Açık Kaynak İstihbaratı (OSINT) Rehberi: Hedefi Dijital Ayak İzlerinden Çözmek
Siber güvenlik dünyasında ister savunma (Blue Team) tarafında olun ve kurumunuzun dışarıdan nasıl göründüğünü haritalandırın, ister sızma testi süreçlerinde bilgi toplama aşamasında olun; OSINT (Open Source Intelligence) yani Açık Kaynak İstihbaratı, operasyonun bel kemiğidir.Bir sistemi kırmadan, bir ağa sızmadan veya bir hedefe doğrudan dokunmadan önce, onun hakkında internete sızmış veya isteyerek bırakılmış tüm verileri toplamak gerekir. OSINT, sadece "Google'da arama yapmak" değildir; devasa bir veri okyanusunda anlamlı korelasyonlar kurma disiplinidir.
Etkili ve yapılandırılmış bir OSINT operasyonu, döngüsel bir metodolojiye dayanır. İşte adım adım profesyonel bir OSINT sürecinin anatomisi:
1. Planlama ve Yönlendirme (Planning & Direction)
Her operasyon bir soruyla başlar. Hedefiniz ne? Elinizde ne var? Bu aşamada operasyonun kapsamı, sınırları ve yasal çerçevesi belirlenir.- Gereksinim Belirleme: Müşteri veya kurum sizden neyi bulmanızı istiyor? (Örn: Bir şirket yöneticisinin sosyal mühendisliğe açıklık durumu, sızdırılmış şirket kimlik bilgileri veya halka açık bırakılmış hassas alt alan adları).
- Varlık Tanımlama (OpSec Hazırlığı): Bilgi toplarken yakalanmamak veya hedef sitelerin loglarında iz bırakmamak için kendi güvenliğinizi (Operational Security - OpSec) sağladığınız yer burasıdır. Temiz tarayıcı profilleri, VPN'ler, Tor ağları veya operasyona özel oluşturulmuş "kukla" (sock puppet) hesaplar bu adımda hazırlanır.
2. Veri Toplama (Data Collection)
Bu aşama, operasyonun en yoğun ve en çok araç kullanılan kısmıdır. Amaç, hedef hakkında olabildiğince çok ham veriyi farklı kaynaklardan çekmektir. Veri toplama ikiye ayrılır:A. Pasif Bilgi Toplama (Passive Collection)
Hedef sistemle hiçbir doğrudan temas kurulmaz. Tamamen üçüncü parti servisler, arama motorları ve arşivler kullanılır.- Arama Motoru Dorking (Google, DuckDuckGo, Bing): filetype
df site:hedef.com "confidential" gibi spesifik operatörlerle indekslenmiş hassas dosyaları avlamak. - Alan Adı ve DNS Altyapısı: Whois kayıtları, DNS geçmişi ve sertifika şeffaflığı (Certificate Transparency) logları (crt.sh gibi) üzerinden alt alan adlarının (subdomain) tespiti.
- Dijital Arşivler: Wayback Machine (web.archive.org) kullanarak hedef sitenin geçmiş yıllardaki hallerini, eski çalışan listelerini veya unutulmuş eski sayfalarını incelemek.
B. Aktif Bilgi Toplama (Active Collection)
Burada hedefe dolaylı da olsa dokunulur, bu yüzden OpSec risklidir.- Ağ Seviyesi Keşif: Shodan, Censys veya ZoomEye gibi platformlar üzerinden hedefin internete açık IP adreslerini, açık portlarını ve bu portlarda çalışan servislerin versiyon bilgilerini toplamak. (Siz doğrudan tarama yapmazsınız, bu servislerin halihazırda yaptığı tarama sonuçlarını incelersiniz).
3. Veri İşleme ve Entegrasyon (Processing & Integration)
Toplanan ham veri (yüzlerce e-posta adresi, IP blokları, sosyal medya profilleri, PDF belgeleri) bu haliyle bir çöplüktür. Bu adımda veri yapılandırılmış bir formata getirilir.- Metaveri (Metadata) Analizi: Toplanan PDF, Docx veya görsel dosyalarının metaverileri (exiftool yardımıyla) ayıklanır. Buradan dosyayı oluşturan kullanıcı adları, kullanılan işletim sistemleri, yazılım versiyonları ve hatta kameranın GPS koordinatları çıkarılır.
- Temizleme ve Formatlama: Tekrarlayan veriler elenir. E-postalar, kullanıcı adları ve IP adresleri listeler haline getirilerek analiz araçlarına aktarılmaya hazır hale getirilir.
4. Analiz ve Üretim (Analysis & Production)
OSINT'i "arama motoru kullanmaktan" ayıran en kritik adım burasıdır. İşlenen veriler yan yana getirilerek anlamlı yapboz parçaları birleştirilir.- İlişki Analizi (Link Analysis): Farklı platformlardaki verilerin kesişim noktaları bulunur. Örneğin, bir forum sızıntısında geçen kullanıcı adı ile bir GitHub reposundaki e-posta adresi eşleşiyor mu? Sosyal medyadaki bir fotoğrafın çekildiği saat ile hedef şirketin mesai saatleri uyuşuyor mu?
- Maltego veya Spiderfoot Kullanımı: Bu aşamada veriler arasındaki ilişkileri görselleştirmek, gözden kaçan bağlantıları (Örn: Aynı IP'yi paylaşan iki farklı domain) yakalamak için grafik tabanlı analiz araçları devreye girer.
- Tehdit Modelleme: Elde edilen istihbarat, savunma veya saldırı perspektifinde ne anlama geliyor? Bu açıklar kurumu nasıl etkiler? sorusuna cevap aranır.
5. Raporlama ve Dağıtım (Dissemination & Feedback)
Toplanan, analiz edilen ve anlamlandırılan tüm istihbarat, teknik olmayan karar vericilerin veya teknik ekiplerin anlayabileceği bir rapora dönüştürülür.- Özet (Executive Summary): Üst yönetim için risklerin ve en kritik bulguların kısa özeti.
- Teknik Detaylar ve Kanıtlar: Bulunan verilerin kaynak linkleri, ekran görüntüleri, metaveri çıktıları ve doğrulanmış bulgular.
- Çözüm Önerileri (Remediation): "Bu verinin internetten kaldırılması gerekiyor", "DNS kayıtlarındaki Whois bilgileri gizlenmeli", "Açık unutulan S3 bucket'ı kapatılmalı" gibi doğrudan aksiyona dönüştürülebilir tavsiyeler.
