale eder. Bu, yangın çıktıktan sonra itfaiyeyi çağırmaya benzer.

Tehdit Avcılığı (Threat Hunting) ise proaktiftir. Herhangi bir alarm çalmasa bile, analistin "Sistemimde kesinlikle bir saldırgan var, sadece henüz bulamadım" varsayımıyla (Presumption of Compromise) sistemin derinliklerinde iz sürmesidir.

Amaç, saldırganın sistemde geçirdiği "Boş Zamanı" (Dwell Time) minimuma indirmektir. İstatistiklere göre, gelişmiş bir saldırganın (APT) sistemde fark edilmeden kalma süresi ortalama 200 gündür. Tehdit avcılığı, bu süreyi saatlere indirmeyi hedefler.

Bölüm 1: Avcılık ve İstihbaratın Dansı​

Tehdit avcılığı rastgele bir arama değildir. "Samanlıkta iğne aramak" zordur; ama iğnenin neye benzediğini ve samanlığın neresine düştüğünü bilirseniz işiniz kolaylaşır. İşte Siber Tehdit İstihbaratı (CTI) burada devreye girer.

İstihbarat, avcıya "neyi" arayacağını söyler.

• CTI (Girdi): "Lazarus grubu, finans sektörünü hedef alan yeni saldırısında svchost.exe adını taklit eden, ancak Temp klasöründe çalışan bir zararlı yazılım kullanıyor."
• Hunting (Aksiyon): Avcı hemen tüm ağdaki bilgisayarları sorgular: "Bana Temp klasörü altında çalışan tüm svchost.exe dosyalarını getir."

Bu ilişki döngüseldir. Avcı tehdidi bulduğunda, elde ettiği yeni IP ve Hash bilgilerini İstihbarat ekibine verir. İstihbarat ekibi bunu veritabanına (MISP) işler ve gelecekteki saldırıları engeller.

Bölüm 2: Avcılık Metodolojileri​

Tehdit avcıları üç temel yöntem kullanır:

1. Hipotez Tabanlı Avcılık (Hypothesis-Driven)​

En yaygın ve etkili yöntemdir. Avcı, MITRE ATT&CK matrisinden veya güncel istihbarattan yola çıkarak bir "hipotez" (varsayım) kurar.

• Hipotez: "Saldırganlar sisteme sızdıysa, kalıcılık sağlamak için PowerShell kullanarak 'Registry Run Keys' (Kayıt Defteri Başlangıç Anahtarları) eklemiş olabilirler."
• Av: Son 30 günde kayıt defterinde yapılan değişiklikler taranır ve şüpheli PowerShell komutları aranır.

2. İstihbarat Tabanlı Avcılık (Intel-Based)​

Bilinen IoC'lere (Hash, IP, Domain) dayanır.

• Senaryo: US-CERT yeni bir APT raporu yayınladı. Raporun içindeki 50 adet kötü amaçlı IP adresini alıp, SIEM (Log Yönetimi) sisteminde geriye dönük (son 1 yıl) taratırsınız. "Bu IP adresleri daha önce bizimle hiç iletişim kurmuş mu?"

3. Analitik ve Anomali Tabanlı (Analytics-Driven)​

Makine öğrenimi (ML) ve kullanıcı davranışı analizi (UEBA) kullanılır.

• Senaryo: "Muhasebe departmanındaki Ahmet Bey, normalde mesai saatlerinde ve İstanbul'dan bağlanır. Ancak dün gece 03:00'te ve Ukrayna IP'sinden sisteme girip 5 GB veri indirdi."Burada bilinen bir virüs yoktur, ama bariz bir "anomali" vardır.

---

Bölüm 3: Avcının Sahası – Nereye Bakmalı?​

Tehdit avcıları "Uç Nokta" (Endpoint) ve "Ağ" (Network) verilerine bakarlar. Ancak en zengin maden Endpoint verileridir.

Bir avcının en çok incelediği 4 kritik alan:

1. Process (Süreçler): Ebeveyn-Çocuk ilişkisi. (Örn: Word.exe programının içinden PowerShell.exe çalışması normal değildir).
2. Registry (Kayıt Defteri): Saldırganların saklandığı yer. (Örn: Bilgisayar açılınca çalışan gizli scriptler).
3. Network Connections (Ağ Bağlantıları): Hangi program nereye bağlanıyor? (Örn: Notepad.exe neden internete bağlanıp Rusya'daki bir sunucuya veri gönderiyor?).
4. File Modifications (Dosya Değişiklikleri): Hassas klasörlerde oluşturulan yeni dosyalar.

---

Bölüm 4: Avcının Silahları (Araçlar)​

Tehdit avcılığı için "Görünürlük" (Visibility) her şeydir. Göremediğinizi avlayamazsınız.

• SIEM (Security Information and Event Management): Splunk, ELK Stack veya QRadar. Tüm logların toplandığı havuzdur. Avcı sorgularını burada çalıştırır.
• EDR (Endpoint Detection and Response): CrowdStrike, SentinelOne veya Microsoft Defender for Endpoint. Bilgisayarların röntgenini çeker. Avcının en güçlü silahıdır.
• Sysmon (System Monitor): Microsoft'un ücretsiz ama efsanevi aracıdır. Windows loglarını inanılmaz detaylandırır. Birçok ücretli üründen daha iyi veri sağlar.
• YARA: Dosyaları hash değerine göre değil, içeriğindeki "metin veya hex kodlarına" göre arayan bir kalıp eşleştirme aracıdır.

---

Bölüm 5: Avcılık Olgunluk Modeli (HMM)​

Her kurum tehdit avcılığı yapamaz. Kurumların seviyesi 0'dan 4'e kadar sınıflandırılır:

• Seviye 0 (Başlangıç): Sadece otomatik alarmlara bakar. Avcılık yoktur.
• Seviye 1 (Minimal): Sadece yeni bir istihbarat raporu geldiğinde manuel arama yapar.
• Seviye 2 (Prosedürel): Düzenli olarak belirli prosedürleri (örneğin her hafta DNS loglarını kontrol etmek) uygular.
• Seviye 3 (Yenilikçi): Kendi veri analiz yöntemlerini geliştirir, yeni saldırı tekniklerini (TTP) avlar.
• Seviye 4 (Lider): Avcılık sürecini tamamen otomatize etmiştir. Bir avcı yeni bir tehdit bulduğunda, sistem bunu öğrenir ve bir daha manuel aramaya gerek kalmadan otomatik yakalar.

Sonuç: Sessizliği Dinlemek​

Siber güvenlikte "sessizlik" her zaman iyiye işaret değildir. Bazen sessizlik, saldırganın güvenlik duvarlarını çoktan aştığını ve içeride gizlice veri çaldığını gösterir.

Tehdit Avcılığı, bu sessizliği bozma cesaretidir. Bir analistin ekranına düşen kırmızı bir uyarıyı beklemeden; merakı, zekası ve istihbarat verisiyle dijital ormanda "görünmez adamın" peşine düşmesidir.

Unutmayın; en tehlikeli tehdit, varlığından haberdar olmadığınız tehdittir.