Stratejik Siber Tehdit İstihbaratı

Saldırı Başlamadan Aylar Önce;

Bir siber saldırı gerçekleşmeden çok önce başlar. Saldırganlar hedef şirketi araştırmaya başlar. Kurumsal yapıyı inceler, çalışanların linkedin profillerine bakar, dark web forumlarında eski çalışanlardan sızılmış erişim bilgilerini sorgular. Sistematik şekilde hedefe karşı bilgi toplamaya başlarlar.

Bu süreçte hedef şirket ne yapıyordur? Büyük ihtimalle günlük operasyonlarını yürütüyor, firewall kurallarını güncelliyor, antivirüs lisanslarını yeniliyor ya da yeni kurallar yazıyorlardır. Aslında savunma yapıyorlardır fakat hangi tehdide karşı olduğunu bilmeden.

İşte bu noktada Siber Tehdit İstihbaratı devreye girer. Amaç saldırı gerçekleşmeden önce saldırganı tanımlamak, niyetini anlamak ve savunmayı buna göre konumlandırmak gerekmektedir.

Siber Tehdit Gerçeği

Soyut tehdit analizlerinden önce, bugün yaşadığımız dünyanın somut verilerine bakmak gerekir.

Bu rakamlar bize tek bir şeyi söylüyor. Siber tehditler artık istisnai olaylar değil, öngörülebilir riskleridir ve buna göre hareket edilmelidir.

Siber Tehdit İstihbaratı Nedir?

CTI, bir organizasyona yönelik mevcut veya potansiyel siber tehditler hakkında toplanan, işlenen ve analiz edilen verileri ifade eder. IP adresleri, malware imzaları, deep web paylaşımları bunlardan bazılarıdır. CTI asıl amacı yalnızca 'ne oldu?' değil, 'ne olacak ve nasıl önleyebiliriz?' sorularını yanıtlamaktır.

CTI üç katmanda değerlendirilir:

Taktiksel CTI

Kötü amaçlı IP adresleri, zararlı dosya hash'leri, phishing domainleri gibi teknik göstergeler.

Operasyonel CTI

Belirli tehdit aktörlerinin kullandığı teknikler ve saldırı altyapıları.

Stratejik CTI

Sektörel tehdit trendleri, ülke kaynaklı saldırılar, hacker gruplarının motivasyonları.

Bu makalede odaklanacağımız alan Stratejik Siber Tehdit İstihbaratıdır. Çünkü en az anlaşılan, ancak kurumsal açıdan en fazla değer üreten katmandır.

Stratejik CTI

Stratejik CTI, klasik SOC yaklaşımından farklı olarak olay gerçekleştikten sonra değil, saldırı gerçekleşmeden önce tehditleri görmeyi hedefler. SOC ekipleri genellikle bir olayı anlık olarak ya da olay sonrasında tespit edip müdahale eder, nadiren de olsa olaydan hemen önce aksiyon alabilir. Ancak Stratejik CTI’nın amacı, saldırı henüz başlamadan önce tehdit sinyallerini analiz etmek ve organizasyonu hazırlamaktır.

Yaşanan bir saldırı da üst yönetimdeki her kimse tarafından ‘bu olay nasıl yaşandı?’ sorusundan hemen sonra ‘Neden biz ve bu durumun ne tür finansal etkileri var?’ soruları ortaya çıkarmaktadır.

Yukarıdaki bir fotoğrafta Nicotine adlı bir hacker grubuna ait sadece teknoloji sektöründeki bazı Türk firmalara karşı yapmış olduğu ataklar görülmektedir. Bu şirketlerin hepsinin ortak özellikleri var Türkiye merkezli ve Teknoloji sektöründe bulunmalıdır.

Teknik ekipler için bir saldırının nasıl gerçekleştiği önemlidir. Bu saldırı bizi neden hedef aldı? Sektörümüzde benzer vakalar yaşandı mı? Bu riskin finansal etkisi ne olabilir?

Stratejik CTI bu soruların yanıtını verir ve şu unsurlara odaklanır.

Hangi gruplar sektörünüzü hedef alıyor? Motivasyonları finansal mı, politik mi, istihbarat mı?
Devlet destekli aktörler ya da organize suç grupları hangi sektörlere, hangi dönemlerde yoğunlaşıyor?
Emsalleriniz hangi tehditlerle karşılaşıyor? Siz ne kadar hazırsınız?
Hangi tehditlere kaynak ayırmalısınız? Güvenlik bütçenizi nereye yönlendirmelisiniz?

Saldırganlar Sizi Nasıl Araştırıyor?

Siber tehdit istihbaratını anlamanın en etkili yolu, saldırganın zihin yapısını anlamaktır. Yeni bir araştırma olayı olan “Hacker Psikolojisi” tam olarak burada devreye girmektedir.

1. Keşif Aşaması

Saldırgan önce hedef kurumu dijital olarak haritalandırır. Şirketin web sitesi, sosyal medya hesapları, linkedin profilleri, iş ilanları ve basın bültenleri bu aşamada yoğun biçimde taranır. Kullanılan teknolojiler olabildiğince sessiz ve dikkat çekemeden kullanılmaktadır.

2. Dark Web İstihbaratı

Saldırganlar, hedef kuruma ait sızdırılmış kimlik bilgilerini dark web pazarlarında araştırır. 2024 yılında gerçekleştirilen saldırıların önemli bir bölümü, önceden çalınmış parola ve kullanıcı adı kombinasyonlarıyla hayata geçirilmiştir. ABD'nin en büyük sağlık kuruluşlarından UnitedHealth Group'a yapılan ve 100 milyon kişiyi etkileyen saldırı bile basit kimlik bilgisi hırsızlığıyla başlamıştır.

3. Yapay Zeka Destekli Sosyal Mühendislik

2025 yılı verilerine göre gerçekleşen veri ihlallerinin %16'sı doğrudan yapay zeka araçları kullanılarak (phishing veya deepfake saldırıları gibi) yürütülmüştür.

Palo Alto Unit 42 verilerine göre, 2025-2026 döneminde AI destekli saldırı hacmi %300 oranında artış göstermiştir. Bu artışta WormGPT, FraudGPT ve "KawaiiGPT" gibi etik bariyerleri olmayan "Dark AI" araçlarının siber suçu otomatize etmesi ve teknik bilgisi düşük kişilerin bile karmaşık saldırılar yapabilmesi etkili olmuştur.

Veriyi Değere Dönüştürmek

Etkili bir Siber Tehdit İstihbarat programı verinin toplanmasıyla başlayıp bitmez. Şu döngüsel süreçten geçer.
İzlenecek tehdit türlerini ve korunacak kritik varlıkları net şekilde belirlemek gerekir. CTI’nin temeli doğru tanımlanmış istihbarat ihtiyaçlarına dayanır.
OSINT kaynakları, threat feed servisleri, dark web izleme araçları ve sektörel paylaşım platformlarından (ISAC) veri toplanır ya da bu süreçleri merkezi olarak yöneten bir CTI ürünü üzerinden takip edilir.
Toplanan ham veri analiz edilerek bağlamlandırılır. False positive ayıklanır ve anlamlı tehdit örüntüleri ortaya çıkarılır.
Üretilen istihbarat doğru hedef kitleye uygun formatta iletilmelidir. Teknik ekipler için IOC listeleri ve teknik detaylarken üst yönetim için risk odaklı tehdit brifingleri hazırlanır.

CTI Yalnızca Büyük Şirketler İçin Değil

"Biz küçük bir şirketiz, neden hedef olalım?" Bu yanılgı, KOBİ'leri büyük saldırıların birincil giriş kapısı haline gelmektedir. Saldırganlar büyük balığa ulaşmak için zincirdeki en zayıf halkayı kullanır.

Küresel ölçekte gerçekleşen tüm siber saldırıların yarısından fazlası (%50'den fazlası) doğrudan küçük ve orta ölçekli işletmeleri hedef almaktadır. Üstelik siber saldırganlar için çoğu zaman büyük bir tedarikçi değil, küçük bir alt şirketlerin zayıf korunana sistemleridir.

Ölçeği ne olursa olsun her şirket şunlara ihtiyaç duyar.

Dark web'de şirket varlıkları ve çalışan bilgilerinin izlenmesi
Sektörel tehditlerden ve trendlerden haberdar olmak
Tedarik zinciri güvenlik değerlendirmesi
Varlıklar üzerinde anlık inceleme ve 7/24 bildirim.
Var olan varlıklarda ki zafiyetlerin belirlenmesi gibi ihtiyaçlardır.

Türkiye'de Yasal Zemin

2025 itibarıyla Türkiye’de siber güvenlik alanında kapsamlı bir yasal çerçeve oluşturulmuştur. 19 Mart 2025 tarihli ve 32846 sayılı Resmi Gazete’de yayımlanan 7545 sayılı Siber Güvenlik Kanunu yürürlüğe girmiştir. Bu kanun, ülke genelinde siber tehditlere karşı alınması gereken önlemleri, ulusal stratejileri ve hem kamu hem de özel sektördeki sorumlulukları hukuki zemine taşımaktadır.

Siber tehdit istihbarat ürünleri bu bağlamda çifte değer üretiyor. Hem gerçek saldırı riskini azaltıyor hem de yasal uyumluluk süreçlerini desteklemektedir.

Reaktiften Proaktife

Ocak 2026'da kötü amaçlı yazılım saldırılarında bir önceki aya göre %191'lik bir artışın yaşandığı dijital ortam da bu yaklaşım artık yeterli değildir. Siber Tehdit İstihbaratı bu durumu tersine çevirerek, tehditleri büyük veri kümelerindeki izlerini anlık analiz ederek henüz ortaya çıkmadan tespit etmenizi sağlamaktadır.

2025 yılına gelindiğinde, küresel siber suç maliyetinin yıllık 10,5 trilyon dolara ulaşarak dünyanın en büyük üçüncü ekonomisi haline gelmesi öngörülmekteydi. Türkiye'de ise 2024 yılında yaklaşık 1,5 milyon olan toplam ağ ve kötü amaçlı yazılım saldırı sayısı, 2025 yılında %80 oranında büyük bir düşüş göstererek 300.035'e gerilemiştir. Bu durumda stratejik CTI, siber güvenlik kararlarının teknik sezgiye değil somut tehdit verilerine dayanmasını sağlayarak bir veri ihlalinin maliyetini kurum başına ortalama 211.906 dolar azaltmaktadır.

"Siber güvenlikte en büyük risk, bilmediğinizi bilmemektir. Siber Tehdit İstihbaratı bu boşluğu kapatır."

Saldırganlar sizi aylar öncesinden araştırıyor. Asıl soru şu, “siz onları araştırıyor musunuz?”

Hackerlar dijital ayak izlerinizi takip ederken bir adım önde olun. İşletmenize yönelik potansiyel riskleri saldırı gerçekleşmeden tespit etmek ve proaktif savunma hattınızı kurmak için Siber Tehdit İstihbaratı sayfamızı ziyaret edin.

Tuba Kavgacı

Güvenlik Yönetimi Uzmanı

Teknolojide Kadın Blog, Mart 2026

SSL VPN Nedir?

Siber Güvenlik Operasyon Merkezi Nedir?

Phishing (Oltalama/Yemleme) Saldırısı Nedir?

DDoS Saldırısı Nedir?

2019 Yılında Dikkat Çeken Siber Güvenlik Trendleri

Fidye Yazılımı (Ransomware) Nedir?

KVKK İçin Almanız Gereken Tedbirler

KVKK Hakkında Merak Edilenler

Güvenlik Hizmeti Almanın Kurumun Faaliyetleri Açısından Önemi