Honeypot (Bal Küpü) Nedir? Türleri, Kurulumu ve Sahadan Gerçek Veriler

Honeypot (Türkçesiyle “bal küpü”), saldırganları çekmek için bilerek savunmasız gösterilen bir tuzak sistemdir. Meşru hiçbir kullanıcısı olmadığı için ona gelen her bağlantı tanımı gereği şüpheli kabul edilir. Bu tek cümle, honeypot’u diğer tüm güvenlik araçlarından ayıran şeyi özetler: yanlış pozitif üretmesi neredeyse imkânsızdır, çünkü orada olması gereken hiçbir “normal” trafik yoktur.

Bu rehber honeypot’un ne olduğunu, kırk yıllık tarihçesini, türlerini, 2026’nın açık kaynak araç ekosistemini, saldırganların bu tuzakları nasıl fark ettiğini, hukuki çerçevesini ve kendi honeypot’unuzu kurmanın yol haritasını kapsıyor. Anlatının omurgasını ansiklopedik bilgi oluşturuyor; ete kemiğe bürünmesini ise SiberKale Tellal’ın Türkiye odaklı honeypot ağından gelen gerçek gözlem verileri sağlıyor.

---

Honeypot (Bal Küpü) Nedir?

Alanın standart tanımı Lance Spitzner’a aittir: honeypot, “değeri taranmasında, saldırıya uğramasında veya ele geçirilmesinde yatan bir güvenlik kaynağıdır” (Spitzner, Honeypots: Tracking Hackers, 2002). Bu tanımın inceliği şudur: honeypot’un değeri onu kullanmaktan değil, ona saldırılmasından doğar. Normal bir sunucu iş yaptığı için değerlidir; honeypot ise saldırıya uğradığı için değerlidir.

Tanımı tanım yapan üç unsur vardır:

1. Meşru trafiği yoktur. Honeypot’a hiç kimsenin iş amacıyla bağlanmaması gerekir. Dolayısıyla ona gelen her paket, her giriş denemesi, her komut bir sinyaldir. Bu, gürültü/sinyal oranını tersine çevirir: geleneksel güvenlik araçları milyonlarca meşru olay içinde birkaç kötücül olayı arar, honeypot ise sadece kötücül olay görür.
2. Etkileşim gözlemlenmek için tasarlanmıştır. Honeypot saldırganı durdurmaya değil, davranışını kaydetmeye odaklıdır. Hangi kullanıcı adlarını denedi, hangi komutları çalıştırdı, hangi zararlıyı indirdi. Bunların tamamı loglanır.
3. Kontrollü ve izoledir. İyi kurulmuş bir honeypot, saldırganın onu gerçek sistemlere sıçrama tahtası olarak kullanmasına izin vermez.

Honeypot ne değildir?

Honeypot bir savunma değil, bir gözlem aracıdır. Aşağıdaki tablo onu komşu teknolojilerden ayırır:

Honeypot bunların yerini almaz; onları besler. Ürettiği yüksek güvenilirlikli göstergeler (IoC’ler) firewall kural setine, IDS imza listesine ve SIEM korelasyon mantığına akar.

---

Kısa Tarihçe: Cuckoo’s Egg’den Deception Technology’ye

Honeypot fikri, bir kavram olarak adlandırılmadan çok önce sahada uygulandı.

Bu kırk yıllık yayın, tek kişilik dedektiflik işinden (Stoll) endüstriyel deception platformlarına ve yapay zekâ destekli tuzaklara uzanan bir olgunlaşma çizgisidir.

---

Etkileşim Seviyeleri: Low, Medium, High ve Tarpit

Honeypot’ları sınıflandırmanın en temel ekseni, saldırgana ne kadar oynama alanı verdikleridir. Bu taksonominin kaynağı Spitzner’ın 2002 kitabıdır (Spitzner sonradan 2003’te sınıflandırmayı “niyet” ekseninde sadeleştirse de, üçlü şema literatürde bugün de kullanılır).

Düşük etkileşim honeypot’ları yalnızca bir servisin varlığını taklit eder. Örneğin sshesame gelen SSH komutlarını kabul edip loglar ama gerçekte hiçbir şey çalıştırmaz. Ucuzdur, risksizdir, ama saldırgan derinlemesine bir şey yapamadığı için topladığı veri sığdır.

Orta etkileşim honeypot’ları sahte ama inandırıcı bir ortam sunar. Cowrie, saldırgana gerçekçi bir sahte dosya sistemi ve komut çıktısı vererek oturumu uzatır; indirilen zararlıyı yakalar ama gerçek bir kabuk vermez. Tellal ağının SSH/Telnet gözlemlerinin çoğu bu katmandan gelir.

Yüksek etkileşim honeypot’ları gerçek bir işletim sistemi çalıştırır. En zengin veriyi verirler (saldırganın gerçek davranışını, hatta bilinmeyen exploit’leri görürsünüz) ama en tehlikelileri de bunlardır: yanlış izole edilirse saldırganın sıçrama tahtasına dönüşürler.

Tarpit ayrı bir felsefedir: saldırganı yakalamak değil yavaşlatmaktır. LaBrea, kullanılmayan IP adreslerini sahiplenip gelen bağlantıları askıda tutarak tarayıcının zamanını çalar.

---

Honeypot Türleri ve Taksonomi

Etkileşim seviyesi bir eksen; ne taklit ettikleri ise ayrı bir eksendir.

Sunucu honeypot’ları

En yaygın türdür: bir servis (SSH, web, veritabanı, SMB, ICS) taklit eder ve o servise gelen saldırıları toplar. Tellal ağındaki sensörlerin çoğu bu sınıftadır.

İstemci honeypot’ları (honeyclient)

Bunlar tersine çalışır: sunucu beklemek yerine, kötücül olabilecek sitelere/dosyalara bilerek gider ve saldırıya uğrayıp uğramadığını gözlemler. Drive-by-download ve zararlı barındıran sunucuları avlamak için kullanılır.

Honeytoken ve honeycredential

Honeytoken bir sistem değil, bir veri parçasıdır: sahte bir veritabanı kaydı, sahte bir belge, sahte bir API anahtarı, sahte bir kullanıcı hesabı. Meşru hiçbir kullanımı olmadığı için ona her erişim şüphelidir. Terimi 2003’te Augusto Paes de Barros ortaya attı, Spitzner aynı yıl “Honeytokens: The Other Honeypot” makalesiyle popülerleştirdi. Bugün Thinkst’in ücretsiz ve açık kaynak Canarytokens servisi bu fikri herkese açar; 2025-2026’da SAML kimlik sağlayıcı token’ı ve yapay zekâ ajanlarına yönelik MCP sunucu token’ı gibi modern varyantlar ekledi.

Honeynet ve dağıtık sensör ağları

Tek honeypot yerine, farklı servisleri taklit eden çok sayıda sensörün ağıdır. Merkezî bir toplama katmanına log akıtırlar. Tellal’ın gözlem altyapısı bu modeldedir: farklı protokolleri dinleyen ayrı sensörler, tek bir analiz katmanını besler.

Deception technology: honeypot’un kurumsal evrimi

2010’ların sonunda honeypot fikri, iç ağa serpiştirilen sahte varlıklarla (decoy) saldırganı erken yakalamayı hedefleyen ticari “deception technology” pazarına dönüştü. Bu kategorinin bugünkü durumunu ilerideki bölümde ele alıyoruz.

---

Açık Kaynak Honeypot Ekosistemi (2026)

Honeypot kurmak isteyen için 2026’da zengin ama eşit olmayan bir açık kaynak dünyası var. Aşağıdaki tablo, projelerin bakım durumunu 18 Temmuz 2026 itibarıyla GitHub aktivitesine göre özetliyor. Kritik nokta: bir aracın popüler olması, bakımlı olduğu anlamına gelmiyor.

T-Pot: hepsi bir arada platform

Deutsche Telekom Security’nin geliştirdiği T-Pot, 2015’ten beri en yaygın honeypot dağıtım platformudur. Onlarca honeypot sensörünü, Elastic Stack analiz katmanını ve Suricata ağ izlemesini tek bir Docker tabanlı sistemde birleştirir. En son etiketli sürümü 24.04.1’dir (Aralık 2024) ve içinde 30 honeypot barındırır; klasik sensörlerin tamamı (Cowrie, Dionaea, ConPot, Heralding, Mailoney, ElasticPot, Honeytrap) hâlâ dahildir. 24.04 sürümü, projenin tarihindeki en büyük değişikliklerden birini getirdi: ilk LLM tabanlı honeypot’lar (SSH için Beelzebub, HTTP için Galah) bu sürümle geldi.

T-Pot’un dağıtık mimarisi Hive/Sensor olarak adlandırılır: Hive tam kurulumdur (analiz katmanı dahil), Sensor ise yalnızca honeypot çalıştırıp loglarını şifreli bir kanaldan Hive’a iletir. Tellal’ın gözlem altyapısı bu ailenin araçlarına dayanır.

Hangi senaryoya hangi sensör?

• Genel internet gürültüsünü ölçmek: Cowrie (SSH/Telnet) + Dionaea (SMB/veritabanı) çekirdek ikilisidir.
• İç ağda erken uyarı: OpenCanary hafif, düşük bakımlı ve tam da bunun için tasarlanmıştır.
• Endüstriyel sistem (OT) tehdidi: ConPot, PLC/SCADA protokollerini taklit eder.
• E-posta altyapısı tehdidi: Mailoney açık-relay taramalarını yakalar.

---

Honeypot Ne Yakalar? Tellal Sahasından Bir Hafta

Teori burada sahaya iniyor. Aşağıdaki rakamlar Tellal honeypot ağının 11–18 Temmuz 2026 penceresinde topladığı, OPSEC filtresinden geçirilmiş gözlemlerdir.

Hangi sensörün ne kadar olay gördüğü, honeypot’un “ne yakaladığı” sorusunun en somut cevabıdır:

SSH/Telnet: brute-force’un sonu gelmiyor

Cowrie’nin gördüğü en yaygın giriş denemeleri, saldırganların hâlâ en basit şifreleri denediğini gösteriyor. Denenen kullanıcı adı/şifre çiftlerinin başında admin/admin (557), support/support (531) ve fabrika şifresi 345gs5662d34 (307) geliyor. Kullanıcı adı tarafında root tek başına 8.764 denemeyle domine ediyor. Bu davranışın ele geçirme sonrası nereye evrildiğini, kalıcılık ve profilleme playbook’unu mdrfckr verim katsayısı analizinde ve Dota botnet profilinde detaylandırdık.

SMB: 2017’nin hayaleti hâlâ dolaşıyor

Suricata’nın yakaladığı imzalar arasında DoublePulsar/EternalBlue (2017’nin MS17-010 açığı) kalıntıları düzenli olarak beliriyor. Dokuz yıllık bir SMB açığının hâlâ ilk sıralarda olması, honeypot verisinin en çarpıcı bulgularından biri. Bu, eski açıkların genel baskınlığının bir parçası: bir feed sağlayıcısının 2026 ölçümünde, 2015 öncesi CVE’ler 2023-2024 CVE’lerinden dört kat fazla exploit trafiği çekiyor. Yani saldırganlar yeni açıkların peşinde koşmak yerine, hâlâ yamalanmamış eski açıkları taramaya devam ediyor. Bu dalganın Türkiye kesitini DoublePulsar dört kat artış analizinde ve TR Radar kesitinde işledik.

IoT ve DVR: Mirai türevleri ve CVE-2024-3721

Suricata’nın bu haftaki imzaları arasında TBK DVR-4104/4216 komut enjeksiyonu (CVE-2024-3721) 1.105 alertle öne çıkıyor. Bu, ucuz IoT/DVR cihazlarını Mirai türevi botnet’lere katmayı hedefleyen sürekli bir kampanyanın parçası. Cihaz tarafı analizini TBK DVR IoT zararlı yazısında ele aldık.

ICS/SCADA ve credential istihbaratı

Endüstriyel protokollere yönelik tarama, ConPot gibi sensörlerin özel değeridir; bu dalganın 14 kat sıçradığı dönemi ICS/SCADA analizinde belgeledik. Credential tarafında ise saldırganların artık genel şifre değil, uygulamaya özel kullanıcı adları (odoo, frappe ve benzeri) denediği yeni bir çağa geçtik; bunu uygulama-spesifik credential yazısında inceledik.

Bir haftanın kampanya özeti

Son satır, honeypot’un bir “olay” yakalamasının nasıl göründüğünü canlı gösteriyor: 18 Temmuz’da tek bir hosting sağlayıcısının ASN’inden, 5.269 farklı IP’yle, 443 ve 80 portlarını neredeyse eşit hedefleyen koordineli bir web tarama dalgası geldi ve o günün event sayısını on kata çıkardı. Bu tür ani sıçramalar, honeypot verisinin ham istatistik yorumunu neden dikkat gerektirdiğinin de örneğidir: o haftanın “%56 Türkiye” rakamı büyük ölçüde bu tek dalganın eseridir ve tek başına “Türkiye’den saldırı artıyor” diye okunamaz.

---

Saldırganlar Honeypot’u Nasıl Fark Eder? (Anti-Honeypot)

Honeypot’un en büyük zaafı, saldırganın onu honeypot olarak tanımasıdır. Fark edilen bir tuzak değersizdir; saldırgan ya kaçar ya da bilerek yanıltıcı veri bırakır.

Teknik parmak izleri

Açık kaynak honeypot’lar varsayılan ayarlarıyla tanınabilir imzalar taşır. Örneğin Cowrie, hiç değiştirilmezse svr04 hostname’ini, belirli bir sahte kernel sürümünü ve tanınan bir SSH banner’ını sunar. Bu varsayılanlar tek başına ele veren parmak izleridir.

Akademik olarak bu, çözülmüş bir problemdir: Vetterl ve Clayton’ın “Bitter Harvest” çalışması (USENIX WOOT 2018), Cowrie/Kippo gibi honeypot’ları protokol katmanındaki ince tutarsızlıklardan neredeyse hatasız tespit etti. İmza kütüphane seviyesinde (Cowrie’nin dayandığı Python ağ kütüphanesinde) olduğu için sadece banner değiştirmek korumaz.

Davranışsal testler ve tarama servisleri

Saldırganlar honeypot’u anlamak için davranışsal testler yapar. Shodan’ın “Honeyscore” yeteneği (artık bağımsız servis değil, tarayıcıya gömülü) internet çapında honeypot’ları etiketler. Sahada gözlemlenen tipik testler şunlardır: kurulan her paketin sahte biçimde “başarılı” görünüp görünmediği, apaçık sahte kimlik bilgilerinin bile kabul edilip edilmediği ve SSH şifreleme algoritmalarının sıralanması.

Operatörler için sertleştirme kontrol listesi

• Varsayılan hostname, banner ve kernel dizesini değiştirin.
• Özel bir sahte dosya sistemi ve kullanıcı veritabanı oluşturun.
• Ek komut desteği ekleyerek sahte kabuğu daha inandırıcı yapın.
• Bilinen mass-scanner IP’lerini engelleyin.
• Ancak unutmayın: kütüphane seviyesi imza kalıcı olduğu için tam koruma yüksek etkileşimli çözümler gerektirir.

---

Honeypot Verisinden Tehdit İstihbaratına

Ham honeypot olayı henüz istihbarat değildir. Değere dönüşmesi bir boru hattından geçer:

1. Toplama: Sensörler ham olayı merkezî katmana akıtır.
2. Zenginleştirme: Her IP için ASN, ülke, itibar skoru ve geçmiş davranış eklenir.
3. Skorlama: Olaylar tehdit skoruna göre ağırlıklandırılır.
4. Yaşlandırma: Eski göstergeler zamanla düşürülür; bir IP artık saldırmıyorsa feed’de sonsuza dek kalmamalıdır.

Yanlış pozitif yönetimi

Honeypot verisinin en büyük tehlikesi, meşru tarama servislerini (Shodan, Censys ve benzeri güvenlik araştırma tarayıcıları) saldırgan sanmaktır. Tellal metodolojisi bunları ayıklar. İkinci savunma hattı çift-sensör doğrulamasıdır: bir imza yalnızca tek bir sensörde görülüyorsa şüpheyle karşılanır; örneğin bir SMB exploit imzası hem Suricata’da hem Dionaea’nın el sıkışmasında görülüyorsa güven artar.

Feed formatları ve paylaşım

Rafine göstergeler farklı formatlarda paylaşılabilir olmalı: JSON, CSV, ve endüstri standardı STIX 2.1. Tellal’ın Feed Hub’ı ve API dokümantasyonu bu çıktıları CC0 lisansıyla açar.

Honeypot verisi tek başına yeterli mi?

Küresel ölçekte honeypot verisiyle beslenen büyük feed’lerin ölçeği, bu modelin gücünü gösterir. Karşılaştırma için birkaç referans:

Tellal bu ölçeklerin yanında niş bir oyuncudur ama farklı bir değer sunar: Türkiye odaklı, yerel hosting ekosistemine ve TR hedefli kampanyalara duyarlı, rafine bir kesit.

---

Hukuki ve Etik Boyut: Türkiye Bağlamı

KVKK ve IP adresi. Türkiye’de IP adresi kişisel veri sayılır; KVKK’nın rehber yayınları bunu açık örnek olarak verir ve Kurul kararlarında IP/çerez işlemeleri idari para cezalarına konu olmuştur. Bir honeypot işletmecisi saldırgan IP’lerini kaydederken en yakın hukuki dayanağı 6698 sayılı Kanunun 5/2-f maddesindeki meşru menfaat hükmüdür. Kanunun “önleyici ve istihbari faaliyet” istisnası yalnızca kanunla yetkilendirilmiş kamu kurumları içindir; özel işletmeci buna dayanamaz.

TCK bilişim suçları (5237). Honeypot işletmecisini ilgilendiren iki nokta öne çıkar. Birincisi, kendi sisteminize gelen trafiği kaydetmek ile üçüncü tarafların iletişimini izlemek (m.243/4) farklı şeylerdir; ilki honeypot’un doğal işidir. İkincisi, “münhasıran suç işlemek için üretilmiş” yasak cihaz/program hükmü (m.245/A) savunma amaçlı bir honeypot’u kapsamına almaz. Saldırgan IP’sinin paylaşımında ise verinin kişisel veri boyutu (m.135-136) meşru menfaat dengesiyle birlikte değerlendirilmelidir.

5651 sayılı Kanun. Trafik bilgisi tanımı IP, port, zaman ve hizmet türünü içerir; erişim/yer sağlayıcılara saklama yükümlülükleri getirir. Tipik bir bireysel honeypot işletmecisi bu tanımlara girmez, ama kayıt pratiği için iyi bir referans çerçevedir.

7545 sayılı Siber Güvenlik Kanunu (2025). Türkiye’nin en güncel ve honeypot/tehdit istihbaratı işletmecisini doğrudan ilgilendiren düzenlemesidir. Bilişim sistemleriyle hizmet sunan ve veri işleyen herkese, tespit ettikleri zafiyet ve siber olayları gecikmeksizin ilgili Başkanlığa bildirme yükümlülüğü getirir; kanun “siber tehdit istihbaratı” kavramını da tanımlar.

Sorumlu paylaşım. Türkiye’de zararlı IP/olay ihbarları, USOM hizmetlerini devralan Cumhurbaşkanlığı Siber Güvenlik Başkanlığı kanallarına yapılır. Bir honeypot işleten kişi için altın kural nettir: gözlemle, hack-back yapma. Saldırıya karşı saldırı (aktif misilleme) hukuka aykırıdır ve honeypot’un tüm hukuki meşruiyetini yok eder.

---

Kendi Honeypot’unu Kurmak: Yüksek Seviye Yol Haritası

Bu bölüm bir komut rehberi değil, karar rehberidir. Doğru soruları doğru sırayla sormak, hangi honeypot’u kuracağınızdan daha önemlidir.

Önce karar: neden kuruyorsunuz?

İki amaç birbirinden çok farklı kurulum gerektirir:

• Araştırma honeypot’u: İnternetin genel tehdit gürültüsünü ölçmek istiyorsanız, internete açık bir sensör (Cowrie + Dionaea, ya da T-Pot) kurarsınız. Amaç veri toplamaktır.
• İç ağ erken uyarısı: Kurumunuzun içine sızan bir saldırganı yakalamak istiyorsanız, iç ağa yerleştirilmiş düşük etkileşimli bir canary (OpenCanary) kurarsınız. Amaç alarm üretmektir; iç ağdaki bir honeypot’a gelen her bağlantı gerçek bir tehlike işaretidir.

Minimum güvenli mimari

Genel prensipler (hangi honeypot’u seçerseniz seçin):

1. İzole edin. Honeypot ayrı bir ağ segmentinde, tercihen ayrı bir VPS’te olmalı. Gerçek sistemlerinizle aynı ağda asla bulunmamalı.
2. Egress’i kısıtlayın. Honeypot’tan dışarı çıkan trafiği sıkıca sınırlayın; ele geçirilse bile başkasına saldıramamalı.
3. Yönetim düzlemini ayırın. Honeypot’u yönettiğiniz kanal (SSH, panel) saldırgana açık yüzeyden tamamen ayrı olmalı.

KOBİ ve MikroTik perspektifi

Küçük işletmeler için pahalı bir araştırma honeypot’u gereksizdir. Çok daha değerli olan, iç ağa yerleştirilen düşük etkileşimli birkaç canary’dir. Router seviyesinde de basit honeytoken’lar kurulabilir: örneğin MikroTik’e yönelik API brute-force kampanyalarını (bunu MikroTik API brute analizinde inceledik) erken görmek için, kullanılmayan bir yönetim portunu izlemek bile bir alarm katmanı sağlar.

Gerçekçi maliyet

Honeypot ücretsiz yazılım olsa da bedelsiz değildir: log hacmi (bu rehberdeki bir haftalık pencere ~4 milyon olaydır), disk, sürekli bakım ve en önemlisi alarm yorgunluğu. İç ağ canary’si dışında, honeypot verisi filtrelenmeden bakılırsa boğucu olur.

---

Geleceğe Bakış: Yapay Zekâ Destekli Deception

Honeypot’un bir sonraki evrimi, sahte sistem cevaplarını yapay zekâyla üretmek. LLM tabanlı honeypot’lar (SSH için Beelzebub, HTTP için Galah) saldırgana statik senaryolar yerine bağlama duyarlı, gerçek zamanlı cevaplar üreterek oturumu uzatıyor. Akademik çalışmalar, chain-of-thought yönlendirmesiyle Cowrie’deki ortalama oturum uzunluğunun 2,96’dan 5,83 komuta çıktığını ölçtü.

Ama madalyonun iki yüzü var. Aynı yapay zekâ, honeypot’ları tespit etmek için de kullanılıyor; ve LLM honeypot’ları henüz production için olgun değil. Alanın 2025 tarihli sistematik derlemesi (SoK) şu gerçekleri saydı: trafiğin yüzde 99’undan fazlası otomatik tarama olduğundan pahalı LLM etkileşimi nadiren tetiklenir; fingerprinting, LLM gecikmesi ve “Denial-of-Wallet” (API maliyetini şişirerek çökertme) temel engellerdir. Önerilen çözüm hibrit mimaridir: ucuz statik filtre önde, pahalı LLM yalnızca ilginç durumlarda arkada.

Kurumsal tarafta ise honeypot fikri “deception technology” pazarına dönüştü. Attivo Networks (SentinelOne tarafından satın alındı) ve Illusive (Proofpoint tarafından satın alındı) gibi konsolidasyonlar sonrası, Gartner deception’ı artık bağımsız bir kategori değil, daha geniş “preemptive (önleyici) siber güvenlik” şemsiyesinin bir çekirdek yeteneği olarak konumluyor. MITRE tarafında ise deception savunmasına adanmış referans çerçeve MITRE Engage’dir (Shield’in halefi); geniş savunma taksonomisi MITRE D3FEND ise “Deceive” taktiğiyle onu tamamlar.

---

Sık Sorulan Sorular

Honeypot yasal mı? Kendi sisteminize gelen trafiği kaydetmek meşrudur; hukuki dayanak KVKK’daki meşru menfaattir. Sınır, aktif misilleme (hack-back) yapmamak ve üçüncü tarafların iletişimini izlememektir.

Honeypot ile IDS/IPS farkı nedir? IDS bilinen saldırı imzalarını tüm trafik içinde arar ve yanlış pozitif üretebilir. Honeypot’ta meşru trafik olmadığı için her olay bir sinyaldir; yanlış pozitif neredeyse sıfırdır. Honeypot IDS’in yerini almaz, onu besler.

Honeypot kurmak saldırı çeker mi, riskli midir? Düşük ve orta etkileşimli honeypot’lar düşük risklidir. Asıl risk yüksek etkileşimli, kötü izole edilmiş kurulumlardadır: ele geçirilirse başkasına saldırmak için kullanılabilir. Bu yüzden egress kısıtlaması ve izolasyon şarttır.

Hangi honeypot ile başlamalıyım? İnternet gürültüsünü ölçmek için Cowrie, iç ağ erken uyarısı için OpenCanary. Hepsini bir arada denemek isterseniz T-Pot.

Honeypot verisi ne kadar güvenilir? Doğru filtrelendiğinde çok güvenilirdir, çünkü yanlış pozitif oranı düşüktür. Ancak tarama servisleri ve ani tek-kaynak dalgaları için ham istatistik dikkatli okunmalıdır; bu rehberdeki “%56 Türkiye” örneği tek bir dalganın istatistiği nasıl şişirdiğini gösterir.

Bal küpü ile honeypot aynı şey mi? Evet. “Bal küpü”, honeypot’un Türkçe karşılığıdır.

Honeypot kurmak için kaç sunucu gerekir? Başlamak için tek bir izole VPS yeterlidir. Ölçek, amaca göre büyür; ama iç ağ canary’si için mevcut altyapınıza eklenen hafif bir servis bile iş görür.

---

Terimler Sözlüğü

---

Sonuç

Honeypot, güvenlik dünyasının en zarif fikirlerinden biridir: saldırganı durdurmaya çalışmak yerine, onu izlemek için ortaya bir tuzak koymak. Kırk yılda tek kişilik dedektiflikten yapay zekâ destekli endüstriyel deception’a evrildi, ama temel önermesi değişmedi: meşru kullanımı olmayan bir kaynağa gelen her temas, size bir şey öğretir.

Bu rehberdeki bir haftalık saha verisi, o öğretinin somut karşılığıdır: 3,93 milyon olay, 29 bin benzersiz IP, dokuz yıllık SMB açıklarının hâlâ ilk sıralarda oluşu, saldırı altyapısının ucuz hosting’e kayışı. Tellal’ın Türkiye odaklı honeypot ağı tam da bunu yapıyor: küresel gürültüyü yerel bir mercekten süzüp, savunmayı akıllandıran rafine bir istihbarata çeviriyor.

Kendi honeypot’unuzu kurmak istiyorsanız, doğru soruyla başlayın: neden? Gerisi o cevabın üzerine oturur.

IP’nizin honeypot ağlarında kaydı olup olmadığını, açık portlarınızı ve blocklist durumunuzu ücretsiz IP tarama aracıyla saniyeler içinde kontrol edebilirsiniz. Aktif tarama yapılmaz.

---

Metodoloji ve Lisans

Bu rehberdeki saha rakamları, SiberKale Tellal honeypot ağının 11–18 Temmuz 2026 penceresinde topladığı, OPSEC filtresinden geçirilmiş agregat gözlemlerdir. Tarihçe, taksonomi, açık kaynak araç durumu, hukuki çerçeve ve pazar bilgileri bağımsız kaynaklardan derlenmiş ve çapraz doğrulanmıştır; başlıca kaynaklar arasında Spitzner’ın Honeypots: Tracking Hackers (2002) çalışması, USENIX WOOT 2018 “Bitter Harvest” bildirisi, T-Pot resmî deposu, GreyNoise/AbuseIPDB/DShield/Shadowserver yayınları ve KVKK/TCK/5651/7545 mevzuat metinleri yer alır.

Saha verilerinde SiberKale altyapı adresleri, RFC1918/CGNAT özel bloklar ve bilinen tarayıcı servisleri (Shodan, Censys ve benzeri) filtrelenmiştir. Honeypot ağ topolojisi (sensör sayısı, konum, IP’ler) OPSEC gereği paylaşılmaz.

Lisans: CC BY 4.0 · Atıf yapılarak serbestçe kullanılabilir.

SiberKale Tellal · Threat Intelligence Feed · tellal.net