SiberKapan Türkiye Siber Tehdit Raporu — Sayı 1 SiberKapan Turkey Cyber Threat Report — Issue 1

SiberKapan, 2023'te Türkiye-içi honeypot tabanlı bir feed olarak başladı; 2026'da sıfırdan yeniden inşa edilen v2 ile uluslararası MISP tehdit istihbaratı ağına resmi feed olarak kabul edildi. Artık dünyadaki güvenlik ekiplerinin tek tıkla entegre edebileceği, küresel ölçekte tanınmış bir kaynak. SiberKapan began in 2023 as a Turkey-local honeypot-based feed; with the v2 rebuild in 2026, it was officially accepted into the international MISP threat intelligence network. It is now a globally recognized source that security teams worldwide can integrate with a single click.

Bu rapor, SiberKapan'ın honeypot, FortiGate Security Fabric entegrasyonu, fail2ban ve nginx imza motorundan topladığı verilere dayanarak Türkiye merkezli tehdit görünümünü ortaya koymayı amaçlamaktadır. This report aims to present a Turkey-centric threat landscape based on data collected from SiberKapan's honeypot, FortiGate Security Fabric integration, fail2ban, and nginx signature engine.

Raporlama döneminde SiberKapan, 28.896 benzersiz tehdit IP adresi tespit etti. Coğrafi dağılımda Çin (%43,0) ve Türkiye (%23,4) ilk iki sırada yer aldı, bunları ABD (%5,3), Hindistan (%4,0) ve Hollanda (%2,9) takip etti. During the reporting period, SiberKapan detected 28,896 unique threat IP addresses. Geographically, China (43.0%) and Turkey (23.4%) ranked first and second, followed by the US (5.3%), India (4.0%), and the Netherlands (2.9%).

Üçüncü taraf feed'lerden ödünç alınmış bir liste değil — bu bölümdeki her satır, SiberKapan'ın kendi honeypot'larına, fail2ban entegrasyonuna ve nginx imza motoruna gerçek zamanlı çarpan trafikten geliyor. Not a list borrowed from third-party feeds — every line in this section comes from traffic hitting SiberKapan's own honeypots, fail2ban integration, and nginx signature engine in real time.

Haziran ayı içindeki bu ~20 günlük pencerede, organik sensörler toplam 11.757 kayıt ve 1.563 benzersiz IP yakaladı. Listenin başını, hiç şaşırtmayan bir klasik çekiyor: SSH brute-force (7.606 kayıt / 303 IP), internetin en eski, en sabırlı ziyaretçisi, hâlâ kapıyı çalıyor. Onu Telnet (2.152 kayıt / 471 IP) takip ediyor. Devamında Fail2ban (1.470 kayıt / 515 IP), HTTP kabakuvvet (254 kayıt / 152 IP), RDP saldırıları (168 kayıt / 96 IP) ve en yeni tehdit istihbarat aktörümüz olan Nginx access log paternlerinden çıkardığımız olaylar (52 kayıt / 38 IP) takip ediyor. In this ~20-day window in June, organic sensors captured a total of 11,757 records and 1,563 unique IPs. Topping the list is an unsurprising classic: SSH brute-force (7,606 records / 303 IPs) — the internet's oldest, most patient visitor, still knocking on the door. Telnet follows (2,152 records / 471 IPs). Then Fail2ban blocks (1,470 records / 515 IPs), HTTP brute-force (254 records / 152 IPs), RDP attacks (168 records / 96 IPs), and events derived from our newest detection vector, Nginx access log patterns (52 records / 38 IPs).

Bir tehdit istihbaratı platformunun asıl sınavı, bilineni tekrar etmek değil, henüz kimsenin bilmediğini ilk gören olmaktır. The real test of a threat intelligence platform is not repeating the known — it's being the first to see what no one else has yet.

Bu dönemde AbuseIPDB ile karşılaştırılan 10.867 IP'nin %45,3'ü (4.926 IP), SiberKapan tarafından tespit edildiği anda AbuseIPDB'de hiçbir rapor kaydına sahip değildi. Sıfır rapor, sıfır confidence skoru. Başka bir deyişle, bu IP'ler dünyanın en büyük topluluk tabanlı tehdit veritabanında henüz tanınmamışken, SiberKapan onları zaten yakalamıştı. Of the 10,867 IPs compared with AbuseIPDB during this period, 45.3% (4,926 IPs) had zero report record on AbuseIPDB at the moment SiberKapan detected them. Zero reports, zero confidence score. In other words, while these IPs were not yet recognized in the world's largest community-based threat database, SiberKapan had already caught them.

Bu, şans eseri bir rakam değil; SiberKapan'ın honeypot öncelikli mimarisinin doğal bir sonucu — saldırgan, büyük feed'lere rapor edilmeden önce küçük, sabırlı bir tuzağa düşüyor. This is not a coincidental figure — it's a natural result of SiberKapan's honeypot-first architecture: the attacker falls into a small, patient trap before ever being reported to the large feeds.

Bu raporda gözlenen saldırı kalıplarına karşı önerilen, kısa ve uygulanabilir savunma adımları: Short, actionable defense steps recommended against the attack patterns observed in this report:

• SSH / Telnet: Standart portların değiştirilmesi, Telnet'in tamamen devre dışı bırakılması ve brute-force korumasının firewall/SIEM seviyesinde aktif edilmesi önerilir.SSH / Telnet: Changing standard ports, fully disabling Telnet, and enabling brute-force protection at the firewall/SIEM level is recommended.
• FortiGate / SIEM Entegrasyonu: SiberKapan MISP feed'inin External Connector olarak bağlanması, bilinen kötü niyetli IP'lerin gerçek zamanlı engellenmesini sağlar.FortiGate / SIEM Integration: Connecting the SiberKapan MISP feed as an External Connector enables real-time blocking of known malicious IPs.
• Web Uygulama Güvenlik Duvarı (WAF): Nginx imza tespitlerinde görülen User-Agent ve path bazlı kalıplara karşı katı WAF kurallarının devreye alınması önerilir.Web Application Firewall (WAF): Enabling strict WAF rules against the User-Agent and path-based patterns observed in nginx signature detections is recommended.
• VPS/Hosting Sağlayıcıları: Anormal çıkış trafiği gösteren sunucu kiralamalarının (özellikle kısa süreli, yüksek hacimli) izlenmesi, olası kötüye kullanımın erken tespitine yardımcı olabilir.VPS/Hosting Providers: Monitoring server rentals showing abnormal egress traffic (especially short-term, high-volume) can help with early detection of potential abuse.