Rapor yazımı ve KVKK sınırı
- OSINT raporunu iskelet, bulgu kartı, tahmin dili ve TLP etiketiyle kurar, kanıtı özet değeriyle korur, kişisel veriyi KVKK ilkeleriyle sınırlarsın.
- Araştırmanın tek kalıcı ürününü karar vericinin okuyacağı ve itiraza dayanacağı biçimde yazmayı öğrenirsin.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +60 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Beyaz Vadi Lojistik'in dış yüzey araştırması bitti. Elinde bir ilişki haritası, bir zaman çizelgesi, sahipsiz bir DNS kaydı ve bir taklit alan adı var. Bunların hiçbiri rapora dönüşmeden işe yaramaz. Rapor araştırmanın tek kalıcı ürünüdür ve karar almaya hizmet eder.
Okuyucusu çoğu zaman teknik değildir: bir güvenlik yöneticisi, bir hukuk birimi, bazen bir yönetim kurulu. Önce raporun iskeletini ve bulgu kartını kuracaksın. Sonra güveni ölçülebilir bir dille yazmayı, raporu TLP ile etiketlemeyi ve kanıtı özet değerleriyle korumayı göreceksin. En sonda KVKK ilkelerini rapora uygulayacak ve sorumlu analistin neyi reddettiğini göreceksin.
Raporun iskeleti
Rapor yönetici özetiyle açılır: üç cümlede ne bulundu, ne kadar ciddi ve ne yapılmalı. Ayrıntı arkada durur. Ardından yetki ve kapsam gelir: işi kim istedi, hangi varlıklar kapsamda, neyi bilerek dışarıda bıraktın.
Yöntem bölümü hangi araçları, hangi tarihlerde ve hangi kaynaklara karşı çalıştırdığını yazar. Bu bölüm raporu tekrar üretilebilir kılar ve tekrar üretilemeyen bulgu tartışmaya açıktır. Bulgular kartlar halinde sıralanır.
Sınırlılıklar bölümü neyi göremediğini söyler: erişemediğin kaynaklar, doğrulayamadığın iddialar, zaman kısıtı. Ekler ham çıktıyı, komut günlüğünü ve özet değerlerini taşır. Son bölüm öneriler ve kapanıştır.
Berkeley Protokolü, açık kaynak soruşturmalarının raporlanmasına ayrı bir bölüm ayırır. Protokole göre bulgular yazılı, sözlü ya da görsel olarak sunulabilir. Yazılı rapor şu bölümleri taşır: soruşturmanın amacı ve dayandığı talimat, yöntem, yapılan işlemler, dayanılan veri ve kaynaklar, boşluklar ve belirsizlikler, sonuç ve öneriler. Protokol dile de kural koyar.
Rapor tarafsız yazılır, duygusal ifadeden ve sıfat yığınından kaçınır. Abartı okuyanın önceliklendirmesini bozar. Her bulguyu kritik diye yazarsan hiçbiri kritik olmaz. Etkiyi somut yazarsın: ne olur, kim etkilenir, ne kadar sürede.
Rapor biçimini okuyucuya göre değiştirirsin ama çekirdek aynı kalır. Yönetim özeti üç cümledir. Teknik ek komut çıktılarını ve ham kayıtları taşır.
Hukuk birimi için kapsam ve dayanak bölümü öne çıkar. Aynı bulguları üç farklı derinlikte anlatırsan rapor üç ayrı masada işe yarar. Ekleri de seçerek koyarsın.
Yüzlerce sayfalık ham tarama çıktısını ek diye eklemek okuyanı boğar ve kişisel veriyi gereksiz yere taşır. Eke yalnız bir bulguyu destekleyen kayıt girer. Bölümlerin sırası da bir karardır: okuyan ilk sayfada durabilir, bu yüzden karar öne, ayrıntı arkaya yazılır.
Etkinlik 1 / 7
Bir OSINT raporunun bölümlerini sıraya koy.
Bir öğeye odaklan, yukarı ve aşağı ok tuşlarıyla taşı. Home tuşu en üste, End tuşu en alta alır.
- 1Öneriler ve kapanış
- 2Bulgular ve güven seviyeleri
- 3Yöntem ve kullanılan kaynaklar
- 4Yönetici özeti
- 5Kapsam ve yetki
Bulgu kartı ve tahmin dili
Her bulgu bir karttır ve en az dört alan taşır: bulgunun kendisi, kaynağı, tarihi ve güven seviyesi. Dördü olmadan bulgu doğrulanamaz. Güven seviyesi için çoğu işte üç kademe yeter: doğrulandı, olası ve iddia.
Kart bunlara etkiyi, öneriyi ve kişisel veri satırını ekler. Aşağıdaki kart Beyaz Vadi raporundaki üçüncü bulgudur. Sahipsiz bir CNAME kaydını anlatır: kaydın baktığı bulut kaynağı silinmiş, ama DNS kaydı yerinde kalmış.
BULGU 3 - Sahipsiz CNAME kaydı Bulgu : eski-panel.beyazvadi.example silinmiş bir bulut kaynağına bakıyor Kaynak : dig CNAME çıktısı + crt.sh kaydı Tarih : 2026-09-19 14:05 (+03:00) Güven : Doğrulandı (iki bağımsız kaynak) Etki : Kaydı üçüncü bir kişi devralabilir Öneri : DNS kaydını sil ya da kaynağı yeniden kur Kişisel veri: yok
Kartı satır satır oku. Bulgu satırı tek bir olguyu yazar ve yorum katmaz. Kaynak satırıyla okuyan aynı kaydı bulur.
Tarih satırı saat dilimini taşır, çünkü DNS kaydı yarın değişebilir. Güven satırı bulgunun kaç bağımsız kaynakla desteklendiğini söyler. Etki satırı somut bir sonuç yazar: kaydı üçüncü bir kişi devralabilir ve kurumun adı altında içerik yayımlayabilir.
Öneri satırı kimin ne yapacağını söyler. Son satır bilinçli bir alışkanlıktır. Her bulguda kişisel veri olup olmadığını yazarsın, böylece KVKK kontrolü raporun sonunda değil, her kartta yapılır.
Güven satırındaki kelimeler de bir ölçüdür. 'Olası' kelimesi bir okuyucuya yüzde altmış, öbürüne yüzde otuz gelebilir. Sherman Kent bu sorunu 1964'te yayımladığı 'Words of Estimative Probability' makalesinde anlattı.
Bir istihbarat tahmininde geçen 'ciddi ihtimal' ifadesini, metni onaylayan uzmanların her biri farklı okumuştu. Akıllarındaki değerler yüzde 20 ile yüzde 80 arasına dağılıyordu. Kent çözüm olarak kelimelere olasılık aralığı bağladı.
Raporun başına kendi ölçeğini yazarsın ve kartlarda yalnız o kelimeleri kullanırsın. Olasılık ile güven de ayrı şeylerdir. Olasılık olayın ne kadar muhtemel olduğunu, güven ise dayandığın kanıtın kalitesini söyler.
Ölçek (Kent, 1964) Olasılık Aralık Kesin %100 Neredeyse kesin %93 ±6 Olası %75 ±12 Yarı yarıya %50 ±10 Olası değil %30 ±10 Neredeyse kesinlikle değil %7 ±5 İmkânsız %0
Etkinlik 2 / 7
Kent ölçeğinde 'olası' (probable) kelimesi yaklaşık yüzde kaç olasılığa karşılık gelir?
Tahminini kaydır, sonra gönder.
Paylaşım etiketi ve kanıt bütünlüğü
Rapor kimlerle paylaşılabilir? Bu soruyu raporun kendisi cevaplar. FIRST'ün Trafik Işığı Protokolü (TLP) bunun için ortak bir etiket sunar.
Ağustos 2022'den beri geçerli olan TLP 2.0 dört etiket tanımlar: RED, AMBER, GREEN ve CLEAR. AMBER'ın bir de STRICT ekiyle daraltılmış biçimi vardır. TLP:RED yalnız raporu alan kişiler içindir ve başkasına aktarılmaz. TLP:AMBER+STRICT paylaşımı alıcının kurumuyla sınırlar.
TLP:AMBER, kurum içinde ve kurumun müşterilerinde bilmesi gerekenlerle paylaşılır. TLP:GREEN alıcının topluluğu içinde paylaşılır, herkese açık kanallara konmaz. TLP:CLEAR ise sınırsız paylaşılabilir. Etiket her sayfanın üst ve alt bilgisinde, boşluksuz ve büyük harfle yazılır.
Bir dış yüzey raporu için tipik seçim TLP:AMBER'dır. Rapor kurumun açıklarını anlatır ve dışarı çıkarsa saldırgana yol haritası olur. Öte yandan taklit alan adı Beyaz Vadi'nin müşterilerini de hedef alıyor. AMBER, müşterilerin kendini koruyabilmesi için bilgiyi bilmesi gereken müşterilerle paylaşmayı da kapsar.
Rapor yalnız kurum içinde kalmalıysa AMBER+STRICT seçersin. Etiketin dışına çıkan bir paylaşım gerekirse, örneğin barındırma sağlayıcısıyla, önce raporun kaynağına sorulur. Etiketi kaynak koyar ve alan kişi onu kendi başına gevşetmez.
Etkinlik 3 / 7
Beyaz Vadi raporu kurum içinde ve taklit alan adından korunması gereken müşterilerle, bilmesi gereken ölçüde paylaşılabilmeli. Hangi etiket uygun?
Raporun ikinci güvencesi kanıt bütünlüğüdür. Bulgu kartı 'crt.sh kaydı' diyorsa, o kaydın raporu yazdığın andaki kopyası elinde durur. Kayıtlar değişir, sayfalar silinir, DNS kaydı düzeltilir. Kopyalar olmadan bulgu bir hafta sonra savunulamaz.
Her kanıt dosyasının SHA-256 özetini alır ve bir listeye yazarsın. Liste raporla birlikte teslim edilir. Okuyan aynı komutla dosyaların değişmediğini doğrular. Delil zincirinin adımları açık kaynak kanıtı için de geçerlidir: tespit, edinim, muhafaza, inceleme ve rapor.
$ sha256sum kanit/* > SHA256SUMS $ cat SHA256SUMS b99e5430a04277c330a467b966d7c8583258646509addd01382e7de0665a2ad8 kanit/crtsh.json cdd0d7d281afffebf619740cf368d0a1bd93e6ce6e5b48f11a7854364d0c5f01 kanit/dig-cname.txt 9b300703278783de0825aa79498381429de6613396ae820b619b312f6ac5dfac kanit/rdap.json # Teslimden sonra, okuyanın makinesinde $ sha256sum -c SHA256SUMS kanit/crtsh.json: OK kanit/dig-cname.txt: OK kanit/rdap.json: OK
Komutları oku. İlk komut kanit klasöründeki her dosyanın özetini hesaplar ve SHA256SUMS dosyasına yazar. Liste klasörün dışında durur, böylece komut ikinci kez çalıştığında listenin kendisini özetlemez. -c seçeneği listedeki her dosyanın özetini yeniden hesaplar ve kayıtlı değerle karşılaştırır.
OK satırı dosyanın değişmediğini söyler. Tek bir bayt değişirse satır FAILED yazar ve komut hata koduyla biter. Listenin kendi özetini de raporun gövdesine yazarsın; biri ek dosyayı değiştirirse fark raporun içinden görünür. Kanıt şifreli bir arşivde durur ve erişim yetkili kişilerle sınırlanır.
Etkinlik 4 / 7
Teslim aldığın kanıt klasörünü SHA256SUMS listesine karşı doğrula.
KVKK sınırı ve maskeleme
KVKK sınırı raporda somutlaşır. 6698 sayılı Kanun'un 4. maddesi kişisel veri işlemede uyulacak ilkeleri sayar. Veri hukuka ve dürüstlük kurallarına uygun işlenir, doğru ve gerektiğinde güncel olur.
Belirli, açık ve meşru amaçlar için işlenir. İşlendiği amaçla bağlantılı, sınırlı ve ölçülü olur.
İlgili mevzuatta öngörülen ya da amaç için gerekli olan süre kadar saklanır. 7. madde, işlemeyi gerektiren sebep ortadan kalkınca verinin silinmesini, yok edilmesini ya da anonim hale getirilmesini ister.
10. madde ise veri sorumlusuna aydınlatma yükümlülüğü yükler. Rapor bu ilkelerin en görünür sınavıdır.
Kişisel veriyi rapora koymadan önce iki soru sorarsın. Bu veri olmadan bulgu anlaşılır mı? Anlaşılıyorsa veriyi çıkarırsın.
İkinci soru: bu veriyi işlemek için dayanağım ne? Dayanak yoksa veri rapora girmez. Çoğu durumda çözüm maskelemedir.
NIST IR 8053 kimliksizleştirmede iki tür tanımlayıcı ayırır. Ad, e-posta ve telefon gibi doğrudan tanımlayıcılar kişiyi tek başına gösterir; bunlar silinir ya da bir kategori adıyla değiştirilir. Birim, unvan, şehir ve doğum yılı gibi dolaylı tanımlayıcılar tek başına kimseyi göstermez, ama birleşince gösterebilir.
# Ham bulgu (yalnız şifreli çalışma klasöründe kalır) [email protected] Muhasebe 2024 tarihli veri ihlali listesi [email protected] Muhasebe 2024 tarihli veri ihlali listesi [email protected] Muhasebe 2024 tarihli veri ihlali listesi # Rapora giren cümle Muhasebe biriminden 3 kurumsal adres 2024 tarihli bir veri ihlali listesinde geçiyor. Adres kalıbı: [email protected] Öneri: üç hesapta parola sıfırlama ve çok faktörlü doğrulama kontrolü. Kişisel veri: adlar rapora alınmadı; liste güvenlik ekibine ayrı ve şifreli kanaldan iletildi.
Örneği satır satır oku. Ham bulgu üç doğrudan tanımlayıcı taşır: ad, soyad ve e-posta. Rapora giren cümle bunların yerine bir kalıp ve bir sayı koyar.
Karar için gereken her şey yerinde durur: kaç hesap, hangi birim, hangi kaynak, ne yapılmalı. Dolaylı tanımlayıcıya da bakarsın.
Muhasebe biriminde yalnız üç kişi çalışıyorsa 'muhasebeden üç adres' cümlesi üçünü de gösterir. O zaman birim adı da genelleşir: 'bir idari birimden üç adres'. Hesapların kendisi düzeltme için gereklidir. Liste ayrı ve şifreli bir kanaldan yalnız işi yapacak ekibe gider, raporun gövdesine girmez.
Derinleş:Dolaylı tanımlayıcılar: üç alan bir kişiyi nasıl bulur
NIST IR 8053, kimliksizleştirmenin neden zor olduğunu bilinen bir örnekle anlatır. 1990'larda ABD'nin Massachusetts eyaleti, hastanede yatmış eyalet çalışanlarının sigorta kayıtlarını adları silerek araştırmacılara verdi. Kayıtlarda doğum tarihi, posta kodu ve cinsiyet kalmıştı.
Araştırmacı Latanya Sweeney, Cambridge şehrinin seçmen listesini 20 dolara satın aldı. Aynı üç alanı bu listeyle eşleştirdi ve eyalet valisinin kayıtlarını buldu.
Üç alanın hiçbiri tek başına bir kişiyi göstermiyordu, birleşince gösterdi. Bu yönteme bağlama saldırısı (linkage attack) denir. OSINT raporunda da aynı risk vardır.
Birim adı, unvan ve şehir ayrı ayrı zararsızdır. Üçü bir cümlede durursa küçük bir kurumda tek bir kişiyi işaret eder. Maskelemenin son kontrolü bu yüzden şu sorudur: bu cümleyi kurumu tanıyan biri okursa kimi bulur?
Etkinlik 5 / 7
Her talebi kabul edilebilir ya da reddedilmesi gereken olarak ayır.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/6 seçenek yerleşti.
Kapsam dışı talep, saklama ve kapanış
Raporun saklanması da kapsamın parçasıdır. Ham veriyi şifreli tutar, erişimi sınırlar ve iş bitince silersin. Ne kadar süre saklayacağını ve süre dolunca veriyi nasıl yok edeceğini sözleşmeye yazarsın.
7. maddenin istediği de budur: işleme sebebi bitince veri silinir, yok edilir ya da anonim hale getirilir. Süresiz saklanan araştırma verisi kurum için yeni bir risk kalemidir; bir gün sızarsa raporun koruduğu kişileri teşhir eder.
Teslim anında başka bir baskı da gelebilir. Raporu okuyan biri, kapsamın dışında kalan bir şey isteyebilir.
Etkinlik 6 / 7
Yönetici, raporu teslim ederken kapsam dışına çıkmanı istiyor. Doğru yanıtı seç.
Beyaz Vadi Lojistik'e altyapı raporunu sunuyorsun.
Teslimden sonra iş bitmez. Kurum bulguyu kapatınca doğrulama turu yaparsın.
Sahipsiz kayıt gerçekten silinmiş mi, panel gerçekten kapanmış mı? Kapanış doğrulamasının tarihi ve sonucu rapora ek olarak yazılır, yeniden tarama tarihi de baştan belirlenir. Bu adım raporu bir belge olmaktan çıkarıp sonuç üreten bir işe çevirir.
Son bir alışkanlık: teslimden önce raporu bir kez 'karşı taraf' gözüyle oku. Bu bulguya itiraz eden biri nereye saldırır? Kaynağı zayıf bir satır mı, tarihi eksik bir ekran görüntüsü mü, güven seviyesi abartılmış bir cümle mi? O noktaları sen bulursan rapor sağlam durur.
Etkinlik 7 / 7
Bir bulgu kartı yaz: sahipsiz bir DNS kaydı için bulgu, kaynak, tarih, güven ve öneri satırlarını doldur.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.