Siber savaş nedir? Devlet aktörleri, Tallinn Manual ve NATO çerçevesi

Siber savaş nedir?

Siber savaş; bir devlet ya da devlet destekli aktörün, başka bir
devletin bilgi ve iletişim altyapılarına, silahlı kuvvetlerinin komuta
kontrol sistemlerine, kritik altyapılarına veya kamu hizmetlerine karşı
yürüttüğü, açık siyasi ya da askerî amaçları olan siber operasyonları
tanımlayan geniş bir kavramdır. Kavram; medya, akademi ve askerî
doktrinlerde 1990’ların sonundan itibaren yerleşmiştir; ancak günümüzde
tek bir uluslararası anlaşmada bağlayıcı bir tanımı bulunmamaktadır.

Uygulamada siber savaş; casusluk, sabotaj, bilgi operasyonları,
tedarik zinciri sızmaları ve kritik altyapıya yönelik yıkıcı kampanyaları
kapsayan geniş bir eylem kümesini işaret etmektedir. Karar vericiler
için asıl güçlük; siber operasyonların hangi eşikten sonra silahlı
saldırı sayılacağı ve hangi çerçevede karşılık verileceğinin
belirlenmesidir.

Uluslararası hukukta tanım tartışması

Birleşmiş Milletler Antlaşması’nın 2(4). maddesi devletlerin
birbirlerine karşı kuvvet kullanımını yasaklarken 51. madde meşru
müdafaayı düzenler. Siber operasyonların bu maddeler kapsamına ne
zaman girdiği; sonucun fiziksel yıkım, can kaybı ya da temel devlet
işlevlerinin durmasına yol açıp açmadığıyla değerlendirilir. NotPetya
(2017) tipinde küresel yayılan yıkıcı bir kampanyanın kuvvet kullanımı
sayılıp sayılmayacağı; hedeflenen ülkelerin ve bağımsız uzmanların
tartıştığı temel örnektir.

UN düzeyinde iki paralel süreç yürümüştür: Birleşmiş Milletler Hükümet
Uzmanları Grubu (UN GGE) 2013, 2015 ve 2021 raporlarında uluslararası
hukukun ve BM Antlaşması’nın siber uzaya uygulanacağını, devletlerin
sorumlu davranış normlarına uyacağını teyit etmiştir. Açık Uçlu Çalışma
Grubu (OEWG) süreci ise BM üye devletlerinin geniş katılımıyla siber
uzayda sorumlu devlet davranışını tartışmayı sürdürmektedir. Türkiye
her iki süreçte aktif rol almıştır.

Devlet aktörleri ve devlet destekli gruplar

Kamuya açık raporlarda sıkça isnat edilen kaynaklar arasında; Rusya
(GRU Unit 26165/74455 – APT28, APT29, Sandworm), Çin (APT41, APT10,
Volt Typhoon), Kuzey Kore (Lazarus, APT38, Kimsuky), İran (APT33, APT34
– OilRig, APT35 – Charming Kitten) ve çeşitli isnat edilmemiş devlet
destekli gruplar yer alır. Batı istihbarat servisleri (ABD Ulusal Güvenlik
Ajansı, İngiltere GCHQ, İsrail Birim 8200) da kamuya açık kaynaklarda
Stuxnet gibi operasyonlarla ilişkilendirilmektedir.

Aktör kategorileri katı değildir. Devlet aktörleri; siber suç
gruplarını proxy olarak kullanabilir, siber suç altyapısını satın
alabilir ya da kiralayabilir. Bu iç içe geçme; olay isnadını ve
sorumluluk atamayı zorlaştırmaktadır.
APT (Gelişmiş
Sürekli Tehdit) kavramı; büyük ölçüde devlet destekli aktörleri
tanımlamak için kullanılır.

Tallinn El Kitabı ve UN GGE süreci

Tallinn El Kitabı; NATO İşbirlikçi Siber Savunma Mükemmeliyet Merkezi
(CCDCOE) koordinasyonunda uluslararası hukuk uzmanları tarafından
hazırlanan, siber operasyonlara uluslararası hukukun nasıl
uygulanabileceğini analiz eden akademik çalışmadır. Bağlayıcı bir metin
değildir; NATO veya CCDCOE’nin resmî görüşünü yansıtmaz. Tallinn 1.0
(2013) silahlı çatışma dönemine, Tallinn 2.0 (2017) barış dönemi
operasyonlarına ve egemenlik, karşılıklı yardım, orantılılık kavramlarına
odaklanır. Halihazırda Tallinn 3.0 çalışmaları CCDCOE tarafından
sürdürülmektedir.

UN Hükümet Uzmanları Grubu raporları ise uluslararası hukukun siber
uzaya uygulanacağını, devletlerin barış zamanında birbirlerinin kritik
altyapılarına zarar veren siber operasyonlar yürütmemesi, olayların
isnadında sorumlu davranış sergilemesi ve terörist gruplara siber
altyapı sağlamaması gibi normları teyit etmiştir. Bu normlar bağlayıcı
anlaşma niteliğinde olmasa da devlet uygulamasının şekillenmesinde
belirleyicidir.

NATO ve 5. madde kapsamı

NATO 2014 Galler Zirvesi bildirgesi, ciddi bir siber saldırının Kuzey
Atlantik Antlaşması’nın 5. maddesi kapsamında değerlendirilebileceğini
teyit etmiştir. 2016 Varşova Zirvesi’nde siber uzay resmen bir askerî
harekât alanı ilan edilmiştir. Ancak madde 5’in tetiklenmesi otomatik
değildir; olay bazında Kuzey Atlantik Konseyi karar verir. Değerlendirmede
saldırının kaynağı, yoğunluğu, sonucu, süresi ve hedeflenen sektör
dikkate alınır.

NATO ittifak içi siber savunma yapılanmasında; Kuzey Atlantik Konseyi
(NAC) siyasi karar organı, NATO Askerî Komitesi askerî danışma organı,
NATO İletişim ve Bilişim Ajansı (NCIA) teknik yürütme, İşbirlikçi Siber
Savunma Mükemmeliyet Merkezi (CCDCOE) doktrin ve tatbikat, Bilgisayar
Olaylarına Müdahale Ekibi (NCIRC) olay müdahale görevlerini üstlenir.
NATO Siber Savunma Politikası; kolektif savunma, kriz yönetimi ve
işbirlikçi güvenlik olmak üzere ittifakın üç temel görevi çerçevesinde
şekillenmiştir.

Öne çıkan siber savaş vakaları

Estonya (2007): Estonya’da yaşanan diplomatik gerilim
sürecinde kamu web sitelerine, bankalara ve iletişim altyapısına yönelik
büyük çaplı hizmet dışı bırakma (DDoS) kampanyası. Olay; NATO
CCDCOE’nin Tallinn’de kurulmasına ve Tallinn El Kitabı çalışmalarına
zemin hazırlamıştır.

Gürcistan (2008): Rusya-Gürcistan çatışması sırasında Gürcistan
kamu iletişim altyapısına yönelik siber kampanyalar; askerî harekâtla
eş zamanlı yürütülen siber operasyonların ilk örneklerinden biridir.

Stuxnet (2010): İran’ın Natanz uranyum zenginleştirme
tesisindeki Siemens WinCC / Step7 SCADA yazılımı ve S7-315/417 PLC’ler
hedef alındı; santrifüj motorlarının frekansı manipüle edilirken
insan-makine arayüzünde normal değerler görüntülendi. Endüstriyel
kontrol sistemlerine yönelik ilk büyük kamuya açık siber silah örneği
sayılmaktadır.

Ukrayna elektrik şebekesi (2015-2016): BlackEnergy kampanyası
ve Industroyer (CRASHOVERRIDE) kötücül yazılımı; Ukrayna dağıtım
şirketlerinde saatlerce süren elektrik kesintisine yol açtı. Endüstriyel
protokolleri doğrudan konuşan ilk kamuya açık kötücül yazılım örneğidir.

NotPetya (2017): Ukrayna vergi yazılımı M.E.Doc üzerinden
yayılan yıkıcı silici (wiper) yazılım; küresel ölçekte Maersk, Merck,
FedEx, Mondelez gibi büyük şirketleri etkiledi. ABD, İngiltere ve
Avustralya olayı Rusya GRU’ya isnat etti; küresel maddi kaybın 10 milyar
dolar seviyesine ulaştığı raporlandı.

Viasat KA-SAT (2022): Rusya-Ukrayna savaşının ilk saatlerinde
Viasat’ın KA-SAT uydu iletişim ağına yönelik AcidRain silici (wiper)
kampanyası; Ukrayna askerî iletişimini ve Orta Avrupa’daki 5.800 rüzgâr
türbini kontrol ağını etkiledi. AB ve NATO olayı Rusya’ya isnat etti.

Colonial Pipeline (2021): ABD’nin doğu kıyısını besleyen
petrol boru hattı işletmecisine yönelik DarkSide fidye yazılımı olayı;
kritik altyapıya yönelik siber saldırıların ekonomik ve siyasi
sonuçlarını görünür kıldı. Olay siber suç kaynaklı olsa da devlet
düzeyinde tepkiye ve mevzuata (TSA boru hattı güvenlik yönergeleri)
neden oldu.

Ukrayna 2022+: Şubat 2022’den itibaren Ukrayna kamu, telekom,
enerji ve savunma altyapılarına yönelik silici (WhisperGate, HermeticWiper,
CaddyWiper, Industroyer2) kampanyaları; süregelen bir çatışma
ortamında siber ve konvansiyonel harekâtın iç içe geçtiği ilk büyük
örneği oluşturmuştur.

Siber savaşta kullanılan araçlar

• Silici (wiper) yazılımlar: Sistem dosyalarını, önyükleme
  kayıtlarını ve verileri geri döndürülemez biçimde tahrip eden kötücül
  yazılımlar. NotPetya, HermeticWiper, WhisperGate, AcidRain, CaddyWiper.
• Endüstriyel kontrol sistemi kötücül yazılımları: Industroyer,
  Industroyer2, Triton/Trisis, INCONTROLLER (PIPEDREAM); endüstriyel
  protokolleri doğrudan konuşarak süreç kontrolünü hedef alır.
• Uzun süreli tehdit (APT) altyapıları: Aylar hatta yıllar
  süren, düşük profilli, tespit karşıtı, tedarik zinciri ve ağ altyapısı
  sızmalarına dayanan operasyonlar. SolarWinds Orion (2020) ve MOVEit
  Transfer (2023) tedarik zinciri örnekleridir.
• Sıfır-gün zafiyet zincirleri: Kamuoyunca bilinmeyen zafiyet
  zincirleri; kritik altyapılara giriş için kullanılır.
  Sıfır-gün nedir?
  başlığında ayrıntılı ele alınmıştır.
• Botnet ve DDoS altyapıları: Kamu hizmetlerini ve iletişim
  altyapısını hedef alan büyük ölçekli servis dışı bırakma araçları.
• Bilgi operasyonları: Sosyal medya, sahte hesap, deepfake ve
  manipüle içeriklerle kamuoyunu ve karar vericileri etkileme.

Türkiye çerçevesi ve MSB Siber Savunma Merkezi

Türkiye; NATO üyesi olarak İşbirlikçi Siber Savunma Mükemmeliyet
Merkezi’ne (CCDCOE) katılım göstermekte, Locked Shields ve Cyber
Coalition tatbikatlarında yer almakta, ulusal düzeyde siber savunma
politikasını 2013’ten bu yana yayımlanan Ulusal Siber Güvenlik Stratejisi
ve Eylem Planları çerçevesinde yürütmektedir.

Kurumsal yapılanmada;
Cumhurbaşkanlığı
Siber Güvenlik Başkanlığı ulusal siber güvenliği koordine eder,
Siber
Güvenlik Kurulu politika belirleme organıdır,
USOM ulusal koordinasyon,
SOME yapıları kurum
içi müdahale görevini üstlenir. Silahlı Kuvvetler bünyesinde MSB Siber
Savunma Merkezi Başkanlığı; askerî siber savunma, komuta kontrol
sistemleri güvenliği ve kolektif savunma koordinasyonunu yürütür.
Savunma
sanayii siber güvenliği çerçevesinde SSB Bilgi Güvenliği Denetim ve
Belgelendirme Yönergesi, savunma sanayii firmalarında siber güvenlik
olgunluk seviyelerini belirler.

Mevzuat cephesinde;
7545
sayılı Siber Güvenlik Kanunu, kritik altyapı işletmecileri için olay
bildirimi, denetim ve idari yaptırım çerçevesi kurmuştur.
Kritik
altyapı sektörleri arasında enerji, elektronik haberleşme, ulaştırma,
finans, su yönetimi, savunma sanayii ve uzay yer almakta; bu sektörler
siber savunma önceliği olarak tanımlanmıştır.

Sivil altyapı ve bilgi operasyonları

Modern siber çatışma; askerî hedeflerin yanında enerji şebekesi, su
arıtma, sağlık, finans, ulaştırma, medya ve iletişim altyapısı gibi
sivil altyapıları da hedeflemektedir. Uluslararası insancıl hukuk;
silahlı çatışmada sivil altyapıya yönelik saldırılara sınır getirir.
Ancak siber uzayda saldırı isnadının teknik güçlüğü ve devletlerin
farklı yorumları; bu sınırların pratikte esnetilmesine yol açmaktadır.
Uluslararası Kızılhaç Komitesi (ICRC); silici (wiper) yazılımlar ve
sağlık altyapısına yönelik siber operasyonlar gibi konularda devletleri
sorumlu davranışa çağıran açıklamalar yayımlamıştır.

Bilgi operasyonları; klasik siber saldırıdan farklı olarak bilgi
sistemlerine değil algı ortamına yöneliktir. Sahte hesap ağları,
manipüle içerik, deepfake, hedef odaklı reklam, dijital reklam ağlarının
kötüye kullanımı ve gazetecilere yönelik sızma girişimleri; klasik
siber operasyonlarla eş zamanlı yürütülmektedir. NATO 2022 Madrid
Zirvesi’nde hibrit tehdit ve bilgi operasyonları; kolektif savunma
görevleri kapsamında değerlendirilmiştir.

İsnat, egemenlik ve orantılılık

Uluslararası hukukta bir siber olayın devlet sorumluluğuna
bağlanabilmesi; siyasi, teknik ve hukuki isnat süreçlerinin tamamlanmasına
bağlıdır. Teknik isnat; kötücül yazılım imzası, komuta kontrol altyapısı,
zaman dilimi, dil, teknik iz, alan adı kayıt bilgileri, operasyon
tekniği (TTP) ve saldırının hedef seçimi gibi göstergelere dayanır.
Siyasi isnat; devletlerin isnadı kamuoyu önünde açıklama ve karşılık
verme kararını içerir. Hukuki isnat; devlete sorumluluğun uluslararası
hukuk çerçevesinde atanmasını kapsar.

Egemenlik ilkesi; devletlerin kendi topraklarındaki bilgi sistemleri
üzerinde münhasır yetkisini teyit eder. Bir siber operasyonun bu ilkeyi
ihlal edip etmediği; operasyonun yoğunluğu, süresi ve etkisiyle
değerlendirilir. Orantılılık ilkesi; karşılık verirken kullanılan
araçların, ölçeğin ve seçilen hedeflerin, ilk saldırıyla orantılı
olmasını gerektirir. Bu ilkeler; Tallinn El Kitabı 2.0’da geniş biçimde
tartışılmıştır.

Sıkça sorulan sorular

Kaynaklar ve doğrulama notu

• NATO CCDCOE — Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations, 2017.
• NATO — 2014 Galler Zirvesi ve 2016 Varşova Zirvesi bildirgeleri; Siber Savunma Politikası.
• Birleşmiş Milletler — Hükümet Uzmanları Grubu (UN GGE) 2013, 2015, 2021 raporları.
• Birleşmiş Milletler — Açık Uçlu Çalışma Grubu (OEWG) siber güvenlik raporları.
• ENISA — Threat Landscape yıllık raporları (2018-2025).
• US Cyber Command / NSA — kamuya açık kampanya duyuruları.
• UK NCSC — devlet destekli tehdit aktörleri değerlendirmeleri.
• Mandiant, CrowdStrike, ESET, Kaspersky ICS-CERT, Dragos — devlet destekli aktör raporları.
• CERT-UA — Ukrayna’ya yönelik siber operasyonlara ilişkin bültenler.
• Uluslararası Kızılhaç Komitesi (ICRC) — Siber operasyonlar ve insancıl hukuk açıklamaları.
• T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı — Ulusal Siber Güvenlik Stratejisi ve Eylem Planı.
• T.C. Millî Savunma Bakanlığı — Siber Savunma Merkezi Başkanlığı görev tanımları.

Kavramsal çerçeve NATO CCDCOE Tallinn Manual 2.0, UN GGE ve OEWG raporlarından; olay anlatımları CISA, CERT-UA, ENISA, Mandiant, ESET, Kaspersky ICS-CERT ve Dragos raporlarından; Türkiye kurumsal çerçevesi T.C. Cumhurbaşkanlığı Siber Güvenlik Başkanlığı, USOM ve MSB kamuya açık dokümanlarından derlenmiştir. Envanter Medya bu içerikte hedef sisteme yönelik istismar kodu, payload veya sistem aşma adımı paylaşmamıştır.

Son güncelleme: 7 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.