Siber Güvenliğin Yeni Kör Noktası: Her Şeyi İzliyoruz, Peki Doğru Şeyi Görebiliyor muyuz?
400 bin alarmdan yalnızca 21 bin incident'a: 2026 verileri SOC'ların yeni probleminin daha fazla veri değil, doğru saldırıyı doğru zamanda tespit etmek olduğunu gösteriyor.
2026-08-23 14:23:01 - Arastiriyorum
Kurumsal siber güvenlik dünyasında uzun zamandır hâkim olan basit bir varsayım var:
Daha fazla veri toplarsak saldırıları daha iyi görürüz.
Daha fazla log.
Daha fazla endpoint telemetry.
Daha fazla EDR alarmı.
Daha fazla SIEM entegrasyonu.
Daha fazla detection rule.
Daha fazla dashboard.
Fakat 2025 boyunca gerçek siber güvenlik operasyonlarından elde edilen veriler, sorunun artık veri eksikliğinden çok daha farklı bir noktaya kaydığını gösteriyor.
Bugünün SOC'ları veri kıtlığı yaşamıyor.
Tam tersine, veri bolluğu içinde doğru sinyali bulmaya çalışıyor.
Ve belki de modern siber güvenliğin en önemli sorusu artık şu:
Her şeyi izliyor olabiliriz. Ama gerçekten önemli olan şeyi görüyor muyuz?
Bir Host, Bir Günde 15 Bin Telemetry Event
2025 operasyon verileri problemin büyüklüğünü oldukça net gösteriyor.
Managed Detection and Response altyapısında tek bir hosttan günde ortalama yaklaşık:
15.000 telemetry event
toplandı.
Yıl boyunca bunlardan yaklaşık:
400.000 güvenlik alarmı
üretildi.
İlk AI tabanlı analiz katmanında 95 binden fazla alarm otomatik olarak sonuçlandırıldı.
Yaklaşık:
300.000 alarm
SOC analistlerinin önüne geldi.
Fakat burada çok daha ilginç bir şey oldu.
Analistler bu alarmların yaklaşık:
%87'sini aksiyon gerektirmeyen olaylar olarak eledi.
Geriye 39 binden biraz fazla ileri inceleme gerektiren alarm kaldı.
Ve tüm bu devasa veri akışının sonunda müşterilere bildirilen gerçek incident sayısı yaklaşık:
21.000 oldu.
Bu rakamlar modern SOC problemini neredeyse tek başına anlatıyor.
Sorun alarm üretmek değil.
Sorun hangi alarmın gerçekten önemli olduğunu anlamak.
400 Bin Alarmdan 21 Bin Gerçek Olaya
Bu dönüşüm zincirine başka bir açıdan bakalım:
Telemetry → Detection → Alert → Investigation → Incident
Her aşamada veri miktarı dramatik biçimde azalıyor.
Milyonlarca hatta milyarlarca ham güvenlik sinyalinin içinden önce yüz binlerce alarm çıkıyor.
Sonra bu alarmların büyük bölümü eleniyor.
En sonunda çok daha küçük bir bölüm gerçek güvenlik olayına dönüşüyor.
Bu nedenle modern SOC'un başarısını yalnızca kaç alarm ürettiğiyle ölçmek giderek anlamsızlaşıyor.
Çünkü çok alarm üretmek iyi detection anlamına gelmiyor.
Bazen yalnızca çok fazla gürültü ürettiğiniz anlamına geliyor.
Siber Güvenliğin Görünmeyen Problemi: Detection Gap
Burada daha ciddi bir sorun ortaya çıkıyor.
Bir SOC'un topladığı telemetry'nin tamamı detection mekanizmaları tarafından gerçekten kullanılıyor mu?
Her log kaynağı için yeterli detection rule var mı?
Toplanan veriler saldırı davranışlarını yakalayabilecek biçimde ilişkilendiriliyor mu?
2026 araştırmasının SOC değerlendirmelerinde ortaya koyduğu önemli bulgulardan biri tam olarak burada.
Bazı güvenlik operasyonlarında toplanan telemetry'nin önemli bölümü gerçek zamanlı detection süreçlerine yeterince dahil edilmiyor.
Bu durum oldukça tehlikeli bir güvenlik yanılsaması yaratıyor:
Log var.
SIEM var.
EDR var.
SOC var.
Dolayısıyla organizasyon kendisini görünürlük sahibi sanıyor.
Fakat görünürlük ile detection aynı şey değil.
Bir veriyi toplamak, o verinin içindeki saldırıyı görebildiğiniz anlamına gelmiyor.
Saldırganlar da Değişiyor
Bu problem yalnızca SOC tarafındaki veri hacminden kaynaklanmıyor.
Saldırganların davranışı da değişiyor.
Modern saldırgan mümkün olduğunca "normal" görünmeye çalışıyor.
Bunun en iyi örneklerinden biri kimlik bilgilerinin kötüye kullanılması.
Password guessing, account manipulation ve özellikle valid account abuse, günümüz saldırılarında son derece etkili yöntemler arasında.
Bunun nedeni oldukça basit.
Bir saldırgan malware çalıştırırsa EDR bunu görebilir.
Exploit kullanırsa IDS alarm üretebilir.
Şüpheli bir binary çalıştırırsa endpoint protection devreye girebilir.
Ama saldırgan geçerli kullanıcı adı ve parola ile giriş yaparsa?
Teknik açıdan bakıldığında sistem bazen tam olarak olması gereken şeyi yapar:
Kullanıcıyı içeri alır.
Sorun kullanıcının aslında kullanıcı olmamasıdır.
Güvenlik Duvarını Kırmak Yerine Kimliği Kullanmak
2025 incident verilerinde üç başlangıç saldırı vektörü toplam vakaların %80'inden fazlasını oluşturuyor.
Bunların arasında:
- internete açık uygulamalardaki açıkların istismar edilmesi,
- geçerli hesapların kullanılması,
- trusted relationship üzerinden gerçekleştirilen saldırılar
öne çıkıyor.
Bu değişim önemli.
Çünkü saldırganın her zaman firewall'u kırması gerekmiyor.
Bazen zaten izin verilmiş bir yolu kullanması yeterli.
Geçerli hesap.
OAuth token.
VPN erişimi.
Cloud session.
Trusted application.
Tedarikçi bağlantısı.
API credential.
Bunların hepsi modern saldırgan için potansiyel giriş kapısına dönüşebiliyor.
Güven Artık Saldırı Yüzeyinin Bir Parçası
Kurumsal güvenlik mimarisinin büyük bölümü "güven" üzerine kuruludur.
Kullanıcıya güveniriz.
Cihaza güveniriz.
Identity provider'a güveniriz.
Tedarikçiye güveniriz.
Cloud servisine güveniriz.
API'ye güveniriz.
Bir uygulamanın başka bir uygulamayla konuşmasına izin veririz.
Modern saldırgan da tam olarak bu güven ilişkilerini kullanmaya çalışıyor.
Bu nedenle saldırı yüzeyi kavramını yalnızca IP adresleri, portlar ve açık servislerle açıklamak artık yetersiz.
Yeni saldırı yüzeyi giderek daha fazla:
identity + permission + relationship + behavior
kombinasyonundan oluşuyor.
Yüksek Önem Dereceli Olaylar Azalıyor
Raporun olumlu tarafı da var.
Yüksek önem dereceli olayların toplam incident'lar içindeki payı son yıllarda ciddi biçimde geriliyor.
2021'de bu oran:
%14,3
seviyesindeyken 2025'te:
%3,8
seviyesine kadar düşmüş durumda.
Bu önemli bir gelişme.
Erken detection ve hızlı müdahale saldırının büyük bir güvenlik krizine dönüşmesini engelleyebiliyor.
Fakat burada dikkat edilmesi gereken bir ayrıntı var.
Yüksek önem dereceli olayların yaklaşık dörtte biri hâlâ insan tarafından yürütülen hedefli saldırılardan oluşuyor.
Başka bir ifadeyle otomasyon saldırıları azaltıyor ama insan saldırganı ortadan kaldırmıyor.
Karşı tarafta düşünen bir insan varsa savunma tarafında yalnızca statik kurallara güvenmek yeterli olmayabiliyor.
AI SOC Analistinin Yerini mi Alacak?
400 bin alarmı tek tek insanların incelemesi gerçekçi değil.
Bu nedenle AI ve otomasyon artık SOC operasyonunun doğal bir parçası.
Nitekim rapordaki telemetry pipeline'ında da ilk filtreleme katmanlarından biri AI tabanlı detection mekanizmalarından oluşuyor.
Fakat veriler başka bir şeyi daha gösteriyor.
AI ilk filtrelemeyi yapıyor.
Ardından yüz binlerce alarm hâlâ insan analistlere geliyor.
Analistler bunların büyük bölümünü eliyor.
Daha küçük bir bölüm ileri investigation aşamasına geçiyor.
Dolayısıyla geleceğin SOC modeli büyük ihtimalle:
AI veya insan
değil,
AI + insan
olacak.
AI ölçeği yönetecek.
İnsan ise bağlamı değerlendirecek.
MTTD ve MTTR Artık Tek Başına Yeterli Değil
SOC performansı geleneksel olarak iki popüler metrik üzerinden değerlendiriliyor:
MTTD – Mean Time to Detect
ve
MTTR – Mean Time to Respond.
Bunlar hâlâ önemli.
Fakat temel bir problemi ölçmüyorlar.
Hiç detect etmediğiniz saldırının MTTD'si nedir?
Yoktur.
Dashboard'da görünmez.
SLA'yı bozmaz.
SOC performans raporuna girmez.
Bu nedenle geleceğin güvenlik operasyonlarında yeni bir soru daha önemli hale geliyor:
Detection coverage ne kadar iyi?
MITRE ATT&CK tekniklerinin hangilerini görebiliyoruz?
Hangi log kaynaklarını topluyoruz ama kullanmıyoruz?
Hangi saldırı davranışları için detection rule bulunmuyor?
Hangi identity aktiviteleri normal kullanıcı davranışı içinde kayboluyor?
Gerçek SOC olgunluğu burada ortaya çıkıyor.
En Tehlikeli Alarm, Hiç Üretilmeyen Alarm Olabilir
Siber güvenlik ekipleri yıllardır false positive problemini çözmeye çalışıyor.
Haklı olarak.
Binlerce gereksiz alarm analistleri yoruyor ve gerçek olayların gözden kaçmasına neden oluyor.
Fakat bundan daha tehlikeli bir problem var:
false negative.
Yani saldırının gerçekleşmesi fakat hiçbir alarmın oluşmaması.
SOC ekranı sakin olabilir.
Dashboard yeşil olabilir.
SIEM çalışıyor olabilir.
EDR agent'larının tamamı online olabilir.
Ama saldırgan yine de içeride olabilir.
Bu nedenle modern güvenlik operasyonlarının hedefi artık yalnızca:
daha fazla telemetry
olmamalı.
Hedef:
daha anlamlı telemetry + daha iyi detection coverage + daha güçlü correlation + doğru insan analizi
olmalı.
Siber Güvenlik Bir Görünürlük Problemine Dönüşüyor
2026 verilerinin ortaya koyduğu tablo aslında oldukça net.
Siber güvenlik teknolojileri saldırıları daha erken yakalıyor.
Yüksek önem dereceli incident oranları düşüyor.
AI yüz binlerce alarmı filtreleyebiliyor.
EDR, MDR ve SOC sistemleri giderek daha güçlü hale geliyor.
Fakat aynı anda saldırganlar da değişiyor.
Malware yerine geçerli hesapları kullanıyorlar.
Firewall'u kırmak yerine trusted relationship üzerinden ilerliyorlar.
Gürültülü saldırılar yerine normal kullanıcı davranışına benzeyen operasyonlar yürütüyorlar.
Bu nedenle önümüzdeki dönemin siber güvenlik yarışı muhtemelen kimin daha fazla log topladığıyla belirlenmeyecek.
Asıl rekabet şurada olacak:
Kim normal davranışın içindeki anormalliği daha hızlı fark edebiliyor?
Çünkü geleceğin en tehlikeli saldırısı kırmızı alarm üreten saldırı olmayabilir.
Belki de hiçbir alarm üretmeden, tamamen normal görünen saldırı olacaktır.
Kaynak Rapor:
Kaspersky Security Services – Anatomy of a Cyber World: Global Report 2026