MITRE tekniklerini saymayı bırakın. Ön kapıyı kapatmaya başlayın.

Birkaç hafta önce bir HBO Yazılım Geliştirme öğrencisinin mezuniyet sunumunu izledim. Çalışma iyiydi, ancak sunumunda beni sonrasında düşündüren tek bir nokta vardı. 2024 tarihli, NC State University’den bir çalışmayı okumuştu ve odaya, o zamandan beri aklımdan çıkaramadığım bir soru yöneltti: eğer saldırganlar yıldan yıla aynı küçük teknik setine başvurmaya devam ediyorsa, tüm sektörümüz neden başka bir şeyi ölçmekte ısrar ediyor?

Bu adil bir soru ve üzerinde ne kadar düşündüysem o kadar rahatsız edici hale geldi. Çünkü dürüst yanıt şu: yanlış şeyi ölçüyoruz, kötü ölçüyoruz ve sonucu güvence olarak satıyoruz.

Cephanelik, pazarlamanın öne sürdüğünden daha küçük

Söz konusu çalışma, Rahman, Basak, Mahdavi Hezaveh ve Williams’ın “Attackers reveal their arsenal” başlıklı çalışması, ferahlatıcı derecede somut bir şey yaptı. Araştırmacılar, MITRE ATT&CK’in atıfta bulunduğu ve on binden fazla belgelenmiş tekniği kapsayan 667 siber tehdit istihbaratı raporunu ele aldı ve hangilerinin gerçekten yinelendiğini sordu.

Yanıt, saldırganları sonsuz yaratıcılıkta hayal eden herkes için ayıltıcı. Birlikte belgelenen her şeyin üçte birinden fazlasını oluşturan on dokuz yaygın teknik belirlediler. Bu yaygın tekniklerden hiçbiri düşüş eğiliminde değildi. Düşmanın, sürekli yeni yöntemler icat eden huzursuz bir yenilikçi olduğu yönündeki popüler tablo, kanıtlarla temas ettiğinde ayakta kalamıyor. Saldırganlar alışkanlıklarının kölesidir. İşe yarayanı yeniden kullanırlar, çünkü işe yarayan işe yaramaya devam eder.

Bunun savunmacılar için iyi bir haber olacağını düşünürdünüz. Küçük, istikrarlı bir cephanelik, üstesinden gelebileceğiniz bir sorun gibi geliyor. Yine de sektörün buna verdiği yanıt, tümünü kapsamaya dayalı bir pazarlama dili inşa etmek olmuştur.

Peki her tedarikçi size neden “%100 MITRE kapsamı” satıyor?

Bu, bir CISO’nun gerçekten sorduğu, genellikle ikinci ve üçüncü tedarikçi demosu arasında bir yerde sorduğu sorudur. Her ürün kapsamlı MITRE ATT&CK kapsamı iddia eder. Her ısı haritası güven verici biçimde yeşil parlar. Ve neredeyse hiçbiri alıcının düşündüğü anlama gelmez.

Bağımsız analizler, geleneksel güvenlik bilgileri ve olay yönetimi sistemlerinin ATT&CK tekniklerinin ortalama yalnızca yaklaşık yüzde 21’ini tespit ettiğini ve manşetlerdeki kapsam iddialarının çoğunun, artık pek çok ihlalin gerçekleştiği bulut, kimlik ve SaaS yüzeyleri yerine uç nokta merkezli testleri yansıttığını gösteriyor. Slayttaki rakam ile ortamdaki koruma aynı şey değildir.

Kapsam satması kolaydır, çünkü çizmesi kolaydır. Hücrelerinin çoğu doldurulmuş bir matris, yeterlilik gibi görünür. Buna karşın, bir saldırganın ön kapıdan içeri girmesini en baştan engellemek görünmezdir. Kimse gerçekleşmeyen ihlalin fotoğrafını çekmez. Bu yüzden, kuruluşu gerçekten koruyan sonuç yerine, demoda iyi görünen ölçütü ödüllendirmeye başladık. İşte bu kapsam tiyatrosudur ve hepimiz bilet parasını ödüyoruz.

En acımasız paradoks: en yaygın teknikleri yakalamak en zorudur

NC State çalışmasının gerçekten rahatsız edici hale geldiği yer burasıdır. Araştırmacılar, en yaygın tekniklerin tek tek incelendiğinde zararsız göründüğünü belirtiyor. Sistem bilgisi toplamak, bir komut kabuğu çalıştırmak, bir dosya aktarmak: bunların her biri sıradan, meşru sistem etkinliğinden ayırt edilemez. Ancak bunları bir sıra halinde gördüğünüzde saldırıya dönüşürler ve o zamana kadar aktör zaten içeridedir.

Bu teorik bir endişe değil. 2025 MITRE ATT&CK Evaluations’da, değerlendiricilerin düşmanın meşru görünen yönetimsel eylemlerini gerçek olanlardan güvenilir biçimde ayıramaması nedeniyle test senaryolarından biri iptal edilmek zorunda kaldı; bunu sonrasında Forrester bildirdi. Bunu tekrar okuyun. MITRE’nin kendisi, saldırganın ne yaptığını tam olarak bilerek kontrollü bir test yürütürken, bu teknikler için kötü niyetli davranışı meşru davranıştan net biçimde ayırt edemedi.

Yani saldırganların en çok kullandığı teknikler, tam olarak tespite en çok direnen tekniklerdir. Kapsam ısı haritası bunları yakalamayı vaat ediyor. Kanıtlar ise çerçeveyi tasarlayan kişilerin bile bunu yapmakta zorlandığını söylüyor. Yalnızca yanlış şeyi ölçmüyoruz; sorunun en az güven hak eden kısmı hakkında güven iddia ediyoruz.

Dürüst bir itiraf, kendi platformum hakkında da

Bu noktada, adalet lensi kendime çevirmemi gerektiriyor. Guardian360, sürekli güvenlik açığı taraması, kırktan fazla norm ve yasaya karşı uyumluluk önerileri, Microsoft 365 güvenlik içgörüleri ve saldırı tespiti yapan Lighthouse platformunu geliştiriyor. Çalışmadaki on dokuz yaygın tekniği alıp platformumuzun kaçını önlediğini veya güvenilir biçimde tespit ettiğini sorsaydınız, dürüst yanıt şu olurdu: doğrudan çok azını. O cephaneliğin çoğu, uç noktadaki istismar sonrası davranıştır ve bir güvenlik açığı ve uyumluluk platformunun izlemek için tasarlandığı şey bu değildir.

Bunu süsleyebilirdim. Süslemeyeceğim. Ve önemli olan nokta şu: hiçbir tedarikçi de tüm zinciri kapsadığını dürüstçe iddia edemez. Size tamamen yeşil bir matris gösterenler geri kalanımızdan daha yetenekli değil. Sadece ürünlerinin nerede durduğu konusunda daha az açık sözlüler. Bir alıcıya, her hücreyi renklendirmiş ve zor sorular sormamanızı uman biri yerine; ne yaptığını, ne yapmadığını ve başka birine nerede ihtiyaç duyulduğunu açıkça söyleyen bir tedarikçi çok daha iyi hizmet eder.

Oyunun aslında kazanıldığı yer: ön kapı

Yaygın teknikler çoğunlukla saldırganların içeri girdikten sonra yaptığı şeylerse, bariz soru şu: ilk başta içeri nasıl girdiler? Ve bu konuda veriler alışılmadık derecede net.

Verizon 2025 Data Breach Investigations Report’a göre, güvenlik açıklarının istismarı ilk erişim vektörleri arasında ikinci sıraya fırladı; ihlallerin yüzde 20’sinde mevcut ve bir önceki yıla göre yüzde 34 artış gösterdi. Çalınan kimlik bilgileri yüzde 22’yi oluşturuyor ve kimlik avı (phishing) yaklaşık yüzde 15’te. Saldırganların gerçekten içeri girdiği iki üç yol, ısı haritalarını dolduran istismar sonrası tekniklere gömülü değil; hepsi zincirin ön tarafında. Çalışmanın kendisi de aynı sonuca diğer yönden ulaşıyor ve hedef odaklı kimlik avını (spear-phishing) ilk enfeksiyona giden en yaygın yol olarak adlandırıyor.

Savunma çabasının karşılığını verdiği yer burasıdır. İnternete bakan şeyleri, özellikle saldırganların artık yama dağıtılmadan önce bile vurduğu uç cihazları ve VPN’leri yamalayın. Kimlik bilgisi boşluklarını kapatın. Ve kimlik avı konusunda, eğitimin ne yapıp ne yapamayacağı hakkında dürüst olun. Aynı Verizon raporu, eğitimin tıklama oranını neredeyse hiç değiştirmediğini, bu oranın inatla yaklaşık yüzde 1,5 civarında kaldığını, ancak eğitimli çalışanların şüpheli e-postaları kabaca dört kat daha sık bildirdiğini buldu. İnsanları tıklamaz hale getirecek şekilde eğitemezsiniz. Onları hızlı bir insan sensör ağına dönüştürebilirsiniz. Bu, farklı ve çok daha ulaşılabilir bir hedeftir.

Bunların hiçbiri bir yeşil hücre duvarı gerektirmez. Saldırganları dışarıda tutmanın, geriye dönük olarak ve MITRE’nin sözlüğüyle içeri girdiklerinde tam olarak nasıl hareket ettiklerini tarif edebilmekten daha değerli olduğuna karar vermeyi gerektirir.

Bir dahaki sefere sorulacak soru

Tespitin önemli olmadığını savunmuyorum. İhlal-varsayımı düşüncesi iyi bir nedenle var: önleme sızıntı yapar ve olgun bir kuruluşun, yine de içeri giren saldırganı görmesi gerekir. Ancak “ihlali varsay” sessizce ihlal edilmemeye yeterince yatırım yapmama ruhsatına dönüştü ve kapsam ısı haritası, bunu sorumlu hissettiren dekordur.

Bu yüzden bir dahaki sefere bir tedarikçi size bir MITRE matrisi gösterdiğinde, kaç tekniği tespit ettiklerini sormayın. Hangilerini önlediklerini sorun, dürüstçe neyi yapamadıklarını sorun ve ön kapınızın nerede hâlâ açık durduğunu sorun. Cephanelik küçük ve öngörülebilir. Savunmalarımız, saldırganın başladığı yerden başlamalı.

Kaynaklar

• Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. https://arxiv.org/abs/2401.01865
• Verizon 2025 Data Breach Investigations Report, ilk erişim vektörleri için (güvenlik açığı istismarı %20, çalınan kimlik bilgileri %22, kimlik avı yaklaşık %15) ve eğitim bildirim rakamları.
• Forrester (2025), MITRE ATT&CK Evaluations 2025 analizi; meşru ve kötü niyetli yönetimsel eylemlerin güvenilir biçimde ayırt edilememesi nedeniyle iptal edilen senaryo hakkında.
• Mitiga, geleneksel SIEM sistemlerinin ATT&CK tekniklerinin ortalama kabaca %21’ini tespit ettiğine dair bağımsız rakam ve uç nokta merkezli “%100 kapsam” iddialarının eleştirisi için.
• MITRE ATT&CK Evaluations, değerlendirmenin ne olduğu ve ne olmadığına dair tarafsız bir referans için.