Siber Tehdit İstihbaratı (Cyber Threat Intelligence – CTI), bir organizasyonun bilişim sistemlerine, verilerine veya operasyonlarına yönelik mevcut ve potansiyel siber tehditleri belirlemek, analiz etmek ve bu tehditlere karşı önceden savunma mekanizmaları geliştirmek amacıyla toplanan kanıta dayalı bilgi bütünüdür.
Büyük veri yığınları tek tek incelenerek bu verilerin gerçeklikle bağı olup olmadığı saptanır. Bir siber saldırının engellenmesi için, saldırının önceden tespit edilebilir ve karşı önlem alınabilir olması şarttır. Gerekli analizlerin proaktif bir yaklaşımla yapılması sonucunda, güvenlik zafiyetleri kötü niyetli aktörler tarafından sömürülmeden önce potansiyel saldırıların önüne geçilmesi sağlanabilir.
Kurumların Dark Web ve Forum Taramaları
Günümüzde kurumlar kendi içlerinde küçük ekipler kurarak ya da bu alanda uzmanlaşmış servislerden destek alarak siber dünyayı sürekli izlerler. Siber tehdit istihbaratı çalışmaları kapsamında, özellikle yeraltı siber dünyası olarak bilinen Dark Web forumlarında (XSS, Raidforums, Hackforums, Exploit, Evilzone, Nulled, Dread vb.) sızdırılmış veriler, satılığa çıkartılmış sample (örneklendirilmiş dağıtım) paketler ve doğrudan firmanın isminin geçtiği veya anıldığı tüm içerikler incelikle taranıp analiz edilir.
Siber Tehdit İstihbaratının Temel Seviyeleri
Siber tehdit istihbaratı, kullanım amacına ve hitap ettiği kitleye göre üç temel seviyede ele alınır:
Stratejik İstihbarat: Genellikle üst düzey yöneticilere (CISO, CIO vb.) hitap eder. Siber tehdit trendlerini, saldırganların motivasyonlarını ve küresel risk analizlerini içerir; uzun vadeli güvenlik yatırımlarına yön verir.
Taktiksel İstihbarat: Siber saldırganların kullandığı TTP’leri (Teknikler, Taktikler ve Prosedürler) inceler. Güvenlik analistlerinin ve SOC ekiplerinin, saldırganların hangi yöntemlerle sisteme sızmaya çalışacağını anlamasını sağlar.
Operasyonel (Teknik) İstihbarat: Doğrudan güvenlik cihazlarının (Firewall, SIEM, IDS/IPS) beslenmesinde kullanılan teknik göstergelerdir. Zararlı IP adresleri, kötü amaçlı dosya hash bilgileri (MD5, SHA256) ve phishing domainleri gibi anlık engelleme listelerini (IoC) içerir.