Blog

Tehit zekası (threat intelligence) artık bir altyapı kaynağı kadar kolay bir şekilde ölçeklendirilebiliyor. Günümüzde güvenlik ekipleri ve ağ savunmacıları, SIEM veya web güvenlik duvarı (WAF) sistemlerini zenginleştirmek için uzun zamandan beri yapılandırmış tehdit beslemelerini otomatikleştirmektedir. Oysa asıl zor kısım her zaman düzensiz (unstructured) biçimde hazırlanan raporları işlemek olmuştur. Bir araştırma yazısının, araçların gerçekten tüketebileceği göstergilere dönüştürülmesi ve bu sırada o göstergelerin neden önemli olduğunu açıklayan bağlamın kaybolmaması gerekir. İşte tam bu noktada yapay zeka becileri (AI skills) yaklaşımı, yıllardır insan emeğine dayanan bu süreci otomatikleştirmeyi mümkün kılıyor.

Bir becinin (skill) içinde bulunduğu zengin ve ayrıntılı talimatlar, deneyimli bir insanın bir işin belirli bir bölümünü nasıl yürüttüğünü kodlar ve aynı talimatlar her raporda aynı şekilde çalışır. Bu mantıkla geliştirilen yeni araç, açık kaynaklı tehdit raporlarını sizin seçtiğiniz kaynaklardan hareketle, aksiyon alınabilir bir zekaya dönüştürüyor. Raporları özetler, bağlamsal bilgileri ortaya çıkarır, ihlal göstergelerini (Indicators of Compromise, IoC) çıkarır ve normalize eder, ayrıca etiketler atar — tüm bu adımlar özel ve hesabınıza özel (account-scoped) bir veri seti içinde gerçekleşir.

Sonuç olarak ortaya çıkan bağlamsallaştırılmış gösterge, hesabınızın özel Tehit Zekası veri setinde bir Tehit Olayı (Threat Event) olarak saklanır ve doğrudan web güvenlik duvarı (WAF) politikanızda kullanılabilecek biçime gelir. Bu da güvenlik ekiplerinin keşif ile aktif savunma arasındaki boşluğu doldurmasına yardımcı olur.

Neden düzensiz raporlar bu kadar kritik?

Tehit zekasının temelinde, tehdit manzarasını anlamayı sağlayan araştırmıcı bulguları yer alır. Araştırmıcılar düzenli olarak; açıklanmış güvenlik açıkları, kötü amaçlı altyapı, phishing kampanyaları, malware aileleri ve tehdit aktörleri hakkında detaylı tespitlerini yayımlar. RSS okuyucuları bu yeni raporları keşfetmeyi kolaylaştırsa da, keşif işin yalnızca ilk adımıdır. Gerçek değer, bu verilerin tutarlı bir uzmanlık akışıyla işlenerek kullanılabilir bir savunma iş akışına dönüştürülmesinde yatar.

Bir rapor bir kampanyanın nasıl işlediğini açıklar ve arkasındaki altyapıyı ortaya çıkarır. Ancak bir analist bu bilgiyi kullanabilmek için sırasıyla şu adımları tamamlamak zorundadır:

• Raporu okumak ve özetlemek
• İlgili göstergeleri belirlemek
• Gösterge değerlerini tutarlı bir biçime dönüştürmek
• Raporu dahili bir sınıflandırma (taxonomy) sistemiyle etiketleyerek sınıflandırmak
• Göstergeleri bir tehdit zekası platformuna (TIP) aktarmak
• Orijinal kaynağa bağlantıyı korumak
• Tehiti ekip arkadaşlarıyla paylaşmak

Bu süreci onlarca farklı kaynak üzerinde tekrarlamak zaman alır ve söz konusu adımların neredey tamamı tamamen insan muhakemesine dayanır. Sonuç olarak bağlam kaybolur. TIP sistemine eklenen göstergeler, onların neden önemli olduğunu ve sonraki düzeltme (remediation) döngüsünde riskin nasıl değerlendirileceğini açıklayan bağlamdan ayrı düşer. Haftalar sonra bir alan adının blocklist’e alınması ve kimse bunun neden yapıldığını anlamaması böyle bir durum.

Agentic beciler nasıl çalışıyor?

Yapay zeka ajanlarının sunduğu agentic beciler, deneyimli bir insanın bilgiyi işleme biçimini bir dizi talimata dönüştürür. Bu talimatlar her raporda tutarlı şekilde çalıştığı için, uzmanlığın ölçeklendirilemeyeceği yönündeki klasik sorunu ortadan kaldırır. Bir analistin yapması gereken okuma, özetleme, gösterge çıkarma, biçimlendirme ve sınıflandırma adımları artık aynı doğrulukla ve çok daha hızlı tekrarlanabilir.

Bu yaklaşım web güvenliğini otomatikleştiren çözümlerle büyük bir uyum içindedir; örneğin yapay zeka ajanlarının web güvenliğini otomatik hale getirme konusundaki gelişmeler bu tür bir iş akışının doğal bir devamı niteliğindedir. Yapay zeka ajanları ile otomatikleştirilen güvenlik süreçleri, güvenlik ekiplerinin manuel ve tekrarlayan işlerden arınarak daha stratejik konulara odaklanmasını sağlar.

Süreç adım adım

Araç açık kaynaklı raporları izlemek için RSS teknolojisini kullanır. Kullanıcı, izlemek istediği bir RSS kaynağını ekler, buna tanınabilir bir isim ve kategori verir, aracın bu kaynağı ne sıklıkla kontrol edeceğini ayarlar. Ardından sistem şu işlevleri gerçekleştirir:

• Raporu özetleme: Uzun teknik yazılar kısa ve anlaşılır bir biçime getirilir.
• Bağlamı ortaya çıkarma: Kampanyanın arka planı, hedeflenen hedefler ve geçerlilik süresi gibi bilgiler korunur.
• Gösterge çıkarma ve normalize etme: IP adresleri, alan adları, dosya özetleri (hash), URL’ler gibi ihlal göstergeleri tespit edilir ve standart bir biçime dönüştürülür.
• Etiketleme: Rapor, organizasyonun dahili sınıflandırma sistemine göre etiketlenir.
• Tehit Olayı oluşturma: Çıkarılan ve bağlamsallaştırılmış gösterge, özel tehdit zekası veri setinde bir Threat Event olarak kaydedilir.
• WAF politikasında kullanma: Bu göstergeler, web güvenlik duvarı kuralında anında kullanılabilir hale getirilir.

Bu otomasyon, özellikle sınırsız ve ölçeklenebilir bir yaklaşım sunduğu için dikkat çeker. Mevcut platformların çoğunun 100 RSS kaynağı ile sınırlı olması, ölçeklenebilirlik açısından bir kısıtlama oluştururken, bu yaklaşım sınırsız sayıda kaynağı izleyebilme esnekliği sunar. Böylece güvenlik ekipleri, tehdit manzarasının tamamına daha geniş bir perspektiften bakabilir.

Sonuç

Tehit zekasını agentic becilerle otomatikleştirmek, uzun süredir insan emeğine dayanan bu süreci hem hızlı hem de tutarlı bir şekilde yeniden tanımlar. Düzensiz raporlar artık aksiyon alınabilir, bağlamsallaştırılmış tehdet olaylarına dönüşür ve doğrudan WAF politikanızda kullanılır. Bu da keşif ile aktif savunma arasındaki boşluğu kapatırken, güvenlik ekiplerinin zamanını daha stratejik görevlere yönlendirir.