Tehdit Avcılığı (Threat Hunting) ve MITRE ATT&CK

Tehdit avcılığı↗ (threat hunting), bir alarmın tetiklenmesini beklemeden ağda fark edilmemiş bir saldırganın izlerini proaktif olarak aramaktır. Temel varsayım “ihlal varsayımı”dır (assume breach): saldırgan zaten içeride olabilir ve avcının görevi onu otomatik tespitlerin gözden kaçırdığı yerde bulmaktır. Bu rehber, avın nasıl yapılandırıldığını ve MITRE ATT&CK’in avcılıkta nasıl kullanılacağını anlatır.

Hipotez temelli avlanma

İyi bir av rastgele log taramak değil, bir hipotezle başlar. Hipotez bir tehdit istihbaratından, yeni bir teknikten veya bir anomaliden doğar:

• Hipotez: “Bir saldırgan, regsvr32 veya mshta gibi meşru ikililerle (LOLBin) kod çalıştırıyor olabilir.”
• Veri: Hipotezi sınamak için hangi telemetri gerekir? (süreç oluşturma kayıtları, komut satırı argümanları, ağ bağlantıları)
• Analiz: Beklenen normal davranışı (baseline) tanımlayın, sapmaları arayın.
• Sonuç: Bulgu varsa olay müdahalesine devredin; yoksa hipotezi kalıcı bir tespit kuralına dönüştürün.

MITRE ATT&CK ile ortak dil

MITRE ATT&CK, gerçek dünya gözlemlerine dayanan saldırgan taktik ve tekniklerinin herkese açık bilgi tabanıdır. Taktikler saldırganın amacını (“neden”), teknikler ise bu amaca nasıl ulaşıldığını (“nasıl”) anlatır. Tespitlerinizi tekniklere eşleyerek kapsam haritası çıkarır ve boşlukları görürsünüz (ATT&CK Navigator ile görselleştirilebilir).

Güncel sürüm ATT&CK v20’dir (13 Ekim 2026). MITRE’nin sürüm sayfasına göre Enterprise matrisinde 15, Mobile ve ICS matrislerinde ise 12’şer taktik bulunur. Sürüm v20, yapay zekâ ile ilgili yeni teknikler de ekledi (ör. doğrudan ve dolaylı istem enjeksiyonu↗, yapay zekâ destekli veri sızdırma↗).

Taktik sayısı ve adları sürümler arasında değişebilir; avınızı ve kapsam haritanızı kullandığınız sürümün sayfasına göre kurun (attack.mitre.org).

İz değil davranış: IoC ve IoA

İhlal göstergeleri (IoC), yani bir hash, IP veya alan adı, değerlidir ama kırılgandır; saldırgan bunları kolayca değiştirir. Davranışa odaklanan saldırı göstergeleri (IoA) ise değiştirilmesi çok daha zor olandır. David Bianco’nun Acı Piramidi (Pyramid of Pain) bu fikri özetler: hash’leri engellemek saldırgan için kolay, TTP’lerini bozmak en acı verici olandır. Avınızı piramidin tepesine, yani davranışa yöneltin.

Rehber 2 dk okuma

Tespit Mühendisliği ve Log Analizi (Detection Engineering)

Tespitleri kod gibi yönetmek: doğru telemetri, Sigma ile taşınabilir kurallar, yanlış pozitif ayarı ve ATT&CK kapsamıyla ölçülebilir bir tespit programı.

Avdan operasyona

Başarılı bir avın çıktısı yalnızca bir bulgu değil, tekrar kullanılabilir bir tespittir. Her av ya yeni bir tespit kuralı, ya iyileştirilmiş telemetri ya da daha iyi bir baseline üretmelidir. Böylece elle yapılan av zamanla otomatik tespite dönüşür ve ekip bir sonraki, daha zor hipoteze geçer.

Rehber 3 dk okuma

Güvenlik İzleme, SOC ve Günlük Yönetimi (SIEM)

Göremediğiniz saldırıyı durduramazsınız. Kurumsal görünürlük; günlük kaydı, SIEM ile ilişkilendirme ve SOC ile sürekli izlemeden geçer.

Rehber 2 dk okuma

Tehdit İstihbaratı (CTI): Üretim ve Operasyonel Kullanım

Veriyi karara dönüştürmek: istihbarat döngüsü, stratejik/operasyonel/taktik seviyeler, STIX/TAXII ile paylaşım ve istihbaratı tespit ile avlanmaya bağlamak.

Kaynaklar ve son gözden geçirme

• MITRE ATT&CK v20, sürüm ve Enterprise taktikleri sayfaları (attack.mitre.org; 21 Ekim 2026’da erişildi).

Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; matrisin güncel hâli için MITRE’nin resmî sayfasına bakın.