2026'da Savunma Sektöründe Siber Güvenlik: Zorunlu Sınırlar, Denetlenmemiş İçerik

Havacılık ve savunma sektöründeki kuruluşların %80’inden fazlası son on iki ay içinde bir güvenlik ihlali yaşadı.^[3] Sektör her hafta yaklaşık 1.250 siber olayla karşı karşıya kalıyor,^[4] saldırılar 2018'den bu yana %300 arttı ve kuruluşların %61'i geçen yıl fidye yazılımı saldırısına uğradı.^[5] Gizli programların kesintiye uğraması, karşı istihbarat bilgilerinin açığa çıkması veya tedarikçinin güvenliğinin ihlali sonucu ortaya çıkan sözleşme riski hesaba katılmadan, ortalama bir güvenlik ihlali 5,46 milyon dolara mal oluyor.^[6]

Google’ın Threat Intelligence , Şubat 2026’da Çin bağlantılı casusluk gruplarının son iki yıl içinde savunma ve havacılık sektörlerini diğer tüm devlet aktörlerinden daha fazla hedef aldığını doğruladı^[7]; bu gruplar, uzun süreli erişim sağlamak için uç cihazları, VPN cihazlarını ve dosya aktarım kanallarını kullanıyor. Rusya, İran ve Kuzey Kore aynı endüstriyel taban üzerinde faaliyet göstermektedir. Hacktivist DDoS kampanyaları, sektördeki olay hacminin %76'sından fazlasını oluşturmaktadır (sektörler arası ortalamanın iki katı^[8]), ancak hacim önemli olan ölçüt değildir. Stratejik tehdit, hassas ve sabırlıdır. Kapıyı çalmadan, halihazırda güvenilir olan içerik yoluyla içeri girer.

Ağda halihazırda mevcut olan meşru sistem araçlarını kullanan LOTL (Living Off the Land) teknikleri, saldırganların tespit edilmeden faaliyet göstermelerine olanak tanır. Davranış analizi devreye girdiğinde, sofistike bir saldırgan genellikle ortamı haritalandırmak, yüksek değerli hedefleri belirlemek ve veri sızdırma hazırlıklarını yapmak için yeterince uzun süredir sistemde yerleşik durumdadır. Tespit etmek gereklidir. Ancak bu yeterli değildir. Etkili önlemler ağın içinde değil, giriş noktasında alınmalıdır.

Zero Trust, savunma ve devlet ağlarında geçerli güvenlik modeli haline geldi ve bunun haklı nedenleri var. Sürekli kimlik doğrulama, en az ayrıcalıklı erişim, cihaz durumunun zorunlu kılınması, mikro segmentasyon — bu denetimler gereklidir ve her savunma mimarisinin ayrılmaz bir parçasıdır. Sorun Zero Trust’ta değil. Sorun, onu asla çözmek üzere tasarlanmadığı bir soruna tam bir çözüm olarak görmektir. Zero Trust Access, bir ağa kimlerin gireceğini kontrol etmek için oluşturulmuştur. Ağda bulunanların sınırdan neyi taşıdığını doğrulamak için oluşturulmamıştır. 

Bu sınırlama belirli bir alana yöneliktir. Sıfır Güven, sınırdan kimin geçtiğini doğrular. İçerik doğrulama ise sınırdan neyin geçmesine izin verileceğini belirler. Bir Sıfır Güven politikası, yetkili bir cihazda kimlik bilgileri doğrulanmış bir kullanıcının meşru bir aktarım talebinde bulunduğunu doğru bir şekilde doğrular. Ancak aktarılan dosyanın, silah olarak kullanılabilecek bir makro, birleştirilmiş kötü amaçlı bir yük veya güvenilir bir belge formatına gömülmüş bir sıfır gün açığı içerip içermediğine dair hiçbir bilgisi yoktur. 

Bu blogun başında bahsedilen siber saldırı kampanyaları (BRICKSTORM’un savunma ve havacılık ortamlarında 393 gün boyunca kalması, Volt Typhoon’un ABD’nin kritik altyapısında beş yıl boyunca varlığını sürdürmesi), erişim kontrollerini aşmadı. Bu saldırılar, erişim kontrollerinin şüphe duyması için hiçbir neden bulunmayan içerikler yoluyla sisteme sızdı.  

Kimlik ve erişim yönetimi, gerekli olan ilk katmandır. Fiziksel giriş noktasında, sınıflandırma sınırında ve yazılım tedarik zincirinde gerçekleştirilen içerik doğrulama ise, hedef noktaya ulaşmasına gerçekten izin verilenin ne olduğunu belirleyen katmandır. Bu iki unsur bir araya geldiğinde bütünlük oluşturur. Her biri tek başına ele alındığında ise, diğerinin eksikliklerini gideremez. 

2025–2026 yıllarında dosya tabanlı tehdit ortamında operasyonel açıdan en önemli değişiklik, kötü amaçlı yazılım üretimi ve yapısal kaçırma tekniklerine yapay zekanın uygulanmasıdır. Google’ın tehdit istihbarat ekibi, saldırı aşamasında gerçek zamanlı olarak değişime uğrayan kötü amaçlı yazılım ailelerini tespit etmiştir^[14]; bu sayede, istismar kodlarının geliştirilme süresi haftalar süren bir çaba gerektirirken, maliyetler neredeyse sıfıra inmiştir^[15].

OPSWATkendi araştırması somut bir örneği ortaya koydu: Kötü amaçlı bir PDF dosyasının temiz bir dosyaya yapısal olarak eklenmesini içeren birleştirilmiş PDF tekniği. 34 tarama motorunda yapılan testlerde, dosyalar birleştirildiğinde tespit oranı 34’ten 5’e düştü.^[16] Daha önce bu tehdidi tespit eden üç motor, artık bunu tespit etmeyi bıraktı. Kullanıcının PDF okuyucusu, kimlik avı içeriğini saldırganın tam da amaçladığı şekilde görüntüledi. Güvenlik altyapısı, kullanıcının açtığı belgeden farklı bir belgeyi değerlendirdi.

Bulunacak hiçbir kötü amaçlı yazılım imzası yok. Tespit edilecek hiçbir güvenlik açığı yok. Yalnızca, tarayıcıların ve okuyucuların farklı içerik görmesine neden olan meşru bir dosya biçiminin yapısal bir düzenlemesi var. Sınıflandırma sınırında, bu tekniği kullanan tek bir dosya, herhangi bir uyarı tetiklemeden "Sınıflandırılmamış" kategorisinden "Gizli" kategorisine geçebilir. Bu boşluk teorik bir durum değildir.

CDR (İçerik Temizleme ve Yeniden Oluşturma), bu sorunu mekanizma düzeyinde ele alır. CDR, zararlı içeriği tespit etmeye çalışmaz; bunun yerine her dosyayı bileşenlerine ayırır, dosya yapısından bağımsız olarak tüm aktif ve çalıştırılabilir içeriği kaldırır ve temiz, işlevsel olarak bozulmamış bir sürüm oluşturur.

Bilinen bir imzası olmayan yapay zeka tarafından oluşturulan bir varyant, yapısal olarak birleştirilmiş kötü amaçlı bir belge, makro içeren bir Office dosyası, saldırı amaçlı bir arşiv dosyası: bunların hepsi aynı işlemle etkisiz hale getirilir; çünkü CDR, dosya hedefine ulaşmadan önce yürütme mekanizmasını ortadan kaldırır.

CDR, dosya sınırlı bir denetim sistemidir. Ağ içindeki LOTL faaliyetlerini ele almaz; aynı şekilde, ortamda halihazırda bulunan saldırganların varlığını da ele almaz.

Etki alanları arası çözüm gereksinimleri zamanla değişmiştir. Veri alışverişine ihtiyaç duyan ilgi grupları artık daha çeşitlidir. Veri türleri, standart ofis dosyalarından sistem iş yüklerine, istihbarat akışlarına ve bulut tabanlı formatlara kadar genişlemiştir. Uzun vadeli bir CDS tasarlamak için statik bir donanım yerine modüler ve koordineli bir yaklaşım gereklidir.

MetaDefender Managed File Transfer , gizli ve gizli olmayan ağlar arasında güvenli dosya alımı ve aktarımınıManaged File Transfer ; aktarım ilkelerini uygular ve tüm iş akışı boyunca yönlendirme mantığını ve denetim izlerini yönetir. Dosyalar, her sınırda içerik denetimi için MetaDefender Core yığını üzerinden geçer. Bu iki bileşen birlikte, ilkelerle yönetilen bütünsel bir etki alanı ötesi mimari oluşturur: MetaDefender Managed File Transfer akışıManaged File Transfer , MetaDefender Core geçiş yapan verileriCore .

CMMC 2.0, 10 Kasım 2025 tarihinde Savunma Bakanlığı sözleşmelerinde yürürlüğe girmiştir. İlk kez, savunma yüklenicilerinin siber güvenliği kendi beyanlarına dayalı değil, bağımsız denetim yoluyla doğrulanmaktadır. 2026 Mali Yılı NDAA’nın 866. maddesi, Savunma Bakanlığı’ndan 1 Haziran 2026 tarihine kadar DIB siber güvenlik gerekliliklerini standartlaştırmasını; sözleşmeye özgü kuralları azaltırken, daha sıkı ve tutarlı bir uygulama sağlamasını öngörmektedir.

Her iki gelişme de önemlidir. Ancak hiçbiri yukarıda açıklanan açıkları kapatmamaktadır. CMMC Seviye 2’nin 110 kontrolü, bu saldırı yüzeylerini ele alan belirli kontrolleri zorunlu kılmak yerine, geniş bir endüstriyel taban genelinde temel standartları yükseltmek üzere tasarlanmıştır. Bu kontroller, tesis giriş noktalarında fiziksel ortam denetimi, etki alanı sınırlarında dosya içeriği doğrulaması, bağımlılık düzeyinde yazılım bileşenlerinin görünürlüğü veya donanımla uygulanan ağ ayrımı ile uyumlu içerik denetimi gerektirmemektedir.

Bir yüklenici, bu eksikliklerin hiçbirinin giderilmemiş olmasına rağmen, C3PAO doğrulaması da dahil olmak üzere Seviye 2 değerlendirmesini geçebilir. 2025 itibariyle savunma sektöründeki işletmelerin yalnızca %21'i CMMC uyumlu teknolojiyi seçmişti.^[17] Aralık 2025 itibarıyla, 80.000'den fazla yükleniciden oluşan endüstriyel tabana karşılık sadece 92 C3PAO yetkilendirilmişti.^[18] Uyum altyapısı henüz bu gelişmeyi yakalayamamıştır.

Akreditasyon sürecinde dikkate alınması gereken ikinci bir ayrım daha bulunmaktadır. CMMC, yüklenicinin güvenlik uygulamalarını düzenler. Bu uygulamaların hayata geçirilmesinde kullanılan araçları sertifikalandırmaz. Ortak Kriterler sertifikası (Ulusal Güvenlik Sistemlerindeki IA ürünleri için NSTISSP #11 tarafından zorunlu kılınan), akredite edilmiş bağımsız bir laboratuvar tarafından yapılan değerlendirme yoluyla belirli bir ürünün güvenlik özelliklerini doğrular. CMMC kontrolünü karşılamak için kullanılan CC sertifikalı bir ürün, C3PAO değerlendiricisine laboratuvar tarafından doğrulanmış kanıt sunar.

CMMC ve Ortak Kriterler birbirini tamamlayan çerçevelerdir. Biri kuruluşun faaliyetlerini düzenlerken, diğeri aracın iddia ettiği işlevleri yerine getirdiğini doğrular. Hangisinin hangisi olduğunu bilmek önemlidir.

MetaDefender , 110 adet CMMC Seviye 2 kontrolünden yaklaşık 20 tanesini MetaDefender — bu, çoğu güvenlik yığınının tasarlanmadığı alt kümedir. Erişim kontrolü, denetim günlüğü, olay müdahalesi ve personel güvenliği kapsam dışıdır. Buradaki değer, hassasiyettir: mevcut yığınınızın ulaşamadığı sınırlardaki katı kontroller, bağımsız bir laboratuvar standardına göre doğrulanmıştır.

Önümüzdeki üç yıl içinde en avantajlı konumda olacak kuruluşlar, en büyük güvenlik bütçelerine sahip olanlar ya da en fazla CMMC kontrolünü tamamlamış olanlar değildir. Bunlar, gerçek saldırı yüzeylerini — fiziksel giriş noktaları, sınıflandırma sınırları, OT-IT arayüzleri, yazılım tedarik zinciri — haritalandırmış ve her birine doğrulanmış kontroller uygulamış olan kuruluşlardır.

Ağ içindeki tespit işlemleri, ağa çoktan yerleşmiş olan sofistike bir saldırganın her zaman gerisinde kalacaktır. Asıl etki, bir dosya çalıştırılmadan, bir cihaz bağlanmadan ve bir yük sınıflandırma sınırını geçmeden önce sınırda gerçekleştirilen önleme tedbirlerinde yatmaktadır. OPSWAT işte bu alanda OPSWAT .

Özel ortamınız ve mimariniz hakkında görüşmek üzere bir bilgilendirme toplantısı talep edin.

Hâlâ CDS mimarinizi planlıyor musunuz? Modern etki alanları arası gereksinimleri değerlendiren program yöneticileri, güvenlik mimarları ve tedarik ekipleri için CDS uzmanları tarafından hazırlanan Kamu ve Savunma Sektörü için Etki Alanları Arası Çözümler Satın Alma Kılavuzu’nu indirin.