Kazanimlar:
- Bir şüpheli e-postayı üç katmanda (içerik/sosyal mühendislik, URL/ek yapısı, başlıklar ve SPF/DKIM/DMARC) yapay zeka desteğiyle çözümleyebilme
- Şüpheli bağlantıları canlı sistemde tıklamadan analiz etme ve yapay zekanın 'phishing/güvenli' kararını başlık, alan itibarı ve bağlamla doğrulama disiplinini uygulayabilme
- Yapay zekanın kurum bağlamını bilmediğini ve meşru e-postayı phishing sanabileceğini (yanlış pozitif) fark edip engelleme kararını analist olarak verebilme
Saldırıların büyük kısmı bir teknik açıktan değil, bir insanı kandırmaktan başlar. Phishing (oltalama), kurbanı sahte bir e-posta, mesaj ya da web sitesiyle kandırıp parola, kart bilgisi ya da tıklama elde etmeye çalışan sosyal mühendislik saldırısıdır. Bir çalışanın "kargonuz teslim edilemedi, buraya tıklayın" ya da "genel müdür acil havale istiyor" mesajına kanması, en gelişmiş güvenlik duvarını bile bypass eder. Bu yüzden şüpheli e-postaları hızlı ve doğru analiz etmek bir güvenlik ekibinin günlük ekmeğidir.
Yapay zeka phishing analizinde çok güçlüdür çünkü phishing özünde bir dil ve örüntü problemidir. YZ bir e-postanın tonunu, aciliyet baskısını, dilbilgisel tuhaflıklarını, sahte marka taklidini ve şüpheli bağlantı yapısını saniyeler içinde çözümleyebilir; bir URL'nin neden aldatıcı olduğunu açıklayabilir; e-posta başlıklarındaki (header) tutarsızlıkları işaretleyebilir. Ama YZ bir bağlantının gerçekten zararlı olduğunu tıklayarak doğrulayamaz (ve doğrulamamalıdır) ve bir e-postanın kurumsal bağlamda gerçekten sahte olduğuna dair son kararı veremez. YZ phishing'i analiz eder ve şüpheyi gerekçelendirir; "bu phishing'dir, engelle/sil" kararını ve kullanıcıya bildirimi analist verir.
Bir phishing e-postasında nelere bakılır
Bir şüpheli e-postayı incelerken üç katmana bakılır ve YZ her katmanda yardımcı olur:
- İçerik ve sosyal mühendislik. Aciliyet baskısı ("hemen", "hesabınız kapanacak"), otorite taklidi ("genel müdür", "IT departmanı"), korku/ödül, dilbilgisi hataları, kişiselleştirme eksikliği. YZ tonu ve ikna tekniklerini iyi çözer.
- Teknik göstergeler — bağlantı ve ek. Görünen metinle gerçek URL'nin farklı olması, benzer harflerle taklit alan adı (typosquatting; örn. paypa1.com), URL kısaltma, şüpheli dosya ekleri (.html, .iso, makro içeren Office dosyaları). YZ URL yapısını analiz eder.
- E-posta başlıkları (header). Gönderenin gerçek alan adı, SPF/DKIM/DMARC doğrulama sonuçları (e-postanın gerçekten iddia ettiği alandan geldiğini kanıtlayan üç kimlik doğrulama mekanizması), sunucu yolu tutarsızlıkları. YZ başlıkları özetleyip tutarsızlığı işaretler.
Önemli bir güvenlik kuralı: Şüpheli bağlantıları asla canlı sistemde tıklamayın. URL analizi metin üzerinden, gerekirse izole (sandbox) bir ortamda yapılır. YZ'ye bir URL'yi analiz ettirmek onu "ziyaret etmek" değildir; ama YZ'nin de o siteye erişip erişemeyeceğini varsaymayın — analiz yapıya ve bilinen tehdit istihbaratına dayanır.
Phishing gösterge tablosu
Katman
Şüphe işareti
YZ'nin katkısı
Sınır
İçerik
Aciliyet, otorite, korku baskısı
Ton ve ikna tekniği analizi
Bağlamı bilmez
Gönderen
Alan adı taklidi, tutarsız isim
Benzerlik/typosquat tespiti
Kurumu tanımaz
URL
Görünen ≠ gerçek, taklit alan
Yapı çözümleme, açıklama
Tıklayıp teyit edemez
Ek
Tehlikeli uzantı, makro
Uzantı/tür risk değerlendirmesi
Dosyayı çalıştıramaz
Başlık
SPF/DKIM/DMARC başarısız
Başlık özeti, tutarsızlık
Sonucu doğrulatın
Bağlam
Beklenmeyen istek
Sorular üretir
Karar analistte
Üç mini vaka
Vaka 1 — 30 saniyede teşhis. Bir kullanıcı "bankanızdan: hesabınız donduruldu, doğrulayın" e-postasını şüpheli bulup güvenlik ekibine iletir. Analist e-postayı (kişisel veriyi maskeleyerek) YZ'ye verir. YZ 30 saniyede özetler: gönderen alan adı guvenli-banka-tr.info (bankanın gerçek alanı değil), URL görünürde banka ama gerçek hedef farklı bir alan, DKIM doğrulaması başarısız, dil aciliyet baskısı kuruyor. Analist bu göstergeleri başlıkta ve URL'de kendisi teyit eder, e-postayı phishing ilan eder ve tüm kuruma engelleme uygular. YZ analizi hızlandırdı; kararı analist verdi.
Vaka 2 — Meşru e-postayı phishing sanmak (yanlış pozitif). YZ, bir e-postayı "şüpheli, muhtemelen phishing: dış alan adından geliyor ve bir bağlantı içeriyor" diye işaretler. Analist bağlamı kontrol eder: e-posta kurumun gerçek İK yazılımı sağlayıcısından gelmektedir, SPF/DKIM/DMARC'ın üçü de geçerlidir ve bu sağlayıcı yıllardır kullanılmaktadır. YZ bağlamı bilmediği için meşru bir e-postayı işaretlemiştir. Analist yanlış pozitifi düzeltir. Ders: YZ'nin "phishing" işareti bir hipotezdir; başlık doğrulaması ve kurum bağlamı olmadan karara dönüşmez.
Vaka 3 — Uydurma "güvenli" kararı. Bir analist YZ'ye bir URL verir ve "bu güvenli mi?" diye sorar. YZ "evet, bu bilinen ve güvenli bir alan adıdır" der. Ama YZ o siteye gerçekten bakmamıştır; alan adı yeni kaydedilmiş, hiç itibarı olmayan bir typosquat'tır ve model güven vermeyi "faydalı" sandığı için olumlu cevap üretmiştir. Analist alan adının kayıt tarihini ve itibar servislerini kendisi kontrol eder, tehlikeyi görür. Ders: YZ'nin "güvenli" demesi bir kanıt değildir; alan adı yaşı, itibar ve başlık verisiyle teyit edilir.
Zayıf prompt / Güçlü prompt
Zayıf prompt:
Bu e-posta phishing mi, evet/hayır söyle: [e-posta]
Bu istem YZ'den doğrudan bir karar (evet/hayır) istiyor, gerekçe ve kanıt istemiyor, yanlış pozitif ihtimalini sorgulamıyor. YZ'nin tek kelimelik cevabı yanıltıcı olabilir ve kişisel veri maskesiz gitmiş olabilir.
Güçlü prompt:
Rolün: SOC analistine phishing analiz TASLAĞI hazırlayan asistan. Kararverme; "phishing'dir, silin" deme. Şu anonimleştirilmiş e-postayı üçkatmanda çözümle: (1) içerik/sosyal mühendislik işaretleri (aciliyet,otorite, korku, dil), (2) URL yapısı — görünen ile gerçek hedef farkı,typosquat, taklit; ama hiçbir bağlantıyı ziyaret ettiğini varsayma,(3) başlıklardan SPF/DKIM/DMARC ve gönderen tutarsızlığı — sonucu"[başlıkta teyit et]" diye işaretle. Her işaret için ne kadar güçlü kanıtolduğunu belirt; en az 2 masum (yanlış pozitif) açıklama da yaz. Uydurmaalan itibarı/karar üretme. E-posta: [anonim yapıştır]
Güçlü istem üç katmanı ayırır, kanıt gücünü sorgular, yanlış pozitifi zorunlu kılar, tıklama ve uydurma varsayımını yasaklar.
Kopyalanabilir prompt şablonları
E-POSTA İÇERİK ANALİZ ŞABLONUŞu anonim e-postanın metnini sosyal mühendislik açısından çözümle:aciliyet baskısı, otorite/marka taklidi, korku/ödül, kişiselleştirmeeksikliği, dil/ton tuhaflıkları. Her işareti alıntıyla göster. Karar verme;yalnızca işaretleri ve güç derecesini listele. E-posta: [yapıştır]
URL ANALİZ ŞABLONU (tıklamadan)Şu URL'yi YAPI olarak çözümle (ziyaret etme, ettiğini varsayma):görünen metin ile gerçek hedef alan farkı, typosquat/harf taklidi,alt alan aldatması, kısaltma, şüpheli parametre. Alan adının itibarınıUYDURMA; "itibar/kayıt tarihi ayrıca kontrol edilmeli" diye işaretle.URL: [yapıştır]
BAŞLIK İNCELEME ŞABLONUŞu e-posta başlıklarını özetle: gerçek gönderen alan adı, Return-Path,SPF/DKIM/DMARC sonuçları, sunucu yolu (Received) tutarsızlıkları,görünen isim ile gerçek adres farkı. Her sonucu "[ham başlıkta teyit et]"işaretiyle ver; uydurma. Başlıklar: [yapıştır]
KULLANICI UYARISI TASLAK ŞABLONUDoğrulanmış bir phishing için, çalışanlara gönderilecek kısa, sakin,suçlamayan bir uyarı metni TASLAĞI yaz: ne yapmalı (tıklamayın, iletin,silin), neden, kime bildirsin. Panik dili kullanma. Bu taslak analistonayından geçer. Olay özeti: [yapıştır]
Sık yapılan hatalar
- Şüpheli bağlantıyı canlı tıklamak. Analiz metin ve izole ortam üzerinden yapılır; canlı tıklama sizi de kurban edebilir.
- YZ'nin evet/hayır kararına güvenmek. "Phishing/güvenli" tek kelimesi kanıt değildir; başlık, URL yapısı ve alan itibarıyla teyit edin.
- Kurum bağlamını atlamak (yanlış pozitif). Meşru sağlayıcılar da dış alandan e-posta yollar; SPF/DKIM/DMARC ve geçmiş kullanım bağlamına bakın.
- Kişisel/hassas veriyi maskesiz vermek. E-postadaki isim, adres, kart/parola bilgisini analiz öncesi maskeleyin.
- Uydurma alan itibarını doğru sanmak. YZ bir alanın "güvenli/bilinen" olduğunu uydurabilir; kayıt tarihi ve itibar servisleriyle teyit edin.
İpucu: Phishing analizinde en güçlü tek gösterge çoğu zaman başlıktır: SPF/DKIM/DMARC üçü birden başarısızsa ve gönderen alanı taklit ise şüphe çok güçlenir. Ama bunu YZ'nin özetinden değil, ham başlıktan teyit edin.
Dikkat: Bir e-postayı "phishing" ilan edip tüm kurumda engellemek meşru bir iş e-postasını da kesebilir. YZ'nin analizi bir gerekçedir; engelleme ve kullanıcı bildirimi kararı, başlık ve bağlam doğrulamasından sonra analiste aittir.
Özetle
Phishing, tekniği değil insanı hedef alır ve özünde bir dil ile örüntü problemidir; bu yüzden YZ analizinde çok güçlüdür. Bir şüpheli e-posta üç katmanda incelenir: içerik/sosyal mühendislik, URL/ek yapısı ve e-posta başlıkları (SPF/DKIM/DMARC). YZ her katmanda hızlı gerekçe üretir ama şüpheli bağlantıyı tıklayarak doğrulayamaz, kurum bağlamını bilmez ve "güvenli/phishing" kararını uydurabilir. Bu yüzden YZ analizi bir hipotezdir: başlık doğrulaması, alan itibarı ve kurum bağlamıyla teyit edilir, ardından engelleme ve kullanıcı bildirimi kararı analist tarafından verilir. İki kural değişmez: şüpheli bağlantıyı canlı tıklama, hassas veriyi maskesiz paylaşma.
Uygulama görevi
Bir örnek şüpheli e-posta alın (kendi karantinanızdan anonimleştirerek ya da bir örnek). "İçerik", "URL" ve "Başlık" şablonlarıyla üç katmanı ayrı ayrı YZ'ye çözümletin. Her katmanda YZ'nin işaretlediği en güçlü göstergeyi ham veride (özellikle başlıkta SPF/DKIM/DMARC'ı) kendiniz doğrulayın ve en az bir yanlış pozitif açıklama düşünün. Son olarak karar verin: bu phishing mi, değil mi, ve neden — kararınızı hangi kanıta dayandırdığınızı yazın.
Kontrol listesi
- [ ] E-postayı analiz öncesi anonimleştirdim; kişisel/hassas veri maskelendi.
- [ ] Üç katmanı (içerik, URL/ek, başlık) ayrı ayrı inceledim.
- [ ] Hiçbir şüpheli bağlantıyı canlı tıklamadım; URL'yi yapı olarak çözümledim.
- [ ] SPF/DKIM/DMARC sonucunu ham başlıkta doğruladım.
- [ ] YZ'nin "phishing/güvenli" kararını kanıtla teyit ettim, körlemesine güvenmedim.
- [ ] En az bir yanlış pozitif (masum) açıklamayı değerlendirdim.
- [ ] Engelleme ve kullanıcı bildirimi kararını analist olarak ben verdim.