Threat Hunting (Tehdit Avı) Nedir? Hipotezle Başlayan Av

Threat hunting nedir sorusunun kısa cevabı şu: alarm beklemeden saldırganı aramak. SOC'taki izleme işi gelen alarmlara bakar. Tehdit avcısı ise "ortamda araçlarımızın kaçırdığı biri olabilir" diye bir hipotez kurar ve bunu kayıtlarda sınar. Bu yazıda avın SOC izlemeden ve tehdit istihbaratından farkını, iyi bir hipotezin nasıl yazıldığını, örnek bir avı adım adım ve tarayıcıda deneyebileceğin görevleri bulacaksın.

Threat hunting nedir, ne işe yarar?

Threat hunting, otomatik tespit sistemlerinin kaçırdığı saldırıları insan eliyle ya da makine desteğiyle bulma işidir. Çıkış noktası bir varsayımdır: alarm gelmedi diye ortam temiz değildir.

Bu varsayımın nedeni basit. Antivirüs, EDR ve SIEM kuralları bildikleri deseni yakalar. Çalınmış bir parolayla giren ya da Windows'un kendi araçlarını kullanan saldırgan çoğu zaman bu desenlere uymaz. Google Cloud'un Mart 2026'da yayımladığı M-Trends 2026 raporuna göre 2025'te incelenen saldırılarda saldırganın fark edilmeden kaldığı medyan süre 14 gündü. Bir önceki raporda bu süre 11 gündü. Siber casusluk vakalarında medyan 122 güne çıkıyor.

Tehdit avı bu süreyi kısaltmaya çalışır. ABD'nin güvenlik kontrolleri kataloğu NIST SP 800-53, avı RA-10 adlı ayrı bir kontrol olarak tanımlar. Kontrol iki iş ister:

• Kurum sistemlerinde ele geçirilme göstergelerini aramak.
• Mevcut kontrollerden kaçan tehditleri tespit etmek, izlemek ve önünü kesmek.

NIST'in açıklamasına göre av ekipleri var olan istihbaratı kullanır, yeni istihbarat da üretir. Bir avın üç olası sonucu vardır:

• Bulgu: Gerçek bir saldırı izi çıkar ve olay müdahalesine devredilir.
• Temiz sonuç: Hipotez çürür. Bu da bilgidir, çünkü o davranışın bu veride görünmediğini belgelersin. Önce verinin gerçekten aktığını kontrol et. Boş bir kaynakta yapılan av hiçbir şey kanıtlamaz.
• Görünürlük açığı: Aradığın davranışı gösterecek kayıt yoktur. Eksik kayıt kaynağını bulmak, avın en değerli çıktılarından biridir.

Hangi sonuç çıkarsa çıksın, iyi bir av aynı şeyi bir dahaki sefere otomatik yakalayan bir kuralla biter.

Threat hunting ile SOC izleme arasındaki fark nedir?

SOC izleme alarmla başlar, tehdit avı alarm olmadan başlar. SOC analisti "bu alarm gerçek mi?" diye sorar. Avcı "hiç alarm üretmeyen ama burada olan bir şey var mı?" diye sorar. İkisi aynı ekipte, aynı veriyle çalışabilir. Fark, işi neyin başlattığıdır.

Tehdit avı en çok tehdit istihbaratıyla karışır, çünkü ikisi sürekli el değiştirir. İstihbarat dışarıdan bilgi getirir: "Lojistik sektöründe faturalı belgeyle gelen bir kampanya var, belge açılınca PowerShell çalışıyor." Avcı bu cümleyi kendi kayıtlarında sınanabilir bir hipoteze çevirir. Bulduğu yeni gösterge de istihbarata geri döner. İstihbaratın nasıl üretildiğini tehdit istihbaratı nedir yazısında okuyabilirsin.

Avın girdisi olan bir istihbarat dosyasını okumayı tarayıcıda dene: İstihbarat Masası seni bir vaka dosyasının başına oturtur. Tehdit raporunu, IOC listesini, sandbox özetini, pasif DNS ve whois kaydını okur, göstergeleri ayıklar ve gerekçeli bir özet yazarsın. Ücretsizdir, giriş yapmadan da puanlanırsın.

Alarm triyajının günlük akışı için SOC analisti nedir yazısına, bulgudan sonra olanlar için olay müdahalesi rehberine bak.

İyi bir tehdit avı hipotezi nasıl yazılır?

İyi bir hipotez sınanabilir, dar ve veriye bağlıdır. "Ağda saldırgan var mı?" bir hipotez değildir, çünkü ne evet ne hayır diyebilirsin. "Bir saldırgan finans verisini DNS tüneliyle dışarı çıkarıyor olabilir" ise sınanabilir. Hangi veriye ve hangi makinelere bakacağın bellidir.

Splunk'ın PEAK çerçevesi hipotezi dört parçayla kurmayı önerir. Kısaltması ABLE'dır:

1. Aktör (Actor): Kimi arıyorsun? Belirli bir grup olmak zorunda değil.
2. Davranış (Behavior): Ne yapmasını bekliyorsun? Örneğin DNS üzerinden veri çıkarmak.
3. Konum (Location): Ağın hangi parçasında? Örneğin finans bölümünün makineleri.
4. Kanıt (Evidence): Hangi veri bunu gösterir? Örneğin DNS sorgu kayıtları.

Aşağıdaki tablo savunma ekiplerinin sık kurduğu dört hipotezi gösterir. Parantez içindeki kodlar MITRE ATT&CK teknik kimlikleridir.

Tablonun ilk iki satırını tarayıcıda dene. Yığındaki Nadir Çift görevinde bir haftalık süreç kaydında ebeveyn ve çocuk çiftlerini sayar, en nadir çifti bulur ve vaka kaydı açarsın. Sessiz Nabız görevinde ise küçük ama düzenli giden bir bağlantıyı netflow özetinden ayıklarsın. Saha'da tarayıcıda bir terminal açılır, kurulum gerekmez ve ücretsizdir. Komutları giriş yapmadan çalıştırabilirsin. Flag'i hesabına yazdırmak için giriş yaparsın.

Tehdit avı türleri nelerdir?

Av türleri, avın nereden başladığına göre ayrılır. PEAK çerçevesi hipotez odaklı, temel çizgi ve model destekli olmak üzere üç tür sayar. IBM gibi kaynaklar istihbarat odaklı avı da ayrı bir model olarak anar. IBM aynı işi yapılandırılmış, yapılandırılmamış ve duruma özel av diye de ayırır. İlki bilinen bir TTP'den, ikincisi bulunan bir göstergeden, üçüncüsü kurumun kendine özgü riskinden başlar.

Yeni başlayan için en verimli tür temel çizgi avıdır. Rapor gerekmez, veri ve sayma sabrı yeter. Bu avın en bilinen tekniği yığın sayımıdır (stack counting). Yüz makinede her gün olan şey büyük ihtimalle normaldir. Tek makinede bir kez olan şeye bakmaya değer. Nadir her zaman kötü demek değildir, ama sıralama nereden başlayacağını söyler.

Neden gösterge yerine davranış avlanır?

Çünkü saldırgan göstergeyi kolayca değiştirir, davranışını zor değiştirir. David Bianco'nun 2013'te yayımladığı Acı Piramidi (Pyramid of Pain) bunu altı basamakta gösterir. Alttaki bir göstergeyi engellemek saldırganı az rahatsız eder. Tepedekini engellemek ise onu çalışma biçimini değiştirmeye zorlar.

Gösterge avı yine işe yarar: taze bir liste kısa sürede sonuç verir, ama liste eskir. Davranış avı adını henüz bilmediğin bir saldırganı da yakalayabilir. MITRE ATT&CK bu yüzden avcının ortak dilidir. Avı bir tekniğe bağlar, sonucu aynı kimlikle raporlarsın.

Örnek bir av adım adım nasıl yürür?

PEAK bir avı üç aşamaya böler: hazırla, yürüt, bilgiyle harekete geç. Aşağıdaki örnek kurgu bir kargo şirketinde geçer.

Hazırla

1. Konu seç. Bir istihbarat bülteni, faturalı belgelerle gelen bir kimlik avı kampanyasından söz ediyor.
2. Araştır. Kampanyada belge açılınca Word, PowerShell başlatıyor.
3. Hipotezi yaz. "Satış ekibine son bir haftada gelen belgelerden biri açıldığında winword.exe, powershell.exe başlatmış olabilir."
4. Kapsamı çiz. Son 7 gün, tüm iş istasyonları, süreç başlatma kayıtları. Ava iki saat ayır.

Yürüt

1. Veriyi topla ve say. Microsoft Defender XDR kullanan bir ekip bunu gelişmiş av (advanced hunting) ekranında KQL ile yapar:

DeviceProcessEvents
| where Timestamp > ago(7d)
| summarize Adet = count(), Makine = dcount(DeviceName)
    by InitiatingProcessFileName, FileName
| order by Adet asc
| take 20

1. Sonucu oku. Sorgu çiftleri azdan çoğa sıralar, bu yüzden explorer.exe ile chrome.exe gibi binlerce kez görülen çiftler listeye girmez. Listenin üst kısmında, tek makinede bir kez görülen winword.exe ile powershell.exe çifti dikkat çeker.
2. Bağlamı doğrula. Makine bir satış çalışanının dizüstü bilgisayarı mı, yoksa belgeleri otomatik işleyen bir sunucu mu? ProcessCommandLine sütununda PowerShell'e ne yaptırılmış?
3. Kritik bulguyu hemen yükselt. Gerçek görünüyorsa avın bitmesini bekleme, olay müdahalesine devret.

Bilgiyle harekete geç

1. Belgele. Hipotez doğrulandı mı, hangi veri eksikti, hangi sorgu işe yaradı?
2. Kural yaz. "Ofis uygulaması komut kabuğu başlatırsa alarm üret." Önce meşru eklentilerin ne kadar yanlış alarm ürettiğini ölç.
3. Yeni fikirleri listeye ekle. Aynı kampanya Excel dosyasıyla da gelebilir mi?
4. Paylaş. Bulguyu ATT&CK kimlikleriyle raporla.

Aynı sayımı KQL olmadan, düz bir CSV dosyası ve komut satırıyla da yapabilirsin. Saha'daki Yığındaki Nadir Çift görevi tam olarak bunu ister.

Tehdit avcısı ne iş yapar, hangi becerilere ihtiyaç duyar?

Tehdit avcısı, ekibinin görmediği yeri arayan kişidir. Günü çoğu zaman bir av listesiyle başlar. Listedeki fikirler istihbarat raporlarından, son olaylardan ve ATT&CK'te karşılığı olan kuralı bulunmayan tekniklerden gelir. Avcı bunlardan birini seçer, hipotezini yazar, veriyi sorgular, bulduğunu yükseltir ve avı başkasının tekrar çalıştırabileceği biçimde belgeler.

Bu rol genellikle SOC'ta alarm triyajı ve olay müdahalesi deneyiminin üstüne gelir. Küçük ekiplerde ayrı bir unvan bile olmayabilir. Kıdemli bir SOC analisti haftasının bir kısmını ava ayırabilir.

Tehdit avına nereden başlamalısın?

Kayıt okumayla başla, kurgu veriyle avla, sonra kendi laboratuvarını kur. Şu sırayı izle:

1. Kayıt okumayı öğren. Bir Windows olay kaydını, bir Sysmon süreç olayını ve bir DNS sorgu satırını okuyabildiğinde ava hazırsın.
2. Hipotez kurmayı çalış. Akademideki Hipotez kurmak dersi sınanabilir hipotezi ve av defterini çözümlü bir örnekle anlatır. Ardından ATT&CK ile avlanma ve beacon tespiti dersleri gelir.
3. Saha'da kurgu veriyle avla. Listedeki İz görevinde bir IOC listesini proxy günlüğüyle eşleştirirsin. Sonra Yığındaki Nadir Çift ve Sessiz Nabız gelir. Bulguyu ATT&CK'e Bağlamak görevinde ise kapanmış bir avın notlarından rapor çıkarırsın.
4. Kendi laboratuvarını kur. Bir sanal makineye Sysmon kur, kayıtları Wazuh gibi ücretsiz bir SIEM'e gönder. Sonra kendi yaptığın işlemleri avla. Bunu yalnız kendi makinende ya da yazılı izin aldığın bir ortamda yap.

Kaynaklar

• NIST SP 800-53 Rev. 5: RA-10 Threat Hunting kontrolü
• Splunk: Hypothesis-Driven Hunting with the PEAK Framework
• David Bianco: The Pyramid of Pain
• Google Cloud: M-Trends 2026 bulguları
• Microsoft Learn: Sysmon olay kimlikleri