🧠 MISP: Açık Kaynak Tehdit İstihbaratı ile Savunmanızı Güçlendirin

Related Articles

Kubescape Nedir? Açık Kaynak Kubernetes Güvenlik Platformu Rehberi

6 gün ago

Kartla Ödeme Nasıl Çalışır? “Ödeme Başarılı” Mesajının Arkasında Ne Var?

6 gün ago

Grype Nedir? Container ve SBOM Zafiyet Tarama Rehberi

2 hafta ago

Günümüzde etkili siber savunmanın en kritik parçalarından biri paylaşılabilir, yapılandırılmış ve eyleme dönüştürülebilir threat intelligence verisidir.

Bir kurum için yalnızca IOC toplamak yeterli değildir.

Asıl değer şuradadır:

Veriyi topla.
Yapılandır.
Zenginleştir.
Korelasyon kur.
Paylaş.
Operasyonel aksiyona dönüştür.

Bu noktada en güçlü açık kaynak platformlardan biri öne çıkar:

MISP — Malware Information Sharing Platform & Threat Sharing

MISP; SOC, CERT, CSIRT, MSSP, tehdit istihbaratı ekipleri ve güvenlik araştırmacıları için tehdit bilgisini ortak bir dilde yönetmeyi sağlayan açık kaynaklı bir threat intelligence platformudur.

---

🔍 MISP Nedir?

MISP, siber tehdit göstergelerini, saldırı kampanyalarını, malware bilgilerini, zafiyetleri, tehdit aktörlerini ve olay bağlamını toplamak, yapılandırmak, korele etmek ve paylaşmak için kullanılan açık kaynak bir threat intelligence platformudur.

Kısa tanım:

MISP = Threat Intelligence toplama + korelasyon + zenginleştirme + paylaşım platformu

MISP ile şu veri türleri yönetilebilir:

• IP adresleri
• Domain ve URL bilgileri
• Hash değerleri
• E-posta göstergeleri
• Malware örnekleriyle ilişkili IOC’ler
• APT ve threat actor bilgileri
• Campaign bilgileri
• Vulnerability bilgileri
• TTP bilgileri
• YARA / Sigma / Suricata kural çıktıları
• Malware family ilişkileri
• Incident context bilgileri

---

MISP Neden Önemlidir?

Tehdit istihbaratı çoğu zaman dağınık kaynaklardan gelir:

E-posta
PDF raporu
Vendor feed
CERT bildirimi
SOC alarmı
EDR çıktısı
SIEM korelasyonu
Sandbox analizi
Malware reverse engineering
OSINT kaynakları

Bu veriler yapılandırılmadığında operasyonel değeri düşer.

MISP’in amacı bu dağınık bilgiyi ortak bir yapıya sokmaktır.

Dağınık bilgi → Yapılandırılmış istihbarat → Paylaşılabilir veri → Operasyonel savunma

---

1️⃣ IOC Yönetimi

MISP’in en temel kullanım alanlarından biri IOC yönetimidir.

IOC örnekleri:

IP address
Domain
URL
File hash
Email subject
Sender address
Mutex
Registry key
User-agent
JA3/JA3S fingerprint
Malware config value

MISP üzerinde IOC’ler event ve attribute yapısı içinde tutulur.

Event Nedir?

Event, belirli bir olay, kampanya, malware ailesi veya tehdit raporuyla ilişkili bilgilerin kapsayıcı kaydıdır.

Örnek:

Event:
APT29 Spear Phishing Campaign — June 2026

Attribute Nedir?

Attribute, event içindeki tekil gösterge veya veri parçasıdır.

Örnek:

malicious-domain.com
185.10.20.30
d41d8cd98f00b204e9800998ecf8427e

Bu yapı sayesinde IOC’ler tek tek değil, olay bağlamıyla birlikte yönetilir.

---

2️⃣ Taxonomy ile Sınıflandırma

MISP taxonomies, event ve attribute’ları etiketlemek ve sınıflandırmak için kullanılır.

Örnek taxonomy kullanımları:

• TLP
• PAP
• Confidence
• Kill Chain
• Malware classification
• Incident type
• Sector
• Threat level
• Detection status

Örnek:

tlp:amber
confidence:high
workflow:state="complete"

Taxonomy kullanımı, istihbaratın nasıl paylaşılacağını ve nasıl yorumlanacağını standartlaştırır.

---

3️⃣ Galaxy ile Tehdit Bağlamı

MISP Galaxy, tehdit aktörleri, malware aileleri, saldırı teknikleri, araçlar ve kampanyalar gibi daha geniş bağlamsal bilgileri ilişkilendirmek için kullanılır.

Galaxy örnekleri:

Threat Actor
Malware Family
MITRE ATT&CK
Tool
Campaign
Ransomware Group
Exploit Kit
Sector
Country

Örnek kullanım:

Event → APT28
Event → MITRE ATT&CK T1059
Event → Cobalt Strike
Event → Ransomware Family

Bu yapı, IOC listesini daha anlamlı tehdit bağlamına dönüştürür.

Kısa ifade:

IOC ne olduğunu söyler.
Galaxy neden önemli olduğunu anlatır.

---

4️⃣ Object Model ile Yapılandırılmış Veri

MISP Object yapısı, ilişkili attribute’ları anlamlı bir veri modeli altında gruplamak için kullanılır.

Örnek object türleri:

File object
URL object
Email object
Domain-IP object
Malware sample object
PE object
Network connection object
Vulnerability object
Credential object

Örnek:

Email Object:
- From
- To
- Subject
- Attachment hash
- Source IP
- URL

Bu yapı, tek tek IOC eklemek yerine olayın teknik bağlamını daha tutarlı göstermeyi sağlar.

MISP dokümantasyonunda galaxy, object ve taxonomy yapıları ayrı bileşenler olarak belgelenir ve MISP veri modelinin bağlamlandırma tarafını güçlendirir.

---

5️⃣ Feed ve Otomatik Veri Alımı

MISP, farklı kaynaklardan otomatik feed alabilir.

Feed kaynakları:

• OSINT feed’leri
• CERT feed’leri
• Vendor threat intelligence
• Kurum içi IOC listeleri
• Malware analysis pipeline
• Honeypot çıktıları
• SIEM/EDR kaynakları
• Partner MISP instance’ları

Otomatik feed ile MISP, statik bir veri deposu olmaktan çıkar ve sürekli güncellenen bir tehdit istihbaratı merkezi haline gelir.

---

6️⃣ MISP-to-MISP Replikasyon

MISP’in güçlü yönlerinden biri instance’lar arası paylaşım yapabilmesidir.

Bu yapı özellikle topluluk temelli savunma için önemlidir.

Örnek kullanım:

Kurumsal MISP
↔ Sektörel MISP
↔ Ulusal CERT MISP
↔ Partner MISP
↔ MSSP MISP

Paylaşım modeli şu kontrollerle yönetilebilir:

• Organisation
• Sharing group
• Distribution level
• TLP etiketi
• Event publish durumu
• Sync user
• Feed policy
• Attribute-level sharing

Bu sayede her veri herkese açılmak zorunda kalmaz. Paylaşım güven ilişkisine ve veri hassasiyetine göre yönetilir.

---

7️⃣ Standart Formatlarla Paylaşım

MISP farklı formatlarda veri içe/dışa aktarabilir.

Yaygın formatlar:

• JSON
• STIX
• OpenIOC
• CSV
• IDS formatları
• Suricata / Snort kural çıktıları
• RPZ
• YARA
• Sigma

Bu özellik, tehdit istihbaratını operasyonel güvenlik araçlarına taşımayı kolaylaştırır.

Örnek akış:

MISP IOC
→ SIEM watchlist
→ Firewall block list
→ DNS RPZ
→ EDR IOC scan
→ IDS/IPS rule
→ SOAR playbook

---

8️⃣ Sigma, YARA ve Suricata Entegrasyonu

MISP, yalnızca IOC saklamak için değil, detection engineering süreçlerini beslemek için de kullanılabilir.

Örnekler:

Malware hash → YARA rule referansı
Network IOC → Suricata/Snort rule
Log davranışı → Sigma rule
Domain/IP → SIEM correlation
URL → Proxy block list

Bu yapı sayesinde tehdit istihbaratı sadece okunmakla kalmaz, güvenlik kontrollerine aktarılır.

Kısa ifade:

Threat intelligence → Detection rule → Security control → Alarm / Block / Hunt

---

9️⃣ SIEM, SOAR, EDR ve DFIR Entegrasyonu

MISP, güvenlik operasyon merkezi için merkezi CTI kaynağı olarak kullanılabilir.

SIEM Entegrasyonu

MISP IOC’leri SIEM tarafında correlation rule, lookup table veya watchlist olarak kullanılabilir.

Örnek:

MISP malicious domain listesi
→ SIEM DNS log korelasyonu
→ Alarm üretimi

SOAR Entegrasyonu

SOAR playbook’ları MISP’ten IOC çekebilir veya olay sonucu yeni IOC’leri MISP’e ekleyebilir.

Örnek:

Phishing alert
→ URL sandbox analizi
→ Malicious ise MISP event oluştur
→ Proxy block list güncelle

EDR Entegrasyonu

EDR sistemleri MISP IOC’leriyle endpoint taraması yapabilir.

Örnek:

MISP file hash
→ EDR IOC search
→ Etkilenen endpoint listesi
→ Incident scope

DFIR Entegrasyonu

Velociraptor, TheHive, Cortex, OpenCTI ve benzeri araçlarla birlikte MISP; olay müdahale ve threat intelligence zincirinde konumlandırılabilir.

---

🎯 MISP ile Neler Yapabilirsiniz?

✍️ IOC Ekleyin ve Kategorize Edin

IOC’leri event, attribute, object ve tag yapılarıyla düzenleyebilirsiniz.

🧠 Tehdit Bağlamı Oluşturun

Threat actor, malware family, MITRE ATT&CK ve campaign ilişkileri kurabilirsiniz.

🔄 Feed ve Replikasyon Kullanın

Otomatik feed alabilir, MISP-to-MISP sync ile güvenilir topluluklarla veri paylaşabilirsiniz.

📤 Standart Formatlarda Paylaşın

STIX, JSON, OpenIOC, CSV ve IDS formatlarıyla export yapabilirsiniz.

🧪 Detection Rule Üretimini Besleyin

Sigma, YARA, Suricata ve Snort gibi detection formatlarıyla ilişkilendirebilirsiniz.

🔗 SOC Araçlarıyla Entegre Edin

SIEM, SOAR, EDR, TheHive, Cortex, OpenCTI ve DFIR araçlarıyla entegre çalıştırabilirsiniz.

---

🚀 Kimler Kullanmalı?

MISP özellikle aşağıdaki ekipler için değerlidir:

• SOC ekipleri
• CERT / CSIRT ekipleri
• Gov-CERT ve ulusal güvenlik operasyon merkezleri
• MSSP’ler
• Tehdit istihbaratı analistleri
• Malware reverse engineering ekipleri
• Incident response ekipleri
• Finans, telekom, enerji ve kamu güvenlik ekipleri
• Üniversiteler ve siber güvenlik araştırmacıları
• Sektörel paylaşım toplulukları

---

48s Mini-PoC Planı

1. Test ortamında MISP instance kurun.
2. İlk organisation ve kullanıcı rollerini oluşturun.
3. Basit bir event açın.
4. IP, domain, URL ve hash attribute’ları ekleyin.
5. TLP ve confidence taxonomy tag’lerini kullanın.
6. MITRE ATT&CK veya malware family galaxy ilişkisi ekleyin.
7. Bir OSINT feed’i kontrollü şekilde aktif edin.
8. Event’i JSON veya STIX formatında export edin.
9. SIEM tarafında IOC lookup/watchlist olarak test edin.
10. Bir test MISP instance ile sync/replikasyon senaryosu deneyin.

---

Operasyonel İpuçları

1️⃣ MISP’i Sadece IOC Deposu Yapmayın

MISP’in gerçek gücü bağlamdır.

Kötü kullanım:

IP listesi ekle.
Domain listesi ekle.
Hiç açıklama yazma.
Hiç tag kullanma.
Hiç confidence belirtme.

İyi kullanım:

Event oluştur.
Attribute ekle.
Object kullan.
Taxonomy ile sınıflandır.
Galaxy ile bağlam ekle.
Confidence belirt.
TLP ile paylaşım sınırı koy.

---

2️⃣ TLP ve Sharing Group Kullanın

Her veri herkese açık olmamalıdır.

Paylaşım kararında şu sorular sorulmalıdır:

Bu veri kimlerle paylaşılabilir?
TLP seviyesi nedir?
Kaynak güvenilir mi?
Hukuki veya müşteri gizliliği riski var mı?
Paylaşım grubu doğru mu?

---

3️⃣ False-Positive Riskini Yönetin

Her IOC doğrudan engelleme listesine alınmamalıdır.

Örneğin:

Cloud IP
CDN domain
Shared hosting IP
Public DNS
URL shortener
Dynamic DNS

Bu tür göstergeler block kararı verilmeden önce bağlamla değerlendirilmelidir.

---

4️⃣ Feed’leri Kör Şekilde Açmayın

Çok fazla feed açmak bilgi kirliliği yaratabilir.

Önerilen yaklaşım:

Önce güvenilir feed.
Sonra scoring.
Sonra correlation.
Sonra SIEM/EDR entegrasyonu.

---

5️⃣ Yaşlanan IOC’leri Temizleyin

IOC’lerin değeri zamanla azalabilir.

Bu nedenle:

• Expiration date
• Decaying model
• Confidence
• Last seen
• First seen
• Source reliability

gibi alanlar dikkate alınmalıdır.

---

Sık Yapılan Hatalar

1️⃣ MISP’i Excel IOC Listesi Gibi Kullanmak

MISP yalnızca IP/domain/hash listesi tutmak için değil, yapılandırılmış threat intelligence yönetimi için kullanılır.

2️⃣ Tag ve Taxonomy Kullanmamak

Etiketleme yoksa verinin hassasiyeti, güvenilirliği ve paylaşım sınırı belirsiz kalır.

3️⃣ Event Açıklaması Yazmamak

Bağlam yoksa IOC operasyonel olarak zayıftır.

4️⃣ Her IOC’yi Otomatik Block Etmek

Bazı IOC’ler paylaşımlı altyapıya ait olabilir. Kör block üretim trafiğini etkileyebilir.

5️⃣ Feed Kalitesini Ölçmemek

Feed çokluğu güvenlik kalitesi anlamına gelmez. Relevance, confidence ve false-positive oranı izlenmelidir.

6️⃣ MISP’i SIEM’den Kopuk Kullanmak

MISP’te tutulan veri operasyonel araçlara aktarılmıyorsa savunma etkisi sınırlı kalır.

---

MISP, OpenCTI ve TheHive Arasındaki Konum

Platform	Temel Odak	Kullanım
MISP	IOC, threat sharing, correlation	CTI paylaşımı ve operasyonel IOC yönetimi
OpenCTI	Knowledge graph, threat actor/TTP modelleme	Stratejik ve ilişkisel CTI analizi
TheHive	Case management	Incident response vaka yönetimi
Cortex	Analyzer/responder	IOC enrichment ve otomatik analiz
SIEM	Log correlation	Alarm üretimi ve olay korelasyonu

Kısa ifade:

MISP → Tehdit bilgisini yapılandırır ve paylaşır.
OpenCTI → Tehdit ilişkilerini bilgi grafiğiyle modelleyebilir.
TheHive → Olayları vaka olarak yönetir.
Cortex → IOC’leri zenginleştirir.
SIEM → Loglarla korelasyon kurar.

---

Sonuç

MISP, açık kaynak threat intelligence paylaşımı ve yönetimi için en güçlü platformlardan biridir.

IOC’leri yalnızca saklamaz; onları event, attribute, object, taxonomy, galaxy ve sharing group yapılarıyla anlamlı ve paylaşılabilir hale getirir.

Doğru kullanıldığında MISP:

Tehdit bilgisini merkezileştirir.
IOC’leri bağlamlandırır.
Topluluklarla güvenli paylaşım sağlar.
SOC araçlarını besler.
Detection engineering süreçlerini güçlendirir.
Incident response hızını artırır.

MISP’in gerçek değeri, kurum içi ve kurumlar arası kolektif savunma kültürünü desteklemesidir.

Kısa özet:

Tehdit bilgisi tek başına veri değildir.
Bağlam + güven + paylaşım + aksiyon ile istihbarata dönüşür.