OSINT nedir, ne değildir

OSINT'in açılımı açık kaynak istihbaratıdır (open source intelligence). Adı kulağa gizemli gelir, yaptığı iş ise sadedir. Kimsenin gizlemediği kayıtları toplar, birleştirir ve onlardan anlam çıkarır.

Veri zaten ortadadır. Değerli olan, o veriyi bir soruya cevap verecek biçimde bir araya getiren bakıştır. Bu derste önce tanımı ve sınırı oturtacaksın.

Sonra toplama türlerini ayıracak ve bir whois sorgusu ile bir curl isteğinin hedefte nasıl farklı iz bıraktığını göreceksin. Ardından KVKK ile TCK'nın bu işe nerede dokunduğunu, kapsamın nasıl yazıldığını ve savunma ekiplerinin aynı yöntemi nasıl kullandığını öğreneceksin. Örneklerde Beyaz Vadi Lojistik adlı bir lojistik firmasını araştıracaksın.

Tanımı sağlam bir yerden al. Berkeley Protokolü, açık kaynak soruşturmaları için yazılmış uluslararası bir rehberdir. Protokol açık kaynak bilgiyi şöyle tanımlar: herhangi bir kişinin özel bir yasal statüye ya da yetkisiz erişime ihtiyaç duymadan gözlemleyebildiği, satın alabildiği ya da talep edebildiği bilgi.

Açık kaynak istihbaratını ise bu bilginin bir alt kümesi sayar. Bu alt küme karar almaya yardım etmek için toplanır, işlenir ve belirli bir gereksinime cevap olarak zamanında doğru kişiye ulaştırılır.

Fark önemlidir. Bir sertifika kaydı kendi başına açık kaynak bilgidir. 'Beyaz Vadi yeni bir müşteri paneli mi kuruyor?' sorusuna cevap olarak seçilip yorumlandığında istihbarata dönüşür.

OSINT, istihbarat disiplinlerinden biridir ve komşularından ayrılır. İnsan kaynaklı istihbarat (HUMINT) bir kişiyle konuşarak bilgi alır. Sinyal istihbaratı (SIGINT) iletişimi ve elektronik yayını dinler. Görüntü ve coğrafi istihbarat (IMINT, GEOINT) uydu görüntüsünü ve konumu işler.

Sosyal medya istihbaratı (SOCMINT) sosyal ağlardaki paylaşımlara odaklanır. Bu adların çoğu toplama yöntemini anlatır. OSINT ise kaynağın herkese açık olmasını anlatır, bu yüzden kesişirler. Satın alınabilen bir uydu görüntüsü hem GEOINT hem OSINT olur.

HUMINT ile çizgi ise nettir. Berkeley Protokolü mesajlaşma ya da e-postayla kaynağa yazmayı açık kaynak soruşturmasının dışında tutar. Kimseyle konuşmazsın, yalnız okursun.

Sınırı pratikte tek soruyla çizersin: bu bilgiye ulaşmak için bir kapıyı zorlamam gerekiyor mu? Giriş yapmadan, parola kırmadan ve kimseyi kandırmadan ulaşıyorsan açık kaynaktasın. Bir alan adının whois kaydı açıktır.

Ticaret Sicili Gazetesi'ndeki kuruluş ilanı ve borsa şirketinin KAP'taki özel durum açıklaması da açıktır. Aynı şirketin fatura paneli ise korunan kaynaktır. Panelde kullanıcı adı denemek OSINT değil, yetkisiz erişim girişimidir.

Kapalı bir gruba sahte kimlikle girip dosya indirmek de açık kaynak sayılmaz; o iş sosyal mühendisliktir. Kapı ölçütü teknik bir ölçüttür. Veriyi işleyip işleyemeyeceğin ise ayrı bir sorudur ve cevabını hukuk verir.

OSINT'in gücü tek kayıtta değil, kayıtların birleşmesinde durur. Bir iş ilanı tek başına sıradan görünür. Bir sertifika kaydı da öyle. İkisi yan yana gelince 'şu ekip şu sistemi kuruyor' cümlesi çıkar.

Analistin işi bu cümleyi kurmaktır. Bu yüzden OSINT bir arama becerisi değil, bir birleştirme becerisidir.

Arama motorunu herkes kullanır. Hangi iki satırın birbirine bakması gerektiğini görmek ise deneyimle gelir. Araç veri getirir, analizi sen yaparsın.

Toplama yöntemlerini hedefe ne kadar dokunduklarına göre üçe ayırırsın. Sızma testinde yaygın başvuru metni olan PTES (Penetration Testing Execution Standard) bu ayrımı açıkça yazar. Pasif toplamada hedefe hiçbir paket gitmez. Yalnız üçüncü tarafların sakladığı kayıtları okursun: whois, sertifika kütükleri, arşiv kopyaları.

Bedeli, bilginin eski ya da hatalı olabilmesidir. Yarı pasif toplamada hedefe gidersin ama sıradan bir ziyaretçi gibi görünürsün. Kurum sitesini bir kez açmak bu gruptadır. Aktif toplamada ise hedef seni görür ve davranışını şüpheli sayar.

Port taraması, dizin adlarını kaba kuvvetle denemek ve yayımlanmamış sunucu aramak bu gruptadır. OSINT'in çekirdeği pasif ve yarı pasif adımlardır. Aktif adım yazılı yetki ister.

# 1) Pasif: soru kayıt kuruluşunun whois sunucusuna gider
$ whois beyazvadi.example | grep -iE "registrar:|creation date|name server"
Registrar: Ornek Kayit Hizmetleri
Creation Date: 2019-03-14T09:12:40Z
Name Server: ns1.ornek-dns.example
Name Server: ns2.ornek-dns.example

# 2) Hedefe dokunan adım: curl, HEAD isteğini doğrudan Beyaz Vadi'nin web sunucusuna yollar
$ curl -sI https://beyazvadi.example
HTTP/1.1 200 OK
Server: nginx
Content-Type: text/html; charset=utf-8

# 3) Aynı saniyede Beyaz Vadi'nin nginx erişim kaydına düşen satır
203.0.113.77 - - [19/Sep/2026:14:05:11 +0300] "HEAD / HTTP/1.1" 200 0 "-" "curl/8.7.1"

Komutları sırayla oku. whois sorgusu 43 numaralı TCP portundan kayıt kuruluşunun sunucusuna gider. Cevap Beyaz Vadi'nin değil, kayıt kuruluşunun elindeki kayıttır; Beyaz Vadi bu sorguyu göremez.

Genel uzantılı alan adlarında (.com gibi) 28 Ocak 2025'ten beri asıl kaynak RDAP'tir; aynı kayıt HTTPS üzerinden yapılandırılmış biçimde gelir. grep -iE büyük küçük harfe bakmadan üç alanı süzer: kayıt kuruluşu, tescil tarihi ve ad sunucuları.

İkinci komutta curl'ün -I bayrağı HEAD isteği gönderir, yani yalnız yanıt başlıklarını ister. -s ise ilerleme çıktısını gizler. İstek doğrudan hedefe gider.

Üçüncü blok aynı anı hedefin gözünden gösterir. nginx'in combined biçiminde sırayla istemci adresi, zaman, istek satırı, durum kodu, gövde boyutu, yönlendiren sayfa ve kullanıcı ajanı durur. HEAD yanıtında gövde olmadığı için boyut 0 yazar. Son alan hem aracını hem sürümünü ele verir.

Bu ayrım sözleşmede somut bir satıra dönüşür. Yetkili bir keşif işinde kapsam belgesi hangi adımların serbest olduğunu yazar. Kurumsal keşif eğitimlerinde de aynı ilke geçer: yalnız kamuya açık bilgiyle çalışılır.

Kapsamda 'yalnız pasif keşif' yazıyorsa yukarıdaki curl isteği bile sınırı zorlar. Dizin taraması ise açıkça dışarıda kalır. Kapsam ihlali iki risk doğurur. Birincisi sözleşme riskidir: müşteri izin vermediği trafiği saldırı sayar ve olay müdahalesi başlatır.

İkincisi ceza riskidir: izinsiz adım bir panele girişe dönerse TCK 243 devreye girer. Pratik kural basittir. Önce pasif kaynakları tüket. Aktif adıma yalnız yazılı izinle geç ve her isteği günlüğüne yaz.

Şimdi asıl ayrıma gel. Bir bilgiye erişebilmek, onu işleyebilmek demek değildir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veriyi kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi diye tanımlar. İşlemeyi de geniş tutar.

Kanunun 3. maddesine göre verinin elde edilmesi, kaydedilmesi, depolanması, sınıflandırılması ve aktarılması gibi her işlem işlemedir. Birinin adı, iş yeri ve telefonu bir sitede yan yana yazsa bile, onları kendi tablona kopyaladığın an veri işlemeye başlarsın.

Verinin açıkta durması bu tanımı değiştirmez. Buna karşılık bir şirketin ad sunucusu ya da tescil tarihi kişisel veri değildir. Onlar kurumsal bilgidir.

İşleme için hukuki bir sebep gerekir. KVKK 5. madde önce açık rızayı sayar, sonra rıza aranmayan şartları sıralar.

OSINT'te en çok konuşulan şart (d) bendidir: ilgili kişinin verisini kendisinin alenileştirmiş olması. Bu bent sınırsız izin değildir. Kişisel Verileri Koruma Kurumu'nun uyum rehberi, istisnanın alenileştirme amacıyla sınırlı olduğunu ve kişinin iradesinin gözetilmesi gerektiğini yazar.

Rehberdeki örnek öğreticidir. Bir avukatın baro kaydındaki telefonu, mesleki işler için ulaşılsın diye açıktır. Aynı numarayı avukatın kişisel bir işi için kullanmak amacı aşar.

OSINT'te de aynıdır. İş ilanındaki kurumsal e-posta iş için açıktır. Onu kişisel profil çıkarmak için kullanmak aynı açıklığa dayanmaz.

4. madde her işlemeye genel ilkeler koyar. Veri belirli, açık ve meşru bir amaç için işlenir. Amaçla bağlantılı, sınırlı ve ölçülü olur.

Gerekli süre kadar saklanır. OSINT diline çevirince şu çıkar: soruna cevap vermeyen kişisel veriyi toplamazsın, topladıysan silersin. 6. madde ise özel nitelikli veriyi ayırır.

Sağlık, din ve ceza mahkûmiyeti bilgisinin yanında biyometrik ve genetik veri de bu listededir. Bir fotoğraftaki yüzü tanıma aracıyla bir kişiye bağlamak bu rejime yaklaşır. 2024 değişikliğiyle 6. maddeye giren şart da aynı yöne bakar: alenileştirilmiş özel nitelikli veri, alenileştirme iradesine uygun olduğu ölçüde işlenir.

Madde    Eylem                                   Ceza                        OSINT'te karşılığı
TCK 135  Kişisel veriyi hukuka aykırı kaydetmek  1-3 yıl hapis               Dayanaksız çalışan dosyası kurmak
TCK 136  Kişisel veriyi hukuka aykırı vermek,    2-4 yıl hapis               Sızmış listeyi indirip
         yaymak ya da ele geçirmek                                           müşteriye göndermek
TCK 243  Bilişim sistemine hukuka aykırı girmek  1 yıla kadar hapis ya da    Bulunan parolayla
         ya da orada kalmaya devam etmek         adli para cezası            panele girmek

Tabloyu iki eksende oku. TCK 135 ve 136 veriye yönelik eylemleri cezalandırır.

Burada kapı açık olabilir; suç, veriyle ne yaptığındadır. TCK 243 ise sisteme yönelik eylemdir. Veri hiç alınmasa bile hukuka aykırı girişin kendisi suçtur.

Sızmış bir parola listesini forumda görmek sana giriş yetkisi vermez. O parolayı bir panelde denemek 243'ün alanına girer. Listeyi indirip müşteriye iletmek ise 136'nın alanına yaklaşır. Bu yüzden sızıntıyla karşılaşan analist önce durur, dayanağı ve kapsamı sorar.

Kurumsal veri ile kişisel veri arasındaki çizgiyi kapsamı yazarken çizersin. Bir şirketin ad sunucusu kurumsal bilgidir. O şirkette çalışan kişinin özel telefonu kişisel veridir. Aynı araştırmada ikisi yan yana çıkar ve karar anı sahada gelir.

Kararı baştan verirsen tereddüt etmezsin. İyi kapsam iki liste yazar: neyi toplayacağını ve neyi bilerek dışarıda bırakacağını.

Sahada her satır için tek soru sorarsın: bu satırı rapora koymak soruya cevap veriyor mu? Vermiyorsa silersin. Soruya cevap veren en az veriyle yetinmek hem yasal riski hem gürültüyü düşürür.

Başlangıç için tek bir alışkanlık yeter: her bulgunun yanına kaynağını yaz. Nereden buldun, hangi adres, hangi tarih? Bu alışkanlık ilk gün kurulmazsa sonradan zor kurulur. Araştırma büyüdükçe hangi satırın nereden geldiğini hatırlayamazsın.

Kaynağı olmayan bulgu ise raporda savunulamaz. Aynı alışkanlık yasal tarafı da korur. Veriyi neden ve hangi kaynaktan aldığını gösterebilmek, kapsam içinde kaldığını kanıtlamanın en kolay yoludur. Bir itiraz geldiğinde elinde düzenli bir defter olur ve tartışma teknik zeminde biter.

Aynı yöntem amacına göre farklı iş yapar ve çıktısı farklı masaya gider. Kurumsal güvenlik ekibi kendi dış yüzeyini ölçer. Unutulmuş bir test sunucusu bulursa bulgu, kapatması için altyapı ekibine gider. Tehdit istihbaratı ekibi markasına benzeyen yeni bir alan adını yakalar.

Bulgu, kapatma başvurusu için hukuk ekibine gider. Sızma testçisi keşif aşamasında saldırı yüzeyini çıkarır ve bulgu müşteri raporuna girer. Doğrulama ekibi sosyal ağda yayılan bir iddiayı sınar ve sonuç yayın kararı için editöre gider. Dördünün ortak noktası şudur: hiçbiri kilitli kapıyı zorlamaz ve her biri çıktının kime gideceğini baştan bilir.

Saldırgan tarafında bu işin bir adı var. MITRE ATT&CK çerçevesinde Keşif (Reconnaissance, TA0043) taktiği, saldırganın sonraki adımlarını planlamak için bilgi toplamasını anlatır. Tekniklerini savunma gözüyle üç gruba ayırabilirsin.

Hedefe dokunmayanlar: açık web sitelerini ve alan adlarını aramak (T1593) ile DNS, sertifika ve whois gibi açık teknik veri tabanlarını aramak (T1596). Hedefe sıradan ziyaretçi gibi dokunan: kurumun kendi web sitesini incelemek (T1594). Hedefi açıkça yoklayanlar: aktif tarama (T1595) ve bilgi için oltalama (T1598).

Kimlik, ağ, kurum ve sistem bilgisi toplamak (T1589-T1592) ise ne toplandığını anlatır. Oltalama OSINT değildir, çünkü kişiyi kandırır. Kapalı kaynakları aramak (T1597) da açık kaynağın dışında kalır.

ATT&CK bu taktiğe karşı M1056 kodlu Ön Uzlaşma (Pre-compromise) önlemini koyar. Önlem, saldırgan keşif ve kaynak geliştirme aşamasındayken zayıflık bulmasını zorlaştıran proaktif adımları kapsar. Önlemin maddelerinden üçü doğrudan açık kaynağa bakar.

Birincisi yayımladığın bilgiyi sınırlamaktır: iş ilanına sunucu sürümü ya da iç sistem adı yazmamak. İkincisi alan adı ve DNS korumasıdır: DNSSEC'i açmak, taklit alan adlarını ve alan adı ele geçirme girişimlerini izlemek. Üçüncüsü dış yüzeyi düzenli izlemektir.

Savunmada OSINT'in asıl sorusu şudur: saldırgan bizi araştırsa önce ne görür? Aktif keşif ise hedefin kaydında iz bırakır. Aynı adresten kısa sürede gelen 404 yanıtları bu izin tipik işaretidir.

/.git/ ya da yedek dosya gibi var olmayan hassas yollara gelen istekler de öyle. Kullanıcı ajanındaki betik kütüphanesi adı resmi tamamlar.