Siber Tehdit İstihbaratı (CTI – Cyber Treat Intelligence), siber güvenlik tehditlerini tanımlayarak analiz etme sürecidir. ‘Tehdit istihbaratı’ terimi, potansiyel bir tehdit için verileri toplama, işleme ve analiz etme sürecini ifade eder.
Tehdit istihbaratı, firmaların siber güvenlikliklerini sağlamak için doğru kararları almasını sağlar. Siber saldırılarla mücadelede proaktif davranışları teşvik eder.
Tehdit istihbaratı, karar alma sürecine veri sağlamak için tüm bilgileri ve daha geniş resmi sorgulayarak doğru kararlar alınmasına yöneliktir.
Tehdit istihbaratı siber güvenlik sisteminin önemli bir parçasıdır. CTI (Cyber Treat Intelligence) olarak da adlandırılan bir siber tehdit istihbarat programı şunları yapabilir:
İyi yapılandırılmış bir CTI programı ile siber tehditleri tespit edebilir, veri ihlallerinin ve hassas bilgilerin açığa çıkmasını önleyebilirsiniz.
CTI, tehditleri tanımlayıp analiz ederek bilgisayar korsanlarının kullandığı kalıpları tespit eder ve kuruluşların gelecekteki saldırılara karşı korunmak için güvenlik önlemleri almasına yardımcı olur.
Bilgisayar korsanları her geçen gün kendilerini daha fazla geliştiriyor. Siber güvenlik uzmanları, buna ayak uydurmak için, siber suçlarla mücadeleye yönelik kolektif bir bilgi tabanı oluşturmak amacıyla gördükleri taktikleri topluluklarındaki diğer kişilerle paylaşıyor.
Siber güvenlik tehdit istihbaratı genellikle üç kategoriye ayrılır:
Bu genellikle teknik olmayan kişiler (örneğin; bir şirketin yönetim kurulu) için tasarlanmış üst düzey bir analizdir. Kapsamlı birçok kararını etkileyecek güvenlik konularını kapsar. Tehdit istihbaratı çoğunlukla herkesin erişebileceği sosyal medya paylaşımları, basındaki haberler, araştırma sonuçları gibi açık kaynaklara dayanır.
Yakın geleceğe odaklanır ve teknik açıdan daha yetkin bir kitle için tasarlanmıştır. BT ekiplerinin bir ağ içindeki belirli tehditleri aramasına ve ortadan kaldırmasına olanak sağlamak için basit güvenlik ihlali göstergelerini (IOC – Indicators Of Compromise) tanımlar. IOC’ler, zararlı IP adresleri, kötü amaçlı alan adları, olağandışı trafik, oturum açmayla ilgili şüpheli durumlar veya dosya/indirme isteklerindeki artış gibi unsurları içerir. Taktiksel istihbarat, üretilmesi en basit istihbarat şeklidir ve genellikle otomatiktir. Birçok IOC’nin hızla geçerliliğini yitirmesi nedeniyle genellikle kısa bir ömre sahip olur.
Operasyonel tehdit istihbaratı; geçmişteki siber saldırıları inceleyerek bu saldırıları kimin, neden ve nasıl yaptığıyla ilgilenir. Taktiksel tehdit istihbaratına göre daha uzun ömürlüdür ve daha fazla kaynak gerektirir.
Siber güvenlik uzmanları, tehdit istihbaratıyla ilgili olarak yaşam döngüsü kavramını kullanır. Siber tehdit istihbaratı yaşam döngüsü aşamaları şunlardır:
Bu aşama, tehdit istihbaratı programı için hedeflerin belirlenmesine odaklanır ve aşağıdaki süreci içerir:
• Kuruluşun hangi yönlerinin korunması gerektiğini anlamak ve potansiyel olarak bir öncelik sırası oluşturmak.
• Kuruluşun varlıkları korumak ve tehditlere yanıt vermek için hangi tehdit istihbaratına ihtiyacı olduğunu belirlemek.
• Bir siber ihlalin organizasyonel etkisini anlamak.
Bu aşama, Aşama 1’de belirlenen amaç ve hedefleri destekleyecek verilerin toplanmasıyla ilgilidir. Veri miktarı ve kalitesi, ciddi tehdit olaylarının kaçırılmasını önlemek için çok önemlidir. Bu aşamada kuruluşların veri kaynaklarını tanımlamaları gerekir ve aşağıdaki verileri içerebilir:
• Dahili ağlardan ve güvenlik cihazlarından ilgili veriler
• Güvenilir siber güvenlik kuruluşlarından beslenen tehdit verileri
• Bilgilendirilmiş paydaşlarla röportajlar
• Açık kaynak haber siteleri ve bloglar
Toplanan tüm verilerin kurumun kullanabileceği formata dönüştürülmesi ve farklı veri toplama yöntemleri için çeşitli işleme araçları gerektirecektir. Örneğin, insanlarla yapılan görüşmelerden elde edilen verilerin doğruluğunun kontrol edilmesi ve diğer verilerle çapraz kontrol edilmesi gibi.
Veriler önce kullanılabilir bir formata dönüştürülmeli, sonra analiz edilmelidir. Analiz, bilgiyi kurumsal kararlara rehberlik edebilecek istihbarata dönüştürme sürecidir. Bu kararlar şunlar olabilir:
• Güvenlik kaynaklarına yapılan yatırımın artırılıp artırılmayacağı
• Belirli bir tehdidin veya tehdit kümesinin araştırılıp araştırılmayacağı
• Acil bir tehdidi engellemek için hangi eylemlerin yapılması gerektiği
• Hangi tehdit istihbarat araçlarına ihtiyaç duyulduğu…
Bu aşama, analiz sonrası sonuçların firmanın paydaşlarına dağıtılmasını ifade eder. İşletme içindeki farklı ekiplerin farklı ihtiyaçları olacaktır. İstihbaratın yaygınlaştırılabilmesi için hedef kitlenin hangi istihbarata, hangi formatta ve ne sıklıkla ihtiyaç duyduğunu sormak gerekir.
Gelen geri bildirimler sayesinde tehdit istihbaratı programı iyileştirilebilir ve grupların hedef ve ihtiyaçları programa yansıtılabilir.
‘Yaşam döngüsü’ terimi, tehdit istihbaratının tek seferlik olmadığını ifade eder ve firmaların güvenlik süreçlerini sürekli iyileştirmek için kullandığı döngüsel ve tekrarlanan bir süreçtir.
Tehdit istihbaratından kimler yararlanır?
Güvenlikle ilgilenen herkes tehdit istihbaratından yararlanabilir.
Bir işletme yönetiyorsanız tehdit istihbaratının avantajları şunlardır:
Bilgisayar korsanları kendilerini sürekli geliştiriyor ve kurumların bilgisayar ağına girmenin yeni yollarını arıyor. Siber tehdit istihbaratı, işletmelerin yeni güvenlik açıklarını ortaya çıktıkça tanımlamasına olanak tanıyarak, veri kaybı veya günlük operasyonlarda kesinti riskini azaltır.
Veri ihlallerinden kaçınma
Kapsamlı bir tehdit istihbarat sistemi, bir şirketin sistemlerine sızmaya çalışan şüpheli IP adreslerini izleyerek veri ihlallerinin önlenmesini sağlar. İyi bir CTI sistemi, verilerinizi çalabilecek şüpheli IP adreslerini ağdan tespit edecektir. Bir CTI sistemi olmadığında, bilgisayar korsanları Dağıtık Hizmet Engelleme (DDoS – Distributed Denial of Service) saldırısı gerçekleştirmek için ağı sahte trafikle doldurabilirler.
Veri ihlalleri pahalıdır. 2021’de bir veri ihlalinin küresel ortalama maliyeti 4,24 milyon dolardı (sektöre göre değişmekle birlikte, en yüksek maliyet sağlık sektöründedir). Bu maliyetler, yasal ücretler ve para cezalarının yanı sıra olay sonrası eski durumuna döndürme maliyetleri gibi unsurları içerir. Siber tehdit istihbaratı, veri ihlali riskini azaltarak paradan tasarruf etmenize yardımcı olabilir.
Temel olarak tehdit istihbaratı analizi, bir şirketin siber riskleri ve bu riskleri azaltmak için hangi adımların gerekli olduğunu anlamasına yardımcı olur.
Faaliyetleri izleyen, sorunları tanımlayan ve güvenliğiniz için bilinçli kararlar vermeniz için ihtiyaç duyduğunuz verileri sağlayan bir programa ihtiyacınız var. Bir siber tehdit istihbarat programında aranması gereken özellikler şunlardır:
Her firmanın kendisine özel siber güvenlik ve tehdit istihbaratı ihtiyaçları vardır. Özel ihtiyaçlarınıza göre çözüm üretebilecek bir sistem aramalısınız.
Bilgisayar korsanları kendilerini sürekli güncelliyor; son zamanlarda girişi nasıl elde ettiklerini, ne istediklerini ve bunu nasıl elde ettiklerini güncel olarak takip eden bir şirkete ihtiyacınız var.
Bir siber tehdit istihbarat programı, şirketinizin saldırıları tanımlamasına ve riskleri azaltmasına yardımcı olmalıdır. Programın kapsamlı olması gerekir; örneğin, yalnızca olası sorunları tespit eden ama çözüm sunmayan bir program istemezsiniz.
Sürekli genişleyen bir tehdit ortamında, siber tehditler kuruluşunuz için ciddi sonuçlar doğurabilir. Ancak güçlü siber tehdit istihbaratıyla itibar ve mali zarara yol açabilecek riskleri azaltabilirsiniz.
Soitron olarak dünyanın en iyi siber güvenlik firmalarıyla çalışarak, firmanızın güvenliğini uçtan uca en güncel teknolojilerle koruyoruz.
Hemen iletişim formumuzu doldurun, firmanıza özel güvenlik çözümlerimiz hakkında bilgi verelim.
