Siber sald\u0131r\u0131lar her ge\u00e7en g\u00fcn daha karma\u015f\u0131k ve gizemli hale gelirken, geleneksel g\u00fcvenlik y\u00f6ntemleri \u00e7o\u011fu zaman yetersiz kal\u0131yor. Sistemlerinizin derinliklerinde, operasyonlar\u0131n kalbinde gizlenen o “k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge”yi, yani \u00e7al\u0131\u015fma zaman\u0131 tehditlerini fark etmek art\u0131k bir l\u00fcks de\u011fil, zorunluluktur. Bu makale, dinamik tehditleri nas\u0131l izleyip durduraca\u011f\u0131n\u0131z\u0131 ad\u0131m ad\u0131m a\u00e7\u0131klayarak dijital d\u00fcnyan\u0131z\u0131n g\u00f6r\u00fcnmez bek\u00e7isi olman\u0131z\u0131 sa\u011flayacak.<\/p>\n
Modern siber g\u00fcvenlik stratejilerinin temel ta\u015flar\u0131ndan biri olan \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama (Runtime Threat Detection), ad\u0131ndan da anla\u015f\u0131laca\u011f\u0131 \u00fczere, bir uygulaman\u0131n veya sistemin aktif olarak \u00e7al\u0131\u015ft\u0131\u011f\u0131, yani “runtime” an\u0131nda ortaya \u00e7\u0131kan k\u00f6t\u00fc niyetli faaliyetleri tespit etmeyi ama\u00e7lar. Dijital d\u00fcnyam\u0131zda s\u00fcrekli devinim halindeyiz; uygulamalar\u0131m\u0131z \u00e7al\u0131\u015f\u0131yor, sunucular\u0131m\u0131z veri i\u015fliyor, kullan\u0131c\u0131lar\u0131m\u0131z etkile\u015fimde bulunuyor. \u0130\u015fte tam da bu hareketlilik an\u0131nda, “k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge” metaforuyla tan\u0131mlad\u0131\u011f\u0131m\u0131z, genellikle g\u00f6zden ka\u00e7an, gizlenmi\u015f tehditler filizlenebilir. Geleneksel g\u00fcvenlik yakla\u015f\u0131mlar\u0131, \u00f6rne\u011fin statik kod analizi veya imza tabanl\u0131 antivir\u00fcs programlar\u0131, k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar\u0131 genellikle bilinen imzalar\u0131na veya potansiyel g\u00fcvenlik a\u00e7\u0131klar\u0131na g\u00f6re tespit eder. Ancak bu y\u00f6ntemler, \u00f6zellikle sofistike sald\u0131rganlar\u0131n kulland\u0131\u011f\u0131 zero-day a\u00e7\u0131kl\u0131klar\u0131, bellek tabanl\u0131 sald\u0131r\u0131lar veya dosyas\u0131z (fileless) k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar gibi yeni nesil tehditler kar\u015f\u0131s\u0131nda \u00e7aresiz kalabilir. \u00c7\u00fcnk\u00fc bu t\u00fcr tehditler, sistemde kal\u0131c\u0131 bir iz b\u0131rakmadan veya bilinen bir imza ta\u015f\u0131madan do\u011frudan bellekte \u00e7al\u0131\u015farak ya da me\u015fru sistem ara\u00e7lar\u0131n\u0131 k\u00f6t\u00fcye kullanarak kendilerini kamufle ederler.<\/p>\n
Bu noktada, \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131laman\u0131n hayati \u00f6nemi ortaya \u00e7\u0131kar. Sistemlerinizin ve uygulamalar\u0131n\u0131z\u0131n normal \u00e7al\u0131\u015fma davran\u0131\u015flar\u0131n\u0131 s\u00fcrekli olarak izleyerek, beklenmedik her t\u00fcrl\u00fc sapmay\u0131 an\u0131nda tespit etmeyi sa\u011flar. Bir uygulaman\u0131n normalde yapmamas\u0131 gereken bir sistem \u00e7a\u011fr\u0131s\u0131 yapmas\u0131, anormal bir a\u011f ba\u011flant\u0131s\u0131 kurmas\u0131 veya hassas verilere eri\u015fmeye \u00e7al\u0131\u015fmas\u0131 gibi durumlar, “g\u00f6lgenin” varl\u0131\u011f\u0131na i\u015faret edebilir. \u00d6zellikle bulut tabanl\u0131 sistemlerin ve mikro hizmet mimarilerinin yayg\u0131nla\u015fmas\u0131yla birlikte, sald\u0131r\u0131 y\u00fczeyi geni\u015flemi\u015f ve tehditlerin tespiti daha karma\u015f\u0131k hale gelmi\u015ftir. Bir konteynerin veya sanal makinenin \u00e7al\u0131\u015fma zaman\u0131nda g\u00f6sterdi\u011fi anormal bir davran\u0131\u015f, t\u00fcm altyap\u0131n\u0131z\u0131 riske atabilecek bir g\u00fcvenlik ihlalinin habercisi olabilir. Bu nedenle, proaktif bir yakla\u015f\u0131mla, tehditler sisteme s\u0131zd\u0131ktan sonra de\u011fil, aktif olarak faaliyet g\u00f6sterirken tespit edilmeli ve etkisiz hale getirilmelidir. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama, sadece mevcut sald\u0131r\u0131lar\u0131 de\u011fil, gelecekteki olas\u0131 sald\u0131r\u0131 vekt\u00f6rlerini de \u00f6ng\u00f6rebilmek i\u00e7in de\u011ferli istihbarat sa\u011flar. Sonu\u00e7 olarak, bu dinamik izleme yetene\u011fi, i\u015fletmelerin ve bireylerin dijital varl\u0131klar\u0131n\u0131 s\u00fcrekli de\u011fi\u015fen tehdit ortam\u0131nda koruyabilmeleri i\u00e7in vazge\u00e7ilmez bir kalkand\u0131r.<\/p>\n
Uzman \u0130pucu: Runtime tehdit alg\u0131lama \u00e7\u00f6z\u00fcmlerini entegre ederken, sistem kaynaklar\u0131 \u00fczerindeki potansiyel etkilerini de g\u00f6z \u00f6n\u00fcnde bulundurun. Performans optimizasyonu, ba\u015far\u0131l\u0131 bir da\u011f\u0131t\u0131m\u0131n anahtar\u0131d\u0131r.<\/p>\n
Orta \u00f6l\u00e7ekli bir finansal teknoloji \u015firketi olan “FinTechSolutions”, geleneksel g\u00fcvenlik duvarlar\u0131 ve antivir\u00fcs yaz\u0131l\u0131mlar\u0131yla donat\u0131lm\u0131\u015ft\u0131. Bir g\u00fcn, bir geli\u015ftirici sunucusunda beklenmedik bir CPU kullan\u0131m art\u0131\u015f\u0131 ve tuhaf a\u011f trafi\u011fi tespit edildi. Geleneksel sistemler herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m imzas\u0131 bulamazken, \u015firketin yeni entegre etti\u011fi \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama (RTA) \u00e7\u00f6z\u00fcm\u00fc anormalli\u011fi i\u015faret etti. RTA, sunucudaki bir PowerShell beti\u011finin, normalde bir geli\u015ftirme arac\u0131 olarak kullan\u0131lan, ancak bu senaryoda uzaktan sunuculara kimlik bilgisi toplamak i\u00e7in kullan\u0131lan “Invoke-Mimikatz” komutunu \u00e7al\u0131\u015ft\u0131rmaya \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 belirledi. Bu dosyas\u0131z bir sald\u0131r\u0131yd\u0131; hi\u00e7bir k\u00f6t\u00fc ama\u00e7l\u0131 dosya diske yaz\u0131lmam\u0131\u015ft\u0131, her \u015fey bellekte ger\u00e7ekle\u015fiyordu. RTA, bu anormal s\u00fcreci otomatik olarak sonland\u0131rd\u0131 ve ilgili a\u011f ba\u011flant\u0131s\u0131n\u0131 kesti. E\u011fer RTA olmasayd\u0131, sald\u0131rgan kimlik bilgilerini ele ge\u00e7irip \u015firketin kritik finansal sistemlerine s\u0131zabilirdi. Bu vaka, “k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge”lerin ne kadar sinsi olabilece\u011fini ve \u00e7al\u0131\u015fma zaman\u0131 izlemenin ne denli kritik oldu\u011funu a\u00e7\u0131k\u00e7a g\u00f6stermektedir.<\/p>\n<\/div>\n
\u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama, sistemlerinizin canl\u0131 operasyonlar\u0131 s\u0131ras\u0131nda ortaya \u00e7\u0131kan ince ayr\u0131nt\u0131lar\u0131 yakalamakla ilgilidir. Bu, sadece bir dosyan\u0131n i\u00e7eri\u011fine bakmak veya bilinen bir imzay\u0131 aramak de\u011fil, bir s\u00fcrecin davran\u0131\u015f\u0131n\u0131, sistemle etkile\u015fimini ve a\u011f \u00fczerindeki ayak izini derinlemesine anlamak anlam\u0131na gelir. G\u00f6lgeyi yakalamak i\u00e7in farkl\u0131 teknik yakla\u015f\u0131mlar kullan\u0131l\u0131r ve bunlar\u0131n bir kombinasyonu, en etkili savunmay\u0131 sa\u011flar. \u00d6zellikle g\u00fcn\u00fcm\u00fcz\u00fcn dinamik tehdit ortam\u0131nda, imza tabanl\u0131 alg\u0131lama y\u00f6ntemlerinin s\u0131n\u0131rl\u0131l\u0131klar\u0131 g\u00f6z \u00f6n\u00fcne al\u0131nd\u0131\u011f\u0131nda, davran\u0131\u015fsal analiz ve makine \u00f6\u011frenimi gibi ileri d\u00fczey teknikler \u00f6n plana \u00e7\u0131kmaktad\u0131r. Bu teknikler, sadece bilinen tehditleri de\u011fil, daha \u00f6nce hi\u00e7 g\u00f6r\u00fclmemi\u015f (zero-day) veya hedefli sald\u0131r\u0131lar\u0131 da tespit etme potansiyeline sahiptir. Sistem kaynaklar\u0131n\u0131, a\u011f ileti\u015fimini, dosya eri\u015fimlerini ve API \u00e7a\u011fr\u0131lar\u0131n\u0131 s\u00fcrekli olarak izleyerek, normalden herhangi bir sapma durumunda alarm verme yetene\u011fi, RTA \u00e7\u00f6z\u00fcmlerinin temelini olu\u015fturur. Bu b\u00f6l\u00fcm, \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131laman\u0131n arkas\u0131ndaki temel mekanizmalar\u0131 ve bu “g\u00f6lge”nin nas\u0131l teknik olarak izlendi\u011fini detayland\u0131racakt\u0131r.<\/p>\n
Dinamik analiz, bir yaz\u0131l\u0131m\u0131n veya sistemin \u00e7al\u0131\u015ft\u0131\u011f\u0131 esnada davran\u0131\u015flar\u0131n\u0131 g\u00f6zlemlemeye odaklan\u0131r. Bu, k\u00f6t\u00fc niyetli bir s\u00fcrecin potansiyel tehditlerini, sadece statik koduna bakarak de\u011fil, onun ger\u00e7ek d\u00fcnya etkile\u015fimlerini izleyerek ortaya \u00e7\u0131karman\u0131n bir yoludur. Bir uygulaman\u0131n veya hizmetin beklenen hareketlerini bir taban \u00e7izgisi olarak belirleyerek, bu taban \u00e7izgisinden herhangi bir sapmay\u0131 anomali olarak i\u015faretleyebiliriz. \u00d6rne\u011fin, bir web sunucusunun normalde belirli portlar \u00fczerinden yaln\u0131zca bilinen trafikle ileti\u015fim kurmas\u0131 beklenirken, aniden \u015fifreli bir kanalda harici bir IP adresine b\u00fcy\u00fck miktarda veri g\u00f6ndermesi bir anormalliktir. Benzer \u015fekilde, bir metin d\u00fczenleyicinin sistem dosyalar\u0131na yazma veya y\u00f6netici haklar\u0131 talep etme giri\u015fimleri, normal davran\u0131\u015f kal\u0131b\u0131n\u0131n d\u0131\u015f\u0131ndad\u0131r ve \u015f\u00fcphe uyand\u0131rmal\u0131d\u0131r. Bu t\u00fcr davran\u0131\u015flar, bir sald\u0131rgan\u0131n sistemde yetki y\u00fckseltme, veri s\u0131zd\u0131rma veya komuta kontrol (C2) sunucusuyla ileti\u015fim kurma giri\u015fimleri olabilir. Davran\u0131\u015fsal izleme, bu t\u00fcr anormallikleri tespit etmek i\u00e7in sistem \u00e7a\u011fr\u0131lar\u0131 (syscalls), API \u00e7a\u011fr\u0131lar\u0131, bellek eri\u015fimleri, disk I\/O i\u015flemleri ve a\u011f trafi\u011fi gibi bir\u00e7ok farkl\u0131 veri noktas\u0131n\u0131 s\u00fcrekli olarak denetler.<\/p>\n
Bu izleme mekanizmalar\u0131 genellikle \u00e7ekirdek d\u00fczeyinde veya \u00f6zel ajanlar arac\u0131l\u0131\u011f\u0131yla uygulan\u0131r. \u00d6rne\u011fin, Linux sistemlerinde A\u015fa\u011f\u0131daki basit Python beti\u011fi, sistemde anormal bir komut \u00e7al\u0131\u015ft\u0131rmaya \u00e7al\u0131\u015fan bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n minyat\u00fcr bir \u00f6rne\u011fi olabilir. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama sistemi, <\/code><\/p>\n Geleneksel davran\u0131\u015fsal analiz kurallar\u0131 olduk\u00e7a etkili olsa da, s\u00fcrekli evrim ge\u00e7iren tehditlerle ba\u015fa \u00e7\u0131kmak i\u00e7in daha esnek ve adaptif mekanizmalar gereklidir. \u0130\u015fte bu noktada makine \u00f6\u011frenimi (ML) ve yapay zeka (AI) devreye girer. ML modelleri, muazzam miktarda operasyonel veriyi (sistem loglar\u0131, a\u011f trafi\u011fi, proses davran\u0131\u015flar\u0131 vb.) analiz ederek sistemin \"normal\" davran\u0131\u015f kal\u0131plar\u0131n\u0131 \u00f6\u011frenebilir. Bu, manuel olarak tan\u0131mlanmas\u0131 zor olan veya s\u00fcrekli g\u00fcncellenmesi gereken karma\u015f\u0131k korelasyonlar\u0131 ve ba\u011f\u0131ml\u0131l\u0131klar\u0131 otomatik olarak ke\u015ffetmelerini sa\u011flar. Bir sistemin belirli bir zaman diliminde hangi uygulamalar\u0131 \u00e7al\u0131\u015ft\u0131rd\u0131\u011f\u0131, hangi a\u011f kaynaklar\u0131na eri\u015fti\u011fi ve ne t\u00fcr API \u00e7a\u011fr\u0131lar\u0131 yapt\u0131\u011f\u0131 gibi veriler, ML modelleri i\u00e7in bir \u00f6\u011frenme k\u00fcmesi olu\u015fturur. Bu modeller, \u00f6\u011frendikleri normal davran\u0131\u015f kal\u0131plar\u0131ndan sapan herhangi bir faaliyeti anomali olarak etiketleyerek potansiyel bir tehdit olarak belirler. \u00d6rne\u011fin, bir kullan\u0131c\u0131n\u0131n aniden gece yar\u0131s\u0131 farkl\u0131 bir co\u011frafi konumdan login olmas\u0131 veya normalde eri\u015fmedi\u011fi kritik bir veritaban\u0131na ba\u011flanmaya \u00e7al\u0131\u015fmas\u0131, makine \u00f6\u011frenimi taraf\u0131ndan bir anomali olarak i\u015faretlenebilir.<\/p>\n Makine \u00f6\u011frenimi algoritmalar\u0131, \u00f6zellikle denetimsiz \u00f6\u011frenme (unsupervised learning) ve yar\u0131 denetimli \u00f6\u011frenme (semi-supervised learning) teknikleri, siber g\u00fcvenlik ba\u011flam\u0131nda b\u00fcy\u00fck de\u011fer ta\u015f\u0131r. Bu algoritmalar, \u00f6nceden etiketlenmi\u015f k\u00f6t\u00fc niyetli veri k\u00fcmelerine ihtiya\u00e7 duymadan, mevcut verideki desenleri ve sapmalar\u0131 bulabilir. Bu da onlar\u0131, daha \u00f6nce hi\u00e7 g\u00f6r\u00fclmemi\u015f (zero-day) sald\u0131r\u0131 t\u00fcrlerini tespit etmede olduk\u00e7a yetenekli k\u0131lar. Destek vekt\u00f6r makineleri (SVM), karar a\u011fa\u00e7lar\u0131, k\u00fcmeleme algoritmalar\u0131 (k-means) veya daha karma\u015f\u0131k sinir a\u011flar\u0131 (neural networks) gibi \u00e7e\u015fitli ML modelleri kullan\u0131labilir. Ancak, ML\/AI tabanl\u0131 sistemlerin en b\u00fcy\u00fck zorluklar\u0131ndan biri, yanl\u0131\u015f pozitif oran\u0131n\u0131 y\u00f6netmektir. S\u00fcrekli \u00f6\u011frenme ve adaptasyon gerektiren bu sistemler, ba\u015flang\u0131\u00e7ta \u00e7ok say\u0131da false positive \u00fcretebilir. Bu durum, g\u00fcvenlik ekiplerinin gereksiz alarmlarla bo\u011fu\u015fmas\u0131na neden olabilir. Bu nedenle, modellerin s\u00fcrekli olarak iyile\u015ftirilmesi, g\u00fcvenlik uzmanlar\u0131n\u0131n geri bildirimleriyle e\u011fitilmesi ve yeni tehdit vekt\u00f6rlerini kapsayacak \u015fekilde g\u00fcncellenmesi esast\u0131r. Ayr\u0131ca, a\u00e7\u0131klanabilir yapay zeka (Explainable AI - XAI) teknikleri, ML modellerinin neden belirli bir karar\u0131 verdi\u011fini anlamak ve b\u00f6ylece g\u00fcvenlik ara\u015ft\u0131rmac\u0131lar\u0131n\u0131n tehditleri daha iyi analiz etmelerine yard\u0131mc\u0131 olmak i\u00e7in giderek daha fazla \u00f6nem kazanmaktad\u0131r.<\/p>\n Uzman \u0130pucu: Makine \u00f6\u011frenimi tabanl\u0131 alg\u0131lama sistemlerinizin yanl\u0131\u015f pozitif oran\u0131n\u0131 d\u00fc\u015f\u00fcrmek i\u00e7in, modellerinizi sadece k\u00f6t\u00fc niyetli verilerle de\u011fil, ayn\u0131 zamanda kapsaml\u0131 ve temiz \"normal\" davran\u0131\u015f verileriyle de e\u011fitin.<\/p>\n Dijital varl\u0131klar\u0131n\u0131z\u0131 \"k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge\"lerden korumak i\u00e7in, \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama \u00e7\u00f6z\u00fcmlerini stratejik olarak uygulamak b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r. Bu, sadece bir yaz\u0131l\u0131m kurmaktan \u00e7ok daha fazlas\u0131n\u0131, b\u00fct\u00fcnc\u00fcl bir g\u00fcvenlik mimarisi olu\u015fturmay\u0131 gerektirir. Etkili bir RTA sistemi, birden fazla g\u00fcvenlik katman\u0131n\u0131 bir araya getirerek, u\u00e7 noktalardan a\u011f trafi\u011fine, bulut ortamlar\u0131ndan kullan\u0131c\u0131 davran\u0131\u015flar\u0131na kadar geni\u015f bir alan\u0131 kapsar. Bu s\u00fcre\u00e7, do\u011fru ara\u00e7lar\u0131 se\u00e7mekten, bu ara\u00e7lar\u0131 mevcut altyap\u0131n\u0131za entegre etmeye, alg\u0131lama kurallar\u0131 olu\u015fturmaya ve otomatik yan\u0131t mekanizmalar\u0131 kurmaya kadar uzan\u0131r. Modern siber g\u00fcvenlik \u00e7\u00f6z\u00fcmleri, genellikle bu bile\u015fenlerin bir\u00e7o\u011funu tek bir platformda veya entegre bir ekosistemde sunar. Amac\u0131m\u0131z, tehditlerin sisteminize s\u0131zmas\u0131n\u0131 engellemekle kalmay\u0131p, ayn\u0131 zamanda s\u0131zmay\u0131 ba\u015farsalar bile faaliyetlerini en k\u0131sa s\u00fcrede tespit edip durdurmakt\u0131r. Bu b\u00f6l\u00fcmde, RTA sistemlerini ba\u015far\u0131yla uygulaman\u0131n temel bile\u015fenlerini ve stratejilerini inceleyece\u011fiz, b\u00f6ylece kendi dijital kalkan\u0131n\u0131z\u0131 nas\u0131l in\u015fa edece\u011finizi ad\u0131m ad\u0131m \u00f6\u011freneceksiniz.<\/p>\n Siber sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, nihayetinde bir u\u00e7 noktadan (sunucu, i\u015f istasyonu, mobil cihaz vb.) ba\u015flar veya bu u\u00e7 noktalar\u0131 hedef al\u0131r. Bu nedenle, u\u00e7 nokta alg\u0131lama ve yan\u0131t (Endpoint Detection and Response - EDR) \u00e7\u00f6z\u00fcmleri, \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131laman\u0131n temelini olu\u015fturur. EDR sistemleri, u\u00e7 noktalardaki her t\u00fcrl\u00fc etkinli\u011fi (procesler, dosya i\u015flemleri, a\u011f ba\u011flant\u0131lar\u0131, kay\u0131t defteri de\u011fi\u015fiklikleri) s\u00fcrekli olarak izler, kaydeder ve analiz eder. Bu derinlemesine g\u00f6r\u00fcn\u00fcrl\u00fck sayesinde, potansiyel tehditlerin erken a\u015famada tespit edilmesi ve bunlara h\u0131zla m\u00fcdahale edilmesi m\u00fcmk\u00fcn olur. \u00d6rne\u011fin, bir kullan\u0131c\u0131n\u0131n bilgisayar\u0131nda beklenmedik bir PowerShell beti\u011finin \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131, EDR taraf\u0131ndan an\u0131nda alg\u0131lanabilir ve \u015f\u00fcpheli olarak i\u015faretlenebilir. EDR \u00e7\u00f6z\u00fcmleri, genellikle davran\u0131\u015fsal analiz, makine \u00f6\u011frenimi ve tehdit istihbarat\u0131 entegrasyonu gibi geli\u015fmi\u015f alg\u0131lama tekniklerini kullanarak, imza tabanl\u0131 antivir\u00fcslerin ka\u00e7\u0131rd\u0131\u011f\u0131 yeni nesil tehditleri ortaya \u00e7\u0131kar\u0131r.<\/p>\n EDR'\u0131n bir ad\u0131m \u00f6tesi olan Geni\u015fletilmi\u015f Alg\u0131lama ve Yan\u0131t (Extended Detection and Response - XDR) ise, sadece u\u00e7 noktalarla s\u0131n\u0131rl\u0131 kalmay\u0131p, a\u011f, bulut i\u015f y\u00fckleri, e-posta ve kimlik gibi birden fazla g\u00fcvenlik katman\u0131ndan gelen verileri birle\u015ftirir. XDR, bu farkl\u0131 kaynaklardan gelen olaylar\u0131 korele ederek, daha geni\u015f bir sald\u0131r\u0131 y\u00fczeyinde b\u00fct\u00fcnsel bir g\u00f6r\u00fcn\u00fcrl\u00fck sa\u011flar ve daha karma\u015f\u0131k, \u00e7ok a\u015famal\u0131 sald\u0131r\u0131lar\u0131 tespit etme yetene\u011fini art\u0131r\u0131r. \u00d6rne\u011fin, bir sald\u0131rgan\u0131n e-posta yoluyla kimlik av\u0131 yaparak bir kullan\u0131c\u0131n\u0131n kimlik bilgilerini \u00e7ald\u0131\u011f\u0131, ard\u0131ndan bu bilgileri kullanarak bulut ortam\u0131nda yetki y\u00fckseltti\u011fi ve son olarak bir sunucudan veri s\u0131zd\u0131rd\u0131\u011f\u0131 bir senaryoda, XDR t\u00fcm bu a\u015famalar\u0131 birbirine ba\u011flayarak sald\u0131r\u0131n\u0131n tam resmini sunabilir. Hem EDR hem de XDR \u00e7\u00f6z\u00fcmleri, alg\u0131laman\u0131n yan\u0131 s\u0131ra otomatik veya manuel yan\u0131t yetenekleri de sunar. Bu yan\u0131tlar aras\u0131nda k\u00f6t\u00fc niyetli bir s\u00fcrecin sonland\u0131r\u0131lmas\u0131, bir dosyan\u0131n karantinaya al\u0131nmas\u0131, bir kullan\u0131c\u0131n\u0131n a\u011fdan izole edilmesi veya bir cihaz\u0131n uzaktan kapat\u0131lmas\u0131 gibi eylemler bulunabilir. Ticari EDR\/XDR \u00fcr\u00fcnlerinin yan\u0131 s\u0131ra, Osquery gibi a\u00e7\u0131k kaynakl\u0131 ara\u00e7lar veya Wazuh gibi SIEM\/SOAR \u00e7\u00f6z\u00fcmlerinin u\u00e7 nokta izleme yetenekleri de \u00e7al\u0131\u015fma zaman\u0131 alg\u0131lama i\u00e7in de\u011ferli alternatifler sunabilir.<\/p>\n Siber g\u00fcvenlikte \"ne kadar \u00e7ok veri, o kadar iyi g\u00f6r\u00fcn\u00fcrl\u00fck\" ilkesi ge\u00e7erlidir. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131laman\u0131n temel direklerinden biri, sistemlerinizden gelen t\u00fcm olay g\u00fcnl\u00fcklerini (loglar\u0131) kapsaml\u0131 bir \u015fekilde toplamak, y\u00f6netmek ve analiz etmektir. Bir sald\u0131rgan\u0131n faaliyetlerini ortaya \u00e7\u0131karmak i\u00e7in genellikle birden fazla sistemden gelen loglar\u0131 birle\u015ftirmek ve korele etmek gerekir. G\u00fcvenlik Bilgileri ve Olay Y\u00f6netimi (Security Information and Event Management - SIEM) sistemleri, bu kritik g\u00f6revi \u00fcstlenir. SIEM \u00e7\u00f6z\u00fcmleri, sunucular, a\u011f cihazlar\u0131, g\u00fcvenlik duvarlar\u0131, uygulamalar ve u\u00e7 noktalar gibi farkl\u0131 kaynaklardan gelen g\u00fcnl\u00fckleri merkezi bir konumda toplar, normalle\u015ftirir (farkl\u0131 formatlardaki loglar\u0131 standart bir formata d\u00f6n\u00fc\u015ft\u00fcr\u00fcr) ve analiz eder. Bu sayede, g\u00fcvenlik uzmanlar\u0131 veya otomatik sistemler, farkl\u0131 log girdileri aras\u0131nda gizli korelasyonlar\u0131 ve desenleri ke\u015ffedebilirler.<\/p>\n \u00d6rne\u011fin, bir sunucunun g\u00fcvenlik g\u00fcnl\u00fc\u011f\u00fcnde ba\u015far\u0131s\u0131z oturum a\u00e7ma denemelerinin artmas\u0131 (brute-force sald\u0131r\u0131s\u0131), ayn\u0131 anda a\u011f trafi\u011fi loglar\u0131nda d\u0131\u015far\u0131ya do\u011fru anormal ba\u011flant\u0131lar\u0131n olu\u015fmas\u0131 ve bir uygulaman\u0131n loglar\u0131nda beklenmedik hata mesajlar\u0131 g\u00f6r\u00fclmesi, birbirinden ba\u011f\u0131ms\u0131z g\u00f6r\u00fcnen ancak bir araya geldi\u011finde ciddi bir g\u00fcvenlik olay\u0131na i\u015faret eden g\u00f6stergeler olabilir. SIEM, bu farkl\u0131 log par\u00e7alar\u0131n\u0131 birle\u015ftirerek ve belirli kurallar\u0131 uygulayarak birle\u015fik bir tehdit senaryosu olu\u015fturabilir. Veri toplama stratejileri ise bu s\u00fcrecin ba\u015flang\u0131\u00e7 noktas\u0131d\u0131r. Windows sistemlerinde Sysmon, Linux sistemlerinde Auditd gibi ara\u00e7lar, i\u015fletim sistemi d\u00fczeyinde derinlemesine olay g\u00fcnl\u00fc\u011f\u00fc sa\u011flama konusunda olduk\u00e7a etkilidir. Bu ara\u00e7lar, s\u00fcre\u00e7 olu\u015fturma, dosya eri\u015fimi, a\u011f ba\u011flant\u0131lar\u0131 gibi kritik olaylar\u0131 detayl\u0131 bir \u015fekilde kaydederek SIEM'e zengin veri ak\u0131\u015f\u0131 sa\u011flar. Kapsaml\u0131 ve iyi y\u00f6netilen loglar, sadece tehdit alg\u0131lama i\u00e7in de\u011fil, ayn\u0131 zamanda bir ihlal sonras\u0131 adli analiz (forensic analysis) ve uyumluluk denetimleri i\u00e7in de vazge\u00e7ilmezdir. Dolay\u0131s\u0131yla, etkili bir \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama stratejisi, sa\u011flam bir log y\u00f6netimi ve SIEM altyap\u0131s\u0131 olmadan d\u00fc\u015f\u00fcn\u00fclemez.<\/p>\n A\u015fa\u011f\u0131da, bir SIEM sisteminde tan\u0131mlanabilecek basit bir kural\u0131n pseudocode (s\u00f6zde kod) \u00f6rne\u011fi verilmi\u015ftir. Bu kural, bir PowerShell s\u00fcrecinin k\u00f6t\u00fc ama\u00e7l\u0131 bir ara\u00e7 olan \"Invoke-Mimikatz\"\u0131 \u00e7al\u0131\u015ft\u0131rmaya \u00e7al\u0131\u015fmas\u0131n\u0131 alg\u0131lar:<\/p>\n <\/code><\/p>\n Tehdit alg\u0131lama ne kadar geli\u015fmi\u015f olursa olsun, tespit edilen tehditlere zaman\u0131nda ve etkili bir \u015fekilde yan\u0131t verilemezse, sistem hala savunmas\u0131z kal\u0131r. Siber sald\u0131r\u0131lar genellikle insan h\u0131z\u0131n\u0131n \u00e7ok \u00f6tesinde ger\u00e7ekle\u015fti\u011fi i\u00e7in, otomatik yan\u0131t mekanizmalar\u0131n\u0131n devreye al\u0131nmas\u0131 kritik \u00f6nem ta\u015f\u0131r. G\u00fcvenlik Orkestrasyonu, Otomasyon ve Yan\u0131t (Security Orchestration, Automation and Response - SOAR) platformlar\u0131, bu otomasyonu sa\u011flamak i\u00e7in tasarlanm\u0131\u015ft\u0131r. SOAR, \u00e7e\u015fitli g\u00fcvenlik ara\u00e7lar\u0131ndan (SIEM, EDR, g\u00fcvenlik duvarlar\u0131, tehdit istihbarat\u0131 platformlar\u0131 vb.) gelen bilgileri bir araya getirir, i\u015f ak\u0131\u015flar\u0131n\u0131 otomatikle\u015ftirir ve tan\u0131mlanm\u0131\u015f senaryolara g\u00f6re \u00f6nceden belirlenmi\u015f eylemleri otomatik olarak tetikler. Bu, g\u00fcvenlik ekiplerinin \u00fczerindeki manuel i\u015flem y\u00fck\u00fcn\u00fc azalt\u0131r, tepki s\u00fcrelerini k\u0131salt\u0131r ve insan hatas\u0131 riskini minimize eder.<\/p>\n Bir SOAR platformu, bir \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama sistemi taraf\u0131ndan tespit edilen bir olaya birden fazla \u015fekilde yan\u0131t verebilir. \u00d6rne\u011fin, EDR bir sunucuda k\u00f6t\u00fc ama\u00e7l\u0131 bir s\u00fcrecin \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 alg\u0131lad\u0131\u011f\u0131nda, SOAR otomatik olarak \u015fu ad\u0131mlar\u0131 izleyebilir: \u00f6ncelikle bu k\u00f6t\u00fc ama\u00e7l\u0131 s\u00fcreci sonland\u0131r\u0131r, ard\u0131ndan etkilenen sunucuyu a\u011fdan izole eder (a\u011f g\u00fcvenlik duvar\u0131nda kural olu\u015fturarak), g\u00fcvenlik ekibine e-posta veya SMS yoluyla bildirim g\u00f6nderir, ayn\u0131 zamanda ilgili t\u00fcm loglar\u0131 SIEM'de detayl\u0131 bir analiz i\u00e7in i\u015faretler ve son olarak bir olay m\u00fcdahale bileti (ticket) olu\u015fturur. Bu t\u00fcr otomatik yan\u0131tlar, sald\u0131r\u0131n\u0131n yay\u0131lmas\u0131n\u0131 veya daha fazla zarar vermesini durdurmada hayati rol oynar. Ancak, otomasyonun dikkatli bir \u015fekilde tasarlanmas\u0131 ve test edilmesi gerekti\u011fini unutmamak \u00f6nemlidir. Yanl\u0131\u015f yap\u0131land\u0131r\u0131lm\u0131\u015f otomatik yan\u0131tlar, me\u015fru i\u015flemleri kesintiye u\u011fratabilir ve i\u015fletme kesintilerine neden olabilir (yanl\u0131\u015f pozitif kaynakl\u0131 otomasyon). Bu nedenle, SOAR i\u015f ak\u0131\u015flar\u0131, ba\u015flang\u0131\u00e7ta g\u00fcvenlik analistleri taraf\u0131ndan onaylanan yar\u0131 otomatik ad\u0131mlarla ba\u015flay\u0131p, zamanla g\u00fcvenilirlikleri kan\u0131tland\u0131k\u00e7a tam otomasyona ge\u00e7i\u015f yapmal\u0131d\u0131r. Otomatik yan\u0131tlar, \"k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge\"nin daha fazla zarar vermesini engellemek i\u00e7in h\u0131zl\u0131 ve kararl\u0131 bir kar\u015f\u0131 sald\u0131r\u0131 yetene\u011fi sunar.<\/p>\n Siber g\u00fcvenlik d\u00fcnyas\u0131, kedinin fareyle oynad\u0131\u011f\u0131 bir oyuna benzer; sald\u0131rganlar s\u00fcrekli yeni yollar ararken, savunucular da bir ad\u0131m \u00f6nde olmak zorundad\u0131r. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama, bu s\u00fcrekli rekabette kritik bir avantaj sa\u011flar. Ancak, yaln\u0131zca temel alg\u0131lama mekanizmalar\u0131na g\u00fcvenmek yeterli de\u011fildir. Ger\u00e7ekten de, \"k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge\"nin sinsi do\u011fas\u0131, daha sofistike taktikler ve ileriye d\u00f6n\u00fck stratejiler benimsemeyi gerektirir. Bu, mevcut tehdit ortam\u0131n\u0131 anlamaktan, sistemlerimizi en savunmas\u0131z noktalardan g\u00fc\u00e7lendirmeye kadar geni\u015f bir alan\u0131 kapsar. Gelece\u011fe y\u00f6nelik \u00e7\u00f6z\u00fcmler, sadece tehditleri tespit etmekle kalmay\u0131p, ayn\u0131 zamanda onlar\u0131n evrimini tahmin etmeye ve proaktif savunma mekanizmalar\u0131 geli\u015ftirmeye odaklanacakt\u0131r. Bu b\u00f6l\u00fcmde, deneyimli g\u00fcvenlik uzmanlar\u0131 i\u00e7in ipu\u00e7lar\u0131 ve siber g\u00fcvenli\u011fin gelece\u011fini \u015fekillendirecek ileri d\u00fczey taktikler ve trendler ele al\u0131nacak, b\u00f6ylece \"g\u00f6lge\"yi her zaman bir ad\u0131m \u00f6nde yakalayabileceksiniz.<\/p>\n Siber tehdit istihbarat\u0131 (Threat Intelligence), sald\u0131rganlar\u0131n kulland\u0131\u011f\u0131 taktikler, teknikler ve prosed\u00fcrler (TTP'ler), k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m imzalar\u0131, C2 sunucusu IP adresleri ve alan adlar\u0131 gibi bilgilerin toplanmas\u0131, analiz edilmesi ve da\u011f\u0131t\u0131lmas\u0131 s\u00fcrecidir. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama sistemleri, bu istihbarat\u0131 entegre ederek, bilinen tehditlere kar\u015f\u0131 alg\u0131lama yeteneklerini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131r\u0131r. Bir sald\u0131r\u0131n\u0131n ba\u015flang\u0131c\u0131nda, sald\u0131rganlar genellikle bilinen ara\u00e7lar\u0131, teknikleri veya altyap\u0131y\u0131 kullan\u0131r. Tehdit istihbarat\u0131, bu \"bilineni\" tespit etmemizi ve hen\u00fcz yeni bir sald\u0131r\u0131 ba\u015flamadan \u00f6nce veya \u00e7ok erken a\u015famalar\u0131nda \u00f6nlem almam\u0131z\u0131 sa\u011flar. G\u00f6stergeler (Indicators of Compromise - IoC'ler) ve sald\u0131r\u0131 g\u00f6stergeleri (Indicators of Attack - IoA'lar) bu ba\u011flamda kilit rol oynar.<\/p>\n IoC'ler, bir g\u00fcvenlik ihlalinin kan\u0131tlar\u0131d\u0131r; \u00f6rne\u011fin belirli bir dosya karmas\u0131 (hash), k\u00f6t\u00fc ama\u00e7l\u0131 bir IP adresi, etki alan\u0131 ad\u0131 veya kay\u0131t defteri anahtar\u0131 gibi. IoA'lar ise, sald\u0131rganlar\u0131n hedeflerine ula\u015fmak i\u00e7in kulland\u0131klar\u0131 davran\u0131\u015fsal kal\u0131plard\u0131r; \u00f6rne\u011fin bir s\u00fcre\u00e7 enjeksiyonu, yetki y\u00fckseltme denemesi veya veri s\u0131zd\u0131rma giri\u015fimi. MITRE ATT&CK \u00e7er\u00e7evesi, tehdit istihbarat\u0131n\u0131 sistematize etmek i\u00e7in m\u00fckemmel bir ara\u00e7t\u0131r. Bu \u00e7er\u00e7eve, sald\u0131rganlar\u0131n kulland\u0131\u011f\u0131 TTP'leri kategorize ederek, g\u00fcvenlik uzmanlar\u0131na, kendi sistemlerinde bu tekniklerin nas\u0131l tespit edilece\u011fi konusunda kapsaml\u0131 bir k\u0131lavuz sunar. \u00c7al\u0131\u015fma zaman\u0131 alg\u0131lama sistemleri, ATT&CK matrisindeki belirli teknikleri izlemek \u00fczere yap\u0131land\u0131r\u0131labilir. \u00d6rne\u011fin, \"Process Hollowing\" (T1055) veya \"Scheduled Task\/Job\" (T1053) gibi teknikleri hedefleyen kurallar olu\u015fturarak, sald\u0131rganlar\u0131n gizlenme veya kal\u0131c\u0131l\u0131k sa\u011flama \u00e7abalar\u0131n\u0131 tespit edebiliriz. Tehdit istihbarat\u0131n\u0131n d\u00fczenli olarak g\u00fcncellenmesi ve otomatik olarak g\u00fcvenlik ara\u00e7lar\u0131na entegre edilmesi, \"k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge\"nin bilinen taktiklerini kullanarak s\u0131zma giri\u015fimlerini engellemek i\u00e7in vazge\u00e7ilmezdir. Bu sayede, g\u00fcvenlik ekipleri yaln\u0131zca pasif reaksiyon g\u00f6stermek yerine, proaktif bir savunma stratejisi geli\u015ftirebilirler.<\/p>\n Geleneksel g\u00fcvenlik modelleri genellikle \"kale ve hendek\" yakla\u015f\u0131m\u0131na dayan\u0131r; yani d\u0131\u015far\u0131dan i\u00e7eriye do\u011fru g\u00fc\u00e7l\u00fc bir g\u00fcvenlik duvar\u0131 in\u015fa etmek ve i\u00e7erideki her \u015feye g\u00fcvenmek. Ancak, \"k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge\" \u00e7o\u011fu zaman i\u00e7eriden, g\u00fcvenilen bir varl\u0131k k\u0131l\u0131\u011f\u0131nda veya i\u00e7eri s\u0131zmay\u0131 ba\u015fard\u0131ktan sonra yatay hareketle yay\u0131l\u0131r. Zero Trust (S\u0131f\u0131r G\u00fcven) yakla\u015f\u0131m\u0131, bu eski paradigmay\u0131 y\u0131karak \"asla g\u00fcvenme, her zaman do\u011frula\" ilkesini benimser. Bu, a\u011f i\u00e7indeki veya d\u0131\u015f\u0131ndaki hi\u00e7bir kullan\u0131c\u0131ya, cihaza veya uygulamaya otomatik olarak g\u00fcvenilmemesi gerekti\u011fi anlam\u0131na gelir. Her eri\u015fim iste\u011fi, kim olursa olsun ve nereden gelirse gelsin, s\u00fcrekli olarak do\u011frulanmal\u0131, yetkilendirilmeli ve izlenmelidir. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama, Zero Trust mimarisinin temel bir bile\u015fenidir, \u00e7\u00fcnk\u00fc her i\u015flem ve her ileti\u015fim, yetkilendirme sonras\u0131 bile s\u00fcrekli olarak anormal davran\u0131\u015flara kar\u015f\u0131 denetlenir.<\/p>\n Mikro segmentasyon ise, Zero Trust'\u0131n uygulanmas\u0131nda kritik bir tekniktir. Bu y\u00f6ntem, veri merkezlerini ve bulut ortamlar\u0131n\u0131 k\u00fc\u00e7\u00fck, izole edilmi\u015f g\u00fcvenlik b\u00f6lgelerine ay\u0131r\u0131r. Her bir uygulama, i\u015f y\u00fck\u00fc veya hatta bireysel bir s\u00fcre\u00e7 bile kendi \"mikro segmentine\" sahip olabilir. Bu segmentler aras\u0131nda ileti\u015fim, kat\u0131 g\u00fcvenlik politikalar\u0131 ve kontrolleri ile d\u00fczenlenir. \u00d6rne\u011fin, bir veritaban\u0131 sunucusu sadece belirli bir web uygulamas\u0131ndan ve belirli portlar \u00fczerinden gelen isteklere yan\u0131t verecek \u015fekilde yap\u0131land\u0131r\u0131labilir. Di\u011fer t\u00fcm trafik bloklan\u0131r. Bu, bir sald\u0131rgan\u0131n bir mikro segmenti ihlal etmeyi ba\u015farsa bile, a\u011f i\u00e7inde yatay olarak hareket etmesinin ve di\u011fer kritik sistemlere eri\u015fmesinin son derece zor olmas\u0131n\u0131 sa\u011flar. \u00c7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama sistemleri, mikro segmentler aras\u0131ndaki anormal trafik modellerini, yetkisiz eri\u015fim denemelerini veya bu segmentler i\u00e7inde olu\u015fan \u015f\u00fcpheli s\u00fcre\u00e7 davran\u0131\u015flar\u0131n\u0131 tespit edebilir. Zero Trust ve mikro segmentasyon, \"g\u00f6lge\"nin hareket alan\u0131n\u0131 k\u0131s\u0131tlayarak, olas\u0131 bir ihlalin etkisini minimize eder ve \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama sistemlerinin hedef odakl\u0131 izleme yapmas\u0131na olanak tan\u0131r. Bu sayede, sistemlerimiz daha diren\u00e7li hale gelir ve k\u00f6t\u00fc niyetli faaliyetlerin geni\u015f \u00e7apl\u0131 bir felakete d\u00f6n\u00fc\u015fmesi engellenir.<\/p>\n Siber g\u00fcvenlikte \"k\u0131rm\u0131z\u0131 g\u00f6zl\u00fc g\u00f6lge\" metaforuyla and\u0131\u011f\u0131m\u0131z \u00e7al\u0131\u015fma zaman\u0131 tehditleri, dijital d\u00fcnyam\u0131z\u0131n ka\u00e7\u0131n\u0131lmaz bir ger\u00e7e\u011fidir. Geleneksel g\u00fcvenlik \u00f6nlemlerinin yetersiz kald\u0131\u011f\u0131 g\u00fcn\u00fcm\u00fczde, Runtime Tehdit Alg\u0131lama (RTA) \u00e7\u00f6z\u00fcmleri, sistemlerinizin canl\u0131 operasyonlar\u0131 s\u0131ras\u0131nda ortaya \u00e7\u0131kan sinsi sald\u0131r\u0131lar\u0131 tespit etmede hayati bir rol oynamaktad\u0131r. Dinamik analiz, davran\u0131\u015fsal izleme ve makine \u00f6\u011frenimi gibi geli\u015fmi\u015f teknikler sayesinde, s\u0131f\u0131r\u0131nc\u0131 g\u00fcn a\u00e7\u0131kl\u0131klar\u0131 ve dosyas\u0131z k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar gibi sofistike tehditler bile erken a\u015famada alg\u0131lanabilmektedir. EDR ve XDR gibi u\u00e7 nokta odakl\u0131 \u00e7\u00f6z\u00fcmler, SIEM ile kapsaml\u0131 log y\u00f6netimi ve SOAR ile otomatik yan\u0131t mekanizmalar\u0131, bu alg\u0131lama yeteneklerini bir araya getirerek g\u00fc\u00e7l\u00fc bir savunma katman\u0131 olu\u015fturur. Ayr\u0131ca, tehdit istihbarat\u0131n\u0131n entegrasyonu ve Zero Trust ile mikro segmentasyon gibi ileri d\u00fczey yakla\u015f\u0131mlar, savunmay\u0131 daha da g\u00fc\u00e7lendirerek sald\u0131rganlar\u0131n bir ad\u0131m \u00f6n\u00fcnde olmay\u0131 hedefler. Unutmay\u0131n, \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama tek seferlik bir kurulum de\u011fil, s\u00fcrekli \u00f6\u011frenme, adaptasyon ve iyile\u015ftirme gerektiren dinamik bir s\u00fcre\u00e7tir. Dijital varl\u0131klar\u0131n\u0131z\u0131 korumak i\u00e7in, bu s\u00fcrekli geli\u015fen kalkan\u0131n\u0131z\u0131 her zaman g\u00fcncel ve tetikte tutmal\u0131s\u0131n\u0131z.<\/p>\n Evet, \u00f6nemli farkl\u0131l\u0131klar vard\u0131r. Geleneksel antivir\u00fcsler genellikle bilinen k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m imzalar\u0131n\u0131 veya temel davran\u0131\u015f kal\u0131plar\u0131n\u0131 kullanarak \u00e7al\u0131\u015f\u0131rken, Runtime Tehdit Alg\u0131lama sistemleri (EDR gibi), bir uygulaman\u0131n veya sistemin aktif olarak \u00e7al\u0131\u015ft\u0131\u011f\u0131 anda (runtime) ortaya \u00e7\u0131kan anormal ve \u015f\u00fcpheli davran\u0131\u015flar\u0131 daha derinlemesine izler ve analiz eder. Bu, dosyas\u0131z sald\u0131r\u0131lar, zero-day a\u00e7\u0131kl\u0131klar\u0131 ve geli\u015fmi\u015f kal\u0131c\u0131 tehditler gibi daha sofistike tehditleri tespit etme konusunda \u00e7ok daha yeteneklidirler.<\/p>\n<\/li>\n Kesinlikle evet. Siber sald\u0131rganlar boyut ay\u0131rt etmezler. K\u00fc\u00e7\u00fck ve orta \u00f6l\u00e7ekli i\u015fletmeler (KOB\u0130'ler), genellikle b\u00fcy\u00fck \u015firketlere g\u00f6re daha az g\u00fcvenlik kayna\u011f\u0131na sahip olduklar\u0131 i\u00e7in daha kolay hedefler olabilirler. Bulut tabanl\u0131 veya y\u00f6netilen EDR\/XDR \u00e7\u00f6z\u00fcmleri, KOB\u0130'lerin bile geli\u015fmi\u015f \u00e7al\u0131\u015fma zaman\u0131 tehdit alg\u0131lama yeteneklerinden uygun maliyetlerle faydalanmas\u0131n\u0131 sa\u011flayabilir.<\/p>\n<\/li>\n Yanl\u0131\u015f pozitifler, Runtime Tehdit Alg\u0131lama sistemlerinin \u00f6nemli bir zorlu\u011fudur. Bunlar\u0131 azaltmak i\u00e7in; alg\u0131lama kurallar\u0131n\u0131z\u0131 hassas bir \u015fekilde ayarlay\u0131n ve sisteminizin \"normal\" taban \u00e7izgisini do\u011fru \u015fekilde \u00f6\u011frenmesine izin verin. Makine \u00f6\u011frenimi modellerini ger\u00e7ek d\u00fcnya ve temiz veriyle d\u00fczenli olarak e\u011fitin. Ayr\u0131ca, g\u00fcvenlik ekiplerinizin geri bildirimlerini kullanarak modelleri s\u00fcrekli olarak iyile\u015ftirin ve otomasyonu kademeli olarak devreye al\u0131n.<\/p>\n<\/li>\n En iyi \u00e7\u00f6z\u00fcm, i\u015fletmenizin \u00f6zel ihtiya\u00e7lar\u0131na, b\u00fct\u00e7esine ve mevcut altyap\u0131s\u0131na ba\u011fl\u0131d\u0131r. Se\u00e7im yaparken \u015fu fakt\u00f6rleri g\u00f6z \u00f6n\u00fcnde bulundurun: Alg\u0131lama yeteneklerinin kapsam\u0131 (u\u00e7 nokta, a\u011f, bulut), otomasyon ve yan\u0131t \u00f6zellikleri, SIEM\/SOAR entegrasyon yetenekleri, kullan\u0131m kolayl\u0131\u011f\u0131, sat\u0131c\u0131n\u0131n deste\u011fi ve fiyatland\u0131rma. Bir\u00e7ok sat\u0131c\u0131 \u00fccretsiz deneme s\u00fcr\u00fcmleri sunar, bu da size farkl\u0131 \u00e7\u00f6z\u00fcmleri test etme imkan\u0131 verir.<\/p>\n<\/li>\n Evet, herhangi bir izleme arac\u0131 gibi Runtime Tehdit Alg\u0131lama \u00e7\u00f6z\u00fcmleri de bir miktar sistem kayna\u011f\u0131 (CPU, bellek, disk I\/O) kullan\u0131r. Ancak modern \u00e7\u00f6z\u00fcmler, performans \u00fczerindeki etkiyi minimize etmek i\u00e7in optimize edilmi\u015ftir ve genellikle arka planda \u00e7ok verimli \u00e7al\u0131\u015f\u0131r. Do\u011fru yap\u0131land\u0131rma, hafif ajanlar ve ak\u0131ll\u0131 veri i\u015fleme teknikleri sayesinde performans d\u00fc\u015f\u00fc\u015fleri genellikle kabul edilebilir seviyededir. Yine de, da\u011f\u0131t\u0131m \u00f6ncesinde ve sonras\u0131nda performans testleri yapmak \u00f6nemlidir.<\/p>\n<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"Siber sald\u0131r\u0131lar her ge\u00e7en g\u00fcn daha karma\u015f\u0131k ve gizemli hale gelirken, geleneksel g\u00fcvenlik y\u00f6ntemleri \u00e7o\u011fu zaman yetersiz kal\u0131yor.…","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1],"tags":[],"class_list":{"0":"post-36165","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-genel","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\nauditd<\/code> gibi ara\u00e7lar, belirli sistem \u00e7a\u011fr\u0131lar\u0131n\u0131 izlemek i\u00e7in yap\u0131land\u0131r\u0131labilirken, Windows’ta Sysmon gibi ara\u00e7lar kapsaml\u0131 olay g\u00fcnl\u00fc\u011f\u00fc (event logging) sa\u011flar. Bu ara\u00e7lardan toplanan veriler, daha sonra davran\u0131\u015fsal analiz motorlar\u0131 taraf\u0131ndan i\u015flenir. Bu motorlar, \u00f6nceden tan\u0131mlanm\u0131\u015f kurallar veya makine \u00f6\u011frenimi modelleri kullanarak anormallikleri tespit eder. Bir s\u00fcrecin, kendisiyle alakas\u0131z g\u00f6r\u00fcnen ba\u015fka bir s\u00fcrece kod enjekte etmeye \u00e7al\u0131\u015fmas\u0131, bellek b\u00f6lgesinde y\u00fcr\u00fct\u00fclebilir kod olu\u015fturmas\u0131 veya hassas kimlik bilgisi depolayan belle\u011fe eri\u015fmeye \u00e7al\u0131\u015fmas\u0131 gibi eylemler, do\u011frudan k\u00f6t\u00fc niyetli davran\u0131\u015f belirtileri olarak kabul edilir. Bu t\u00fcr tespitler, imza tabanl\u0131 sistemlerin ka\u00e7\u0131rd\u0131\u011f\u0131 s\u0131f\u0131r\u0131nc\u0131 g\u00fcn sald\u0131r\u0131lar\u0131 ve dosyas\u0131z k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar gibi geli\u015fmi\u015f tehditlere kar\u015f\u0131 kritik bir savunma hatt\u0131 olu\u015fturur. Ancak, bu sistemlerin etkinli\u011fi, do\u011fru taban \u00e7izgisinin olu\u015fturulmas\u0131na ve yanl\u0131\u015f pozitiflerin (me\u015fru etkinliklerin yanl\u0131\u015fl\u0131kla k\u00f6t\u00fc niyetli olarak i\u015faretlenmesi) minimumda tutulmas\u0131na ba\u011fl\u0131d\u0131r.<\/p>\nos.system()<\/code> \u00e7a\u011fr\u0131s\u0131n\u0131 veya daha da \u00f6nemlisi, bu \u00e7a\u011fr\u0131 ile tetiklenen kabuk komutunu (net user...<\/code>) izleyerek bunu potansiyel bir tehdit olarak i\u015faretleyebilir:<\/p>\n\n# Anormal davran\u0131\u015f \u00f6rne\u011fi: sistem komutu \u00e7al\u0131\u015ft\u0131rma\n# Bu \u00f6rnek, bir sald\u0131rgan\u0131n Windows'ta yeni bir kullan\u0131c\u0131 olu\u015fturmaya \u00e7al\u0131\u015fmas\u0131n\u0131 sim\u00fcle eder.\n# Ger\u00e7ek bir runtime alg\u0131lama sistemi, bu t\u00fcr bir sistem \u00e7a\u011fr\u0131s\u0131n\u0131 izlerdi.\nimport os\n\ntry:\n print(\"Sistem komutu \u00e7al\u0131\u015ft\u0131rma denemesi...\")\n # Windows'ta yeni bir kullan\u0131c\u0131 ekleme komutu\n # Linux'ta ise \"sudo useradd hacker\" gibi bir komut olabilirdi.\n os.system(\"net user hacker supersecretpassword123 \/add\")\n print(\"Komut \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131.\")\nexcept Exception as e:\n print(f\"Hata olu\u015ftu: {e}\")\n\n# Ayr\u0131ca, dosya sisteminde veya bellekte anormal aktiviteler de izlenebilir.\n# \u00d6rne\u011fin, rastgele bir yere hassas veri yazma veya bellekte y\u00fcr\u00fct\u00fclebilir alan yaratma.\n<\/pre>\nMakine \u00d6\u011frenimi ve Yapay Zeka ile Tehdit Avc\u0131l\u0131\u011f\u0131: Ak\u0131ll\u0131 G\u00f6zler<\/h3>\n
Runtime Tehdit Alg\u0131lama Sistemlerini Uygulamak: Kendi Kalkan\u0131n\u0131z\u0131 Nas\u0131l Olu\u015fturursunuz?<\/h2>\n
EDR (Endpoint Detection and Response) ve XDR \u00c7\u00f6z\u00fcmleri: U\u00e7 Noktalar\u0131n Bek\u00e7isi<\/h3>\n
Kapsaml\u0131 \u0130zleme ve Log Y\u00f6netimi: Her Detay\u0131 Kaydetmek<\/h3>\n
\n\/\/ SIEM Kural\u0131 (Pseudocode)\n\/\/ Ama\u00e7: PowerShell \u00fczerinden Invoke-Mimikatz \u00e7al\u0131\u015ft\u0131rma giri\u015fimini alg\u0131lamak.\n\nrule \"Mimikatz_PowerShell_Detection\" {\n \/\/ 1. Olay t\u00fcr\u00fc s\u00fcre\u00e7 olu\u015fturma olmal\u0131\n if (event.type == \"process_creation\") {\n \/\/ 2. Olu\u015fturulan s\u00fcre\u00e7 PowerShell olmal\u0131 (powershell.exe veya pwsh.exe)\n if (event.process_name == \"powershell.exe\" || event.process_name == \"pwsh.exe\") {\n \/\/ 3. Komut sat\u0131r\u0131nda Mimikatz ile ili\u015fkili anahtar kelimeler i\u00e7ermeli\n if (event.command_line.includes(\"Invoke-Mimikatz\") || \n event.command_line.includes(\"IEX\") && event.command_line.includes(\"githubusercontent.com\") && event.command_line.includes(\"Mimikatz\")) {\n \n \/\/ 4. Alarm seviyesi y\u00fcksek olarak ayarlan\u0131r\n alert_level = \"CRITICAL\";\n alert_message = \"Y\u00fcksek Riskli Kimlik Bilgisi H\u0131rs\u0131zl\u0131\u011f\u0131 Giri\u015fimi Tespit Edildi!\";\n \n \/\/ 5. \u0130lgili detaylar loglan\u0131r\n log_details = {\n \"timestamp\": event.timestamp,\n \"hostname\": event.hostname,\n \"username\": event.username,\n \"process_id\": event.process_id,\n \"command_line\": event.command_line\n };\n \n \/\/ 6. Uyar\u0131 olu\u015ftur ve g\u00fcvenlik ekibini bilgilendir\n generate_alert(alert_level, alert_message, log_details);\n \n \/\/ Opsiyonel: Otomatik yan\u0131t ba\u015flat (\u00f6rn. s\u00fcreci sonland\u0131r, hostu izole et)\n \/\/ initiate_automated_response(\"terminate_process\", event.process_id);\n }\n }\n }\n}\n<\/pre>\nOtomasyon ve Otomatik Yan\u0131t Mekanizmalar\u0131: H\u0131zl\u0131 Kar\u015f\u0131 Sald\u0131r\u0131<\/h3>\n
\u0130leri D\u00fczey Taktikler ve Gelecek Trendleri: G\u00f6lgeyi Bir Ad\u0131m \u00d6nde Yakalamak<\/h2>\n
Tehdit \u0130stihbarat\u0131n\u0131n Entegrasyonu: Bilineni Bilmek<\/h3>\n
Zero Trust Yakla\u015f\u0131m\u0131 ve Mikro Segmentasyon: G\u00fcvenmek Yerine Do\u011frulamak<\/h3>\n
Sonu\u00e7: S\u00fcrekli Geli\u015fen Kalkan\u0131n\u0131z<\/h2>\n
S\u0131k\u00e7a Sorulan Sorular (SSS)<\/h3>\n
\n