Karanlıktaki Nöbetçi: SIEM Korelasyon Kuralları ve Mesai Dışı Erişim Tuzağı
Dijital bir altyapıda siber güvenliği sağlamak, sadece veri toplamak değil, o veriler arasındaki gizli ilişkileri anlamlandırmaktır. SIEM (Güvenlik Bilgi ve Olay Yönetimi), farklı kaynaklardan (Firewall, Sunucu, Veritabanı vb.) gelen milyonlarca log kaydını merkezileştiren ve Korelasyon Kuralları aracılığıyla tek başına anlam ifade etmeyen olayları birleştirerek gerçek saldırıları tespit eden bir kriz yönetim merkezidir.
Bir korelasyon kuralı, sisteme “düşünme biçimi” öğretir. Örneğin; “Kritik bir veritabanına, mesai saatleri dışında, alışılmışın dışında büyük bir veri sorgusuyla erişiliyorsa alarm üret” komutu, siber saldırganların en sevdiği sessiz zaman dilimlerini bir tuzağa dönüştürür. Ancak başarılı bir SIEM yönetimi, sadece alarm üretmek değil; yedekleme hesapları veya sistem bakım süreçleri gibi yasal işlemleri “Beyaz Liste” (Whitelist) ile ayıklayarak analistlerin yanlış alarmlarla (False Positive) boğulmasını engelleme sanatıdır.
Zeki saldırganlar, bu kurallara yakalanmamak için eylemlerini zamana yayan “Low and Slow” taktiklerini kullansa da, modern SIEM sistemleri UBA (Kullanıcı Davranış Analizi) ile istatistiksel anormallikleri takip ederek bu sinsi girişimleri yakalayabilir. SIEM ve korelasyon mantığı; karanlık ofislerde, sunucu odalarının derinliklerinde dolaşan sessiz ayak seslerini duyabilen ve kurumun en değerli hazinesini koruyan dijital bir radardır.
Side Channel Attack
Siber güvenlikte Side Channel Attack (Yan Kanal Saldırıları), bir şifreleme algoritmasının matematiksel zayıflıklarını bulmak yerine, o algoritmanın donanım üzerindeki “fiziksel davranışlarını” analiz ederek gizli verilere ulaşma yöntemidir. Bir işlemci bir veriyi işlerken ne kadar elektrik harcadığı, ne kadar ısı ürettiği veya işlemin ne kadar sürdüğü gibi ikincil sinyaller, saldırganın gizli şifreleme anahtarlarını tahmin etmesini sağlayan birer “bilgi sızıntısı” (leakage) kaynağıdır.
Bu saldırı sınıfı; Zamanlama Analizi (işlem süresindeki mikro farklar), Güç Analizi (elektrik tüketimindeki dalgalanmalar) ve Önbellek (Cache) Analizi (bellek erişim hızları) gibi farklı dallara ayrılır. Özellikle paylaşımlı bulut ortamlarında veya fiziksel erişime açık IoT cihazlarında bu riskler en üst seviyeye çıkar. Örneğin, ünlü Spectre ve Meltdown zafiyetleri, işlemcilerin hızlanmak için kullandığı “tahmin” mekanizmalarının bıraktığı yan kanal izlerini istismar ederek izolasyon sınırlarını yıkmıştır.
Yan kanal saldırılarına karşı en etkili savunma, “Sabit Zamanlı” (Constant-Time) kodlama yaparak işlem sürelerini eşitlemek, donanım seviyesinde gürültü (noise) ekleyerek sinyalleri maskelemek ve kritik anahtarları HSM veya TPM gibi izole donanım modüllerinde saklamaktır. Bu saldırılar çoğu zaman uzun süreli ve hassas ölçüm gerektirdiğinden, kurumsal savunma; doğru kripto kütüphanelerinin seçimi, güçlü fiziksel güvenlik ve donanım izolasyonunun birleşimiyle inşa edilir.
Karanlıktaki Radarlar: Siber Tehdit İstihbaratı (CTI) ve Taktiksel Avcılık
Modern siber dünyada sadece saldırı anında tepki vermek (reactive) yeterli değildir; asıl savunma, henüz saldırı gerçekleşmeden düşmanın niyetini ve yöntemlerini bilmektir. Siber Tehdit İstihbaratı (CTI); saldırganların kullandığı IP ve Hash gibi IoC (Uzlaşma Göstergeleri) verilerini toplayan, APT gruplarının TTP (Taktik, Teknik ve Prosedürler) analizlerini yapan proaktif bir savunma disiplinidir.
CTI süreci üç ana katmanda değer üretir: Taktiksel istihbarat ile güvenlik cihazları anlık olarak mühürlenir; Operasyonel istihbarat ile savunma ekipleri güncel oltalama senaryolarına karşı hazırlanır; Stratejik istihbarat ile yönetim kurulu finansal ve hukuki riskleri büyük resim üzerinden görür. Özellikle OSINT (Açık Kaynak İstihbaratı) teknikleri kullanılarak yapılan pasif bilgi toplama süreçleri, kurumun dış dünyaya sızan hassas verilerini (API anahtarları, şifreler vb.) hackerlardan önce bularak felaketleri önler.
KVKK Madde 12 uyarınca kurumlar, “gelişen teknolojik risklere karşı makul özeni” göstermekle yükümlüdür. Bu bağlamda, kamuya duyurulan bir tehdit istihbaratı raporunu (örneğin USOM duyuruları) takip etmemek ve ilgili yamayı geçmemek, bir veri ihlali durumunda hukuken “bilgisizlik” değil, “ağır ihmal” olarak değerlendirilir. Siber tehdit istihbaratı; verinin mahremiyetini sadece kalın duvarlarla değil, dış dünyadaki fırtınaları önceden sezip yelkenleri o fırtınaya göre ayarlayarak koruma sanatıdır.
Siber Savaş Hukuku: Devlet Destekli Saldırıların Silahlı Saldırı Eşiğini Aşıp Aşmadığının Teknik Atıf Kriterleri
Dijital dünyada devlet destekli operasyonlar, casusluk faaliyetlerinden kritik altyapılara yönelik fiziksel sabotaj eylemlerine evrilmiştir. Siber Savaş Hukuku, bir dijital eylemin ne zaman “güç kullanımı” veya “silahlı saldırı” (armed attack) sayılacağını belirleyen uluslararası normlar bütünüdür. Bu sürecin en kritik halkası olan Teknik Atıf (Technical Attribution); saldırgan IP’leri, malware imzaları ve C2 sunucu analizleri ile dijital delilleri belirli bir devlet mekanizmasıyla ilişkilendirme sanatıdır.
Uluslararası hukukta, özellikle Tallinn Manueli gibi rehber dokümanlarda vurgulandığı üzere, bir siber saldırının meşru müdafaa hakkını doğurabilmesi için yarattığı “ölçek ve etkinin” geleneksel bir kinetik saldırıya eşdeğer (can kaybı, fiziksel yıkım) olması gerekir. Ancak “Sahte Bayrak” (False Flag) operasyonları gibi teknik yanıltmalar, yanlış atıf riskini doğurarak istenmeyen konvansiyonel çatışmaları tetikleme potansiyeline sahiptir.
Geleceğin savunma doktrinleri, dijital adli bilişim (digital forensics) yeteneklerini diplomatik bir kanıt merkezi haline getiren ve “etkili kontrol” kriterini siber uzayda netleştiren yapılar üzerine kurulacaktır. Siber uzayda barış, ancak dijital eylemlerin hukuki karşılığının olduğu ve teknik atıf süreçlerinin şeffaf, standart ve bağlayıcı bir nitelik kazandığı bir ortamda sürdürülebilir.
Dijital Acil Servis: SOME Mimarisi ve İhlal Anında “Altın Saatler”
Siber güvenlikte bir ihlalin gerçekleşmesi kaçınılmaz kabul edildiğinde, asıl başarı saldırıyı durdurmaktan ziyade o saldırıya nasıl yanıt verildiğinde saklıdır. SOME (Siber Olay Müdahale Ekibi), bir siber saldırı tespit edildiği andan itibaren teknik analiz, adli bilişim ve hukuki süreçleri koordine eden kurumsal “acil müdahale” birimidir. Olay müdahale süreci; panikle hareket etmek yerine, kanıtları koruyarak saldırganı izole etmeyi hedefleyen disiplinli bir IR (Incident Response) Planı üzerine kuruludur.
Müdahalenin “Altın Saatleri”nde yapılan en kritik hata, sistemleri aniden kapatmaktır; oysa SOME, uçucu verileri (RAM içeriği, aktif ağ bağlantıları) toplamak için sistemin Adli Kopyasını (Forensic Image) almadan kalıcı işlem yapmaz. İzolasyon (Containment) aşamasında saldırganın yayılımı (Lateral Movement) engellenirken, eş zamanlı olarak KVKK ve GDPR kapsamında zorunlu olan 72 saatlik bildirim süreci başlatılır. Bu süreçte ihlalin boyutu, etkilenen kişi sayısı ve sızan veri kategorileri hızla raporlanmalıdır.
Başarılı bir SOME mimarisi, sadece teknik ekiplerden değil; hukuk, halkla ilişkiler ve üst yönetimden oluşan çok katmanlı bir ekiptir. Olayın ardından yapılan Post-Mortem (Otopsi) toplantısı ise, zafiyetlerin neden tespit edilemediğini analiz ederek kurumun bir sonraki saldırıya karşı bağışıklık kazanmasını sağlar. Siber dünyada profesyonel müdahale, kaosu veriye, veriyi ise kurumsal savunma kalkanına dönüştürme sanatıdır.
Siber Güvenlik Yatırımının Geri Dönüşü (ROSI): Güvenlik Harcamalarının Somut Risk Azaltma Metrikleriyle Finansal Olarak Gerekçelendirilmesi
Kurumsal yönetimde siber güvenlik, genellikle kâr üretmeyen bir maliyet merkezi olarak algılanır. Ancak ROSI (Return on Security Investment), bu bakış açısını değiştirerek güvenlik yatırımlarının “ne kadar gelir getirdiği” yerine “ne kadar kaybı önlediği” üzerine odaklanan bir finansal metriktir. ROSI, siber güvenlik harcamalarını teknik bir zorunluluktan, kurumun finansal sağlığını koruyan stratejik bir risk yönetimi aracına dönüştürür.
Hesaplama sürecinin kalbinde ALE (Annualized Loss Expectancy – Yıllık Beklenen Kayıp) yer alır. Bir tehdidin gerçekleşme olasılığı ile oluşturacağı finansal etki (downtime, yasal cezalar, itibar kaybı) çarpılarak, güvenlik yatırımı yapılmadığı takdirde göze alınan risk sayısallaştırılır. Güvenlik çözümünün bu riski azaltma oranı (Risk Reduction Factor), yatırımın maliyetiyle (TCO) karşılaştırılarak somut bir getiri oranı ortaya konur.
Etkili bir ROSI stratejisi; dijital varlıkların doğru değerlenmesi, geçmiş olay maliyetlerinin takibi ve teknik risklerin yönetim kurulunun anlayacağı finansal dile tercüme edilmesiyle mümkündür. Siber güvenlik yatırımlarını “sigorta primi” mantığıyla savunmak, kurumun siber direncini artırmak için gereken bütçe desteğini almanın ve stratejik iş hedefleriyle uyumlanmanın en garantili yoludur.
Senin için başka ne yapabilirim?
Görünmez Tüneller: Shadow IT (Gölge Bilişim) Tehlikesi ve Buluttaki KVKK Kabusu
Kurumsal siber güvenlikte “göremediğin şeyi koruyamazsın” ilkesini tehdit eden en büyük unsurlardan biri, IT departmanının onayı ve denetimi dışında kullanılan uygulama ve cihazları ifade eden Shadow IT (Gölge Bilişim)’dir. Çoğunlukla kötü niyetle değil, iş süreçlerini hızlandırmak amacıyla (ücretsiz PDF dönüştürücüler, kişisel bulut depolamalar, kontrolsüz mesajlaşma grupları) tercih edilen bu araçlar, kurumsal verilerin güvenlik kalkanının dışına taşmasına neden olur.
Teknik açıdan Shadow IT, DLP ve Firewall gibi savunma mekanizmalarını etkisiz kılarak veriyi “kör noktalara” taşır. Hukuki açıdan ise, verinin sunucuları yurtdışında bulunan kontrolsüz bulut servislerine aktarılması, KVKK nezdinde ağır yaptırımları olan “Yurtdışına İzinsiz Veri Aktarımı” ve “Aydınlatma Yükümlülüğü İhlali” suçlarını doğurur. Ayrıca, kurumun haberi olmayan bir bulut hesabında kalan veriler, “Unutulma Hakkı” taleplerinin yerine getirilmesini imkansız kılar.
Gölge bilişimle mücadele etmek sadece yasaklamakla değil, çalışanların ihtiyaçlarını anlayıp onlara güvenli kurumsal alternatifler sunmakla mümkündür. CASB (Cloud Access Security Broker) teknolojileriyle ağdaki görünmez trafiği tespit etmek ve sürekli farkındalık eğitimleriyle “verinin ağırlığını” personele aşılamak, gölgeleri aydınlatmanın ve buluttaki KVKK kabusunu engellemenin tek yoludur.
Sertifika Şeffaflık Logları (Certificate Transparency): Sahte SSL Sertifikalarının Tespiti ve Kullanıcı Veri Güvenliği
İnternet trafiğinin şifrelenmesini sağlayan SSL/TLS sertifikaları, Sertifika Makamları (CA) tarafından üretilir. Ancak geçmişteki hatalı üretimler ve saldırılar, Certificate Transparency (CT) sisteminin doğuşuna yol açmıştır. CT, dünya genelinde yayınlanan her SSL sertifikasının halka açık, değiştirilemez ve denetlenebilir dijital günlüklere kaydedilmesini zorunlu kılan bir güvenlik çerçevesidir.
Sistem, kriptografik bir veri yapısı olan Merkle Tree üzerine inşa edilmiştir. Bir CA sertifika ürettiğinde, bunu CT log sunucusuna gönderir ve karşılığında bir SCT (Signed Certificate Timestamp) alır. Modern web tarayıcıları, bir siteye girildiğinde bu SCT damgasını kontrol eder; eğer sertifika loglanmamışsa bağlantıyı “güvensiz” olarak işaretler. Bu şeffaflık, saldırganların bir kurum adına gizlice sahte sertifika üretip kullanıcı verilerini çalmasını (MITM saldırıları) anında fark edilebilir kılar.
Kurumsal perspektifte CT, bir “erken uyarı sistemi” görevi görür. Şirketler, kendi alan adları için izinsiz üretilen sertifikaları anlık olarak takip ederek phishing ve typosquatting saldırılarını henüz başlamadan engelleyebilirler. Certificate Transparency; dijital güvenin mutlak otoritelere değil, ispatlanabilir ve halka açık verilere dayanması gerektiğini kanıtlayan, TLS/SSL ekosisteminin en güçlü denetim mekanizmasıdır.
Reverse Engineering (Tersine Mühendislik) Teknikleri
Siber güvenlikte Tersine Mühendislik (Reverse Engineering), bir yazılımın veya ikili dosyanın (binary) kaynak koduna sahip olmadan, onun iç mantığını, çalışma prensibini ve potansiyel risklerini anlama disiplinidir. Bu süreç, özellikle zararlı yazılım analizi (malware analysis) ve sıfırıncı gün (0-day) zafiyet araştırmalarında savunma hattının en güçlü silahıdır.
Analiz süreci iki ana koldan ilerler: Statik Analiz, dosyayı çalıştırmadan string’ler, API çağrıları ve kontrol akış grafikleri üzerinden niyet okuması yaparken; Dinamik Analiz, yazılımı izole bir “Sandbox” veya sanal makinede çalıştırarak gerçek zamanlı sistem çağrılarını, ağ trafiğini ve bellek değişimlerini gözlemler.
Modern saldırganlar, analizleri zorlaştırmak için Obfuscation (kod karartma) ve Anti-VM (sanal makine tespiti) gibi teknikler kullansa da, metodik bir tersine mühendislik iş akışı; bu engelleri aşarak saldırganın TTP’lerini (Taktik, Teknik ve Prosedürler) ortaya çıkarır. Kurumsal düzeyde bu yetenek; sadece bir “kod çözme” uğraşı değil, elde edilen bulguların SIEM/EDR kurallarına ve somut tehdit istihbaratına dönüştürüldüğü stratejik bir üretim sürecidir.
Kilitli Kasalar ve Çift Katmanlı Şantaj: Fidye Yazılımı Bir “Veri İhlali” midir?
Dijital dünyada fidye yazılımı saldırıları artık basit bir dosya şifreleme olayından, kurumun tüm itibarını ve yasal varlığını hedef alan sofistike bir rehin alma operasyonuna evrilmiştir. KVKK ve GDPR perspektifinden bakıldığında; verinin çalınmasına gerek kalmaksızın, sadece şifrelenerek yetkili kişilerce ulaşılamaz hale getirilmesi bile net bir **”Erişilebilirlik (Availability) İhlali”**dir ve 72 saatlik yasal bildirim sürecini başlatır.
2019 yılından itibaren siber suç örgütleri, şirketlerin yedekleme (backup) savunmalarını aşmak için Çift Katmanlı Şantaj (Double Extortion) taktiğini devreye almıştır. Bu yöntemde saldırganlar, şifreleme bombasını patlatmadan önce haftalarca sistemde kalarak (Dwell Time) kritik verileri dışarı sızdırırlar (Data Exfiltration). Yedeklerinden dönen kurumlara karşı ise “Verilerinizi Dark Web’de yayınlarız” tehdidiyle ikinci bir darbe vurarak krizi devasa bir **”Gizlilik İhlali”**ne dönüştürürler.
Log yönetimi ve SIEM altyapısı zayıf olan kurumlar, “Schrödinger’in Verisi” paradoksuyla karşı karşıya kalarak verinin sızmadığını ispatlayamadıkları için en ağır cezalarla yüzleşirler. Şeytanla pazarlık anlamına gelen fidye ödemesi ise; verinin silineceğine dair hiçbir garanti sunmadığı gibi, uluslararası yaptırım listesindeki gruplara ödeme yapılması durumunda kurumu “terörizmi finanse etmek” gibi ağır suçlarla karşı karşıya bırakabilir. Modern savunma; şifrelendikten sonra fidyeyi düşünmek değil, Immutable Backups (Değiştirilemez Yedekleme) ve Zero Trust mimarisiyle bu yıkımı en baştan engellemektir.