Tehdit Avcılığı (Threat Hunting) Nedir? Proaktif Savunma Rehberi

Hızlı cevap: Tehdit avcılığı (threat hunting), bir alarm beklemeden, "saldırgan zaten içeride olabilir" varsayımıyla ağda proaktif olarak tehdit izleri arama pratiğidir. Klasik güvenlik reaktiftir: bir kural tetiklenince tepki verir. Ama en tehlikeli saldırganlar kural tetiklemeden, sessizce haftalarca ağda kalır. Tehdit avcılığı bu boşluğu kapatır: insan analist, verilere (uç nokta, ağ, kimlik logları) bir hipotezle yaklaşır ("saldırgan yanal hareket için bu tekniği kullanıyor olabilir"), izleri araştırır, gizli bir tehdidi ortaya çıkarır ve bulguyu bir tespit kuralına dönüştürüp otomatikleştirir. Döngü dört adımdır: hipotez kur, veriyi araştır, tehdidi ortaya çıkar, yanıtla ve otomatikleştir. Tehdit avcılığı; SIEM ve EDR gibi araçların kaçırdığı, imzasız ve sessiz tehditleri yakalamanın en etkili yoludur.

Güvenlik araçları bilinen kötülüğü yakalar; ama en yetenekli saldırganlar bilinmeyen ve sessizdir. Sadece alarm beklemek, "hiç alarm gelmedi, demek güvendeyiz" yanılgısına götürür; oysa en tehlikeli ihlaller tam da alarm üretmeyenlerdir. Tehdit avcılığı bu yanılgıyı kırar: saldırganın zaten içeride olduğunu varsayıp izlerini arar. Bu rehber, tehdit avcılığını dünya standardında bir netlikle anlatır.

Tehdit avcılığı döngüsü

Avcılığın kalbi hipotezdir. Rastgele veri karıştırmak değil, saldırgan davranışına dair bilgiye (MITRE ATT&CK gibi) dayanarak "eğer saldırgan burada olsaydı hangi izi bırakırdı" sorusunu sormak ve o izi aramaktır.

Reaktif izleme ile proaktif avcılık farkı

Yön	Klasik izleme (SOC)	Tehdit avcılığı
Tetikleyici	Alarm/kural	Hipotez
Varsayım	Kötülük olursa görürüz	Kötülük zaten içeride
Yakaladığı	Bilinen imzalar	İmzasız, sessiz tehdit
İnsan rolü	Alarma tepki	Proaktif arama

Bu ikisi rakip değil, tamamlayıcıdır. SIEM/EDR gürültüyü ve bilineni yakalar; avcılık, aralarından sızan sessiz tehdidi bulur ve onu da bir kurala dönüştürür.

Nereden başlanır: hipotez kaynakları

• Tehdit istihbaratı. Aktif saldırgan grupların teknikleri; "bu grup şu tekniği kullanıyor, bizde iz var mı?" Siber tehdit istihbaratı (CTI) avcılığı besler.
• MITRE ATT&CK. Saldırgan taktik ve tekniklerinin haritası; her teknik bir av hipotezidir.
• Anomali. "Bu sunucu neden gece 3'te dışarı bağlanıyor?" gibi normalden sapmalar.
• Geçmiş olaylar. Önceki bir ihlalin izleri başka yerde de var mı?

Tehdit avcılığı adımları

1. Hipotez kurun. Somut, sınanabilir bir varsayım yazın; ATT&CK tekniğine ya da istihbarata dayandırın.
2. Veriyi toplayın ve araştırın. Uç nokta, ağ ve kimlik loglarında hipotezin izini arayın.
3. Bulguyu doğrulayın. İz gerçek bir tehdit mi, yoksa meşru mu? Çalışan kanıtla ayırın.
4. Yanıtlayın. Gerçekse olay müdahale playbook'unu devreye alın.
5. Otomatikleştirin. Bulunan izi kalıcı bir tespit kuralına çevirin; aynı tehdit bir daha sessizce geçmesin.
6. Tekrarlayın. Avcılık süreklidir; her tur savunmayı biraz daha güçlendirir.

Sık sorulan sorular

Her kurumun tehdit avcılığına ihtiyacı var mı? Olgunluğa bağlı. Önce temel izleme (SIEM/EDR) kurulmalı; avcılık, bu temelin üstüne gelen ileri bir yetenektir. Küçük kurumlar dış hizmet olarak da alabilir.

Tehdit avcılığı için hangi veri gerekir? Zengin loglar: uç nokta (EDR), ağ trafiği, kimlik/oturum kayıtları. Ne kadar görünürlük, o kadar iyi avcılık; veri yoksa avcılık kördür.

Otomatik araçlar avcılığın yerini tutar mı? Hayır. Araçlar veriyi sağlar ve bilineni yakalar, ama hipotez kurmak ve sessiz tehdidi sezmek insan muhakemesi ister. Avcılık insan + araç birlikteliğidir.

Avcılık ile sızma testi farkı nedir? Sızma testi savunmayı dışarıdan sınar (saldırgan bakışı); avcılık, ağın içinde zaten var olan tehditleri arar (savunucu bakışı). İkisi birbirini tamamlar.

Kaynaklar

• MITRE ATT&CK: https://attack.mitre.org
• SANS, Threat Hunting resources: https://www.sans.org
• NIST SP 800 61, Incident Handling: https://csrc.nist.gov
• The ThreatHunting Project: https://www.threathunting.net

Kurumunuzda tehdit avcılığı, SOC olgunlaştırma ve olay müdahale için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan siber güvenlik ve olay müdahale hizmeti veriyoruz.