Operasyonel güvenlik: araştırma izlerin

Operasyonel güvenlik (OPSEC), kendi görünürlüğünü yönetmektir. Bir alt alan adını tarayıcıda açtığın an hedefin erişim kaydına bir satır düşer. Kurumun analitik paneli o ziyareti görür. Sıradan bir tıklama, araştırmanı hedefe duyurabilir.

OSINT eğitimlerinde bu işin bir adı daha vardır: atıf yönetimi (attribution management). Amaç, yaptığın araştırmanın sana, kurumuna ya da müşterine bağlanmasını kontrol etmektir. Bu derste önce hedefin kaydında nasıl göründüğünü okuyacaksın. Sonra DNS izini ve bağlantı önizlemesi tuzağını, ayrı araştırma ortamını, araştırma öncesi kontrol listesini ve savunma ekibinin keşfi nasıl yakaladığını göreceksin.

Riski üç başlıkta topla. Ağ izi: IP adresin ve çözümleme yaptığın ad sunucusu. Kimlik izi: açık kalan hesapların ve aynı kullanıcı adının her yerde tekrarı.

Davranış izi: hep aynı saatte, hep aynı sırayla bakman. İlk başlığın en somut hali hedefin erişim kaydıdır. Pasif kaynaklar hedefe dokunmaz; whois ve crt.sh sorguları üçüncü tarafın sunucusuna gider.

Hedefin sitesini açtığın, bir aracı hedefe yönelttiğin ya da formunu gönderdiğin an ise paket hedefe ulaşır ve kayda satır düşer. Aşağıdaki ilk blok iki pasif sorguyu bir aktif adımla yan yana koyuyor. İkinci blok hedefin nginx kaydında aynı öğleden sonra görülen üç satırı gösteriyor.

# Pasif kaynaklar hedefe dokunmaz
$ whois beyazvadi.example
$ curl -s 'https://crt.sh/?q=%25.beyazvadi.example&output=json' | head

# Aktif adım: paket doğrudan hedefe gider, log satırı doğar
$ httpx -u https://web01.beyazvadi.example -silent -title
https://web01.beyazvadi.example [Beyaz Vadi Yonetim]

203.0.113.77 - - [19/Sep/2026:14:05:11 +0300] "GET /ekip HTTP/1.1" 200 5120 "-" "curl/8.7.1"
203.0.113.77 - - [19/Sep/2026:14:05:14 +0300] "GET /kariyer HTTP/1.1" 200 3410 "-" "python-requests/2.32.3"
203.0.113.77 - - [19/Sep/2026:14:06:02 +0300] "GET / HTTP/1.1" 200 5120 "-" "BeyazVadi-Yetkili-Test/1.0 (iletisim: [email protected])"

Kaydı hedefin gözüyle oku. Üç satır da aynı adresten geliyor, yani ağ izin tek sütunda görünür. Son alan kullanıcı ajanıdır (User-Agent). İstemcinin kendini tanıttığı bu HTTP başlığı RFC 9110'da tanımlıdır.

Varsayılan ayarla çalışan curl kendi adını ve sürümünü yazar, python-requests de öyle. Karşı taraf hangi aracın kullanıldığını ve bir betikle gelindiğini anlar. İzin yoksa hedefe hiç istek atmazsın; gizlenmek eylemi hukuka uygun yapmaz. Yetkili testte ise tersini yaparsın.

Üçüncü satırdaki gibi curl'ün -A bayrağıyla kendini adlandırır, iletişim adresini de yazarsın. Savunma ekibi senin trafiğini gerçek saldırıdan tek bakışta ayırır ve boşuna alarm kurmaz. Hangi yolu seçeceğini yine kapsam belirler.

Ağ izinin ikinci parçası DNS'tir. Bir adı çözümlediğinde sorgu önce senin çözümleyicine gider. Kurum ağındaysan bu çözümleyici kurumunkidir ve sorguyu kaydeder. Adın yetkili ad sunucusu da sorguyu görür, ama çoğu zaman senin değil çözümleyicinin adresini görür.

Bazı çözümleyiciler EDNS istemci alt ağı eklentisiyle (RFC 7871) adres bloğunun bir kısmını da iletir. Sorgunun hangi sunucuya gittiğini dig çıktısının sonundaki SERVER satırından okursun. Aşağıdaki çıktıda sorgu 192.168.1.1'deki yerel çözümleyiciye gitmiş. Kurumsal ağdan yapılan bir araştırma, çözümleyicinin adresi üzerinden kurumun adını hedefe taşıyabilir.

$ dig A vpn.beyazvadi.example

;; ANSWER SECTION:
vpn.beyazvadi.example.  300  IN  A  203.0.113.30

;; Query time: 38 msec
;; SERVER: 192.168.1.1#53(192.168.1.1) (UDP)
;; WHEN: Sat Sep 19 14:07:40 +03 2026

Bağlantı önizlemesi sessiz bir tuzaktır. Hedefin bir adresini ekip arkadaşına mesajla gönderdiğinde uygulama, önizleme kartı üretmek için o adresi çeker.

Uygulamaya göre isteği ya senin cihazın ya da uygulamanın sunucusu yapar. İki durumda da hedefe bir istek gider ve kayda bir satır düşer. Bu yüzden hedef adreslerini paylaşırken önizlemeyi kapatır ya da adresi etkisiz yazarsın: beyazvadi[.]example gibi. İndirdiğin belgeler de iz bırakabilir.

Kanarya belirteci (canary token), içine benzersiz bir adres gömülmüş tuzak dosya, bağlantı ya da anahtardır. Tuzak bir belge açılınca uygulama o adrese ulaşmaya çalışır ve sahibine uyarı gider. Bu yüzden indirilen dosyayı ağa bağlı olmayan, yalıtılmış bir sanal makinede açarsın.

Ayrı kimlik kurmak temel alışkanlıktır. Berkeley Protokolü bunu asgari standart sayar. Araştırmacı mesleki işini kişisel çevrim içi etkinliğinden ayırır.

Kişisel hesaplar, mümkünse kişisel cihazlar da, mesleki araştırmada kullanılmaz. Kişisel cihaz kaçınılmazsa araştırma ayrı bir ortamda, örneğin bir sanal makinede yürür.

Pratikte bu ayrı bir tarayıcı profili ya da ayrı bir sanal makine demektir. Sanal makinenin bir faydası daha var: iş bitince temiz bir anlık görüntüye (snapshot) dönersin. Çerezler, geçmiş ve indirilen dosyalar tek hareketle silinir.

Kişisel hesabınla bir profile baktığında bazı ağlar karşı tarafa ziyaretçi bildirimi gönderir. Kurumsal araştırmada bu tek hareket işi yakar, çünkü hedef kimin baktığını adıyla görür. Protokol bir şey daha ister: araştırmanın üçüncü taraflarca izlenebileceğini varsay, tek bir kaynağa yüklenme ve tekrar eden arama kalıplarından kaçın.

Araştırma hesabı OSINT dünyasında kukla hesap (sock puppet) diye bilinir. Gerçek kimliğini taşımayan bu hesap, bazı platformlarda içeriği görmek için giriş istendiğinde kullanılır.

Etik sınır nettir. Hesap yalnız pasif okuma için vardır. Kimseyle mesajlaşmaz, arkadaşlık isteği göndermez, gruba katılmaz ve kimseyi kandırmaz.

Etkileşime girdiğin an iş OSINT olmaktan çıkar ve sosyal mühendisliğe döner. Birçok platform da gerçek kimlik dışı hesabı kullanım koşullarında yasaklar. Berkeley Protokolü, sahte kimlikle bilgi toplamanın araştırmanın güvenilirliğini zedeleyebileceğini ve bazı ülkelerde yasak olabileceğini hatırlatır. Kurumsal işte kukla hesap kullanmadan önce yazılı onay alırsın.

Hesap hijyeni ayrı kimliği ayakta tutar. Araştırma hesabını kişisel telefon numarasıyla açmak bütün çabayı boşa çıkarır.

Kurtarma adresi, profil fotoğrafı ve kayıt tarihi de eşleştirme malzemesidir. Aynı takma adı hem araştırma hesabında hem kişisel hesapta kullanırsan, sherlock benzeri bir araç ikisini yan yana getirir. Tarayıcı da seni ele verir.

Çerezler, eklentiler, dil, saat dilimi ve ekran boyutu birlikte bir parmak izi kurar. Zamanlama da bilgi taşır. Hep 09:00 ile 18:00 arası bakıyorsan mesai saatin bellidir ve mesai saatin ülkeni daraltır. Düzenli bir kalıp kurmamak bu izi zayıflatır.

Kuralları ezberlemek yerine her araştırmadan önce kısa bir listeden geçersin. Pilotların uçuş öncesi kontrolü gibi, liste yorgunluğu ve unutkanlığı telafi eder. Aşağıdaki sekiz madde bir kurumsal OSINT işinin başında beş dakikanı alır.

Her madde, sahada sık görülen bir hatayı önler. Listeyi her iş için kopyalar, tarihini yazar ve işaretlediğin haliyle günlüğe eklersin. Böylece sonradan 'ayrı profil kullanıldı mı' sorusunun cevabı da kayıtta durur.

UÇUŞ ÖNCESİ LİSTE (Beyaz Vadi, 19 Eylül 2026)
[ ] 1. Yazılı kapsam elimde; aktif adım izni var mı, yok mu belli
[ ] 2. Ayrı tarayıcı profili ya da sanal makine açık
[ ] 3. Profilde hiçbir hesaba oturum açık değil, eklenti yok
[ ] 4. Sistem saati NTP ile eşitli, günlükte saat dilimi yazıyor
[ ] 5. Günlük dosyası ve script kaydı başladı
[ ] 6. Toplanan veri şifreli ve erişimi sınırlı tek klasöre gidiyor
[ ] 7. Önce pasif kaynaklar; aktif adım yalnız yazılı izinle
[ ] 8. Paylaşılan adreslerde önizleme kapalı, adresler etkisiz yazılmış

Maddelerin çoğu önceki bölümlerden tanıdık. Birinci madde listenin başında durur, çünkü öbür bütün kararlar kapsama bağlıdır. İki madde ise ayrıca açıklama ister.

Dördüncü madde saat eşitlemesidir. Berkeley Protokolü, toplamada kullanılan makinenin saatinin doğru olmasını ve tercihen bir NTP sunucusuyla eşitlenmesini ister. Saat kaymışsa bütün zaman damgaların kayar. Protokol toplama kaydına toplayanın adını, makinenin IP adresini ve kullanılan sanal kimliği yazmanı da ister.

Altıncı madde verinin nerede durduğudur. Paylaşımlı bir not uygulamasına yapıştırılan çalışan listesi, araştırmanın kendisinden büyük sorun doğurur. Veriyi nerede tuttuğun da kapsamın parçasıdır.

Şimdi masanın öbür tarafına geç. Kurumlar kendilerine yönelik keşfi nasıl yakalar? Birinci yol erişim kaydıdır.

Kısa sürede art arda gelen 404 yanıtları keşfin tipik izidir. Var olmayan yönetim ve yedek yollarına gelen istekler de öyle. Kullanıcı ajanındaki curl, python-requests ya da Go-http-client gibi araç adları resmi tamamlar.

İkinci yol kanarya belirteçleridir. Savunma ekibi cazip görünen bir belgeyi, sahte bir erişim anahtarını ya da kullanılmayan bir alt alan adını tuzak olarak bırakır. Biri ona dokunduğunda uyarı düşer.

Üçüncü yol sertifika şeffaflığı izlemesidir. Kurum, kendi adına benzeyen bir alan adına sertifika çıkarıldığında haber alır ve taklit hazırlığını erken görür.

Mavi takım için keşif izi kontrolü birkaç soruya iner. Erişim kaydında araç imzası taşıyan kullanıcı ajanlarını düzenli sayıyor musun? 404 sayısındaki ani sıçramalar için eşik tanımlı mı?

Kanarya belirteçlerin, gerçek bir saldırganın ilk bakacağı yerlerde mi duruyor? Kurum adına benzeyen alan adları ve yeni sertifikalar izleniyor mu? Bu sinyallerin hiçbiri tek başına saldırı demek değildir.

İnternete açık her sunucu her gün çok sayıda otomatik tarama alır. Değerli olan sinyalin bağlamıdır. Aynı adres önce kariyer sayfasına, sonra /admin/ yoluna, sonra VPN giriş sayfasına geliyorsa ortada hedefli bir keşif vardır.

Operasyonel güvenliği abartmak da bir hatadır. Yetkili bir testte ya da kurumun kendi ayak izi çalışmasında gizlenmeye gerek yoktur. Aksine şeffaf çalışmak istenir: hangi adresten geldiğin bilinir ve savunma ekibi senin trafiğini gerçek saldırıdan ayırır. Gereksiz gizlenme burada işi zorlaştırır ve boşuna alarm üretir.

Ölçü basittir. Yetkin varsa görünür çalışırsın. Yetkin yoksa zaten hedefe dokunmuyorsundur ve gizlenecek bir şeyin de olmaz. Operasyonel güvenlik araştırmacının kimliğini ve kaynaklarını korumak içindir, yasal sınırı aşmanın aracı değildir.