İstihbarat döngüsü

İstihbarat rastgele arama değildir, belli bir sırayla dönen bir döngüde yürür. Döngü neden döngüdür? Çünkü tek yönlü bir hat gerçeği yansıtmaz.

Analiz sırasında verinin yetmediğini görür ve toplamaya dönersin. Raporu yazarken sorunun yanlış kurulduğunu fark eder ve başa dönersin. Geri dönmek başarısızlık değil, işin normal ritmidir.

Tek yönlü yürüyen araştırmalar çoğu zaman ilk saatte seçilen yanlış soruya kilitlenir. Bu derste döngünün altı adımını tek tek göreceksin. Sonra Beyaz Vadi Lojistik için bir öncelikli istihbarat gereksinimi yazacak ve toplama planı kuracaksın. Ardından araştırma günlüğü tutacak ve 212 satırlık ham bir listeyi işleyeceksin.

Tehdit istihbaratı eğitimlerinde en yaygın döngü altı adımdan oluşur. Yönlendirme ya da planlama adımında soru ve öncelik belirlenir. Toplama adımında kaynaklardan ham veri gelir. İşleme adımında bu veri ayıklanır ve ortak biçime getirilir.

Analiz adımında işlenmiş veri yargıya dönüşür. Yayma adımında sonuç doğru kişiye, doğru biçimde ulaşır. Geri bildirim adımında okuyan kişi raporun işine yarayıp yaramadığını söyler ve yeni soru doğar. Bazı kaynaklar adımları birleştirir ve dört ya da beş durak sayar.

Adların farkı önemli değildir. Önemli olan, işleme ile geri bildirimin görünmez kalmamasıdır. İkisi atlandığında döngü kırılır.

Toplama adımında soruya göre kaynak seçersin. Altyapı sorusu için whois, DNS ve sertifika kütükleri gerekir. Kurum sorusu için kurum sitesi, iş ilanları ve arşiv kopyaları gerekir.

Kaynağı soruya göre seçmek, ilk saatte yüzlerce gereksiz satır toplamanı önler. Analiz adımında ise işlenmiş kayıt bilgiye döner. Tek başına bir IP adresi hiçbir şey anlatmaz. Aynı adreste üç ayrı alt alan adı varsa ve biri eski bir panelse, orada bir bulgu vardır.

Zamanın nereye gittiği de buradan anlaşılır. Toplama artık büyük ölçüde otomatik yürür ve araçlar saniyeler içinde uzun listeler döker. Zor olan, soruyu netleştirmek ve hangi kaydın önemli olduğuna karar vermektir. Sürenin büyük kısmını bu düşünme işi alır.

YÖNLENDİRME  : Beyaz Vadi Lojistik'in dışa açık yüzeyinde sahipsiz sistem var mı?
TOPLAMA      : whois, dig, crt.sh, subfinder, Wayback Machine
İŞLEME       : 212 ham ad -> küçük harf, tekilleştirme -> 64 ad; saatler UTC
ANALİZ       : ad -> IP -> sahiplik eşleşmesi, sahipsiz kayıt taraması
YAYMA        : 5 bulgu, her biri kaynak ve tarih damgalı, TLP:AMBER
GERİ BİLDİRİM: yeni soru -> eski test alan adları kimin elinde?

Döngü ihtiyaçla başlar. Müşteri ya da ekip bir soru sorar. 'Şu şirketi araştır' soru değildir. 'Beyaz Vadi Lojistik'in dışa açık hangi sistemleri sahipsiz görünüyor' sorudur.

Cevabı olan soru, kapsamı kendiliğinden çizer. İstihbarat dilinde bu sorulara öncelikli istihbarat gereksinimi (Priority Intelligence Requirement, PIR) denir. PIR, karar vericinin karar vermek için en çok ihtiyaç duyduğu bilgiyi tarif eder. Kullanışlı bir PIR dört parça taşır.

Birincisi cevaplanabilir bir sorudur. İkincisi kapsam dışı alandır, yani neye bakılmayacağıdır. Üçüncüsü teslim tarihidir. Dördüncüsü tüketicidir: sonucu kimin okuyacağı ve hangi kararı vereceğidir.

Parça         Kötü PIR                 İyi PIR
Soru          Beyaz Vadi'yi araştır    Dışa açık hangi sistemler sahipsiz görünüyor?
Kapsam dışı   (yazılmamış)             Çalışanların kişisel verisi, aktif tarama
Teslim        (yazılmamış)             26 Eylül 2026, 17:00
Tüketici      (yazılmamış)             Altyapı müdürü: kapatma sırasına karar verir

Tabloyu satır satır oku. Kötü PIR'deki 'araştır' fiilinin bitiş çizgisi yoktur. Ne zaman biteceğini ve neye bakılmayacağını söylemez, bu yüzden kapsam kendi kendine büyür.

İyi PIR'deki soru bir listeyle cevaplanır ve liste bitince iş biter. Kapsam dışı satırı iki riski birden kapatır: kişisel veriye kaymayı ve izinsiz aktif adımı. Teslim tarihi toplama derinliğini belirler; üç günlük iş ile üç haftalık iş aynı kaynaklara bakmaz.

Tüketici satırı raporun dilini belirler. Altyapı müdürü teknik ayrıntı ister, yönetim kurulu risk ve maliyet ister. Soru daraldıkça kapsam da daralır. 'Kim çalışıyor' diye kurulan bir soru ise kapsamı bir anda kişisel veri alanına sokar ve hukuki dayanak sorusu doğurur.

Soru yazıldıktan sonra toplamaya hemen geçmezsin, önce plan kurarsın. Berkeley Protokolü'nün ekindeki çevrim içi soruşturma planı şablonu bu işin iyi bir iskeletidir. Şablon amaçları ve planlanan işleri, dijital ortamın değerlendirmesini, risk azaltma önlemlerini, ilgili aktörleri, rolleri, gereken kaynakları ve belgeleme yöntemini sorar. Küçük bir kurumsal iş için bunun sade bir tablosu yeter.

Tabloda her soru için kaynağı, aracı, adımın türünü ve beklenen çıktıyı yazarsın. Aşağıdaki plan Beyaz Vadi PIR'inden türetildi. Her satır, soruya hangi yoldan cevap aranacağını gösterir.

Soru                             Kaynak               Araç          Tür          Beklenen çıktı
Hangi alt alan adları var?       Sertifika kütükleri  crt.sh        Pasif        Ad listesi (JSON)
Adlar bugün nereye çözülüyor?    Yetkili DNS          dig           Yarı pasif   Ad -> IP eşleşmesi
Eski paneller nerede kaldı?      İnternet arşivi      Wayback CDX   Pasif        Tarihli adres listesi
Adresler kime ait?               Adres kayıtları      whois, RDAP   Pasif        AS numarası ve kurum
Hangi portlar açık?              Hedefin kendisi      nmap          Aktif        KAPSAM DIŞI: yazılı izin yok

Tabloyu satır satır oku. İlk soru sertifika kütüklerinden cevaplanır ve hedefe dokunmaz.

İkinci satır yarı pasiftir; sorgu hedefin yayımlanmış ad sunucusuna gider ama sıradan bir çözümleme gibi görünür. Son satır planda bilerek duruyor. Planı yazan kişi, aktif bir adımı düşündüğünü ve izin olmadığı için atladığını belgeliyor. Bu satır, sonradan gelecek 'neden port taraması yapmadınız' sorusunun da cevabıdır.

Planın yanında bir de günlük tutarsın. Hangi komutu ne zaman çalıştırdın, hangi kaynağa hangi tarihte baktın? Bu notlar raporun yarısını hazır eder ve itiraz geldiğinde elinde kayıt olur.

Günlüğün en önemli alanı zamandır. Açık kaynak kaydı bir hafta sonra değişebilir. Zaman damgası olmayan gözlem, 'şu an böyle' ile 'geçen ay böyleydi' farkını kaybeder.

$ echo "$(date -Iseconds) | crt.sh | %.beyazvadi.example | 212 ad" >> gunluk.txt
$ tail -1 gunluk.txt
2026-09-19T14:05:11+03:00 | crt.sh | %.beyazvadi.example | 212 ad

$ script -a oturum.log
Script started, output log file is 'oturum.log'.
$ dig +short A web01.beyazvadi.example
203.0.113.11
$ exit
Script done.

İlk komut tek satırlık bir günlük kaydı yazar. $(date -Iseconds) komutun çıktısını satırın içine yerleştirir ve zamanı saniye ile saat ofsetiyle yazar. Bu biçim ISO 8601'dir; internetteki zaman damgası profili RFC 3339'da tanımlıdır ve bu biçimle uyumludur. Sondaki +03:00 ofseti önemlidir.

İstanbul'daki sen ile başka bir ülkedeki ekip arkadaşın aynı anı farklı yerel saatle görür. Ofset yoksa iki kayıt güvenle yan yana konamaz. >> işareti dosyanın sonuna ekler, tek > ise dosyayı silip baştan yazar. script komutu terminal oturumunun tamamını dosyaya kaydeder. -a bayrağı var olan kaydın sonuna ekler, exit ise kaydı kapatır.

İşleme, toplama ile analiz arasındaki sessiz adımdır ve en çok atlanan adımdır. Üç araçtan gelen alt alan adı listesini düşün. Biri adları büyük harfle yazar, biri sonuna nokta koyar, biri aynı adı üç kez döker. Saatler de karışıktır: bir kaynak UTC verir, öbürü yerel saat.

İşlenmemiş veriyle analize geçersen aynı adı üç ayrı bulgu sanırsın ve olayların sırasını yanlış kurarsın. İşleme adımında üç iş yaparsın: tekilleştirirsin, biçimi birleştirirsin ve zamanı tek bir saat dilimine, çoğunlukla UTC'ye çevirirsin. İşleme veriyi kullanılabilir yapar. Kayıtları birbirine bağlayıp anlam çıkarmak ise analizin işidir.

$ wc -l altlar-ham.txt
212 altlar-ham.txt
$ tr 'A-Z' 'a-z' < altlar-ham.txt | sed 's/\.$//' | sort -u > altlar.txt
$ wc -l altlar.txt
64 altlar.txt

$ date -u -d '2026-09-19T14:05:11+03:00' -Iseconds
2026-09-19T11:05:11+00:00

Çıktıyı sırayla oku. wc -l ham dosyada 212 satır sayar.

İkinci satırdaki boru hattı üç iş yapar. tr büyük harfleri küçüğe çevirir, çünkü alan adlarında büyük küçük harf farkı yoktur. sed satır sonundaki noktayı siler; DNS araçları tam adı sonunda noktayla yazar.

sort -u sıralar ve tekrarları atar. Sonuç 64 benzersiz addır. Yalnız sort -u çalıştırsaydın WEB01 ile web01 iki ayrı satır kalırdı.

Analiz edilecek liste üç kattan fazla küçüldü, analiz süresi de kabaca bu oranda kısalır. Son komut İstanbul saatindeki bir damgayı UTC'ye çevirir. Bu yazım Linux'taki GNU date içindir; macOS'taki BSD date başka bayrak ister.

Yayma adımı raporu doğru kişiye, doğru biçimde ulaştırır. Rapor okuyanın karar almasını kolaylaştırmalıdır. Ham ekran görüntüsü yığını rapor değildir. Her bulgunun yanında kaynak, tarih ve güven seviyesi durur.

Okuyan kişi senin yürüdüğün yoldan yürüyüp aynı sonuca varabilmelidir. Yaymanın bir de paylaşım sınırı vardır. Güvenlik ekipleri bunu Trafik Işığı Protokolü (Traffic Light Protocol, TLP) ile işaretler. TLP:RED yalnız adı geçen alıcılar içindir.

TLP:AMBER alıcının kurumu ve müşterileri içinde, bilmesi gerekenlerle paylaşılır. TLP:GREEN topluluk içinde paylaşılır ama herkese açık kanala konmaz. TLP:CLEAR serbestçe yayılır. Saldırgana yol gösterebilecek bir sahipsiz sistem raporu çoğu zaman TLP:AMBER taşır.

Döngüyü kapatan adım geri bildirimdir. Okuyan kişi raporun işine yarayıp yaramadığını söyler ve rapor yeni bir soru doğurur. Beyaz Vadi örneğinde döngü şöyle döner. Toplamada sertifika kütüğünden ad listesi çıkar.

İşlemede 212 satır 64 ada iner. Analizde cevap veren adlar adreslere bağlanır ve tekrar eden adresler işaretlenir. Raporda üç bulgu kalır: iki eski panel ve bir sahipsiz kayıt.

Geri bildirimde altyapı müdürü sorar: bu paneller kimin sorumluluğunda? Soru ikinci turu başlatır ve ikinci tur çok daha dardır. İyi araştırma böyle daralarak ilerler. Deneyimli analist geniş bir işi üç dar soruya böler ve sırayla kapatır.

Kurum içinde döngü tek seferlik iş olarak kalmaz, sürekli bir programa dönüşür. Saldırı yüzeyi yönetimi (Attack Surface Management) denen bu programda savunma ekibi kendi dış yüzeyini düzenli aralıkla tarar. Haftalık tur aynı PIR ile başlar ve aynı toplama planıyla çalışır. Fark, çıktının bir önceki turla karşılaştırılmasıdır.

Yeni bir sertifika, yeni bir alt alan adı ya da el değiştiren bir IP adresi değişiklik alarmı üretir. Sahibi bulunamayan her varlık bir sahiplik sürecine girer; ya bir ekibe atanır ya da kapatılır. MITRE'nin M1056 önlemindeki dış izleme maddesi tam olarak budur. Saldırgan keşfe başlamadan önce sen aynı haritayı çıkarmış olursun.