Siber Olayların Anlatısı

Siber Olayların Anlatısı ve Logların Göremediği İnsan

Bir siber saldırı olduğunda ilk yaptığımız şey genellikle aynıdır: Loglara bakarız.

• Hangi IP bağlandı?
• Hangi hesap kullanıldı?
• Hangi dosya değiştirildi?
• Hangi makineye erişildi?
• İlk alarm ne zaman üretildi?
• Saldırgan nereden girdi?
• Nereye yayıldı?

Bunların hepsi önemlidir; hatta bir olayın teknik olarak yeniden kurulabilmesi için çoğu zaman vazgeçilmezdir. Ancak teknik izlerin ötesinde yanıtlanması gereken kritik bir soru kalır: O sırada insan ne yaşadı?

Bir log bize bir hesabın kullanıldığını gösterebilir; ama o hesabın başındaki insanın o anda ne bildiğini göstermez. Bir sistemin kapatıldığını görebiliriz; ama sistemi kapatan kişinin neden o kararı verdiğini doğrudan göremeyiz. Bir e-postanın açıldığını görebiliriz; ama onu açan kişinin neden güvenilir bulduğunu logdan okuyamayız.

Siber güvenlik araştırmalarında henüz yeterince bakmadığımız kayıt türü tam olarak budur: İnsanın kendi anlattığı olay.

Bir Siber Olay Sadece Teknik Bir Olay Değildir

Siber saldırıları çoğu zaman teknik bir zincir üzerinden düşünürüz:

Açık → Erişim → Ayrıcalık → Yatay Hareket → Veri → Etki

Bu zincir saldırının teknik anatomisidir. Fakat aynı olayın eş zamanlı ilerleyen başka bir zinciri daha vardır:

Fark Etme → Belirsizlik → Karar → İletişim → Müdahale → Anlamlandırma

Bu da olayın insan tarafıdır. İki zincir aynı anda yaşanır ama farklı şeyleri kaydeder:

• Teknik kayıt: Sistemin ne yaptığını anlatır.
• Kurumsal kayıt: Kurumun ne yaşadığını anlatır.
• İnsanın kendi anlatısı: "Ben o sırada ne yaşadım ve bunu nasıl anlamlandırdım?" sorusunu yanıtlar.

Hedef bu üç kayıttan birini seçip diğerlerini değersizleştirmek değil; üçünü birlikte okuyabilmektir.

İnsan Kendisini Anlatırken Kimi Anlatır?

Tarih ve askerî araştırmalarda kullanılan bir kavram var: Egodocument.

Kişinin kendi eylemlerini, düşüncelerini, duygularını veya deneyimlerini anlattığı belgelerden (günlükler, mektuplar, anılar, bloglar, otobiyografiler, kişisel kayıtlar) söz ediyoruz. Kavramın sunduğu temel sorgulama şudur: İnsan kendisini anlatırken aslında hangi halini anlatıyor?

• Olayın yaşandığı andaki kendisini mi?
• Birkaç saat sonra hatırladığı kendisini mi?
• Yıllar sonra geçmişe dönüp yeniden yorumladığı kendisini mi?

Bu soru siber güvenlik açısından kritiktir. Bir saldırının ilk dakikalarında güvenlik uzmanının bildiği şey ile saldırıdan üç ay sonra bildiği şey aynı değildir. İlk anda belirsizlik vardır; zamanla olay anlaşılır ve sonuç ortaya çıkar. İnsan geçmişe baktığında, geçmişteki kendisini artık bugünkü bilgisiyle değerlendirir.

Dolayısıyla geçmişe dönük anlatı yalnızca geçmişin kaydı değil, geçmişin yeniden kurulmasıdır.

Siber Olay Ben-Belgesi

Buradan hareketle siber güvenlik araştırmaları için bir kavram öneriyorum: Siber Olay Ben-Belgesi

Siber Olay Ben-Belgesi: Bir kişinin bir siber güvenlik olayı sırasında veya sonrasında kendi deneyimini, algısını, kararlarını, belirsizliklerini veya olay hakkındaki değerlendirmelerini birinci şahıs perspektifinden kaydettiği ya da aktardığı belge.

Bu belge farklı biçimlerde ortaya çıkabilir:

• Olay sırasında tutulan kişisel bir not
• Olay müdahale günlüğü
• Teknik bir uzman tarafından olaydan sonra yazılmış bir yazı
• Konferansta anlatılan bir deneyim
• Bir röportaj veya blog yazısı
• Yıllar sonra yazılmış bir anı

Bir belgeyi okumak başka şeydir, belgenin nasıl üretildiğini araştırmak başka şeydir. Araştırma tam olarak bu ayrımda başlar.

Aynı Olay, Farklı Zamanlarda Farklı Anlatılabilir

Bir siber olayın anlatısını anlamak için olay ile anlatı arasındaki zamana bakmak gerekir. Süreç üç aşamadan oluşur:

1. T0 — Olay anı: İnsan olayın içerisindedir. Bilgi eksiktir, belirsizlik yüksektir ve zaman baskısı vardır. Kararlar o anda verilir. T0 anlatısı, kararın verildiği gerçek koşulları gösterir.
2. T1 — Olay sonrası: Olay kontrol altına alınmaya başlamıştır. Soruların cevapları netleşir. Yaşananlar açıklanır: "Ne oldu?", "Nasıl oldu?", "Biz ne yaptık?", "Başka ne yapabilirdik?"
3. T2 — Geriye dönük anlatı: Aylar veya yıllar geçmiştir, sonuç bilinmektedir. Olay yaşanmış bir deneyimden bir hikâyeye dönüşür. İnsan geçmişteki kendisini bugünkü bilgisiyle anlatır.

T0 ile T2 arasındaki fark bir problem değil; başlı başına bir araştırma verisidir.

WannaCry: Aynı Saldırının Üç Farklı Yüzü

Bu yaklaşımı 2017'deki WannaCry saldırısıyla somutlaştırabiliriz. 12 Mayıs 2017'de başlayan WannaCry, kısa sürede çok sayıda sistemi etkiledi.

Microsoft'un saldırı devam ederken yayımladığı teknik değerlendirme; WannaCrypt'in yamalanmış bir Windows SMB açığından yararlandığını ve solucan (worm) benzeri bir yayılım gösterdiğini ortaya koyuyordu. Değerlendirmedeki kritik ayrıntı şuydu: Saldırı hâlâ devam ediyordu ve inceleme henüz tamamlanmamıştı.

Bu ayrıntı metodolojik açıdan önemlidir. Olayın içindeyken üretilen bilgi ile olay bittikten sonra üretilen bilgi aynı değildir:

• Olay devam ederken: "Bildiğimiz bu."
• Olay bittikten sonra: "Artık ne olduğunu biliyoruz."

Bu iki cümle arasındaki fark, siber güvenlik araştırmalarında sıklıkla gözden kaçar.

NHS Örneğinde Teknik Olay Kurumsal Bir Olaya Dönüşüyor

WannaCry'ın Birleşik Krallık'taki NHS üzerindeki etkisi bunun net bir örneğidir. National Audit Office'in incelemesine göre İngiltere'deki 236 NHS trust'ın en az 81'i WannaCry'dan etkilendi. Ayrıca 603 birinci basamak ve diğer NHS kuruluşunun da etkilendiği bildirildi.

Burada konu zararlı yazılımdan (malware) çıkar; yama yönetimine, hazırlığa, koordinasyona, iş sürekliliğine, iletişime ve karar verme süreçlerine uzanır. Teknik olay, kurumsal bir olaya dönüşür.

Ancak süreç burada da bitmez. Kurumun yaşadığı şey ile kurum içerisinde çalışan bir insanın yaşadığı şey aynı olmak zorunda değildir.

Bir rapor "Hizmet kesintisi yaşandı" der. O sırada sistemin başındaki insan için bunun karşılığı farklıdır:

• "Ekrana baktım ve sistem çalışmıyordu."
• "Ne olduğunu bilmiyordum."
• "Kimi arayacağımı düşünüyordum."
• "Sistemi kapatmam gerekiyordu ama başka bir şeyin de durmasından korkuyordum."

Bu cümleler teknik veri değildir ancak kararın gerçekleştiği insan ortamını göstermesi açısından kritik önem taşır.

İnsan Hatası Dediğimiz Şey Gerçekten Ne?

Siber güvenlikte sık kullanılan bir ifade var: Human error (İnsan hatası).

Bir kullanıcı yanlış bağlantıya tıkladı, bir sistem yöneticisi yamayı yapmadı, bir parola paylaşıldı, bir alarm gözden kaçtı… Analiz genellikle bu noktada durur.

Egodocument yaklaşımı soruyu değiştirir. "Neden bunu yaptı?" sorusunun yerine şu soruyu koyar: "Bunu yaptığı anda ne biliyordu?"

Biz bugün olayın sonucunu biliyoruz, o kararı veren insan ise bilmiyordu. Biz saldırının nasıl geliştiğini biliyoruz, o ise ilk alarmın ne anlama geldiğini bilmiyordu. Biz hangi kararın doğru olduğunu biliyoruz, o ise birden fazla ihtimal arasında kalmış olabilir.

Bu nedenle şu sorular sorulmalıdır:

• Ne biliyordu, ne bilmiyordu, neye inanıyordu?
• Hangi seçenekleri görebiliyordu?
• Ne kadar zamanı vardı?
• Kime danışabiliyordu?
• Hangi bilgi kendisine ulaşmıştı?
• Kurumsal talimatlar açık mıydı?

Bu sorular insan hatasını ortadan kaldırmaz; hatanın arkasındaki koşulları görünür kılar.

Üç Kayıt, Üç Soru

Bir siber olay için kurulabilecek model şu şekildedir:

Kayıt Türü

Sorduğu Soru

Teknik Kayıt

Sistem ne yaptı?

Kurumsal Kayıt

Kurum ne yaşadı?

Siber Olay Ben-Belgesi

İnsan ne yaşadı ve bunu nasıl anlamlandırdı?

Bu üç kayıt türü birbirinin alternatifi değildir. Güvenlik duvarı (firewall) logu ile bir güvenlik uzmanının günlüğü farklı alanlara temas eder. Araştırmacının görevi hangisinin "doğru" olduğunu seçmek değil; neden farklı olduklarını anlamaktır.

Çelişki Her Zaman Hata Değildir

Teknik kayıt saldırının saat 10.14'te başladığını gösterebilir. Kurum raporu olayın 10.32'de fark edildiğini yazabilir. Bir çalışan ise yıllar sonra "Sabah 10 gibi fark etmiştik" diyebilir.

Bu durum bir çelişki değil, üç farklı zaman dilimidir:

1. Saldırının başladığı zaman
2. Kurumun saldırıyı resmi olarak fark ettiği zaman
3. İnsanın olayı hatırında kalan zaman

Kaynaklar arasındaki fark her zaman çözülmesi gereken bir hata değildir; farkın kendisi olay hakkında bilgi taşır.

Anlatılmayan Şey Ne Demektir?

Bir kişinin anlatısında bir bilginin bulunmaması, o bilginin kastıyla saklandığı anlamına gelmez. Bir detay şu nedenlerle anlatılmamış olabilir:

• Güvenlik veya gizlilik gereksinimleri
• Hukuki kısıtlamalar
• Kurumsal politikalar
• Unutma veya detayları önemsiz görme
• Editoryal tercihler

"Anlatılmadı → Gizlendi" denkleminden kaçınılmalıdır. Eksiklik bir veridir; nedeni ayrıca araştırılmalıdır.

Birinci Şahıs Anlatı "Gerçek" Değildir, Ama Değersiz de Değildir

Bir insanın anlatısı subjektiflik taşır. Araştırmanın konusu insan deneyimiyse, subjektiflik dışarıda bırakılacak bir hata değil, incelenecek temel özelliktir.

Bir güvenlik uzmanının "O anda bunun bu kadar büyük bir saldırı olduğunu bilmiyorduk" demesi teknik gerçeğin yerine geçmez; ancak olay anındaki bilgi ortamını açıklar.

Birinci şahıs anlatıyı "Olayın gerçek hikâyesi" olarak değil, "Anlatıcının olayı deneyimleme ve aktarma biçimi" olarak okumak gerekir.

Siber Olay Hafızası

Olayın zaman içerisindeki temsili farklı katmanlardan oluşur:

Olay → Teknik İzler → Kurumsal Kayıtlar → İnsan Anlatıları → Sonraki Değerlendirmeler → Kurumsal Hafıza

İlk gün yazılan olay notu ile iki yıl sonraki bir konferans sunumu aynı şeyi anlatmayabilir. İkinci anlatı artık olayın kendisiyle birlikte hatırlanmış halini de içerir.

Araştırma Yöntemi

Siber olay araştırmalarında üç farklı veri kümesi oluşturulabilir:

1. Teknik Kayıtlar: Loglar, telemetri, ağ trafiği, EDR kayıtları, adli bilişim verileri.
2. Kurumsal Kayıtlar: Olay raporları, resmi açıklamalar, iş sürekliliği kayıtları, yönetim değerlendirmeleri.
3. Birinci Şahıs Anlatılar: Günlükler, olay notları, bloglar, röportajlar, konferans anlatıları, kişisel değerlendirmeler.

Her belge şu sorularla analiz edilebilir:

• Ne zaman ve kim tarafından üretildi?
• Kimin için üretildi?
• Olayın hangi aşamasında üretildi?
• Anlatıcı o sırada ne biliyordu, sonucu biliyor muydu?
• Editoryal müdahale var mıydı?
• Başka kaynaklarla nerelerde örtüşüyor, nerelerde ayrışıyor?

Böylece siber olay hem teknik hem de anlatısal düzlemde yeniden kurulur.

Literatürdeki Karşılığı

Siber güvenlik ve insan-bilgisayar etkileşimi çalışmalarında birinci şahıs günlükleri ve autoethnographic diary çalışmaları kullanılmaktadır.

Turner, Nurse ve Li'nin çalışması, günlük ve autoethnography yöntemlerini birleştirerek siber güvenlik deneyimini birinci şahıs perspektifinden inceler. Bu çalışma, araştırmacının "uzman" kimliği ile gündelik kullanıcı deneyimi arasındaki farkı görmesini sağlar.

Bu noktada kavramsal bir ayrım gereklidir: Autoethnography ile egodocument aynı şey değildir.

• Autoethnography: Bir araştırma yöntemidir.
• Egodocument: Araştırılabilecek bir kaynak türünü ve bu kaynağa yaklaşım biçimini ifade eder.

Siber olay ben-belgesi yalnızca araştırmacının günlüğü değildir; bir olay müdahale uzmanının notu, bir sistem yöneticisinin anlatısı veya bir yöneticinin yıllar sonraki aktarımı olabilir.

Olay Müdahalesinde Yeni Bir Soru

Olay müdahalesinin standart soruları bellidir: Ne oldu? Nasıl oldu? Nereden geldi? Nasıl durdurduk? Tekrar olmaması için ne yapacağız?

Bu yapıya yeni bir soru eklenmelidir:

"Olay sırasında insanlar ne gördü, ne bildi ve hangi koşullarda karar verdi?"

Bu soru teknik müdahalenin yerini almaz; kurumun olaydan öğrenme kapasitesini geliştirir. Problemin kaynağı her zaman yanlış karar verilmesi değildir:

• Doğru kararı sağlayacak bilgi zamanında ulaşmamış olabilir.
• Prosedür uygulanabilir olmayabilir.
• Farklı ekipler farklı bilgilere sahip olabilir.
• Karar süresi, prosedürün öngördüğünden çok daha kısa olabilir.

Bu dinamikleri yalnızca loglar üzerinden okumak imkânsızdır.

Son Söz

Siber güvenlik; logları, paketleri, alarmları, zaman damgalarını, hash değerlerini ve adli bilişim artefaktlarını okumayı öğretti. Bu araçlar vazgeçilmezdir.

Ancak bir saldırının tamamı bu izlerden ibaret değildir. O saldırıyı fark eden, karar veren, belirsizlik içerisinde hareket eden ve yaşananları aktaran insanlar vardır.

Siber güvenlik araştırmalarında "Saldırgan ne yaptı?" sorusunun yanına şu soruyu yerleştirmek gerekir:

"İnsan ne gördü, ne bildi, neye karar verdi ve yaşananları daha sonra nasıl hatırladı?"

Bir siber olayın izi yalnızca sistemlerde değil, insanların hafızasında da kalır. En zengin veri alanı belki de burasıdır.

Kaynaklar ve İleri Okuma

• Kleinreesink, E. (2014). "Researching 'The most dangerous of all sources': Egodocuments." In Routledge Handbook of Research Methods in Military Studies. Routledge.
• Microsoft Security Research Team (2017). "WannaCrypt ransomware worm targets out-of-date systems."
• National Audit Office (2017). Investigation: WannaCry cyber attack and the NHS.
• Nelson, A., Rekhi, S., Souppaya, M., & Scarfone, K. (2025). Incident Response Recommendations and Considerations for Cybersecurity Risk Management. NIST SP 800–61 Rev. 3.
• Turner, S., Nurse, J. R. C., & Li, S. (2022). "It was hard to find the words": Using an Autoethnographic Diary Study to Understand the Difficulties of Smart Home Cyber Security Practices. Proceedings of the ACM CHI Conference on Human Factors in Computing Systems.
• NHS England. WannaCry attack — case study.

Not: Bu yazı, egodocument yaklaşımının siber güvenlik araştırmalarına uyarlanmasına ilişkin kavramsal bir öneridir. WannaCry bölümü, yaklaşımın nasıl uygulanabileceğini göstermek amacıyla kullanılan örnek bir vakadır; olayın bütün aktörlerinin deneyimlerini temsil ettiği iddiasında değildir.

Selçuk Yekeler