Ülke Bazlı IP Engelleme Neden Yetmiyor: Aynı Honeypot Ağı Altı Haftada Üç Farklı Ülke Tablosu Gösterdi

Ülke bazlı IP engelleme, kaynak adresin coğrafi etiketine göre trafiği kesen kuraldır ve saldırgan altyapısı kiralık, taşınabilir ve etiketi değişebilir olduğundan tek başına güvenilir değildir. Honeypot ağımızda Türkiye payı 24-31 Ağustos’ta yüzde 64, 16-23 Eylül’de yüzde 3,1, 5-12 Ekim’de yüzde 21,3 ölçüldü; tablolar arasındaki farkı bir tedarik kaybı ve iki tek adres açıklıyor. Karar prefiks, operatör ve davranış düzeyinde verilmelidir.

Revizyon notu (12 Ekim 2026): Bu yazının 23 Eylül’deki ilk hâli, boşluğu tek bir operatörün doldurduğunu ve ülke payındaki çöküşün “konsolidasyon” olduğunu söylüyordu. Dayandığı sayım, adresleri son görülme tarihine göre pencerelere bölen bir yöntemdi ve artış olmasa da artış üretiyordu. Rakamlar yeni adres girişiyle yeniden türetildi ve yazı baştan kuruldu: boşluğu dolduran bir operatör yok, ülke payındaki çöküş bir tedarik kaybı. Ayrıntı ve yöntem: Tellal’ın 12 Ekim bülteni.

Ülke payı neden güvenilmez bir ölçüdür?

Çünkü ülke payı, o hafta en gürültülü birkaç operatörün ve adresin etiketidir; tedarik değişmese bile bir hafta içinde baştan yazılabilir. Honeypot ağımızda Türkiye payı üç ölçümde yüzde 64, yüzde 3,1 ve yüzde 21,3, Almanya payı yüzde 8,5, yüzde 34,1 ve yüzde 1,8 çıktı.

Üç tabloyu iki ayrı şey belirledi. Birincisi bir tedarik kaybı: Ağustos sonunda olayların yüzde 64’ünü üreten Türkiye barındırıcıları Ağustos sonu ile Eylül başında sessizleşti (sonraki bölüm). İkincisi tek adreslerin ağırlığı: 5-12 Ekim’de payların önemli bölümü birkaç adresin ve bir bloğun işiydi.

Türkiye payı neden yüzde 64’ten yüzde 3,1’e düştü?

Çünkü sekiz Türk barındırıcı 25 Ağustos ile 12 Eylül arasında sessizleşti ve Türkiye etiketli yeni adres girişi günde 455’ten 17’ye düştü. Dış kaynaklı olay hacmi de aynı iki pencerede yaklaşık 17 milyondan yaklaşık 2 milyona indi; yani çöken şey bir ülke payı değil, bir tedarik kaynağıydı.

Türkiye barındırmalı olay sayısı 24-31 Ağustos’ta 10.984.647 iken 16-23 Eylül’de 62.000’e indi. Düşüş yalnız Türkiye’de kalmadı: Türkiye dışındaki kaynakların olay hacmi de yaklaşık 6,2 milyondan 1,9 milyona indi. Gösterge veritabanı aynı kırılmayı yöntemden bağımsız bir ölçümle doğruluyor: yeni adres girişi. Bir adres veritabanına girdiği anda first_seen damgasını alır ve bu damga değişmez; haftalık yeni adres sayısı bu yüzden kesin bir seridir.

Kırılma 7 Eylül haftasında: Türkiye etiketli yeni adres 2.536’dan 249’a, sonraki iki haftada 15 ve 13’e indi. Türkiye dışındaki giriş ise günde 247, 336 ve 255 adresle üç pencerede de aynı düzeyde kaldı; düşüş yok. Kırılma tek tek barındırıcılarda da okunuyor:

Sekiz barındırıcının 14.851 Türkiye etiketli adresi 25 Ağustos ile 12 Eylül arasında son kez görüldü. Bir kampanyanın bu kadar temiz kapanması olağan değildir; bu kalıp, ya toplu bir abonelik iptalini ya da barındırıcı tarafında bir temizlik işlemini gösterir. Kurum açısından bu iyi haber gibi görünür. Ülke payına bakan bir pano bu tabloyu “saldırılar bitti” diye raporlar; hacim ve yeni adres girişine bakan bir pano ise “bir tedarik kaynağı kayboldu, kalan dünya sürüyor” der. İkincisi doğru olandır.

Boşluğu bir operatör mü doldurdu?

Hayır. Yeni adres girişine bakıldığında Türkiye’den kaybolan günde yaklaşık 440 adresin yerine hiçbir operatörün girişi artmadı: en yoğun yeni giriş operatörleri aynı düzeyde kaldı, NERZEN günde 38’den 9 yeni adrese geriledi.

Bu yazının ilk hâlinde tablo tersini gösteriyordu: NERZEN 429’dan 1.133’e “çıkıyor”, NYRU Services 0’dan 255’e “yükseliyordu”. O tablo adresleri son görülme tarihine göre pencerelere bölüyordu; bu yöntemde canlı kalan bir adres yalnız son pencerede görünür, eski pencere eksik sayılır ve artış olmasa da artış çıkar. NYRU örneği yöntemin sakıncasını en açık gösteriyor: 253 adresi 13 Ağustos-7 Eylül’de doğmuştu ve 7-23 Eylül’de yeni adres girişi sıfırdı; “sıfırdan yükselen” bir aktör değil, değişmeyen bir aktördü. Aynı sayım bugün tekrarlandığında da değerler değişiyor (NERZEN 429 yerine 299, 1.133 yerine 660), çünkü adresler sonradan yeniden görülüp son görülme tarihleri ileri taşınıyor.

Ülke etiketi neden güvenilmez bir karar girdisi?

Çünkü etiket operatörü değil, adresin kaydını ya da konumunu gösterir ve dört şekilde yanıltır. Üçü bu ölçümlerde görüldü, dördüncüsü Ekim penceresinde.

Tek operatör birden çok ülke etiketi taşır. AS203545’in adresleri Türkiye (1.041), ABD (502), Estonya (137) ve Seyşeller (67) olarak etiketli; 5-12 Ekim olaylarında aynı operatör Türkiye (98.033 olay), ABD (28.632) ve Seyşeller (8.150) olarak göründü. Estonya’nın 16-23 Eylül’deki yüzde 9’luk payı için tablo daha da net: Estonya etiketli ve o pencereyle çakışan 107 adresin 104’ü (yüzde 97,2) tek operatöre ait. Türkiye’yi engelleyen bir kural bu operatörün diğer etiketlerini açık bırakır.

Tedarik kiralıktır ve kaybolabilir. Bir barındırıcı kapısını kapattığında ya da müşterisini attığında kampanyanın o kolu yok olur; sekiz barındırıcının sessizleşmesi üç haftada oldu. Ülke kuralınız bu olayı fark etmez, panonuz iyileşme sanar.

Hacim meşru coğrafyalara kayar. 16-23 Eylül’de olayların yüzde 62,3’ü Almanya ve ABD kaynaklıydı; bu iki ülke kurumsal bulut hizmetlerinin, güncelleme sunucularının ve iş ortaklarının bulunduğu yer. Ülke düzeyinde engellemek, kurumun kendi işini engellemek anlamına gelir.

Birkaç adres payı tek başına değiştirir. 5-12 Ekim’de iki tek adres (AS201880 ve AS200456) tüm olayların yüzde 24,2’sini üretti. Bu adresler bir hafta içinde kaybolsa Türkiye ve ABD payları yeniden baştan yazılırdı.

Bir ASN ya da prefiks listesi ne kadar dayanıklıdır?

ASN listesi de eskir ve ASN etiketi de değişir. Yeni adres girişine göre en yoğun 10 ASN’i engellemek, bir sonraki pencerede gelen yeni adreslerin yalnız yüzde 14’ünü ve yüzde 35’ini kapsıyor; en yoğun 50 ASN yüzde 53’ünü.

Daha ince bir sorun da etiketin kendisi. 109.160.32.0/24 bloğu 30 Eylül 2026 16:00 UTC’de AS197170’ten (TechTies) AS198364’e (Banatsync) geçti; ASN numarasına göre yazılmış bir kural bloğu o andan sonra tutmadı, oysa aynı filo blokta çalışmaya devam etti. RIPEstat 12 Ekim’de 371 BGP yolunun hepsinde yolun son iki halkasını AS197170 sonra AS198364 olarak gösteriyor: blok hâlâ aynı sağlayıcı üzerinden duyuruluyor. Kararı prefikse yazmak bu durumda kuralı korur; ama prefiksin sahibinin değiştiğini de bilmeniz gerekir. Bu yüzden prefikslerin origin ASN’ini günde bir kez ölçen bir kontrol gerekiyor; çalışan betik ve çıktılar Erdem Özyurt’un ölçüm yazısında, bloğun ayrıntısı Tellal’ın 12 Ekim bülteninde var.

Kamuya açık listeler bu boşluğu kapatır mı?

Kapatmıyor, çünkü geç kalıyorlar. 13 Ağustos ile 23 Eylül arasında gösterge veritabanımıza giren 23.263 yeni saldırgan adresin 19.899’u, yani yüzde 85,5’i, AbuseIPDB’de sıfır puanlıydı. Aynı ölçüm 12 Ekim’de tekrarlandığında 23 Eylül’den bu yana giren 5.480 yeni adresin yüzde 48,8’i sıfır puanlıydı; 11 Ekim’de bir blok 192 adresi 105 saniyede açtı ve 192’sinin de puanı sıfırdı.

Somut bir örnek: 20 Eylül sabahı parola sözlüğüne yapay zekâ ajanı kullanıcı adları ekleyen saldırgan filosu 109.160.32.0/24 bloğundan geliyordu. Blok veritabanımıza 5 Eylül’de girmişti, yani ölçüm anında 18 günlüktü; 55 aktif adresinin 41’i AbuseIPDB’de sıfır puanlıydı ve hiçbiri Spamhaus’ta değildi. Sözlük güncellemesinin ayrıntısı Tellal’ın 16-23 Eylül bülteninde yayımlandı. Kuruma dönük sonuç: kamu listeleri taban katman olarak değerlidir ve ücretsizdir, ama tek başına kullanıldığında yeni doğmuş altyapıyı görmez.

Kurumsal savunmayı hangi sırayla kurmalı?

Dört adım, sırası önemli.

1. Ölçümü operatör düzeyine ve hacme taşıyın. Güvenlik duvarınızın reddettiği bağlantıların kaynak adreslerini operatöre çevirin; ilk yirmi operatörü hem adet hem hacimle listeleyin. Ülke tablosunun yanına olay hacmini ve yeni adres girişini koyun: üçü birlikte hangi değişikliğin tedarik kaybı, hangisinin etiket oyunu olduğunu ayırır. Bu ölçüm mevcut kayıtlarla yapılabilir, ek yatırım gerektirmez.

2. Kararı prefikse yazın, ASN numarasına değil; kayda son kullanma süresi koyun. Bir ASN’in duyurduğu adres blokları değişir ve blokun ASN’i de değişebilir. Engelleme kuralı güncel prefiks listesinden üretilmeli, kayıtlar süreli tutulmalı (MikroTik’te adres listesi kaydına timeout), prefikslerin origin ASN’i günlük ölçülmeli. Süre dolduğunda blok hâlâ saldırıyorsa kayıt yenilenir, susmuşsa kendiliğinden temizlenir.

3. Bulut sağlayıcılarını engellemeyin, davranışa bağlayın. Google Cloud, Microsoft ve DigitalOcean ölçümde hem yeni adres girişinin üst sıralarında hem de kurumsal trafiğin meşru kaynağı. Bu operatörlerde doğru yanıt engel değil kuraldır: kimlik doğrulama uçlarına hız sınırı, başarısız giriş eşiği ve oturum başına deneme sınırı.

4. İlk temas verisini ayrı bir katman olarak konumlandırın. Kamu listeleri geçmişi verir, honeypot telemetrisi ve tehdit beslemesi bugünü verir. İkisi birbirinin yerine geçmez. Kurumun kendi dış yüzeyine gelen trafiği kaydetmesi de bu katmanın bir parçasıdır ve çoğu zaman hiç kurulmamış olur.

Sonuç

Altı haftalık üç ölçüm tek bir operasyonel ders veriyor: ülke payı, tedarik değişmese bile baştan yazılan bir etikettir ve ASN etiketi de değişir. Kalıcı olan prefiks, operatör ve davranış kalıbıdır; onları da günlük ölçmek gerekir.

Bir kurumun güvenlik panosunda “Türkiye kaynaklı saldırı yüzde 95’ten fazla azaldı” satırı görünüyorsa, sorulacak ilk soru bu düşüşün hacmin mi, tedarikin mi yoksa ölçümün mü düşüşü olduğudur. Olay hacmi ve yeni adres girişi bunu ayırır; bizim ölçümümüzde cevap bir tedarik kaybıydı ve boşluğu kimse doldurmadı.

Kurumsal ağınızın dış yüzeyine gelen trafiğin operatör bazlı analizi ve tehdit beslemesiyle beslenen güvenlik duvarı kurulumu için siber güvenlik hizmetlerimize bakabilir veya doğrudan iletişime geçebilirsiniz.