Kaynak güvenilirliği ve doğrulama
- Kaynağı ve bilgiyi iki eksende puanlamayı, iddiayı bağımsız kaynakla ve kendi DNS sorgunla doğrulamayı, güven dilini rapora yazmayı öğren.
- Her kayıt eşit değildir. Bir sertifika kütüğü ile bir forum mesajı aynı ağırlıkta taşınmaz.
- Doğrulama, aynı iddiayı birbirinden bağımsız ikinci bir kaynakta görmektir.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +50 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
İstihbaratta her kayda iki ayrı soru sorarsın. Kaynak ne kadar güvenilir? İddia ne kadar sağlam? İkisi farklı şeydir.
Güvenilir bir kaynak yanlış bir şey söyleyebilir. Zayıf bir kaynak doğruyu söyleyebilir. Bu yüzden ikisini ayrı not edersin.
Bu derste önce kaynakları katmanlara ayıracak, sonra iki soruyu iki eksenli bir ızgarayla puanlayacaksın. Ardından döngüsel raporlama tuzağını, kendi DNS sorgunla doğrulamayı ve çelişen kayıtlar karşısında karar vermeyi göreceksin. Son olarak güven seviyesini rapora hangi kelimelerle yazacağını öğreneceksin.
Kaynak katmanları ve niyet
Kaynakları kabaca üç katmana ayır. Birincil kaynak, olayın kendi kaydıdır: sertifika kütüğü, tescil kaydı, kurumun kendi duyurusu.
İkincil kaynak, birincili aktaran yerdir: haber, blog, araç çıktısı. Üçüncül kaynak ise söylentidir: forum mesajı, isimsiz paylaşım. Araç çıktısı da ikincil kaynaktır. subfinder bir alt alan adı listesi verir ve o liste araca beslenen veri tabanlarından gelir.
Araç yanılabilir, veri tabanı eski olabilir. Bu yüzden önemli her satırı kendi elinle çözümleyip doğrularsın. Ekran görüntüsü de birincil kaynak değildir.
Görüntü kolayca kırpılır ya da düzenlenir; adresini ve tarihini göstermez. Görüntüdeki iddiayı, işaret ettiği asıl kayda giderek doğrularsın.
Kaynağın niyeti de değerlendirmeye girer. Bir kurumun kendi duyurusu birincil kaynaktır, ama kurum kendi lehine yazar. Rakip bir firmanın açıklaması doğru olabilir, ama seçici olur.
Kaynağın çıkarı ile iddianın yönü aynıysa dikkatli okursun. Amaç kaynağı reddetmek değil, ağırlığını ayarlamaktır. Zaman damgası ikinci ölçündür.
Bir IP kaydı üç yıl öncesine aitse bugünü anlatmaz, çünkü adres el değiştirmiş olabilir. Arşiv kaydına bakarken sayfanın çekildiği tarihi yazarsın. Tarihsiz bulgu, yarısı eksik bulgudur.
Savunma tarafı katman fikrini kendi lehine kullanır. Kurum resmî kanallarını tek bir sayfada listeler: resmî alan adları, sosyal ağ hesapları, destek hattı ve e-posta adresleri. Liste kurumun kendi sitesinde durduğu için birincil kaynaktır.
Sahte bir destek hesabı ya da taklit bir alan adı çıktığında müşteri, gazeteci ve analist aynı soruyu tek adımda cevaplar: bu kanal listede var mı? Yoksa resmî değildir. Sahte kanalı ayırmanın en ucuz yolu budur. Listeyi yayımlayan kurum, kendisi hakkında dolaşan iddiaları doğrulama yükünü de hafifletir.
Etkinlik 1 / 6
Her kaynağı doğru katmanla eşleştir.
İki eksenli ızgara: A-F ve 1-6
İki soruyu ayrı tutmanın yerleşik bir aracı var. NATO ülkelerinin istihbarat birimlerinde kullanılan ve Admiralty sistemi diye bilinen ızgara, her kayda iki karakterlik bir not verir. Harf kaynağın güvenilirliğini, rakam bilginin inanılırlığını gösterir.
Kaynak notu kaynağın geçmişine ve yeteneğine bakar. Bilgi notu ise iddianın başka bağımsız kaynaklarla doğrulanıp doğrulanmadığına, kendi içinde mantıklı olup olmadığına ve bilinenle uyuşup uyuşmadığına bakar. İki not birbirinden bağımsız verilir.
Kaynağın güvenilir olması iddiayı kendiliğinden doğrulanmış yapmaz. Aşağıdaki tablo iki ekseni yan yana gösteriyor.
Kaynak güvenilirliği Bilginin inanılırlığı A Tamamen güvenilir 1 Başka bağımsız kaynaklarla doğrulandı B Genellikle güvenilir 2 Muhtemelen doğru C Oldukça güvenilir 3 Belki doğru D Genellikle güvenilir değil 4 Şüpheli E Güvenilmez 5 Olası değil F Güvenilirlik değerlendirilemiyor 6 Doğruluğu değerlendirilemiyor
Notları örneklerle oku. Yıllardır çoğu zaman doğru çıkan bir tehdit istihbaratı sağlayıcısı, başka hiçbir yerde geçmeyen ama mantıklı ve bilinenle tutarlı bir iddia yayımlıyor. Bu kayıt B2 alır: kaynak genellikle güvenilir, bilgi muhtemelen doğru ama doğrulanmamış. Aynı iddiayı sertifika kütüğünde ve kendi DNS sorgunda görürsen bilgi notu 1'e çıkar.
İlk kez gördüğün isimsiz bir hesap F notunu alır, çünkü kaynağı değerlendirecek geçmiş yoktur. İçerik mantıksız ve bilinenle çelişkiliyse bilgi notu 5 olur. F6 kötü not değildir; 'bilmiyorum' demenin sistemli yoludur. Pratikte en sık hata, güvendiğin kaynağın her iddiasına otomatik olarak 1 vermektir.
Etkinlik 2 / 6
İlk kez karşılaştığın bir sosyal ağ hesabı, Beyaz Vadi'nin yeni bir panel açtığını yazıyor. Aynı adı sertifika kütüğünde ve kendi dig sorgunda da buluyorsun. Bu kayda hangi not uygun?
Bağımsızlık, döngüsel raporlama ve önyargı
Doğrulamanın kuralı basittir: bağımsızlık. İki kaynak aynı yerden besleniyorsa doğrulama olmaz. Beş haber sitesi aynı ajansı aktarıyorsa elinde beş kaynak değil, bir kaynak vardır. Daha sinsi hali döngüsel raporlamadır (circular reporting).
Bir iddia bir kaynaktan çıkar, başka kanallarda dolaşır ve sana ikinci bir kaynak kılığında geri döner. Senin yayımladığın bir tahmin bir blogda alıntılanır, sonra bir raporda 'bağımsız doğrulama' diye karşına çıkar. Bağımsızlığı sınamak için zinciri geriye doğru takip eder ve ilk ağzı bulursun. Sonra her kaynağın bilgiye kendi yolundan ulaşıp ulaşmadığını sorarsın.
Sahadan tipik bir örnek düşün. Kötü amaçlı bir alan adı beş ayrı güvenlik blogunda geçiyor ve ilk bakışta güçlü görünüyor. Yayın tarihlerini sıraladığında en eski yazının tek bir tehdit raporu olduğunu görürsün.
Öbür dördü o raporu aktarmış, ikisi aynı yazım hatasını bile taşıyor. Birinde ekran görüntüsü aynen kopyalanmış. Elinde beş değil, bir kaynak vardır.
Doğru hamle, alan adını kendi elinle sınamaktır. Sertifika kütüğünde ne zaman görüldüğüne, pasif DNS'te hangi adreslere çözüldüğüne ve bugün ne döndüğüne bakarsın. Araç çıktısını alıntılarken tarihini de yazarsın. Tarihsiz alıntı, kaydın bugün de geçerli olduğu yanılgısını doğurur.
Kendi önyargını da hesaba kat. Beklediğin sonucu destekleyen kaydı kolay kabul eder, çelişeni kolay elersin. Buna doğrulama yanlılığı denir.
Yapılandırılmış analiz teknikleri bu eğilimi kırmak için var. Temel varsayım kontrolünde (Key Assumptions Check) yargının dayandığı varsayımları tek tek yazar ve her birinin ne kadar sağlam olduğunu sorarsın. Rakip hipotezler analizinde (Analysis of Competing Hypotheses, ACH) akla gelen bütün açıklamaları bir tablonun sütunlarına, kanıtları satırlarına koyarsın.
Her kanıtın her açıklamayla uyuşup uyuşmadığını işaretlersin. Amaç bir hipotezi kanıtlamak değil, zayıf olanları çürütmektir. Pratik kural da aynı yöne bakar: bulgunu çürütecek kaydı bilerek ara. Bulamazsan güvenin artar.
Derinleş:Rakip hipotezler analizinin kökü
ACH, Richards J. Heuer Jr.'ın Psychology of Intelligence Analysis kitabının sekizinci bölümünde anlatılır. Kitabı 1999'da CIA'nin İstihbarat Araştırmaları Merkezi yayımladı. Kitap, Heuer'in 1978 ile 1986 arasında CIA analistleri için yazdığı makaleleri toplar ve bilişsel psikoloji bulgularını analiz işine çevirir.
Heuer'in çıkış noktası şudur: insanlar olası bütün açıklamaları üretmekte zayıftır ve yeterince uyan ilk açıklamaya yapışır. Yöntem sekiz adımdır. Farklı bakış açılarından insanlarla olası hipotezleri belirlersin. Kanıtları ve argümanları listelersin.
Hipotezleri sütuna, kanıtları satıra koyup matris kurar ve her kanıtın ayırt ediciliğine (diagnosticity) bakarsın. Ayırt edici değeri olmayan kanıtı çıkarırsın. Hipotezleri kanıtlamaya değil çürütmeye çalışarak geçici sonuca varırsın. Sonucun birkaç kritik kanıta ne kadar duyarlı olduğunu sınarsın.
Yalnız en olası hipotezi değil, hepsinin göreli olasılığını raporlarsın. Son adımda olayların beklenenden farklı gittiğini gösterecek işaretleri belirlersin. Bütün hipotezlerle uyuşan kanıt, ne kadar güçlü görünse de karar vermene yardım etmez.
Etkinlik 3 / 6
Doğru mu, yanlış mı?
Aynı bilgiyi beş farklı haber sitesinde görmek onu doğrulanmış sayar.
Kendi elinle doğrulamak: DNS örneği
Araç listesindeki bir adı rapora koymadan önce kendi elinle sınarsın. DNS bunun için iyi bir örnektir, çünkü aynı soruyu farklı sunuculara sorabilirsin. İstemcin önce özyinelemeli bir çözümleyiciye sorar.
Çözümleyici cevabı bilmiyorsa kök sunucudan başlayıp adın yetkili ad sunucusuna kadar iner. Aldığı cevabı bir süre önbellekte tutar; bu sürenin adı TTL'dir (time to live). Yetkili ad sunucusu ise kaydın kaynağıdır.
İki genel çözümleyici bağımsız önbelleklerdir ama aynı yetkili kaynaktan beslenir. Bu yüzden önce ikisine sorar, önbellek farkı var mı diye bakarsın. Son sözü ise doğrudan yetkili sunucuya sorarak alırsın.
$ dig @1.1.1.1 A web01.beyazvadi.example +short 203.0.113.11 $ dig @8.8.8.8 A web01.beyazvadi.example +short 203.0.113.11 $ dig +norecurse @ns1.ornek-dns.example A web01.beyazvadi.example ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41872 ;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1 ;; ANSWER SECTION: web01.beyazvadi.example. 300 IN A 203.0.113.11
Çıktıyı satır satır oku. @ işareti sorunun hangi sunucuya gideceğini seçer. 1.1.1.1 ve 8.8.8.8 farklı işletmecilerin genel çözümleyicileridir. +short yalnız cevabı yazar ve iki çözümleyici aynı adresi döndürdü. Üçüncü komut soruyu doğrudan Beyaz Vadi'nin yetkili ad sunucusuna sorar. +norecurse, sunucunun başkasına sormadan yalnız kendi bildiğini söylemesini ister.
flags satırındaki aa bayrağı yanıtın yetkili (authoritative answer) olduğunu gösterir; bu bayrak RFC 1035'te tanımlıdır. status: NOERROR sorgunun hatasız cevaplandığını söyler. Yanıttaki 300 ise TTL değeridir, yani kayıt beş dakika önbellekte kalabilir. Üç cevap aynı olduğu için kayıt bugün için doğrulanmıştır.
Etkinlik 4 / 6
Bir alt alan adının bugünkü A kaydını kendi elinle doğrula: web01.beyazvadi.example için dig çalıştır.
Etkinlik 5 / 6
Beyaz Vadi web01 kaydını on dakika önce 203.0.113.11'den 203.0.113.12'ye taşıdı. Kaydın TTL değeri 3600 saniye. Genel çözümleyici bu adı taşımadan hemen önce sorgulayıp önbelleğe almıştı. İki sorgu ne döndürür?
Önce kodu oku, sonra çıktıyı seç.
$ dig @1.1.1.1 A web01.beyazvadi.example +short $ dig +norecurse @ns1.ornek-dns.example A web01.beyazvadi.example +short
Çelişen kayıtlar ve güven dili
Bazen kaynaklar çelişir. Pasif DNS veri tabanı, çözümleyicilerden geçen cevapları yıllarca biriktirir ve 'bu ad bir zamanlar bu adrese bakıyordu' der. 'Bu sunucu bugün kuruma ait' demez.
İkisini karıştırmak raporda yanlış hedef gösterir. Bu yüzden her kaynağın ne söyleyebileceğini ve ne söyleyemeyeceğini baştan yazarsın. Aşağıdaki tablo üç adın pasif DNS kaydını bugünkü çözümlemeyle yan yana koyuyor.
İlk görülme ve son görülme sütunları pasif veri tabanından gelir. Bugünkü yanıt ise kendi dig sorgundan gelir.
Ad Pasif DNS İlk görülme Son görülme Bugünkü yanıt Değerlendirme web01.beyazvadi.example 203.0.113.11 2023-02-11 2026-09-18 203.0.113.11 Tutarlı: doğrulandı panel.beyazvadi.example 203.0.113.24 2021-06-02 2024-01-15 NXDOMAIN Ad silinmiş: yalnız geçmişi anlatır test.beyazvadi.example 203.0.113.50 2022-03-09 2026-08-30 198.51.100.40 Adres değişmiş: sahiplik sorulmalı
Tabloyu satır satır oku. web01 için geçmiş ile bugün aynı adrese bakıyor; iki bağımsız kayıt uyuştuğu için bulgu doğrulanmıştır. panel için pasif DNS 2024'te susuyor, bugünkü sorgu da NXDOMAIN döndürüyor, yani 'böyle bir ad yok' diyor. Bu ad bugün için bulgu değildir ama geçmişteki bir paneli anlatır; arşiv kopyası varsa tarihli olarak raporlarsın.
test için adres değişmiş. Pasif kayıt ile bugünkü yanıt çelişmez, farklı zamanları anlatır. Yeni adres 198.51.100.40 başka bir ağdadır ve kuruma ait olduğu henüz kanıtlanmamıştır. Sahiplik whois ve RDAP ile sınanana kadar bu satır iddia olarak kalır.
Raporda güven seviyesini açıkça yaz. Üç kademe yeter: doğrulandı, olası, iddia. Doğrulandı demen için bağımsız iki kaynak ve tarih gerekir.
Olası, tek sağlam kaynak demektir. İddia ise henüz kanıtsızdır ve raporda o şekilde durur. Kelimelerin okuyucuda aynı anlamı taşıması da gerekir.
'Muhtemel' kelimesini sen yüzde yetmiş beş, okuyan yüzde otuz diye anlayabilir. İstihbarat analizinin öncülerinden Sherman Kent bu sorunu 1964'te yazdı ve tahmin kelimelerini olasılık aralıklarına bağladı. Onun tablosunda 'neredeyse kesin' yaklaşık yüzde 93, 'muhtemel' yüzde 75, 'yarı yarıya' yüzde 50 anlamına gelir. Raporunun başına kendi kademe tablonu koyarsan okuyucu seninle aynı dili konuşur.
Güven seviyesini yazmanın pratik bir faydası daha vardır. Rapor okuyan kişi hangi bulguya göre hareket edeceğine kendi karar verir. Doğrulanmış bir bulgu bütçe harcamayı haklı çıkarır. Bir iddia ise yalnız ek araştırma başlatır.
Seviyeleri yazmazsan her bulguyu aynı sepete koyarsın ve yanlış öncelik doğar. Bir de kendini korumuş olursun. Sonradan yanlış çıkan bir iddiayı 'iddia' diye yazdıysan hata yapmış olmazsın; belirsizliği doğru bildirmiş olursun. Kesin diye sunulan yanlış bulgu ise hem raporu hem analisti yakar.
Derinleş:Sherman Kent ve 'ciddi olasılık'
Sherman Kent, ABD'nin Ulusal Tahminler Kurulu'nda görev yapmış bir tarihçi ve analisttir. 1964'te Studies in Intelligence dergisinde yayımlanan 'Words of Estimative Probability' yazısı bir anıyla başlar. Mart 1951'de yayımlanan bir ulusal istihbarat tahmini, o yıl Yugoslavya'ya saldırı düzenlenmesinin 'ciddi bir olasılık' olduğunu yazıyordu.
Birkaç gün sonra Dışişleri Bakanlığı'nın politika planlama biriminin başkanı Kent'e sordu: bu ifadeyle hangi olasılığı kastettiniz? Kent kendi tahmininin saldırı lehine 65'e 35 olduğunu söyledi. Okuyucu ise çok daha düşük bir olasılık anlamıştı. Kent sonra metni onaylayan kurul üyelerine sordu.
En düşük tahmin 20'ye 80, en yüksek 80'e 20 çıktı. Aynı cümleyi onaylayan insanlar aynı şeyi kastetmiyordu. Kent'in önerdiği tablo beş kademe kullanır: neredeyse kesin yüzde 93, muhtemel yüzde 75, yarı yarıya yüzde 50, muhtemelen değil yüzde 30, neredeyse kesin değil yüzde 7. Her kademenin çevresinde 5 ile 12 puan arasında bir pay bırakılır.
Etkinlik 6 / 6
Her ifadeyi güven seviyesine göre ayır.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/5 seçenek yerleşti.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.