Şirket İçi Tehditler (Insider Threat) Nasıl Tespit Edilir?

Hızlı Özet (TL;DR)

Geleneksel siber güvenlik yatırımları genellikle dışarıdan gelen saldırganlara, botnet ağlarına ve fidye yazılımlarına odaklanır; ancak küresel veri ihlali raporları kurumsal veri sızıntılarının, fikri mülkiyet hırsızlıklarının ve finansal kayıpların %60’ından fazlasının bizzat şirket içindeki personelden, alt yüklenicilerden veya iş ortaklarından (Insider Threat) kaynaklandığını ortaya koymaktadır. İç tehditler; güvenlik duvarının zaten iç tarafında bulunan, geçerli kullanıcı adı ve şifreye sahip, hangi klasörde hangi kritik verinin durduğunu ezbere bilen kişilerdir. Bu tehditleri geleneksel antivirüs veya standart güvenlik duvarlarıyla durdurmak imkansızdır; çözüm En Az Yetki İlkesi (Least Privilege), Kullanıcı Davranış Analizi (UEBA) ve Uç Nokta DLP (Veri Sızıntısı Önleme) teknolojilerinin entegre çalıştırılmasıdır.

Şirket İçi Risk Profilleri: Kimler “Insider Threat” Oluşturur?

İçeriden kaynaklanan tehditler her zaman kötü niyetli bir casusluk faaliyeti değildir. Siber güvenlik mühendisliğinde şirket içi tehdit aktörleri üç ana profilde incelenir:

1. Kötü Niyetli İçeriden Biri (Malicious Insider / Veri Hırsızı): Rakip firmayla iş görüşmesi yapan, kendi şirketini kurmaya hazırlanan veya şirkete kırgınlığı bulunan personelin; sahip olduğu erişim yetkisini kullanarak 3 boyutlu CAD/SolidWorks tasarımlarını, reçeteleri, kaynak kodlarını, maliyet tablolarını ve müşteri portföyünü maddi çıkar sağlamak amacıyla kopyalamasıdır.
2. İhmalkar veya Dikkatsiz Çalışan (Negligent Insider): Kötü bir amacı olmayan ancak güvenlik kurallarını esneten personeldir. “Evde çalışacağım” diyerek gizli şirket verilerini kişisel Google Drive/WeTransfer hesabına yükleyen, şirket bilgisayarına kişisel flash belleğini takan veya oltalama (Phishing) e-postasındaki sahte fatura linkine tıklayarak kimlik bilgilerini saldırganlara kaptıran kullanıcılar bu gruba girer.
3. Ayrıcalıklı Kullanıcı ve Üçüncü Taraf Tedarikçiler (Privileged User & Third-Party): Sistem yöneticileri, veritabanı uzmanları veya uzaktan destek için VPN/AnyDesk ile bağlanan dış bakım firmalarıdır. Denetimsiz ve kayıtsız bırakılan yüksek yetkiler (Domain Admin, SQL sa yetkisi), tüm veritabanının tek komutla dışarı sızdırılmasına veya silinmesine yol açabilir.

İç Tehdit Vektörleri, Sızıntı Kanalları ve DLP Engelleme Matrisi

Veri kaçırma girişimlerinin hangi kanallardan yapıldığını ve kurumsal DLP Çözümleri ile bu kanalların nasıl kontrol altına alındığını aşağıdaki karşılaştırma tablosunda inceleyebilirsiniz:

Veri Sızıntısı Kanalı	Tipik İç Tehdit Senaryosu	Geleneksel Güvenliğin Eksikliği	Uç Nokta DLP ve UEBA Koruma Mekanizması
USB Bellek ve Taşınabilir Diskler	İstifa öncesi tüm ortak sunucu klasörünün harici diske kopyalanması	Windows varsayılan olarak her USB diske tam yazma izni verir	Cihaz Kontrolü: Yalnızca seri numarası tanımlı kurumsal şifreli USB’lere izin verilir; diğerleri Salt Okunur veya Bloklu tutulur
Web Tabanlı Bulut ve Dosya Transferi	Dosyaların WeTransfer, Google Drive, Yandex Disk, WhatsApp Web üzerinden gönderilmesi	HTTPS (TLS) şifreli olduğu için standart firewall dosya içeriğini göremez	Uç Nokta Ajanı & SSL Inspection: Tarayıcıya yüklenen dosyanın içeriği ve uzantısı okunarak yükleme anında kesilir
Kişisel E-Posta ve Kurumsal Mail	Müşteri listesinin Gmail’e veya rakip firma adresine ek olarak atılması	Mail sunucusu geçerli kullanıcının giden mailini engellemez	İçerik Analizi (Regex/Parmak İzi): Ek içinde TCKN, IBAN, “Gizli” etiketi veya 50+ satır müşteri verisi varsa mail karantinaya alınır
Şifreli Arşivleme ve Uzantı Değiştirme	.dwg veya .xlsx dosyasının .mp3 yapılması veya şifreli .zip/.rar içine konması	Basit uzantı filtreleri dosyanın gerçek tipini anlayamaz	True File Type (Magic Bytes) Analizi: Dosya başlığından gerçek format tespit edilir; şifreli arşivlerin dışarı çıkışı yasaklanır
Ekran Görüntüsü ve Fiziksel Yazıcı	Kritik ekranların PrintScreen / Snipping Tool ile alınması veya kağıda basılması	Hiçbir ağ cihazı yerel ekran görüntüsünü ve USB yazıcıyı göremez	Pano (Clipboard) ve Yazıcı Denetimi: Kritik uygulamalarda ekran alıntısı karartılır, yazıcı çıktısına kullanıcı filigranı (Watermark) basılır

İç Tehditleri Erken Yakalamanın 5 Teknik Yolu

Bir çalışanın veri sızdırma hazırlığında olduğunu veya hesabının ele geçirildiğini gösteren erken uyarı sinyalleri (Indicators of Behavior - IoB), saha mühendisliğinde şu beş denetim katmanıyla yakalanır:

1. Anormal Dosya Okuma ve Toplu İndirme Hareketleri (File Server Auditing)

Normal şartlarda günde ortalama 15-20 adet teknik resim veya Word dosyası açan bir mühendisin, Cuma akşamı saat 21:00’de ortak dosya sunucusu ve yedekleme dizinindeki 4.500 adet dosyayı üst üste okuması (Toplu Kopyalama) veya silmesi normal bir davranış değildir. Dosya sunucusu üzerinde kurulan FSRM (File Server Resource Manager) ve gerçek zamanlı dosya erişim denetimi yazılımları, dakika başına belirli bir eşiği aşan dosya okuma/silme hareketlerinde kullanıcının SMB oturumunu otomatik olarak keser ve IT yöneticisine acil alarm üretir.

2. Gölge Kopyalama (Shadow Copy) ile Kanıt Toplama

Uç nokta DLP ajanı, yalnızca engelleme yapmakla kalmaz; kurumsal politikaya göre “İzleme (Monitor)” veya “Gölge Kopyalama (Shadow Copy)” modunda da çalışabilir. Bir personel USB belleğe, web sitesine veya yazıcıya kritik bir belge gönderdiğinde, DLP ajanı o belgenin birebir kopyasını, tarih/saat bilgisini, hedef adresi ve o anki ekran görüntüsünü merkezi denetim sunucusuna kaydeder.

3. Yetki Sınırlandırma ve Klasör İzolasyonu (Zero Trust File Access)

Şirket içi veri sızıntılarının en büyük nedeni, ortak sunucudaki (\\Server\Ortak) klasörlerin tüm çalışanlara açık bırakılmasıdır. Sıfır Güven (Zero Trust) prensibi gereği; Satış departmanı Üretim ve Ar-Ge klasörlerini, Ar-Ge departmanı ise Muhasebe ve İK klasörlerini kesinlikle görmemelidir (Access-Based Enumeration - ABE). Çalışan yalnızca o anki görev tanımı için gereken verilere erişebilmelidir.

4. İşten Ayrılan Personel (Offboarding) Güvenlik Protokolü

Veri hırsızlıklarının %75’i, çalışanın istifa kararını aldığı gün ile işten ayrıldığı ihbar süresi (son 2-4 hafta) arasında gerçekleşir. İhbar süresine giren veya iş akdi feshedilecek personeller için:

• DLP politikası derhal “Yüksek Denetim / Sıkı Kısıtlama” grubuna alınmalı,
• Son 60 günlük USB, bulut yükleme, e-posta ekleri ve dosya sunucusu indirme kayıtları geriye dönük taranmalı,
• Uzaktan erişim (SSL VPN) yetkileri sonlandırılmalıdır.

5. KVKK Uyumu ve Çalışan Aydınlatma Metni

Denetim ve izleme sistemlerinin hukuka uygun olması ve olası bir iş davasında veya ceza davasında mahkemede geçerli kesin delil sayılabilmesi için; şirket bilgisayarlarının sadece iş amaçlı tahsis edildiği ve güvenlik/veri koruma amacıyla denetlendiği hususu, tüm çalışanlara imzalatılan KVKK Çalışan Aydınlatma Metni ve Bilgi Güvenliği Taahhütnamesi ile kayıt altına alınmalıdır.

Özellikle savunma sanayii imalat ağ ve siber güvenlik ekosisteminde faaliyet gösteren üretim tesislerinde fikri mülkiyeti korumak ve iç tehditlere karşı tam görünürlük sağlamak için DLP Çözümleri ve KVKK 5651 Yasal Loglama sayfalarımızı inceleyin.

Sıkça Sorulan Sorular

Çalışan dizüstü bilgisayarını eve götürüp şirket ağından çıktığında DLP koruması çalışmaya devam eder mi?

Evet. Ağ tabanlı güvenlik duvarlarının aksine, Uç Nokta DLP (Endpoint DLP) ajanı doğrudan işletim sisteminin çekirdek (Kernel) katmanında çalışır. Çalışan bilgisayarı alıp evine gitse, interneti tamamen kapatsa veya kendi cep telefonunun internetine (Hotspot) bağlansa dahi; USB port kısıtlamaları, ekran görüntüsü engeli ve buluta dosya yükleme yasakları bilgisayarda kesintisiz uygulanmaya devam eder.

WhatsApp Web, Telegram Desktop ve kişisel WeTransfer üzerinden veri kaçırılması engellenebilir mi?

Kesinlikle engellenir. Modern DLP ve uygulama kontrol çözümleri, tarayıcı (Chrome, Edge, Firefox) veya masaüstü uygulaması üzerinden çalışan WhatsApp ve Telegram’ı tanır. İsterseniz bu uygulamaları tamamen kapatabilir, isterseniz çalışanların müşterilerle metin olarak yazışmasına izin verip yalnızca bilgisayardan dışarıya dosya/belge sürükleyip bırakmasını (File Upload) engelleyebilirsiniz.

DLP kurulumu bilgisayarları yavaşlatır mı ve çalışanlar ajanı kapatabilir mi?

Kurumsal DLP ajanları çok düşük işlemci (%1-2 CPU) ve RAM tüketimiyle arka planda sessizce çalışır; standart ofis veya CAD/CAM çizim performansını etkilemez. Ayrıca ajanlar Tamper Protection (Kurcalama Koruması) özelliğine sahiptir; yerel yönetici yetkisi olsa dahi hiçbir kullanıcı özel kaldırma şifresi olmadan DLP servisini durduramaz veya bilgisayardan kaldıramaz.