Siber Güvenlik Siber Güvenlik Sözlüğü Siber Tehditler

APT nedir? Gelişmiş Kalıcı Tehdit, MITRE ATT&CK haritası ve Türkiye bağlamı

Kısa cevap: APT (Advanced Persistent
Threat / Gelişmiş Kalıcı Tehdit); belirli bir kurumu, sektörü ya da ülkeyi
hedef alan, uzun süreli erişim ve gizlilik arayan, arkasında güçlü bir
kaynak (çoğunlukla devlet destekli) olduğu değerlendirilen tehdit
aktörlerini tanımlar. Sıradan fırsatçı saldırılardan farkı hedefin özel
olarak seçilmesi, saldırının aylara hatta yıllara yayılması ve bir erişim
yolu kapatılsa bile başka yollarla varlığın sürdürülmeye çalışılmasıdır.
Kavramın referans çerçevesi MITRE ATT&CK; kurumsal savunmada
merkezî öneme sahiptir.

APT nedir?

APT, İngilizcede Advanced Persistent Threat ifadesinin
kısaltmasıdır; Türkçeye Gelişmiş Kalıcı Tehdit olarak çevrilir.
Kavram, tek bir zararlı yazılım ya da bir güvenlik açığından çok, bir
saldırgan grubunun karakterini tanımlar: hedefe özel araç geliştirebilen,
uzun süreli operasyon planlayabilen, tespit edildiğinde yeniden yollar
bulan ve genellikle bir devletin arkasında olduğu değerlendirilen
grupları.

APT, dar teknik anlamda bir saldırı türü değil, saldırgan profili
tanımıdır. Aynı grup birden fazla saldırıda birden fazla tekniği bir
arada kullanır; bir kurum ele geçirilse bile hedef, o kurumun kendisi
değil de ondan sıçranarak ulaşılacak başka bir kurum olabilir.

Kavramın kökeni

APT terimi 2000’li yılların ortasında ABD Hava Kuvvetleri “Mandiant
APT1” raporundan çok önce, ABD savunma sanayii tedarik zincirini hedef
alan Çin bağlantılı saldırıları tanımlamak üzere savunma çevrelerinde
kullanılmaya başlandı. 2013 yılında Mandiant’ın yayımladığı APT1 raporu,
Çin Halk Kurtuluş Ordusu’na bağlı bir birime atfettiği geniş çaplı
operasyonu belgelediğinde kavram sivil siber güvenlik gündemine
taşındı.

O tarihten sonra APT etiketi sadece Çin kaynaklı gruplar için değil;
Rusya, İran, Kuzey Kore ve son yıllarda çeşitli diğer devletlerle
ilişkilendirilen grupları da kapsayan geniş bir terim hâline geldi.

Advanced, Persistent, Threat

Bileşen	Ne anlama gelir?
Advanced (Gelişmiş)	Kamuya açık araçların yanı sıra grup için özel geliştirilmiş zararlı yazılım, sıfırıncı gün açıkları, yerleşik sistem araçlarını kötüye kullanma (Living-off-the-Land) becerisi.
Persistent (Kalıcı)	Ağa girdikten sonra tek bir gösterge yakalansa bile yedek erişim yolları, ek arka kapılar ve farklı kimliklerle varlığını sürdürme; operasyonu aylara yıllara yayabilme.
Threat (Tehdit)	Arkasında planlı, kaynağı güçlü, hedefli bir aktör bulunması; rastgele değil belirli bir kurum, sektör ya da ülkeyi hedef alması.

APT ile diğer saldırı türleri farkı

Kriter	APT	Fırsatçı zararlı	Fidye yazılımı çetesi
Motivasyon	İstihbarat, sabotaj, stratejik hedefler	Yaygın enfeksiyon, botnet	Finansal (fidye)
Hedef seçimi	Özel; kurum/sektör/ülke	Rastgele; kim yakalanırsa	Seçici; en fazla ödemeye zorlayabilecek kurumlar
Zaman ölçeği	Aylar / yıllar	Saatler / günler	Günler / haftalar
Tespit direnci	Yüksek; sürekli değişen TTP	Düşük; imza tabanlı yakalanır	Orta; artık nation-state kabiliyetine yaklaşır
Kaynak	Devlet destekli değerlendirilen gruplar	Bireysel/küçük gruplar	Suç ekonomisi (RaaS)

Bir APT saldırısı nasıl işler?

APT saldırıları belirli bir yaşam döngüsünü izler. Lockheed Martin’in
Cyber Kill Chain modeli bu döngüyü yedi aşamada tanımlar; MITRE
ATT&CK ise aynı davranışları daha ayrıntılı Taktik/Teknik matrisine
yayar.

Keşif: Hedef kurum ve çalışanlar hakkında açık kaynak
istihbaratı (OSINT), altyapı taraması, sosyal medya analizi.
Silahlandırma: Belirli açığa yönelik yük hazırlanması, oltalama
maillerine bağlanacak dosya ya da bağlantının üretilmesi.
Teslim: Oltalama e-postası, hedefli mesaj, tedarikçi üzerinden
sızma, halka açık uygulamadaki zafiyetten yararlanma.
İstismar: Hedef sistemde kod çalıştırma; sıfırıncı gün, geç
yamalanmış zafiyet ya da yanlış yapılandırma.
Yükleme: İlk arka kapı ve kalıcılık mekanizmaları; genellikle
yerleşik sistem araçlarıyla iz bırakmayacak yollar.
Komuta ve kontrol (C2): Saldırganın uzaktan komut gönderdiği
kanal; DNS, HTTPS ya da bulut hizmetlerinin arkasına gizlenebilir.
Amaca ulaşma: Kimlik toplama, yanal hareket, hassas verinin
sızdırılması, sabotaj veya kalıcı erişimin sürdürülmesi.

MITRE ATT&CK ile APT analizi

MITRE ATT&CK
gerçek saldırgan davranışlarını gözlemlenmiş Taktik (Tactics), Teknik
(Techniques) ve Prosedür (Procedures) hiyerarşisinde katalogladığı için
APT analizinin merkezî çerçevesidir. Her tekniğe bir kod verilir; bilinen
APT grupları bu tekniklerle ilişkilendirilir. Örnek eşleşmeler:

ATT&CK tekniği	Anlamı	APT bağlamı
T1566 Phishing	Oltalama e-postasıyla giriş.	Birçok grubun ilk giriş yöntemi.
T1078 Valid Accounts	Geçerli kimlik bilgileriyle oturum.	Kimlik hırsızlığı sonrası kalıcılık.
T1059 Command and Scripting Interpreter	PowerShell, cmd, bash betikleri.	Living-off-the-Land davranışı.
T1071 Application Layer Protocol	Meşru trafiğe gömülü komuta ve kontrol.	Tespit kaçırma için sık kullanılır.
T1486 Data Encrypted for Impact	Verinin şifrelenmesi.	Fidye yazılımı ya da yıkıcı APT operasyonu.
T1041 Exfiltration Over C2	Verinin komuta kanalı üzerinden dışarı çıkarılması.	Casusluk operasyonu ana amacı.

Kurumlar kendi savunma kontrollerini bu matrise haritalayarak
“hangi tekniği görebiliyorum, hangisini durdurabiliyorum” sorularını
somut biçimde yanıtlayabilir. ATT&CK, aynı zamanda kırmızı ekim
(Red Team) senaryolarının ve tehdit avı (threat hunting) hipotezlerinin
ortak diline dönüşmüştür.

APT grupları neden farklı adlarla anılır?

APT gruplarının evrensel bir isim sistemi yoktur; her güvenlik
sağlayıcısı kendi adlandırmasını kullanır:

Mandiant: APT1, APT28, APT29, APT41 gibi numaralar.
CrowdStrike: Ülkeye göre hayvan kodları — Bear (Rusya),
Panda (Çin), Kitten (İran), Chollima (Kuzey Kore).
Microsoft: Hava/element temaları — Sandstorm (İran),
Blizzard (Rusya), Typhoon (Çin), Sleet (Kuzey Kore).
Google TAG: Charming Kitten, Cold River gibi kod adları.
ESET / Kaspersky / Symantec: Kendi kod adları
(Turla, Sofacy, Equation vb.).

Aynı grup farklı raporlarda farklı isimlerle geçebilir; MITRE
ATT&CK Groups katalogu bu adlandırmaları birleştirir. Ayrıca “APT
X ile aynıdır” iddiaları ihtiyatla ele alınmalıdır; atıf (attribution)
her zaman kesin değildir ve tek bir vendorun raporuna dayanır.

Öne çıkan APT grupları

Kamuoyuna açık raporlarda en sık atıf yapılan APT gruplarından bazıları:

Grup	Bağlantı (iddia)	Öne çıkan operasyon
APT1 / Comment Crew	Çin, PLA Unit 61398 iddiası	Mandiant 2013 raporu; ABD savunma tedarik zinciri.
APT28 / Fancy Bear / Sofacy	Rusya askerî istihbaratı iddiası	Batı hükümetleri, medya, spor kurumları hedefli operasyonlar.
APT29 / Cozy Bear / Midnight Blizzard	Rusya dış istihbaratı iddiası	SolarWinds tedarik zinciri saldırısı, uzun süreli casusluk.
Lazarus / Chollima	Kuzey Kore iddiası	Finansal hedefler, kripto para hırsızlıkları, tedarik zinciri operasyonları.
APT41 / Winnti	Çin iddiası	Hem devlet casusluğu hem finansal motive olduğu değerlendirilen çift kimlikli grup.
MuddyWater / Mango Sandstorm	İran iddiası	Orta Doğu kamu ve telekom hedefli operasyonlar; Türkiye de raporlarda adı geçen ülkeler arasında.
Sandworm	Rusya iddiası	Ukrayna enerji altyapısına dönük yıkıcı operasyonlar; NotPetya bağlantısı.

Not: Bu tabloda listelenen atıflar, kamuya açık güvenlik
raporlarının değerlendirmelerini yansıtır; bağımsız kesin ispat değildir.
Ülke atıflarını her zaman “iddia edilmektedir” çerçevesinde okumak
gerekir.

Türkiye ve APT tehdidi

Türkiye, coğrafyası ve savunma sanayii ile uluslararası tehdit
istihbaratı raporlarında APT hedefleri arasında düzenli olarak yer alır.
Öne çıkan sektörler:

Savunma sanayii ve tedarik zinciri;
Enerji ve boru hattı altyapısı;
Telekomünikasyon;
Finans;
Kamu ve dış politika ile ilgili kurumlar.

Türkiye ile ilgili raporlarda adı en sık geçen APT etiketleri arasında
MuddyWater, Bahamut, StrongPity ve StormBamboo bulunur; ancak bunların
bir kısmı Türkiye’yi kaynağı yerine hedefi olarak gösterir, bir kısmı
yalnızca bölgesel operasyonlar içinde Türkiye’yi listeler. Bu ayrımı
raporun kendi metnini okumadan yapmak sağlıklı değildir.

Siber Güvenlik Başkanlığı bünyesindeki USOM, kritik altyapı
işletmecilerine ve kamu kurumlarına yönelik uyarı bültenleri yayımlar;
sektörel SOME’ler ise kurum içi ilk müdahaleyi üstlenir. TÜBİTAK BİLGEM
bünyesinde tehdit istihbaratı ve zararlı yazılım analizi ekipleri
çalışmaktadır.

Türkiye’de mevzuat çerçevesi

7545
sayılı Siber Güvenlik Kanunu ile Siber Güvenlik Başkanlığı, kritik
altyapı işletmecileri ve kamu kurumları için siber olay bildirim
yükümlülüğü, denetim ve idari yaptırım çerçevesini tanımlamıştır. Bir
APT operasyonunun tespit edilmesi durumunda kurumların Başkanlığa
bildirimde bulunma yükümlülüğü doğar; süre ve içerik yönetmelik ve tebliğ
düzeyinde belirlenmektedir. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin
Bilgi ve İletişim Güvenliği Rehberi (BİGR); en az ayrıcalık ilkesi,
merkezî log yönetimi, ağ segmentasyonu ve olay müdahale kabiliyeti gibi
APT’ye karşı temel savunma pratiklerini kamu kurumları için zorunlu
kılmaktadır.

APT’ye karşı savunma katmanları

Kimlik omurgası: Merkezî kimlik yönetimi ve çok faktörlü kimlik
doğrulama tüm kullanıcı ve yönetici hesapları için zorunlu.
Ayrıcalıklı erişim yönetimi: Yönetici hesapları için PAM,
oturum kaydı, geçici yetkilendirme.
Uç noktada tespit ve müdahale:
EDR ve
XDR ile davranışsal
tespit; imza tabanlı antivirüsün ötesine geçmek.
Ağ segmentasyonu: Yanal hareketi kısıtlayan mikrosegmentasyon;
kritik iş yükleri ayrı segmentlerde.
Merkezî log ve SIEM: Kullanıcı, ağ, uygulama ve bulut
kayıtlarının bir yerde toplanması; olay korelasyonu.
Tehdit avcılığı: Uyarı beklemeden hipotez tabanlı arama; ATT&CK
matrisi rehber olarak kullanılır.
Zafiyet ve yama yönetimi: Halka açık uygulamalarda kritik
yamaların hızlı uygulanması; CISA KEV takibi.
Tedarik zinciri: Yazılım tedarikçilerinin, MSP’lerin ve
üçüncü taraf entegrasyonların risk değerlendirmesi.
Olay müdahale planı ve tatbikat: Rol ve iletişim akışının
yazılı ve tatbikatla test edilmiş olması.
Yedekleme ve kurtarma: Çevrimdışı yedek ve kurtarma
tatbikatı; APT’nin yıkıcı bileşene evrilmesi ihtimaline karşı.

Sık yapılan hatalar

Tek ürüne güvenmek: “Antivirüs / EDR aldık, APT bize gelemez”
yaklaşımı gerçekçi değildir; APT tanımı gereği ürünün etrafından
dolaşmaya çalışır.
Kimliği ihmal etmek: APT’nin yaygın giriş yolu geçerli
kimliktir; MFA’sız hesap kalması en büyük eksikliktir.
Log toplamamak: Olay yaşandıktan sonra “geriye dönük ne
oldu?” sorusunu yanıtlamanın tek yolu log’lardır; toplanmıyorsa
kayıptır.
Atıfa erken atlamak: “Bize X ülkesi saldırdı” iddiaları,
kapsamlı bir olay müdahale sürecinden geçmeden dile getirildiğinde
politik iletişim hatasına dönüşür.
Tedarik zincirini görmemek: Doğrudan hedeflenmediği hâlde
tedarikçisi üzerinden ele geçirilen kurum sayısı artmaktadır.
Tatbikat yapmamak: Olay müdahale planı, üzerinde tatbikat
yapılmadığı sürece belge dolabındaki bir dosyadır.

Sıkça sorulan sorular

APT nedir?

APT (Advanced Persistent Threat / Gelişmiş Kalıcı Tehdit), belirli bir hedefe uzun süreli erişim sağlamak amacıyla planlı, kaynağı güçlü ve genellikle bir devletin arkasında olduğu değerlendirilen tehdit aktörlerini tanımlar. Sıradan fırsatçı saldırılardan farkı; hedefin özel olarak seçilmesi, sabırla ve düşük gürültüyle çalışılması, bir kere yakalansa bile başka yollarla erişimin sürdürülmeye çalışılmasıdır.

APT ile fidye yazılımı çetesi arasındaki fark nedir?

APT gruplarının önceliği genellikle istihbarat toplama, uzun süreli erişim ve stratejik hedeflerdir; hızlı gelir odaklı değildir. Fidye yazılımı çeteleri ise finansal motivasyonla çalışır ve olabildiğince geniş sızıntıyı hızlı paraya çevirmeyi hedefler. Son yıllarda bu iki dünya kısmen iç içe geçmiştir; bazı APT gruplarının fon yaratmak için fidye yazılımı kullandığı, bazı fidye çetelerinin de nation-state kabiliyetine yaklaşan araçlar geliştirdiği raporlanmıştır.

APT grupları nasıl adlandırılır?

APT grupları evrensel bir isim sistemine sahip değildir. Her güvenlik sağlayıcısı kendi adlandırmasını kullanır: Mandiant “APT“, CrowdStrike hayvan (Bear, Panda, Kitten), Microsoft hava/element (Sandstorm, Blizzard), Google TAG kod adları verir. Bu nedenle aynı grup farklı raporlarda farklı isimlerle geçebilir; MITRE ATT&CK, gruplar için birleştirilmiş bir katalog tutar.

Türkiye APT saldırılarının hedefi mi?

Türkiye kamu kurumları, savunma sanayii, enerji, telekom ve finans sektörü uluslararası tehdit istihbaratı raporlarında APT saldırılarının hedefleri arasında düzenli olarak sayılır. Siber Güvenlik Başkanlığı, USOM üzerinden kritik altyapı işletmecilerine uyarı bültenleri yayımlamaktadır. Kurumların bireysel olayları ise 7545 sayılı Siber Güvenlik Kanunu çerçevesinde bildirim yükümlülüğüne tabidir.

APT saldırısına karşı nasıl korunulur?

APT saldırısı tek bir üründen değil, katmanlı bir savunma mimarisinden geçilerek engellenebilir: güçlü kimlik yönetimi ve çok faktörlü doğrulama, uç noktalarda EDR/XDR, ağ segmentasyonu, internet çıkışında proxy ve DNS filtreleme, merkezi log yönetimi (SIEM), düzenli tatbikat ve tehdit avcılığı (threat hunting) programı, olay müdahale planı ve dış tehdit istihbaratı akışı. Zafiyet yönetimi ve tedarik zinciri güvenliği artık bu tablonun ayrılmaz parçasıdır.

MITRE ATT&CK APT ile ilgili mi?

MITRE ATT&CK, gerçek dünyadaki saldırgan davranışlarını gözlemlenmiş TTP (Taktik, Teknik, Prosedür) olarak katalogladığı için APT analizinin merkezî çerçevesidir. Her tekniğe kod verilir (örneğin T1566 Phishing, T1078 Valid Accounts), bilinen APT grupları bu tekniklerle ilişkilendirilir. Kurumlar kendi savunmalarını ATT&CK matrisi üzerinden ölçebilir ve kapsanan/kapsanmayan alanları görebilir.

Kaynaklar ve doğrulama notu

MITRE ATT&CK — Groups katalogu ve Enterprise matrisi.
Mandiant APT1 Raporu (2013).
Lockheed Martin — Cyber Kill Chain modeli.
CISA — Known Exploited Vulnerabilities (KEV) katalogu.
NIST SP 800-61 Rev. 2 — Computer Security Incident Handling Guide.
Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
Cumhurbaşkanlığı Dijital Dönüşüm Ofisi — Bilgi ve İletişim Güvenliği Rehberi.
USOM — Ulusal Siber Olaylara Müdahale Merkezi bildirimleri.

İçerikte yer alan APT tanımları ve teknik çerçeve MITRE ATT&CK ile Lockheed Martin Cyber Kill Chain belgelerine, atıf iddiaları kamuya açık güvenlik sağlayıcı raporlarına dayanmaktadır. Envanter Medya, hiçbir APT grubu atfını bağımsız kesin gerçek olarak sunmaz; tüm atıflar ‘iddia edilmektedir’ çerçevesinde okunmalıdır.

Son güncelleme: 4 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.