Canlı Siber Saldırı Haritası Nedir? Ne Gösterir, Ne Göstermez?

Ekranda gördüğün siber saldırı haritası, bir güvenlik firmasının ya da araştırma projesinin kendi sensörlerinde kaydettiği tespitlerin haritaya dökülmüş özetidir. Akan çizgiler gerçek zamanlı bir savaş görüntüsü değildir. Çoğu otomatik tarama, spam ve zararlı yazılım tespitidir. Kaynak ülke de saldırganın yerini kanıtlamaz. Aşağıda Kasım 2026 itibarıyla açık olan haritaları ve onları nasıl okuyacağını bulacaksın.

Siber saldırı haritası nedir, verisi nereden gelir?

Her harita, onu yayınlayan kurumun kendi gözüne gelen olayları çizer. İnternetin tamamını gören bir harita yoktur. Veri genellikle dört kaynaktan gelir:

• Ürün tespitleri: Antivirüs ve uç nokta yazılımları bir zararlıyı yakaladığında bunu firmaya bildirir. Kaspersky'nin haritası örneğin dosya taraması, e-posta ve web antivirüsü, ağ saldırısı tespiti, açık taraması, spam ve fidye yazılımı için ayrı veri akışları gösterir.
• Güvenlik cihazları: Kurumlara satılan güvenlik duvarları ve ağ geçitleri engelledikleri bağlantıları merkeze yollar. Check Point haritası ThreatCloud verisine, Fortinet haritası FortiGuard sensörlerine dayanır.
• Bal küpleri (honeypot): NIST sözlüğü bal küpünü, saldırganlara çekici görünecek biçimde tasarlanmış bir sistem ya da sistem kaynağı diye tanımlar. Bal küpünün gerçek kullanıcısı yoktur. Bu yüzden ona gelen her bağlantı davetsizdir ve kayda değerdir. Radware haritası kendi aldatma (deception) ağından ve bulut sistemlerinin olay kayıtlarından beslenir.
• Gönüllü sensörler: SANS Internet Storm Center'ın DShield projesinde katılımcılar güvenlik duvarı kayıtlarını, kimliği belirleyen bilgileri çıkardıktan sonra merkeze gönderir. DShield bal küpü SSH ve Telnet giriş denemelerini ve web isteklerini kaydeder, kayıtlarını 30 dakikada bir yollar.

Bu yüzden iki haritanın aynı saatte farklı ülkeleri öne çıkarması normaldir. Her biri internete farklı bir pencereden bakar. Bir harita yalnız kendi müşterilerinin ve sensörlerinin bulunduğu yerleri görür. Sensörü olmayan bölgede yaşanan saldırı o haritada hiç görünmez.

Canlı siber saldırı haritası ne gösterir, ne göstermez?

Canlı siber saldırı haritası, bir kurumun son saatlerde ya da son günde kaydettiği tespitlerin özetini gösterir. Saldırganın kim olduğunu, hedefin adını ve saldırının sonucunu göstermez.

Bu haritalar gerçek zamanlı bir siber savaş görüntüsü değildir. Çizgilerin çoğu, internete açık cihazlara gün boyu gelen otomatik taramaları, spam iletilerini ve antivirüsün yakaladığı zararlı dosyaları gösterir. Eski haberlerdeki "hack savaşlarını canlı izle" anlatımı bu yüzden yanıltıcıdır. SANS'ın bal küpü sayfası, sıradan bir ev bağlantısının bile büyük ihtimalle günde birkaç saldırı göreceğini yazar.

Kaynak ülke de dikkatle okunmalı. DDoS haritası Digital Attack Map'in sık sorulan sorular sayfası, kaynak ülkenin saldırganın yerini gösterip göstermediği sorusuna "genellikle hayır" diye cevap verir. Saldırının kaynağı çoğu zaman başka bir yerden geliyormuş gibi sahtelenebilir. Kaynak doğru olsa bile görünen ülke genellikle botnete katılmış, ele geçirilmiş bir cihazın bulunduğu yerdir. Bir IP adresinin hangi şehirde göründüğü de tahminden ibarettir. Bunun nedenini IP adresiyle neler bulunabileceğini anlatan yazıda okuyabilirsin.

Siber saldırı haritasını tarayıcıda nasıl okursun?

En kolay yol, verisinin nereden geldiğini açıkça yazan bir haritayla başlamaktır. Bunu tarayıcıda dene: akademideki Tehdit Panosu ücretsizdir, giriş istemez ve verisini saatte bir yeniler. Haritası çizgi animasyonu çizmez. SANS ISC'ye (DShield) raporlanan kaynak ülkeleri, rapor sayısıyla orantılı dairelerle gösterir.

Panoyu açınca şu sırayı izle:

1. Türkiye'yi bul. Haritanın altındaki satır Türkiye'nin bugünkü sırasını, rapor sayısını ve farklı kaynak IP sayısını yazar.
2. İki sayıyı karşılaştır. Rapor çok, farklı kaynak IP azsa gürültünün büyük kısmını az sayıda makine üretiyordur.
3. Portlara bak. "Saldırı kaynakları" sekmesi en çok hedeflenen portları sıralar. Bu, saldırganların hangi kapıyı en çok çaldığını gösterir.
4. Günün açığını oku. Günün açığı kartı ve "Aktif açıklar" sekmesi, CISA'nın sahada sömürüldüğü bilinen açıklar kataloğundan (KEV) beslenir. Karttaki EPSS değeri, açığın önümüzdeki 30 günde sahada sömürülme olasılığının tahminidir.
5. Bir adresi sorgula. "Zararlı adresler" sekmesinde şüphelendiğin bir alan adını USOM'un zararlı bağlantı listesinde ara. Listede çıkmaması adresin güvenli olduğunu kanıtlamaz. Neden böyle olduğunu ve şüpheli bağlantıyı nasıl ihbar edeceğini USOM nedir yazısında anlattık.

Panodaki açıklama da aynı uyarıyı yapar: gösterilen şey saldırı trafiğinin raporlandığı kaynak ülkedir, saldırının kime ait olduğunu göstermez.

Kasım 2026'da açık olan dünya siber saldırı haritaları hangileri?

Aşağıdaki haritaların adreslerini 5 Kasım 2026'da tek tek kontrol ettik. Hepsi yayındaydı. Arayüzler sık değişir, bu yüzden sekme ve ölçüt adları zamanla farklılaşabilir.

NETSCOUT haritası yalnız DDoS'u gösterir. DDoS'un nasıl çalıştığını ve nasıl korunulduğunu DDoS saldırısı nedir yazısında okuyabilirsin.

Eski haberlerdeki bazı haritalar ise kapandı. 2014'te Türkçe haberlerde "hack savaşlarını gerçek zamanlı izleyin" diye tanıtılan Norse haritasının eski adresi, Kasım 2026'da güvenlikle ilgisi olmayan bir siteye yönleniyor. Eski bir haberdeki harita bağlantısına tıklamadan önce adresin bugün nereye gittiğine bak.

Türkiye siber saldırı haritasında neden bazen üst sıralarda görünür?

Çünkü sıra, haritanın neyi saydığına ve kimin sensörüyle saydığına bağlıdır. "Türkiye bugün kaçıncı?" sorusunun her haritada ayrı bir cevabı vardır. Dört fark bunu açıklar:

• Ölçüt: Check Point en çok hedeflenen ülkeleri son gündeki kuruluş başına saldırı oranıyla sıralar. Kaspersky ürünlerinin tespit sayısını, SANS ISC raporlanan kayıtları sayar. Aynı gün üç ayrı sıra çıkabilir.
• Kapsama: Bir firmanın bir ülkede çok müşterisi varsa orada daha çok tespit görür. Kalabalık görünen bölge, daha tehlikeli olmaktan çok daha yoğun izlenen bölge olabilir.
• Zaman aralığı: Kimi harita günün başından beri, kimi son 24 saati, kimi daha uzun bir dönemi sayar. Sabah ile akşam arasında sıra değişebilir.
• Kaynak mı, hedef mi: "Türkiye'den gelen" ile "Türkiye'ye gelen" ayrı şeylerdir. Türkiye'deki ele geçirilmiş cihazlar ve sunucular Türkiye'yi kaynak listesinde yukarı taşır. Bu, Türkiye'de oturan biri saldırıyor demek değildir.

Bu yüzden "Türkiye en çok saldırılan ülke" gibi bir cümleyi tek bir haritanın ekran görüntüsüne dayandırma. Hangi haritanın, hangi ölçütle ve hangi gün öyle gösterdiğini yaz.

Aynı şey kesintiler için de geçerli. Bir bankada ya da internet hizmetinde kesinti olduğunda haritaya bakıp "Türkiye saldırı altında" sonucuna varma. Haritanın sayacı her gün zaten akar. Kesintinin nedenini ancak etkilenen kurumun ya da servis sağlayıcının resmî açıklaması söyler.

Siber tehdit haritası savunmada ne işe yarar?

Siber tehdit haritası bir olay müdahale aracı değildir, ama savunmacıya hangi kapıların en çok çalındığını hatırlatır. Asıl değeri, büyük resmi kendi sistemine çevirebildiğinde ortaya çıkar.

Port verisi bunun iyi bir örneği. 5 Kasım 2026'da SANS ISC'nin port listesinin ilk iki sırasında 22 (SSH) ve 23 (Telnet) vardı. Bu, internete açık uzak bağlantı hizmetlerinin otomatik parola denemelerinin hedefi olduğunu söyler. Kullanmadığın hizmeti kapatırsın, kullandığını güçlü kimlik doğrulamanın arkasına alırsın. Günün açığı kullandığın bir ürünle eşleşiyorsa önce onu yamalarsın.

Aynı deseni kendi kayıtlarında tanımayı öğrenmek için Sırayla Çalınan Kapılar saha görevini dene. Tarayıcıdaki terminalde kurgu bir şirketin güvenlik duvarı günlüğünü okursun, ardışık portları deneyen kaynağı bulursun ve onu engellersin. Haritada soyut duran "tarama" burada tek tek satırlara dönüşür.

Her gün kısa bir olay okuyup tek soruyla karar vermek istersen Günün olayı sayfasına bak. Olay her gece Türkiye saatiyle 00.00'da değişir.

Haritadaki bir IP adresine "karşılık vermeye" kalkma. O adres büyük ihtimalle ele geçirilmiş, sahibinin haberi olmayan bir cihazdır. Başkasının sistemine izinsiz girmek de Türk Ceza Kanunu'nda suçtur. Sınırı hacking yasal mı yazısında görebilirsin.

Ödevde ya da sunumda siber saldırı haritası kullanırken nelere dikkat edersin?

Ekran görüntüsünün yanına haritanın adını, tarihini ve neyi saydığını yaz. Bunu yapmazsan dinleyici gördüğü sayıyı yanlış yorumlar.

1. Kaynağı ve saati yaz. Örnek: "Kaspersky Cyberthreat Live Map, 5 Kasım 2026, 00.00 GMT'den beri tespitler."
2. Ölçütü belirt. Tespit sayısı mı, rapor sayısı mı, kuruluş başına oran mı?
3. Kelimeyi doğru seç. "Saldırı" yerine "tespit" ya da "kayıt" de. Haritada görünen her olay başarılı bir saldırı değildir.
4. İki haritayı yan yana koy. Aynı günün iki farklı sıralamasını gösterip farkın nedenini tartışmak, sunumu ezberden çıkarır.
5. Sonuç cümleni yumuşat. "Türkiye bu haritada bugün şu sırada görünüyor" demek, "Türkiye en çok saldırılan ülke" demekten hem daha doğru hem daha savunulabilir.

Slayt düzeni ve konu önerileri için siber güvenlik sunumu yazısına bak.

Kaynaklar

• Kaspersky Cyberthreat Live Map: Veri kaynakları
• Digital Attack Map: Sık sorulan sorular
• SANS Internet Storm Center: DShield bal küpü
• SANS Internet Storm Center: Hakkında ve veri toplama
• NIST CSRC Sözlüğü: Honeypot