Saldırgan Artık İnsan Değil: Kendi Honeypot Ağımızdan Bir Yılın Anatomisi

Kısa cevap: SiberKale Tellal, Türkiye’ye yönelik saldırıları kendi honeypot sensör ağından canlı izleyen bir tehdit istihbaratı platformudur. Veriyi satın almaz, üretir. Sekiz sensör türü gerçek saldırganları yakalar, RIPE Atlas yol analizini ekler, yedi OSINT kaynağı her göstergeyi zenginleştirir ve tehdit skoru atar. Sonuç, başka hiçbir hazır listede olmayan, Türkiye odaklı ve canlı bir saldırgan haritasıdır.

Bir Soruyla Başladı

Bir gece SSH loglarına bakarken basit bir soru takıldı: bu IP’lerden kaçı gerçekten bizi hedefliyor, kaçı sadece interneti tarıyor ve üzerimizden geçiyor?

Soruyu sormak bir dakika sürdü. Cevaplamak aylar. Çünkü bir logu okumak başka, o log’un arkasındaki saldırganın kim olduğunu, hangi ağda barındığını, dün başka bir yere de vurup vurmadığını, kendisinin de açık olup olmadığını bilmek başka.

O soruyu yanıtlayan sistemi kurduk. Bugün o sistemin hafızasında yüz bine dayanan saldırgan kaydı var. Bu yazı, o hafızanın nasıl oluştuğunu ve neden artık her zamankinden değerli olduğunu anlatıyor.

Neden Kendi Verimizi Üretiyoruz

Tehdit istihbaratı piyasasının çoğu aynı işi yapar: büyük sağlayıcılardan hazır gösterge listeleri satın alır, birleştirir, yeniden satar. Bu listelerin üç sorunu var. Pahalıdırlar. Türkiye coğrafyasına kör olma eğilimindedirler. Ve en önemlisi, herkeste aynıdırlar: rakibinizin de aldığı bir listeyle rekabet üstünlüğü kuramazsınız.

Biz tersini seçtik. Veriyi üretmek, satın almaktan zordur ama üretilen veri size aittir ve başka kimsede yoktur. Bir honeypot, saldırganları çekmek için kasten savunmasız bırakılmış bir sistemdir. İnternete açık bir kapı gibi durur; içeri gireni izler, her hareketini kaydeder. Bizim ağımızda tek bir honeypot değil, sekiz farklı sensör türü çalışır ve her biri saldırının farklı bir katmanını yakalar:

• P0f pasif parmak izi çıkarır: bağlanan makinenin işletim sistemini, ona hiç dokunmadan tanır.
• Suricata ağ imzalarını okur: hangi bilinen saldırı kalıbı, hangi zafiyet denemesi geçti.
• Cowrie SSH ve Telnet oturumlarını taklit eder: saldırgan içeri girince ne yazdığını, hangi komutu çalıştırdığını kaydeder.
• Fatt, Tanner, Dionaea, Mailoney, H0neytr4p web, SMTP ve zararlı yazılım katmanlarını tutar.

Bu ham veri tek başına istihbarat değildir, gürültüdür. Onu istihbarata çeviren şey, üstüne kurduğumuz katmanlardır.

Ham Loğu İstihbarata Çeviren Zincir

Her saldırgan IP’si bize düştüğü an bir işleme hattına girer. Önce RIPE Atlas ölçüm ağımız devreye girer: saldırganın Türkiye’ye hangi yoldan, hangi ağ üzerinden ulaştığını haritalar. Ardından yedi ayrı OSINT kaynağı paralel sorgulanır: bu IP başka nerelerde raporlanmış, hangi zafiyetleri barındırıyor, bilinen bir zararlı yazılım altyapısının parçası mı, bir engelleme listesinde mi.

Sonra skorlama motoru çalışır. Her göstergeye, topladığı kanıtların ağırlığına göre sıfırdan yüze bir tehdit skoru verilir. AbuseIPDB güven puanı, zafiyet sayısı, engelleme listesi üyeliği, davranışsal yoğunluk, çok vektörlü saldırı imzası: hepsi tartılır. Yüksek skorlu bir gösterge yalnız bir IP adresi değildir; arkasında “bu makine yüz kez raporlanmış, üç ayrı porta vurmuş, kendisi de yama tutmamış açık bir kutu” diyen bir kanıt zinciri taşır.

Bu zincirin sonunda ortaya çıkan şey, canlı ve Türkiye’ye odaklı bir saldırgan haritasıdır. Ve bu harita, bizim asıl ürünümüz olan gerçek korumayı besler: aynı istihbarat, müşteri ağlarımızın firewall hatlarına döner. Bugüne kadar bu veriyle yüz milyondan fazla saldırı paketi, hedefine ulaşmadan düşürüldü.

Ne Gördük: İki Hikâye

Rakamlar bir yere kadar anlatır. Asıl anlatan, o rakamların içinden çıkan hikâyelerdir.

Bir insan, klavyesinden yakalandı. Ağustos başında bir pencerede, otomasyonun yetmiş dört milyon olay ürettiği bir hafta boyunca, sensörlerimize komut yazan on dokuz bin dokuz yüz yetmiş sekiz oturumdan yalnız biri insandı. Bu kişi Windows makinesinden bağlandı, boş parolayla girdi, işlemciyi ve diski tarttı, paket yöneticisiyle boğuştu, bir noktada kabuğu tarayıcı sanıp adres çubuğuna yazmaya kalktı ve kırk dakika sonra vazgeçti. Kimliğini de en insani biçimde bıraktı: bir parola denemesinde klavye düzenini İngilizceye almayı unutmuştu, ekrana Arapça harfler düştü. Bir betiğin asla yapamayacağı bir hata. Sahnede gerçekten biri vardı ve biz onu düzeninden tanıdık.

Sonra sahne boşaldı. Onu izleyen sekiz günde, on yedi milyon olayın ve seksen dokuz bin kaynağın arasında tek bir insan izi kalmadı. Yazılan her komut bir betikten, denenen her parola bir sözlükten geldi. Üstüne, ağımıza ilk kez kendini yayan bir solucan sınıfının izi düştü: artık yalnız bizi taramıyorlar, birbirlerini de arıyorlar. Ve aynı dönemde, honeypot tarihimizde bir ilk daha yaşandı: bir yapay zeka araç sunucusuna (MCP) yönelik ilk tarama kaydı. Saldırgan tarafı, yeni teknolojiyi bizim kadar hızlı öğreniyor.

İki hikâye, bir cümleyi kuruyor: tehdidin yüzü değişiyor. Karşımızdaki gitgide daha az insan, gitgide daha çok kendi kendine çoğalan bir otomasyon katmanı.

Bu Yüzden İstihbarat Artık Lüks Değil

Yapay zeka bir saldırganın elindeki en ucuz işçidir. Bir sözlüğü genişletmek, bir tarayıcıyı ölçeklendirmek, bir zafiyeti binlerce hedefte denemek artık ne zaman ne de uzmanlık istiyor. Bu, savunma tarafında dengeyi değiştirir: statik bir engelleme listesi, dün doğruyken bugün eskimiş olabilir.

Buna karşı tek gerçek savunma, saldırıyı üreten ağın canlı haritasıdır. Kim tarıyor, nereden, hangi kampanyayla, hangi altyapıdan. Biz bu haritayı her gün, kendi sensörlerimizden çıkarıyoruz ve bir hafta önceki değil, bugünün saldırganını gösteriyoruz.

Her veri kıymetli. Her gösterge, bir saldırganın kendini ele verdiği andır. Ve o anları biz satın almıyoruz, yakalıyoruz.

---

Bu istihbaratın tam kapsamı, canlı feed ve saldırgan analizi Tellal paket aboneliğiyle sunulur. Türkiye’ye yönelik güncel tehdit haritasına erişmek isteyen kurumlar için: erişim talebi bırakın, paket kapsamı ve teklif bir iş günü içinde iletilir. Bu istihbarat SiberKale projelerini ve müşteri savunmalarını besler.

Bu haftanın saha verisi ve en tehlikeli beş saldırgan: 24-31 Ağustos bülteni. Honeypot ağının nasıl kurulduğu: Honeypot Nedir?.

SiberKale Tellal · Threat Intelligence · tellal.net