• Proaktif Savunma: Gelecekteki saldırıların işaretlerini önceden tespit ederek, güvenlik duvarları, izinsiz giriş tespit sistemleri ve diğer güvenlik kontrolleri güncellenebilir.
• Risk Azaltma: En kritik varlıkların korunmasına odaklanarak, potansiyel güvenlik açıkları kapatılır ve saldırı yüzeyi daraltılır.
• Olay Müdahale Süreçlerinin Hızlandırılması: Bir saldırı anında, önceden elde edilmiş istihbarat sayesinde saldırının kaynağı, kapsamı ve amacı daha hızlı anlaşılır, böylece müdahale süresi kısalır.
• Karar Verme Süreçlerinin Desteklenmesi: Güvenlik ekipleri, C-level yöneticiler ve risk yöneticileri, tehdit ortamı hakkında güncel ve doğru bilgilere dayanarak stratejik ve operasyonel kararlar alabilirler.
• Kaynak Verimliliği: Sınırlı güvenlik kaynaklarının en kritik tehditlere yönlendirilmesini sağlar, böylece yatırım getirisi (ROI) artırılır.

• Planlama ve Yönlendirme: İstihbarat ihtiyacının belirlendiği aşamadır. Kuruluşun kritik varlıkları, tehdit modelleri ve bilgi gereksinimleri tanımlanır. Örneğin, "Finansal verilerimizi hedef alan fidye yazılımı grupları hakkında bilgiye ihtiyacımız var." gibi sorular yönlendirici olur.
• Toplama: Çeşitli kaynaklardan ham verinin toplandığı aşamadır. Bu kaynaklar açık kaynak istihbaratı (OSINT), siber güvenlik toplulukları, tehdit beslemeleri, dark web, insan istihbaratı (HUMINT) ve teknik istihbarat (SIGINT) olabilir. Veri, kötü amaçlı IP adresleri, alan adları, dosya hash'leri, TTP'ler ve aktör bilgileri içerebilir.
• İşleme: Toplanan ham verinin analiz edilebilir formata dönüştürüldüğü aşamadır. Bu, verinin temizlenmesi, normalleştirilmesi, sınıflandırılması ve depolanması anlamına gelir. STIX/TAXII gibi standartlar bu aşamada önemli rol oynar.
• Analiz: İşlenmiş verinin anlamlı istihbarata dönüştürüldüğü kritik aşamadır. Analistler, ilişkileri kurar, desenleri belirler, tehdit aktörlerinin profilini çıkarır ve potansiyel saldırı senaryolarını tahmin ederler. MITRE ATT&CK çerçevesi bu aşamada saldırı tekniklerini ve taktiklerini anlamak için sıkça kullanılır.
• Yayma: Oluşturulan istihbaratın ilgili paydaşlara zamanında ve uygun formatta iletildiği aşamadır. Bu, raporlar, uyarılar, gösterge listeleri veya entegre güvenlik sistemleri aracılığıyla yapılabilir. C-level yöneticilere stratejik raporlar, SOC analistlerine ise teknik IOC'ler gönderilebilir.
• Geri Bildirim: Yaygınlaştırılan istihbaratın etkinliğinin değerlendirildiği ve gelecek istihbarat döngülerini geliştirmek için geri bildirim alındığı aşamadır. Bu, istihbaratın doğruluğunu, zamanlamasını ve kullanılabilirliğini iyileştirmeye yardımcı olur.

• Stratejik Siber Tehdit İstihbaratı: Uzun vadeli tehdit eğilimlerine, tehdit aktörlerinin motivasyonlarına, hedeflerine ve genel siber güvenlik politikalarına odaklanır. Genellikle C-level yöneticiler ve risk yöneticileri için hazırlanır. Örneğin, devlet destekli siber saldırı gruplarının genel stratejileri hakkında bilgi.
• Operasyonel Siber Tehdit İstihbaratı: Belirli saldırı kampanyaları, tehdit aktörlerinin kullandığı altyapılar ve yakında gerçekleşebilecek saldırı operasyonları hakkında bilgi sağlar. SOC ve olay müdahale ekipleri için kritiktir. Örneğin, belirli bir fidye yazılımı grubunun son hedefleri veya kullanılan yeni C2 sunucuları.
• Taktiksel Siber Tehdit İstihbaratı: Anında eyleme dönüştürülebilir, kısa vadeli ve teknik göstergelere (IOC'ler) odaklanır. Kötü amaçlı IP adresleri, alan adları, dosya hash'leri, URL'ler gibi bilgiler içerir. Güvenlik cihazlarına doğrudan entegre edilebilir.
• Teknik Siber Tehdit İstihbaratı: Kötü amaçlı yazılım analizleri, zafiyet keşifleri ve exploit kodları gibi derinlemesine teknik detayları içerir. Araştırmacılar ve tersine mühendislik uzmanları için değerlidir.

• MITRE ATT&CK Çerçevesi: Saldırganların taktik ve tekniklerini sınıflandıran küresel olarak erişilebilir bir bilgi tabanıdır. STI ekipleri, bu çerçeveyi kullanarak saldırıları daha iyi anlayabilir, güvenlik kontrollerini eşleştirebilir ve tehdit avcılığı yapabilir.
• STIX (Structured Threat Information Expression) ve TAXII (Trusted Automated Exchange of Indicator Information): Siber tehdit istihbaratını paylaşmak ve değiş tokuş etmek için geliştirilmiş standartlardır. STI platformları arasında otomasyonu ve entegrasyonu kolaylaştırır.
• Tehdit Avcılığı (Threat Hunting): Pasif tespit yerine proaktif olarak ağlarda ve sistemlerde gizlenmiş tehditleri arama sürecidir. STI verileri, avcılık için hipotezler oluşturmada kilit rol oynar.
• SIEM (Security Information and Event Management) ve SOAR (Security Orchestration, Automation and Response) Sistemleri: Bu platformlar, STI beslemelerini entegre ederek güvenlik olaylarını zenginleştirir, uyarıları önceliklendirir ve otomatik yanıt eylemleri tetikler.
• Otomatik Analiz Platformları: Sanal ortamda kötü amaçlı yazılımları veya şüpheli dosyaları analiz eden sandbox çözümleri.

• Planlama: Ryuk'un TTP'leri ve ilişkili IOC'leri hakkında bilgi toplama ihtiyacı belirlenir.
• Toplama: Açık kaynaklardan, ticari tehdit beslemelerinden ve dark web forumlarından Ryuk'un son varyantları, kullanılan exploitler ve C2 sunucuları hakkında veri toplanır. Örneğin, yeni bir Ryuk kampanyası için kullanılan bir IP adresi tespit edilir.
• İşleme: Toplanan IP adresi ve diğer IOC'ler, kuruluşun güvenlik sistemlerine entegre edilecek formata dönüştürülür.
• Analiz: Analistler, bu IP adresinin daha önceki Ryuk saldırılarıyla olan ilişkisini, hangi zafiyetleri hedeflediğini ve olası yayılma yollarını inceler. MITRE ATT&CK çerçevesindeki 'Lateral Movement' veya 'Execution' teknikleriyle eşleştirilebilir.
• Yayma: Tespit edilen kötü amaçlı IP adresi, güvenlik duvarlarına, IPS sistemlerine ve EDR çözümlerine otomatik olarak iletilir. SOC analistlerine, Ryuk'un son TTP'lerini içeren bir uyarı ve müdahale planı gönderilir. Yöneticilere ise potansiyel risk ve alınacak önlemler hakkında özet bir rapor sunulur.
• Geri Bildirim: Bu istihbaratın saldırıyı önlemede ne kadar etkili olduğu değerlendirilir ve gelecekteki istihbarat toplama çabaları buna göre ayarlanır.

python

import requests
import json

def get_threat_indicators(api_url, api_key):
    headers = {"Authorization": f"Bearer {api_key}"}
    try:
        response = requests.get(api_url, headers=headers)
        response.raise_for_status() # HTTP errors
        return response.json()
    except requests.exceptions.RequestException as e:
        print(f"API isteği sırasında hata oluştu: {e}")
        return None

# Örnek kullanım
# threat_feed_url = "https://threat_intelligence_platform.com/api/v1/indicators"
# my_api_key = "YOUR_API_KEY"
# indicators = get_threat_indicators(threat_feed_url, my_api_key)
# if indicators:
#     print(json.dumps(indicators, indent=2))
#     for indicator in indicators.get("data", []):
#         print(f"Type: {indicator.get('type')}, Value: {indicator.get('value')}")

Uzman Görüşü' Alıntı:

"Siber tehdit istihbaratı, günümüzün hızla değişen siber tehdit manzarasında bir pusula görevi görmektedir. Sadece reaktif savunma değil, proaktif önlemler alarak kuruluşların dijital varlıklarını korumalarını sağlar. Bu, artık lüks değil, bir zorunluluktur."

Genişletmek için tıkla ...