Analiz raporu ve paylaşım etiği

Analiz bitti, elinde bulgular var. Raporun işi bu bulguları eyleme çevirmektir. İyi yazılmış rapor okuyanın ne yapacağını bildirir. Kötü yazılmış rapor teknik bir günlük olarak rafta kalır.

Raporun iki ayrı okuyucusu vardır. Yönetici kararı arar: ne bulundu, etkisi ne, hangi sürede ne yapılmalı. Savunma uzmanı ölçüt arar: hangi gösterge, hangi kural, hangi temizlik adımı. İyi bir iskelet ikisini de aynı belgede, aradığını hızlı bulacak biçimde karşılar.

İskelet beş bölümdür. Yönetici özeti kararı taşır. Örnek kimliği özet değerlerini ve dosya bilgilerini taşır. Statik bulgular, dinamik davranış ve son bölümde göstergelerle öneriler durur.

Yönetici özeti bir sayfayı geçmez: ne bulundu, etkisi ne, hangi sürede ne yapılmalı. Teknik ayrıntı bu bölüme girmez; ayrıntı isteyen okuyucu sonraki bölümlere gider. Bölüm sırası rastgele değildir; genelden özele, karardan kanıta doğru ilerler.

Yönetici özetini yazmak ayrı bir beceridir. Teknik ayrıntıyı dışarıda bırakırsın ve üç soruya net yanıt verirsin: ne oldu, iş için anlamı ne, ne kadar sürede ne yapılmalı.

Bir sayfayı geçmez. Burada kullandığın dil, karar vermesi gereken kişinin dilidir; işlemci sayacından değil, etkilenen hizmetten ve kayıptan söz edersin. İyi bir özet, okuyucunun raporun geri kalanını okumadan ilk kararını vermesine yeter.

İskelet sayesinde okuyucu aradığını hızlı bulur. Yönetici karar bölümüne gider, savunma uzmanı doğrudan göstergelere atlar. Her bölüm kendi içinde tamamlanır; bir öncekini okumadan da anlaşılır kalır.

Rapor baştan sona değil, ihtiyaca göre okunacak biçimde kurulur. Ekler bölümü ana metni hafifletir: uzun günlük çıktıları, tam disassembly parçaları ve araç raporları sona konur, ana bölüm okunur kalır.

Ornek: svc.exe
SHA-256: 9f2c...4ae1
Tur: PE32+ x86-64
Kalicilik: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Guncelleme
Komuta: http://c2.ornek.example/veri (60 sn aralik)
Tespit: YARA Ornek_Yukleyici_2026

Davranış bölümünü zaman çizgisi olarak yazarsın. İlk çalıştırma, kopyalama, kalıcılık, enjeksiyon, ağ bağlantısı. Her halkaya bir kanıt satırı eklersin: günlük satırı, disassembly parçası ya da ağ kaydı. Kanıt olmadan yazılan cümle iddia olarak kalır.

Kanıt olmadan ikinci bir analist senin sonucunu doğrulayamaz. Belirsizlikleri de yazarsın; anlaşılamayan yordamlar ve tetiklenemeyen dallar ayrı bir başlıkta durur. Eksikleri yazmayan rapor, olmayan bir güvence verir.

Her kanıt doğrulanabilir olmalı. Bir ağ bağlantısı iddiasını bir paket kaydıyla, bir kalıcılık iddiasını bir kayıt defteri satırıyla, bir dize çözümünü bellekten alınmış bir parçayla desteklersin.

Kanıtı ham haliyle eke koyar, ana metinde özetini verirsin. Böylece ikinci bir analist senin sonucuna kendi gözüyle ulaşır. Kanıtsız bir cümle, ne kadar doğru olursa olsun, raporu okuyan için yalnız bir iddiadır.

Öneri bölümü somut olmalıdır. Şu anahtarı denetle, şu adresi engelle, şu kuralı yükle. Genel cümleler uygulanmaz; adı ve yolu verilen öneriler aynı gün hayata geçer. Rapor dili de bir seçimdir.

Suçlayıcı cümle kurmazsın. Bulgu kişiye değil sisteme aittir. Sakin ve doğrulanabilir cümleler, tartışmayı savunmadan işe çevirir. İyi analist neyi yapabileceğini değil, neyi yapmayacağını da bilir.

Rapor dilini seçerken okuyucunu da düşünürsün. Yöneticiye yazarken teknik terimi açar ya da hiç kullanmazsın.

Savunma uzmanına yazarken kısa ve kesin olursun; o, uzun açıklama değil, çalıştıracağı ölçütü arar. Aynı bulguyu iki okuyucu için iki kez, iki ayrı derinlikte yazarsın. Bu ikilik rapor iskeletinin neden iki uçlu kurulduğunu da açıklar: baştaki özet karar vericiye, sondaki göstergeler uygulayıcıya seslenir.

Özet kart raporun ilk sayfasında yer alır ve örneği tek bakışta tanıtır. Kimlik bilgisi, kalıcılık yolu ve komuta adresi burada durur. Bu bilgileri paylaşmak savunma ekibinin doğrudan işine yarar. Ama çalışır örneğin kendisini aynı şekilde dağıtmak ayrı bir konudur, çünkü yayılma riski taşır.

Kurbana ait kişisel bilgiyi olduğu gibi rapora koymak da aynı ölçüde sakıncalıdır. Gösterge paylaşılır, çalışır örnek kapalı kalır.

Paylaşılabilir ile paylaşılamaz arasındaki çizgiyi baştan çizmek işini kolaylaştırır. Göstergeler, davranış anlatımı ve tespit kuralı serbestçe dolaşır; bunlar savunmayı güçlendirir ve tek başlarına zarar üretmez. Çalışır örnek, kurbana ait ham veri ve iç ağ ayrıntıları ise kısıtlıdır.

Bir bilgiyi paylaşmadan önce hangi tarafta durduğunu sorarsın. Tereddüt varsa paylaşmazsın.

Örnek paylaşımının bir yöntemi vardır. Örnek yalnız parola korumalı bir arşivle aktarılır; bu, kazara çalıştırmayı engeller. Yanına SHA-256 özeti konur; bu, dosyanın kimliğini sabitler.

Alıcıya örneği yalnız izole bir ortamda açması söylenir. Alıcı belli ve doğrulanmış olmalıdır. Paylaşımın kapsamını bir etiketle belirtirsin, böylece alıcı veriyi nereye kadar yayabileceğini bilir.

Paylaşımın kapsamını belirtmenin ortak bir dili vardır. Trafik ışığı protokolü bir göstergeyi kırmızıdan açığa dört renkle etiketler ve alıcıya onu nereye kadar yayabileceğini söyler.

Kırmızı yalnız alıcıya aittir, açık ise herkese açıktır. Bu etiketi her paylaşıma eklersin. Kapalı kanal da önemlidir: örnek, doğrulanmış tek bir alıcıya, parola korumalı ve kayıt altına alınmış bir yolla gider.

Bu ayrımı bir kural haline getirmek kararı hızlandırır. Soyut bilgi ve ölçüt serbesttir; çalışır kod ve ham kişisel veri kısıtlıdır. Tereddüt ettiğin her veri parçasını kısıtlı kabul edip öyle davranırsın.

Gerçek kurumlarda bu kural yazılı bir paylaşım politikasına döner: hangi veri hangi kanaldan, hangi etiketle, kimin onayıyla çıkar. Politika olmadan karar her seferinde tek analistin sezgisine kalır ve bir gün yanlış tarafa düşer.

Bu işin bir de yasal çerçevesi vardır. Türk Ceza Kanunu'nun 243. maddesi bilişim sistemine hukuka aykırı erişimi, 244. maddesi sistemi engellemeyi ve veriyi bozmayı cezalandırır.

245. madde banka ve kredi kartı suçlarını kapsar. 245/A maddesi yalnız bilişim suçu işlemek için yapılmış bir programı üretmeyi, ithal etmeyi, başkasına vermeyi ve bulundurmayı suç sayar.

Örnek incelemek suç değildir, ama örneği başkasının sistemine bulaştırmak suçtur. Çalışır örneği denetimli kanalların dışında paylaşmak bu yüzden hukuki risk taşır.

Kişisel veri ayrı bir başlıktır. Bir örnek kurbana ait belge, kimlik ya da iletişim bilgisi taşıyabilir. Bu veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır.

Raporda anonimleştirilir ve paylaşılan kopyadan çıkarılır. Bir veri ihlali söz konusuysa veri sorumlusunun bildirim yükümlülüğü de doğar; Kurul kararına göre ihlal öğrenildiği andan sonra en kısa sürede, yetmiş iki saat içinde Kurula bildirim yapılır. Paylaşımın her adımında alıcının kim olduğunu bilmelisin.

İncelemek ile dağıtmak arasındaki çizgi nettir. Bir örneği yalıtılmış ortamında incelemek araştırmadır. Aynı örneği başkasının sistemine bulaştırmak ya da denetimsiz bir ortamda dolaşıma sokmak ayrı bir eylemdir.

Kaynağı belirsiz bir dosyayı dağıtmak da sorumluluk doğurur. Bu yüzden her paylaşımda alıcıyı, amacı ve kanalı kaydedersin; belirsizlik kalırsa paylaşımı yapmazsın.

Yasal çerçeveyi bilmek, günlük bir işte somut bir alışkanlığa dönüşür. Bir örneği meslektaşına verirken, hukuki riski kısa bir notla karşılarsın.

Not, örneğin nasıl paketlendiğini, hangi parolayla açılacağını ve kimlik özetini söyler. Ayrıca örneğin yalnız izole bir ortamda açılması gerektiğini yazarsın, çünkü denetimsiz çalıştırma hem bulaşma hem hukuki sorumluluk doğurur. Bu kısa not, sözlü bir uyarıdan daha güvenlidir, çünkü alıcıyla birlikte kayda da geçer.

Kamuya açık yazmak da bir karardır. Etkilenen tarafa önce bildirirsin ve paylaşım kapsamını birlikte belirlersin. Kurban adı yazmadan teknik göstergeleri paylaşmak çoğu durumda en dengeli yoldur. Etik çerçeve teknik beceriden ayrı düşünülmez.

Zararlı yazılımı anlamak savunma için gereklidir; dağıtmak ise zarar üretir. Bu ayrımı her adımda gözetirsin. Sorumlu açıklama, bulgunun savunmaya dönüşmesini hızlandırır ve gereksiz zararı önler.

Sorumlu açıklamanın bir sırası vardır. Önce etkilenen tarafa gidersin ve ona düzeltme için makul bir süre tanırsın. Sonra kapsamı birlikte belirlersiniz: hangi göstergeler, hangi düzeyde, ne zaman paylaşılacak.

Kurban adı ve kişisel veri dışarıda kalır. Teknik göstergeleri paylaşmak topluluğu korur; kurbanı deşifre etmek ise ikinci bir zarar üretir. Bu denge, açıklamayı hem yararlı hem adil kılar.

Son olarak raporu teslimden önce bir kez daha okursun. Her bulguda kanıt, gösterge ve öneri var mı? Yönetici özeti tek başına karar verdiriyor mu?

Kişisel veri anonimleştirildi mi? Eksik kalan tek bölüm, savunma ekibinin işini haftalarca geciktirir. Bu son okuma, raporu teknik bir günlükten eyleme çıkan bir belgeye ayıran adımdır.

Son kontrol, kamuya açmadan önceki adımı da kapsar. Raporu eyleme çevirdikten sonra, onu dışarıya nasıl ve kime vereceğini sorarsın. Bu teknik değil, bir sıra sorusudur: önce etkilenen taraf haberdar olmalı ve düzeltme için makul bir süre tanınmalı, sonra teknik göstergeler topluluğa açılmalı.

Kurban adı ve kişisel veri bu akışın hiçbir adımında dışarı çıkmaz. Sırayı ters çevirmek, savunmaya yardım etmek yerine zarar üretir.