Siber Güvenlikte Yapay Zekâ Kullanımı
SOC'tan Tehdit Tespitine 12 Uygulama

12 uygulama, 4 grup

Aşağıdaki liste, "siber güvenlikte yapay zeka" başlığı altında bugün gerçekten üretimde karşılık bulan uygulamaları dört operasyonel gruba ayırıyor. Her uygulamanın yanında, konuyu derinlemesine işleyen AltaySec rehberine bağlantı bulacaksınız. Ortak ilke her grupta aynıdır: model öneri üretir, ölçüm güveni kurar, kritik karar insanda kalır.

SOC operasyonları

1. Uyarı önceliklendirme. SIEM'den akan uyarı hacmi, çoğu SOC'un insan gücünü aşar. Makine öğrenmesi ve LLM tabanlı skorlama; varlık kritikliği, geçmiş bağlam ve saldırı zinciri konumuna göre uyarıları sıralayarak analistin en riskli olaya önce bakmasını sağlar. Kural ve skorlama kurgusunu SIEM/SOAR tespit kuralları rehberinde ayrıntılandırdık.

2. Olay triyajı ve sınıflandırma. Gelen olayın türünü, etkilenen varlıkları ve muhtemel önceliğini otomatik etiketlemek, vardiyadaki en pahalı dakikaları geri kazandırır. Doğru kurgu, modelin önerisini analiste "taslak karar" olarak sunmasıdır; nihai sınıflandırma insanda kalır. Ayrıntılar için yapay zekâ ile olay sınıflandırma ve triyaj yazısına bakın.

3. Olay özetleme ve vardiya devri. LLM'ler dağınık uyarı zincirlerini, analist notlarını ve zaman çizelgelerini okunabilir olay özetlerine dönüştürebilir; vardiya devirlerinde bağlam kaybını azaltır. Bu bileşenin bir SOC mimarisine güvenli biçimde nasıl yerleştirileceğini AI SOC mimarisi rehberinde inceledik.

Tespit mühendisliği

4. Anomali tespiti. Davranış temelli modeller (ör. kullanıcı ve varlık davranış analitiği), statik imzaların göremediği sapmaları — olağandışı oturum saatleri, anormal veri hareketi, alışılmadık yetki kullanımı — yakalamayı hedefler. Bu, "siber güvenlikte yapay zeka" denince akla gelen en eski uygulama alanıdır ve imza tabanlı tespitin doğal tamamlayıcısıdır. Değeri ortama bağlıdır; eşik kalibrasyonu yapılmadan devreye alınırsa gürültü de üretebilir, bu yüzden ölçümle birlikte konumlandırılmalıdır.

5. Tespit kuralı üretimi. LLM'ler, bir tehdit raporundan veya saldırı davranışı tanımından Sigma benzeri tespit kuralı taslakları üretmekte giderek yetkinleşiyor. Taslak hızlandırıcıdır, hakem değil: her kural test verisiyle doğrulanmalıdır. Bu iş akışını LLM destekli detection engineering yazısında adım adım ele aldık.

6. Tehdit istihbaratı işleme. Günlük tehdit raporu, blog ve IOC akışını insan eliyle okumak ölçeklenmez. Dil modelleri bu akışı özetleyip kuruma özgü ilgi filtresinden geçirebilir ve tespit ekibine işlenebilir girdi sunabilir. Kurulum önerileri yapay zekâ destekli tehdit istihbaratı akışı rehberinde.

Olay müdahale

7. Playbook otomasyonu. Sık görülen olay türleri için müdahale adımlarının bir kısmı — zenginleştirme, bilet açma, ilgili logların toplanması — otomatikleştirilebilir; yapay zekâ katmanı, hangi playbook'un tetikleneceğini önerir. Geri alınması zor adımlar (hesap kapatma, ağ izolasyonu) insan onayına bağlanmalıdır. Çerçeveyi yapay zekâ olay müdahale playbook'u yazısında kurduk.

8. Log ve adli analiz. Bir olay sonrası binlerce satır logda "ne zaman, nereden, hangi hesapla" sorularını yanıtlamak, LLM'lerin sorgu üretimi ve örüntü açıklama becerisinden yararlanabilir. Modelin çıkarımı hipotezdir; kanıt disiplini değişmez. Sınırları ve yöntemi LLM destekli adli analiz yazısında tartıştık.

9. Rapor üretimi. Olay raporu, yönetim özeti ve ders-çıkarımı dokümanları müdahalenin en çok ertelenen kısmıdır. LLM'ler olay kaydından rapor taslağı üretebilir; analist doğrular ve imzalar. Raporlamanın müdahale sürecine nasıl bağlandığı yine playbook rehberinin kapsamındadır.

Saldırı simülasyonu ve test

10. Red team otomasyonu. Saldırı senaryolarının üretilmesi, varyantlanması ve tekrarlanabilir biçimde koşulması yapay zekâ ile ölçeklenebilir; özellikle LLM uygulamalarına karşı otomatik saldırı üretimi artık ayrı bir disiplindir. Güvenilirlik boyutunu red team otomasyonu ve güvenilirlik mühendisliği yazısında ele aldık.

11. Phishing simülasyonu. Çalışan riskini ölçmenin en doğrudan yolu, gerçekçi ve kuruma özgü senaryolarla düzenli simülasyon yapmaktır; yapay zekâ senaryo çeşitliliğini ve dil doğallığını artırır. AltaySec tarafında bu süreci Türkçe senaryolarla AltayPrisma yönetir.

12. Purple team döngüsü. Saldırı simülasyonunun çıktısını tespit tarafına anında geri besleyen purple team çalışmalarında yapay zekâ, "hangi teknik denendi, hangisi görüldü" eşlemesini hızlandırır. Kırmızı, mavi ve mor takım rollerinin bu döngüde nasıl konumlandığını ilgili rehberde anlattık.

Kritik uyarı: savunmadaki yapay zekâ da bir saldırı yüzeyidir

Bu listedeki uygulamaların ortak bir kör noktası var: savunma hattına eklenen her model, aynı zamanda saldırılabilir yeni bir bileşendir. Özellikle LLM içeren SOC bileşenleri — uyarı özetleyici, triyaj asistanı, rapor üreticisi — saldırgan kontrollü veri okur: loglar, e-posta içerikleri, alarm metinleri. Bir saldırgan, log satırına veya phishing e-postasının gövdesine yerleştirdiği talimatla modelin davranışını manipüle etmeyi deneyebilir; bu, prompt injection saldırısının SOC'a uyarlanmış hâlidir.

Pratik sonuç: "Yapay zekâyı savunmada kullanıyoruz" cümlesi, "yapay zekâ güvenliğini de yönetiyoruz" cümlesini zorunlu kılar. LLM'li güvenlik araçlarını en az yetkiyle çalıştırmak, çıktılarını doğrudan aksiyona bağlamamak ve girdi/çıktı denetimi uygulamak temel hijyendir. Bu riskin genel çerçevesini yapay zekânın güvenlik riskleri yazısında, savunma disiplininin bütününü ise yapay zekâ güvenliği rehberinde topladık.

Saldırganlar aynı teknolojiyi nasıl kullanıyor?

Madalyonun öbür yüzünü görmeden savunma planı eksik kalır. Aynı üretken modeller; dil hatasız ve kişiselleştirilmiş oltalama e-postaları, ses klonlamayla desteklenen vishing aramaları ve zararlı kod varyantları üretmek için de kullanılıyor. Türkçe için bu ayrıca önemli: yıllarca oltalama e-postalarını ele veren bozuk dil artık bir sinyal olmaktan çıkıyor. Saldırganın maliyeti düşerken hacmi artıyor — savunmanın otomasyona yönelmesinin asıl nedeni de bu asimetriyi kapatmak. Saldırgan tarafın güncel tekniklerini yapay zekâ destekli phishing yazısında ayrıntılı inceledik.

Başlarken: küçük bir SOC için gerçekçi ilk adımlar

Üç-beş kişilik bir güvenlik ekibi için "yapay zekâ dönüşümü" büyük bir platform alımıyla değil, düşük riskli ve ölçülebilir bir pilotla başlamalıdır:

1. Tek bir ağrı noktası seçin. Genellikle en iyi aday uyarı zenginleştirme veya olay özetlemedir: çıktı insan tarafından doğrulanır, hata maliyeti düşüktür.
2. Ölçüm çizgisini önce çekin. Pilottan önce ortalama triyaj süresi ve uyarı kapanış oranı gibi birkaç basit metriği kaydedin; "işe yaradı mı" sorusunun tek dürüst cevabı bu karşılaştırmadır.
3. Veri sınırlarını baştan çizin. Hangi logların ve hangi kişisel verilerin modele gidebileceğini KVKK gözüyle netleştirin; gerekiyorsa maskeleme uygulayın.
4. İnsan onayını koruyun. Pilot aşamasında hiçbir model çıktısı otomatik aksiyona bağlanmamalı; öneri-onay modeli güven birikince kademeli gevşetilmelidir.
5. Kendi yapay zekâ bileşenlerinizi test ettirin. LLM'li bir aracı üretime almadan önce saldırgan gözüyle değerlendirin; bu tür testlerin bütçe boyutunu Türkiye AI pentest fiyatları yazısında ele aldık.

Adım adım ilerlemek isteyen ekipler için hazırladığımız yapay zekâ güvenlik önlemleri kontrol listesi, bu pilotun güvenlik tarafını tek sayfada toplar.

Sık sorulan sorular

Yapay zeka SOC analistinin yerini alır mı?

Öngörülebilir gelecekte hayır. Bugünkü araçlar en çok tekrarlayan işlerde — uyarı zenginleştirme, özetleme, ilk triyaj — zaman kazandırıyor; bağlam gerektiren kararlar, sorumluluk ve nihai hüküm analistte kalıyor. Gerçekçi model, yapay zekânın analisti çoğalttığı 'kopilot' modelidir: makine hacmi işler, insan kararı verir. Yanlış kurgulanan otomasyon ise hatayı da ölçeklendirir.

Hangi SOC görevine önce uygulanmalı?

En düşük riskli ve en hızlı geri dönüş veren başlangıç noktası, uyarı zenginleştirme ve olay özetlemedir; çünkü çıktı bir insan tarafından doğrulanmadan aksiyona dönüşmez. İkinci adım genellikle triyaj önerileri ve tespit kuralı taslaklarıdır. Otomatik engelleme gibi geri alınması zor aksiyonlar, güven ve ölçüm birikmeden otomatikleştirilmemelidir.

Yanlış pozitifleri azaltır mı?

Doğru kurgulandığında azaltabilir: davranışsal modeller, statik imzaların kaçırdığı bağlamı görebildiği için gürültüyü eleyebilir. Ancak bu otomatik bir sonuç değildir; kötü eğitilmiş veya yanlış eşiklenmiş bir model gürültüyü artırabilir de. Bu yüzden tek güvenilir yaklaşım, her devreye almada yanlış pozitif ve yanlış negatif oranını kendi ortamınızda ölçmektir.

LLM'li güvenlik aracı nasıl güvenli kullanılır?

LLM'e giden veriyi bir saldırı yüzeyi olarak ele alın: aracın işlediği loglar ve uyarı metinleri saldırgan kontrollü içerik taşıyabilir; bu da prompt injection riski demektir. Aracı en az yetkiyle çalıştırın, kritik aksiyonları insan onayına bağlayın, girdi ve çıktıyı denetleyen bir koruma katmanı kullanın ve hassas veri gönderimini KVKK açısından ayrıca değerlendirin.

Kaynaklar

• OWASP GenAI Security Project — üretken yapay zekâ güvenliği kaynak merkezi
• OWASP Top 10 for LLM Applications — LLM uygulama riskleri
• NIST AI Risk Management Framework — yapay zekâ risk yönetimi çerçevesi
• NIST SP 800-61 Rev. 3 — olay müdahale önerileri
• MITRE ATLAS — yapay zekâ sistemlerine yönelik saldırı taktikleri matrisi
• MITRE ATT&CK — saldırgan taktik ve teknikleri bilgi tabanı

Not: Bu rehber genel bilgilendirme amaçlıdır ve bir güvenlik garantisi değildir. Buradaki uygulamaların değeri ortamdan ortama değişir; her aracı ve iş akışını kendi verinizle ölçerek doğrulayın.

İlgili Yazılar

• AI SOC Mimarisi ve LLM Güvenliği
• Yapay Zekânın Güvenlik Riskleri
• Yapay Zekâ ile Kırmızı, Mavi ve Mor Takım
• Yapay Zekâ Destekli Phishing: Yeni Nesil Tehditler