En İyi 5 Siber Tehdit İstihbaratı Hizmeti Kıyaslandı
5 siber tehdit istihbaratı hizmeti üzerinde uygulamalı kavram kanıtları çalıştırdık ve her birini 8 kategoride aynı 33 kritere göre puanladık; ortak bir geçmiş IOC seti, 6 tehdit aktörü ve 4 istismar edilmiş CVE kullandık. En sezgilere aykırı sonuç, ücretsiz AlienVault OTX'un otomasyonda buradaki en pahalı platform olan CrowdStrike ile eşleşmesidir.
5 hizmetin nasıl puan aldığını, her birinin nerede öne çıktığını ve bunları katmanlı bir tehdit istihbaratı programına nasıl entegre edeceğinizi görün:
Siber tehdit istihbaratı hizmetleri karşılaştırıldı
✓ = yetenek doğrulandı,
~ = kısmi veya ayrı bir katmanın arkasında,
✗ = yok.
*CrowdStrike, yetenekleri 4'ten fazla aboneliği kapsadığı için ürün ailesi düzeyinde puanlanmıştır (metodolojiye bakınız).
Kategoriye göre puanlar
Bu 5 hizmet, 5 farklı tehdit istihbaratı arketipini temsil eder; bu nedenle kıyaslama tek bir kazanan ilan etmek yerine konumlandırmayı belirler: her ürün, tehdit istihbaratı programında farklı bir iş yapar.
Önemli bulgular
Pazarlama etiketleri, testlerimizin birçok yerde tersine çevirdiği bir hiyerarşi ima ediyor:
- ücretsiz platform, otomasyon arayüzlerinde premium liderlerle eşleşti. AlienVault OTX, REST API'lerini, SDK'ları ve TAXII'yi ücretsiz sunar ve entegrasyon ile API konusunda tam puan alır; CrowdStrike ve Feedly ile aynı 4/4, ancak CrowdStrike STIX/TAXII beslemesini Premium arkasına koyar ve X-Force ücretsiz katmanından API çağrılarında 403 döndürür.
- Kapsam lideri CVE istihbaratını ayrı bir ürüne taşıdı. CrowdStrike, sıfır eksik yetenekle 33 kriterin 30'unu doğruladı; ancak tek yapısal boşluk güvenlik açığı istihbaratıdır: CVE verileri ve ExPRT.AI puanı, Adversary Intelligence'da değil, ayrı Falcon Exposure Management SKU'sunda yaşar. CVE derinliğinde, freemium X-Force ve Feedly, kıyaslamadaki en pahalı üründen daha entegredir.
- En düşük puan en kötü ürün anlamına gelmez. GreyNoise, 10 yeteneği 16 eksik kriterle doğruladı; ancak iyi huylu internet taramalarını belirlemek ve uyarı yorgunluğunu azaltmak için en güçlü uzmanlaşmış platformdur. 16 eksik kriteri, ürünün iddia etmediği yetenekleri kapsar.
- En eksiksiz freemium platformu kullanımdan kaldırılıyor. X-Force, kıyaslamadaki en eksiksiz freemium deneyimini sundu; ancak IBM, 31 Ağustos 2026'da kullanım ömrü sonu tarihini duyurdu ve müşteriler Palo Alto Cortex'e geçiyor.1
- Eski bir RSS okuyucusu ikinci oldu. Feedly, tüketici okuyucu geçmişine rağmen, AI tabanlı IoC/TTP çıkarımı, EPSS puanlı güvenlik açığı istihbaratı ve en geniş dışa aktarma/teslim aralığı aracılığıyla 19 yeteneği doğruladı; X-Force, GreyNoise ve OTX'in önünde yer aldı.
CrowdStrike Falcon Adversary Intelligence
Şekil 1. CrowdStrike Falcon Adversary Intelligence ana görünümü
CrowdStrike, ürün ailesi düzeyinde tüm 33 kriteri karşılar, ancak 3'ü kısmen mevcuttur. EU-1 bölgesinde Premium deneme üzerinden test ettik.2 Deneme MFA gerektirmedi, ancak oturumlar yaklaşık bir saat sonra düştü. CrowdStrike'ın CTI yetenekleri tek bir ürün değil, Adversary Intelligence (taban), Adversary Intelligence Premium, Counter Adversary Operations (CAO) Elite, Recon ve Recon+ ile Exposure Management'ı kapsayan bir ailedir. Puan bu nedenle ürün ailesi düzeyinde ölçülür.
Veri kaynakları
Taban, birinci taraf Falcon sensör telemetrisi ile Counter Adversary Operations ve OverWatch araştırmaları, ayrıca açık, derin ve dark web üzerinden Recon toplamasıdır.
Şekil 2. CrowdStrike Falcon panosu kısıtlı sayfalar eklemeyi sağlar
Recon, milyonlarca kısıtlı sayfayı, suç forumlarını ve şifreli platformları izler; burada ürün ailesi içinde yeraltı kaynaklarına ulaşan tek hizmettir.
Kapsam ve istihbarat türleri
Kötü amaçlı yazılım modülü, 4.207 kötü amaçlı yazılım ailesini listeler; her biri yetenekler (RAT, InfoStealer, kimlik bilgisi toplama, botnet), hedef sistemler, ilişkili rakipler ve güvenlik açıkları, kill chain ve MITRE için filtreler içerir.
Şekil 3. Kötü amaçlı yazılım modülü
MalQuery, 3.5B+ dosyayı arar ve Falcon Sandbox taban katmanda çalışır. Marka izleme, alan adı ve sosyal medya taklitçiliği (Recon) ve Falcon Identity Protection zorunlu sıfırlama (Recon) ile açığa çıkan kimlik bilgisi tespiti, hem burada hem de test edilen başka hiçbir hizmette yoktur. Tek boşluk güvenlik açığı istihbaratıdır: CVE verileri ve ExPRT.AI puanı ayrı Exposure Management SKU'sunda bulunur, bu nedenle bir rakibi bir CVE'ye bağlamak iki abonelik gerektirir.
Analiz ve zenginleştirme
Her rakip profili, arayüzde doğrudan MITRE ATT&CK matrisi ve kill chain sekmesi taşır, taban katmanda, API çağrısı olmadan ve Premium duvarı yoktur. Test edilen başka hiçbir hizmet ATT&CK'yı yerel olarak göstermez: OTX yalnızca API aracılığıyla döndürür, X-Force bunu Premium içerik için saklar ve Feedly toplama yoluyla türetir.
Şekil 4. Rakip başına ATT&CK Matrisi
Intel Explorer; rakip, kötü amaçlı yazılım, güvenlik açığı ve raporu birleştirir ve Indicator Graph API'si bu ilişkileri ortaya çıkarır. IOC riski, malicious_confidence paketlerini (yüksek, orta, düşük, doğrulanmamış) kullanır; bu, X-Force'un sayısal 1 ila 10 ölçeğinden daha kabadır.
287 adlandırılmış rakip; her biri köken, motivasyon, hedef endüstriler ve 30+ hedef ülkeyi kapsayan yapılandırılmış bir profile sahiptir. Testlerimizde APT28 takma ad eşlemesi (STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, BlueDelta) cevap anahtarımızla tam olarak eşleşti.
Atıf
Konsol, 287 adlandırılmış rakip listeledi (kamu materyalleri 2026 için 281+ atıfta bulunur); her biri köken, motivasyon, hedef endüstriler ve ülkeler, istihbarat raporu sayısı ve topluluk kimliği ile yapılandırılmıştır.
Şekil 5. CrowdStrike Falcon Rakipleri
FANCY BEAR profili (APT28), ilk görülme tarihi 2007'den son görülme Nisan 2026'ya kadar uzanıyordu; devlet destekli, köken Rusya Federasyonu, 30+ hedef ülke, tam takma ad mutabakatıyla: STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, Iron Twilight, BlueDelta ve APT28; cevap anahtarımızla tam olarak eşleşti.
Şekil 6. Fancy Bear ile tehdit istihbaratı özeti
Labyrinth Chollima, Lazarus'a ve Carbon Spider, FIN7'ye eşlendi; LockBit, Scattered Spider ve MuddyWater topluluk kimliğiyle aranabilirdi. Bunların hepsi taban katmandadır.
Platform
Çok yönlü rakip arama artı platform genelinde FQL ve bir SearchIndicators API'si sorgu ihtiyaçlarını karşılar; Intelligence hub'ı, panolar, yer imleri ve bildirimler ile marka ve kimlik uyarıları için Recon izleme kurallarını taşır.
Reports modülü, 429 tamamlanmış istihbarat raporu (rakip, MITRE, endüstri, ülke ve kötü amaçlı yazılıma göre filtrelenmiş) artı 2025 Threat Hunting Report'u içerir; tam kütüphane Premium'dur.
Test edilen başka hiçbir hizmet RFI erişimi (yılda 5, Premium) veya atanmış bir analist (CAO Elite) sunmaz. CTI, Falcon EDR/XDR, NG-SIEM, Investigate ve Fusion SOAR ile tek bir konsolu paylaştığı için mevcut bir Falcon müşterisi neredeyse sıfır entegrasyon maliyetiyle benimser.
Entegrasyon ve API.
Bir OAuth2 REST API'si (Create API client, api.eu-1 base) iki resmi SDK ile gelir: Python için FalconPy ve PowerShell için PSFalcon; 5'in en olgun programatik erişimi.
Şekil 7. CrowdStrike Falcon OAuth2 REST API istemci listesi
Fusion SOAR yereldir ve istihbarat beslemesi STIX/TAXII/JSON dışa aktarır; ancak STIX/TAXII beslemesi Premium'dur. Yalnızca free-otomasyon ekseninde OTX daha güçlüdür.
Raporlama
Araç; stratejik, operasyonel, taktik ve sektör raporlarını kapsar; rapor PDF, API, STIX/TAXII ve e-posta veya SIEM teslimatı ile sunulur. Reports modülü, 429 tamamlanmış istihbarat raporu (rakip, MITRE, endüstri, ülke ve kötü amaçlı yazılım filtreleri) artı 2025 Threat Hunting Report'u tutar; tam kütüphane Premium'dur.
Şekil 8. CrowdStrike Falcon tamamlanmış Recon raporları
Operasyonel senaryolar
Recon+, CSC Global tek tıklamayla uçtan uca yönetilen kaldırma (sahte hesaplar, kimlik avı, alan adları) sunar; 5 arasında platform içi tek kaldırma. OverWatch yönetilen avcılık, Fusion SOAR, FalconPy ve YARA/SNORT istihbarat odaklı avcılığı destekler (Premium). CrowdStrike, her iki kısmi puanı da paketlemeye kaybeder: güvenlik açığı önceliklendirmesi (ExPRT.AI) Exposure Management'ta yer alır ve Recon tedarik zinciri izleme, tam satıcı riski derecelendirmesinden ziyade ortak ve tedarikçi taklitçiliğine odaklanır.
Öne çıktığı ve maliyetli olduğu yerler
CrowdStrike, 3 kısmi puanını eksik yeteneklerden ziyade konumlandırma tercihlerine verir: CVE istihbaratı ayrı bir SKU'da (3'ün 2'si) ve tedarik zinciri kapsamı taklitçilikte durur. Gerçek takaslar; 4'ten fazla abonelikte SKU parçalanması, 5'in en yüksek toplam maliyeti, ücretsiz besleme katmanı olmaması ve X-Force veya GreyNoise'dan daha kaba risk puanlamasıdır.
En iyisi için: Atıf merkezli bir tehdit istihbaratı programına (APT takibi, kampanyalar, ATT&CK) ve dijital risk koruması için bütçeye sahip olgun SOC ve CTI ekipleri, özellikle mevcut Falcon EDR/XDR müşterileri. Bütçe kısıtlı ekipler veya tek dar bir yeteneğe ihtiyaç duyanlar başka yere bakmalıdır.
Feedly Threat Intelligence
AI-OSINT toplama katmanı ve 5'in en yüksek ikinci puanı. Passwordless magic-link girişi ile 30 günlük Threat Intelligence denemesi (“Playground”) üzerinden test ettik. Feedly hiçbir birinci taraf telemetri üretmez. Leo AI kaynakları okur ve Threat Graph'ı 10M+ makale, 681M+ IoC, 300K+ CVE, 979 tehdit aktörü, 12K+ kötü amaçlı yazılım ailesi ve 800 TTP tutar. Fiyatlandırma, Standard için yılda yaklaşık $19,2K ve Advanced için $38,4K'dır; MCP Server ve gelişmiş API Advanced veya Enterprise'da bulunur.
Veri kaynakları
Today panosu, makaleleri AI ile seçilmiş kategorilere (güvenlik açıkları, siber saldırılar, tehdit istihbaratı, güvenlik haberleri, satıcı tavsiyeleri) ayırır ve bir olayın birçok kaynaktaki kapsamını tekilleştirir; “+426 besleme” işaretli bir kartı tek bir öğeye daraltır. Arkasında 10.000+ seçilmiş, açık ve dark web kaynağı artı milyonlarca ham besleme yer alır. Kendi sensör ağı yoktur (bu kategorideki tek ✗) ve dark web birinci taraf operasyon yerine toplama yoluyla sağlanır.
Şekil 9. Feedly Threat Intelligence Çalışma Alanı
Kapsam ve istihbarat türleri
Leo, makale metninden IoC'leri otomatik olarak çıkarır: bir GodDamn Ransomware kartı “IoC > 4 IP ve 18 hash” olarak etiketlendi ve bir jscrambler tedarik zinciri kartı “5 e-posta adresi ve 5 hash” olarak; 4 IoC türünü yapısal olarak çıkarır; bu, pulse etiketlerinin ve itibar aramalarının yapamayacağı bir şeydir.
Şekil 10. Tehdit Intel panosu
Test edilen başka hiçbir hizmet CVSS, EPSS, KEV ve istismar durumunu tek bir ekranda göstermez.
Şekil 11. CVE Öğe detayı
İki boşluk; marka takibi (kısmi, anahtar kelime tabanlı) ve sızdırılmış kimlik bilgileri (yok).
Analiz ve zenginleştirme
Leo, makaleleri ATT&CK teknikleriyle (“33 TTP,” “24 TTP,” “TA0004”) etiketler ve bunları Navigator'a aktarır; Real-Time Threat Graph, makale, IoC, CVE, TTP, aktör ve kötü amaçlı yazılım arasında çalışan bir ilişki grafiğidir. Ham IP ve hash itibarı kendi motorları değildir; VirusTotal ve GreyNoise'i çapraz referans alırlar. Resmi bir makale risk puanı yoktur; puanlama, EPSS ve CVSS aracılığıyla güvenlik açığı tarafında kalır.
Atıf
Threat Actor Insights Cards, 979 aktörü takma ad mutabakatı ve hedefler, TTP'ler, kötü amaçlı yazılımlar ve CVE'lere bağlantılarla kapsar. Ancak içerik birinci taraf değil, OSINT kaynaklıdır; bu nedenle Feedly atıfı yazmaktan ziyade derler.
Platform
AI Feeds boolean sorguları alır, Ask AI doğal dil alır ve Team Boards izleme listesi uyarıları taşır. Tamamlanmış istihbarat, analist tarafından yazılmış bir kütüphane (~) yerine AI sentezidir (Ask AI, Insights Cards) ve RFI veya talep üzerine analist (✗) yoktur.
Entegrasyon ve API
Bir STIX 2.1 REST API'si, 11+ SIEM/SOAR bağlayıcısı (Anomali, MISP, Cortex XSOAR, EclecticIQ, ThreatQ, ThreatConnect, Sentinel, Splunk, OpenCTI), çok biçimli dışa aktarma ve Slack, Teams, e-posta ve bülten teslimatı mevcuttur. AI destekli CTI otomasyonu için MCP Server, test edilen başka hiçbir hizmette görünmez.
Raporlama
Report Builder ve Ask AI; yönetici özetleri, güvenlik açığı tavsiyeleri, aktör TTP brifingleri ve bültenler üretir; böylece ürün ham veri yerine hazır çıktılar verir.
Operasyonel senaryolar
Vulnerability Dashboard, test edilen herhangi bir hizmetin ana ürününde entegre EPSS/KEV önceliklendirmesidir. IoC eşleştirme, SOAR ve TIP'i bağlamla besler ve bir MCP odaklı ServiceNow bilet yolu mevcuttur. Vulnerability Dashboard, eklenti değil ana üründe yerleşik tek entegre EPSS/KEV önceliklendirmesidir.
Şekil 12. Feedly Threat Intelligence güvenlik açıkları panosu
Öne çıktığı ve yetersiz kaldığı yerler
4 ✗ işaretinin tümü arketipten kaynaklanır: birinci taraf sensör yok, sızdırılmış kimlik bilgisi veritabanı yok, RFI yok, kaldırma yok. Atıf, OSINT kaynaklı kalır. Bunu birincil kaynakların üzerinde bir derleyici ve raporlama ön ucu olarak ele alın; onların yerine geçen bir şey olarak değil.
En iyisi için: OSINT triyajını hızlandırmak, CVE'leri ve TTP'leri izlemek ve hazır istihbarat çıktıları üretmek isteyen self-servis CTI ekipleri. Bunu birincil kaynakların üzerinde bir derleyici katman olarak ele alın; onların yerine geçen bir şey olarak değil.
IBM X-Force Exchange (yakında kullanımdan kaldırılıyor)
⚠ IBM, X-Force Exchange'in kullanım ömrünün sonunu 31 Ağustos 2026 olarak duyurdu; QRadar ve tehdit istihbaratı yetenekleri Palo Alto Cortex'e geçiyor. Yapılandırılmış tehdit istihbaratı hakkında öğrettikleri için değerlendirin, uzun vadeli bir temel olarak değil.
Şekil 13. IBM X-Force Exchange panosu
5'in en yapılandırılmış freemium'u. IBMid ile ücretsiz Freemium katmanında test ettik.3 İlk giriş, e-posta-OTP MFA kaydını ve hizmet şartları kabulünü zorladı. Katman modeli yeteneği fiyata göre böler: Freemium portalı ve örnek raporları API olmadan verir; Essentials REST API'sini, zenginleştirmeyi ve TAXII'yi ekler; Standard toplu besleme ekler ve Premium tehdit grubu, endüstri, kötü amaçlı yazılım ve ATT&CK derinliğini açar.
Veri kaynakları
Besleme, IBM'in kendi araştırma ekiplerini, bir ReversingLabs kötü amaçlı yazılım ortaklığını, IP, URL, güvenlik açığı ve imza beslemelerini ve Quad9 DNS telemetrisini birleştirir… Hacim, OTX'in günde kabaca 20M IOC'sinin altında kalır, ancak içerik kitle kaynaklı değil, incelenmiştir. OTX'in ham hacmine ulaşmaz, ancak gürültü taşımaz. Platformda dark web yoktur; gerçek izleme ayrı X-Force IRIS hizmetlerinde çalışır.
Kapsam ve istihbarat türleri
Zenginleştirme yapılandırılmış ve gürültüsüz geldi: Conti C2 IP (162.244.80.235), eskitme sonrasında sayısal Risk 1/10 döndürdü; bir kategorizasyon geçmişi (test sırasında “Şüpheli Değil” olarak işaretlendi, 2022 analist incelemesi kötü amaçlı yazılım etiketini kaldırdı), bir 31 olaylık zaman çizelgesi, ASN ve alt ağ, WHOIS ve pasif DNS. SUNBURST alan adı4 Risk 10/10, Botnet C2 döndürdü; WHOIS'te FBI Siber Bölüm sinkhole'u kayıtlıydı; aynı gösterge OTX'te 1.487 etiketli gürültü çekti. İmza yeteneği X-Force Database'dir, 260K+ güvenlik açığı: bir Log4Shell araması 50 güvenlik açığını, 200 imzayı, 200 istismar eden IP'yi, 5 tehdit grubu profilini, 11 kötü amaçlı yazılım analizini ve 3 endüstriyi herhangi bir ek SKU olmadan çapraz referansladı. WannaCry hash'i aile, tür, platform, %97 topluluk kapsamı ve ilk ve son görülme tarihleriyle ReversingLabs Titanium verisini döndürdü. Sızdırılmış kimlik bilgileri yoktur ve marka kısmidir.
Kapsam ve istihbarat türleri
Conti C2 IP (162.244.80.235), eskitme sonrasında sayısal Risk 1/10 döndürdü; bir kategorizasyon geçmişi (bugün “Şüpheli Değil” olarak işaretlendi, 2022 analist incelemesi kötü amaçlı yazılım etiketini kaldırdı), bir 31 olaylık zaman çizelgesi, ASN ve alt ağ, WHOIS ve pasif DNS.
Şekil 14. IBM X-Force Conti C2 IP
SUNBURST alan adı4 Risk 10/10, Botnet C2 döndürdü; WHOIS'te FBI Siber Bölüm sinkhole'u kayıtlıydı; aynı gösterge OTX'te 1.487 etiket çekti.
Şekil 15. SUNBURST URL araması
İmza yeteneği X-Force Database'dir, 260K+ güvenlik açığı: bir Log4Shell araması 50 güvenlik açığını, 200 imzayı, 200 istismar eden IP'yi, 5 tehdit grubu profilini, 11 kötü amaçlı yazılım analizini ve 3 endüstriyi herhangi bir ek SKU olmadan çapraz referansladı.
Şekil 16. Log4Shell takibi
WannaCry hash'i aile, tür, platform, %97 topluluk kapsamı ve ilk ve son görülme tarihleriyle ReversingLabs Titanium verisini döndürdü. Sızdırılmış kimlik bilgileri yoktur ve marka kısmidir.
Şekil 17. WannaCry kötü amaçlı yazılım raporu
Analiz ve zenginleştirme
Sayısal Risk 1 ila 10 puanı, bir analist incelemesi zamansal zaman çizelgesi taşır; bir ücretsiz katmandaki tek sayısal puanlama modeli: OTX sayısal puan sunmaz ve GreyNoise 4 kategori kullanır. ATT&CK, IOC sayfasında değildir; Premium içerikte görünür ve görsel bağlantı grafiği yoktur.
Atıf
Yapılandırılmış Threat Group ve IRIS ITG profilleri mevcuttur ve 2026 tavsiye akışı günceldir (APT28 PRISMEX, Early Warning). Ancak Freemium yalnızca örnekleri gösterir, derin profiller Premium'dur ve çoğu büyük APT'nin IBM'in ITG adlandırması altında özel profili yoktur; bu nedenle takma ad mutabakatı analiste kalır. Bu, UI yerel ATT&CK'lı CrowdStrike'ın 287 rakip profilinin gerisindedir.
Platform
Çok yönlü arama (10+ tür artı bir risk filtresi), güvenlik açığı odaklı Watchlist, Collections ve Notifications, ücretsiz portalı freemium ve topluluk katmanlarının en olgunu yapar. Boşluk analist erişimidir: üründe RFI yoktur.
Raporlama
Tamamlanmış istihbarat kütüphanesi 8'den fazla rapor türüne (Threat Group, OSINT, Malware, Industry, Threat Index) uzanır ve 2026'ya kadar güncel kalır; bir Financial Services endüstri profili sektör ve coğrafyayı ayrıştırır. Güvenlik açığı önceliklendirmesi eksiktir: CVSS istismar edilebilirliği ve çapraz referans güçlüdür, ancak EPSS yoktur ve ürünleştirilmiş akış yoktur.
Şekil 18. Financial Services endüstri profili raporu
Entegrasyon ve API
Rapor başına STIX 2 dışa aktarma Freemium'da çalışır ve QRadar entegrasyonu yereldir; ancak API ve TAXII Essentials'ta, toplu besleme Standard'da başlar; bu nedenle ücretsiz katman API çağrılarında 403 döndürür. X-Force, OTX'in ayna görüntüsüdür: zengin bir ücretsiz UI ile ücretli otomasyon.
Operasyonel senaryolar
Dark web izleme, sızdırılmış kimlik bilgileri, kaldırmalar ve RFI'lar platformun dışındadır; bazıları ayrı X-Force IR ve TI hizmetlerindedir. Tehdit avcılığı, Collections, STIX dışa aktarma ve QRadar'a dayanır; toplu operasyonelleştirme ücretli API'ye bağlıdır.
Öne çıktığı ve yetersiz kaldığı yerler
XFDB güvenlik açığı veritabanı, sayısal risk zenginleştirme ve güncel tamamlanmış istihbarat kütüphanesi, X-Force'u orta-üst banda, OTX'in üstüne ve CrowdStrike'ın altına yerleştirir. Zayıflıklar: kullanım ömrü sonu tarihi, ücretli otomasyon, platform içi eylem katmanı olmaması ve Premium kapılı atıf. 2026 kullanım ömrü sonu göz önüne alındığında hiçbir ekip bunun üzerine çok yıllı bir pipeline kurmamalıdır.
En iyisi için: ücretsiz, yapılandırılmış IOC zenginleştirmeye ve güvenlik açığı araştırmasına ihtiyaç duyan analistler; geçişe kadar IBM/QRadar ekosistemi içinde. Çok yıllı bir platform seçen herkes, şimdiden onun yerine geçecek olanı planlamalıdır.
GreyNoise
Şekil 19. GreyNoise açılış panosu
GreyNoise, 5'in en darı ve kendi şeridinde en derinidir. MFA'sız Auth0 girişi ile ücretsiz Community katmanını test ettik.5 GreyNoise tek bir soruyu yanıtlar: Bu IP interneti toplu tarıyor mu, kötü niyetli mi, iyi huylu mu, şüpheli mi yoksa bilinmiyor mu ve ne arıyor? Veriler kendi Global Observation Grid'inden gelir: 5.000+ sensör, yaklaşık 80 ülkede, günde 500M ila 1B oturum ve 50M+ gözlemlenen IP. Test gününde bir last_seen:1d sorgusu 699.076 aktif tarayıcı IP döndürdü. Katman modeli derinliği ve pencereyi kapılar, yeteneği değil: Community, 10 günlük geriye bakış ve temel zenginleştirme verir; RIOT, CVE: yüzeyi ve daha uzun pencereler üst katmanlardadır; 33 kriterin 17'sine Community'de erişilebilir.
Veri kaynakları
GreyNoise, OTX'in kitle kaynaklı beslemesinin ve Feedly'nin toplamasının yapmadığı kendi tarama telemetrisine sahiptir ve bu, CrowdStrike'ın uç nokta telemetrisinden farklı bir eksendedir. Kategorinin geri kalanı dardır: kaynak tek türdür (tarama IP'leri), IP-coğrafi meta veriler bölgesel tehdit profilinden ziyade tekniktir ve dark web kapsam dışıdır.
Şekil 20. last_seen:1d için arama sonuçları
Kapsam ve istihbarat türleri
GreyNoise için en zayıf kategori. GreyNoise, tek bir gösterge türünü, IP adreslerini, artı IP bağlantılı CVE, etiket ve JA4 verisini işler; yerel hash, alan adı veya URL itibarı yoktur. 8.8.8.8 (Google DNS) sorgusu doğru şekilde NOT OBSERVED döndürdü; çünkü bir DNS sunucusu tarayıcı değildir. Güvenlik açığı verisi, bir veritabanından ziyade bir istismar sinyalidir: cve: yüzeyi Community'nin üzerinde kapılıdır, ancak Trends görünümü hangi CVE'lerin şu anda toplu istismar altında olduğunu CVSS, EPSS veya yama verisi olmadan listeler.
Şekil 21. CVE eşlemeli trend istismarı
Analiz ve zenginleştirme
Kötü amaçlı bir IP (139.59.140.35) bir sınıflandırma zaman çizelgesi, 34 etiket, sahtekarlık yapılabilir bayrağı, coğrafi bilgi (Almanya, Hessen, Frankfurt, AS14061 DigitalOcean), taşıyıcı ve rDNS döndürdü; test edilen başka hiçbir hizmetin döndürmediği IP başına daha fazla bağlam. Risk, sayısal puan yerine kategorik 4 sınıflı model (kötü niyetli, iyi huylu, şüpheli, bilinmeyen) ve RIOT bilinen-iyi eşleştirmesi kullanır; test gününde canlı dağılım kötü niyetli 84K, iyi huylu 20K, şüpheli 68K ve bilinmeyen yaklaşık 528K olarak gerçekleşti. ATT&CK eşlemesi yoktur.
Atıf
Bu kategoride tasarım gereği dört yokluk gözlemliyoruz. Adlandırılmış APT yoktur; aktör etiketleri Shodan ve Censys gibi iyi huylu tarayıcıları adlandırır, tehdit gruplarını değil.
Platform
GNQL, IP, sınıflandırma, etiketler, aktör, CVE ve meta veri alanlarında Lucene tabanlı bir sorgu dilidir; IP gürültüsü alanındaki en ifade gücü yüksek sorgu yüzeyi. Uyarılar (kaydedilmiş bir GNQL sorgusunun e-postaya gönderilmesi), sorgu tabanlı bir engelleme listesi ve bir Trends panosu izlemeyi kapsar; ancak pano sınırlıdır. Tamamlanmış istihbarat ve RFI yoktur.
Entegrasyon ve API
Elli artı entegrasyon SIEM, SOAR, TIP ve güvenlik duvarını kapsar (Splunk, Sentinel, QRadar, Tines, ThreatConnect, MISP, OpenCTI, Palo Alto, Fortinet); üç API katmanı (Community, Enterprise, On-Prem) resmi pygreynoise SDK ile gelir ve her GNQL sorgusu güvenlik duvarı uyumlu canlı bir engelleme listesi URL'si olarak ikiye katlanır. Boşluk, MISP veya OpenCTI köprüsü gerektiren yerel STIX/TAXII'dir.
Raporlama
Dışa aktarma JSON ve CSV artı engelleme listesi URL'si ve Uyarılar teslimatına kadar çalışır ve veriler neredeyse gerçek zamanlıdır; ancak rapor biçimi yoktur ve tamamlanmış istihbarat veya sektör raporlaması yoktur.
Operasyonel senaryolar
Çekirdek senaryo, bilinen tarayıcıları SIEM'e ulaşmadan önce iyi huylu olarak sınıflandırarak SOC uyarı gürültüsünü kesmek ve toplu IP analizidir. Diğer 4'ün hiçbiri bunu yapmaz. Trends istismar sinyali, olasılık tabanlı puanları tamamlar; tam ürün ücretli bir eklentidedir. Kaldırma ve tedarik zinciri kapsam dışıdır.
Şekil 22. benign last_seen:1d için arama sonuçları
Öne çıktığı ve yetersiz kaldığı yerler
GreyNoise, karşılamaya hiç kalkışmadığı 16 kriteri kaçırır. Tam platform beklentisine karşı zayıflıklar; IP'lerle sınırlı kapsam, atıf yok, tamamlanmış istihbarat veya RFI yok, sayısal risk puanı yok ve yerel STIX/TAXII yok. Bir platform değil, katman olarak çalışır.
En iyisi için: Mevcut bir SIEM veya tehdit istihbaratı yığınının önünde tamamlayıcı bir katman: uyarı triyajı, toplu IP analizi ve "bu CVE gerçekten istismar ediliyor mu?" kontrolleri. Bağımsız bir tehdit istihbaratı platformu olarak hizmet edemez ve bunu iddia etmez.
AlienVault OTX
Şekil 23. AlienVault OTX ana panosu
ücretsiz besleme ve otomasyon motoru; LevelBlue (eski adıyla AT&T Cybersecurity / AlienVault) tarafından yürütülür. Community katman konsolunu test ettik;6 5'in en sürtünmesiz erişimi; kredi kartı yok, deneme sayacı yok, MFA yok ve kalıcı oturum. Bir API anahtarı Ayarlar'dan tek tıklamadır ve DirectConnect REST API'sini, SDK'ları ve TAXII sunucusunu belgeler.
Veri kaynakları
OTX, yaklaşık 200K katılımcıdan günde yaklaşık 20M IOC taşır; 95M gösterge taranabilir. 4 tarihsel IOC probunun tamamı bulundu. Conti C2 IP (162.244.80.235, CISA AA21-265A) kötü amaçlı hüküm, ASN AS19624, ilk ve son görülme tarihleriyle pasif DNS ve 28 pulse döndürdü.
Şekil 24. Conti C2 IP analizi
Birinci taraf araştırma zayıftır. Alien Labs, topluluk akışına karışan incelenmiş pulse'lar üretir ve seçilmiş birinci taraf istihbarat ücretli USM ürününde yer alır. Dark web, ücretsiz çekirdekte yoktur; SpyCloud ile ayrı USM Anywhere dark web izleme AlienApp'inde yaşar.
Kapsam ve istihbarat türleri
Her tarihsel prob, 95M taranabilir göstergeye karşı 28 ila 50 pulse eşleşmesi döndürdü. ücretsiz Submit Sample sayfası, YARA desteğiyle dosyalar ve URL'ler üzerinde statik ve dinamik sandbox analizi çalıştırır; ücretli sandbox'lara uygun bir alternatif.
Şekil 25. Analiz için Files ve URL gönderimi
Güvenlik açığı verisi kısmi bir iskelettir (Exploits 40 ve Targeted Products 373 ile bir CVE gösterge sayfası artı API'de CVSS) ve EPSS, KEV veya önceliklendirme yoktur. Marka ve sızdırılmış kimlik bilgileri yoktur.
Analiz ve zenginleştirme
Yapılandırılmış aktör profili, ayarlanabilir risk puanı, görsel grafik yoktur ve ATT&CK verileri API'de mevcuttur ancak UI'da değildir. Topluluk takma adları cevap anahtarımızla eşleşti: APT28 için Sofacy, FIN7 için Anunak, Scattered Spider için Muddled Libra, PAN-OS etkinliği için UTA0218 ve MOVEit için Lace Tempest. Buna karşılık SUNBURST alan adı 1.487 etiket taşıdı, WannaCry killswitch girişi LLM tarafından üretilmiş sahte etiketler tuttu, çoğu aktör pulse'u 2015-2017 tarihlidir ve LockBit rakip etiketi boştu. Sayısal risk puanı olmadan otomatik triyaj zordur.
Atıf
Rakip etiketleri ve pulse'lar mevcuttur ve takma adlar iyidir; ancak yapılandırılmış profil yoktur ve içeriğin çoğu güncel değildir.
Platform
Bir pano ve pulse aboneliği vardır; ancak varlık veya anahtar kelime izleme, tamamlanmış istihbarat kütüphanesi veya RFI yoktur. OTX, bir araştırma konsolundan ziyade bir besleme kaynağıdır.
Entegrasyon ve API
Bu bölüm, OTX'in 5 arasındaki tek net avantajıdır. Bir REST API'si, Python, Java ve Go SDK'ları, yerel bir TAXII sunucusu ve STIX/JSON/CSV/OpenIOC/MAEC dışa aktarma, onu 5 arasında tam programatik erişimi ücretsiz açan tek hizmet yapar.
Şekil 26. AlienVault OTX DirectConnect API
API, ATT&CK kimlikleri ve kötü amaçlı yazılım aileleri dahil UI'dan daha zengin veri döndürür. Belgelenmemiş bir hız sınırı pratik kısıttır. Toplu sorgular zaman aşımına uğradı; ilk turda 13'ün 4'ü ve yeniden deneme ile geri çekilme gerekti.
Raporlama
Birden çok biçimde güçlü IOC beslemesi dışa aktarma, ancak rapor teslimatı yok ve sektör veya özelleştirilebilir raporlama yok.
Operasyonel senaryolar
Tehdit avcılığı, ücretsiz API, osquery tabanlı OTX Endpoint ve SIEM engelleme listelerini besleyen pulse abonelikleri aracılığıyla operasyonelleştirilir. Kaldırma, güvenlik açığı önceliklendirmesi ve tedarik zinciri yoktur; bunlar ayrı ücretli LevelBlue, USM, SpyCloud veya Tenable ürünlerindedir.
Öne çıktığı ve yetersiz kaldığı yerler
ücretsiz çekirdekte on kriter yoktur (dark web, sızdırılmış kimlik bilgileri, marka, kaldırma, tamamlanmış istihbarat, RFI, sektör raporları, güvenlik açığı önceliklendirmesi ve tedarik zinciri); çoğu ayrı ücretli LevelBlue, USM veya SpyCloud ürünlerindedir; OTX, o ailenin ücretsiz temelidir. Zayıflıklar: analiz ve atıfta sıfır tam puan, risk puanı olmadan yüksek topluluk gürültüsü ve belgelenmemiş bir API hız sınırı. OTX makineleri iyi besler; kendi başına insan karar vermesini desteklemez.
En iyisi için: Bir SIEM, MISP veya TIP'e ücretsiz, yüksek hacimli IOC beslemesi artı ücretsiz otomasyon ve avcılık isteyen ekipler. OTX makineleri iyi besler; kendi başına insan karar vermesini desteklemez.
Hangi hizmet hangi senaryoya uyar
- Falcon EDR/XDR çalıştırıyor ve APT'leri izliyorsanız: Tek konsol rakip istihbaratı, ATT&CK ve kampanya bağlamı için CrowdStrike.
- Dark web, sızdırılmış kimlik bilgisi, kaldırma veya talep üzerine analist kapsamına ihtiyacınız varsa: CrowdStrike Recon/Recon+/CAO Elite, 5 arasında tek seçenek.
- SOC'unuz tarama IP'lerinden gelen uyarılarda boğuluyorsa: Gürültüyü sınıflandırmak ve yanlış pozitifleri kesmek için SIEM'in önünde GreyNoise.
- Binlerce açıklanmış güvenlik açığını önceliklendirmeniz gerekiyorsa: Feedly (tek kartta EPSS + KEV + CVSS) veya dayandığı sürece X-Force'un XFDB'si; GreyNoise'un istismar gözlemleriyle doğrulayın.
- Bütçeniz yok ancak tehdit istihbaratı beslemeleri ve otomasyona ihtiyacınız varsa: OTX'in ücretsiz API'si, SDK'ları ve TAXII sunucusu.
- Analist işe almadan tamamlanmış raporlar ve bültenler gerekiyorsa: Feedly'nin Report Builder ve Ask AI'sı.
Tercih edilen kaynak olarak ekleKatmanlı yığın: 5 hizmet nasıl birleşir
5 hizmet genelinde testlerimiz 83 tam, 47 kısmi ve 35 eksik işaret üretti ve hiçbir ürün tam bir tehdit istihbaratı programına eşit değildir. Gerçekçi bir mimari, onları rakipler yerine tamamlayıcı katmanlar olarak ele alır:
- Ücretsiz besleme tabanı: OTX, SIEM/TIP'e ham IOC hacmi ve ücretsiz otomasyon sağlar.
- Gürültü filtresi: GreyNoise, SIEM'in önünde oturur, iyi huylu tarayıcı uyarılarını bastırır ve aktif istismarı işaretler.
- Toplama ve teslimat: Feedly, OSINT'i derler, IoC/TTP'leri çıkarır ve raporlar üretir; zenginleştirmesi GreyNoise ve VirusTotal'i çapraz referans alır.
- Araştırma ve zenginleştirme: X-Force, Ağustos 2026'ya kadar ücretsiz yapılandırılmış aramaları ve güvenlik açığı araştırmasını kapsar; sonrasında yuvası bir halef gerektirir.
- Premium atıf ve dijital risk: CrowdStrike, adlandırılmış rakip istihbaratı, dark web izleme, kaldırmalar ve analist erişimi için yığının tepesindedir.
Doğru soru “hangi tehdit istihbaratı platformu en iyi?” değil, “hangi ürünle hangi katmanı dolduruyorum ve kullanım ömrü sona erdikten sonra X-Force'un yerini ne alacak?” sorusudur.
Nasıl test ettik
5 kavram kanıtının tamamı canlı hesaplarda çalıştı: OTX Community, X-Force Freemium, CrowdStrike Premium denemesi (EU-1 bölgesi), GreyNoise Community ve 30 günlük Feedly TI denemesi. Her hizmet 8 kategoride aynı 33 kriterle ve özdeş bir prob setiyle karşılaştı:
- Tarihsel IOC'ler: WannaCry hash ve killswitch, SUNBURST alan adı, Conti C2 IP.
- Tehdit aktörleri: APT28, Lazarus, FIN7, LockBit, Scattered Spider, MuddyWater; önceden oluşturulmuş bir takma ad cevap anahtarına göre kontrol edildi.
- CVE'ler: Log4Shell, MOVEit, Outlook ve PAN-OS güvenlik açıkları.
- Artı: marka izleme, dark web ve API/STIX probları.
Kanıt olarak 5 konsolda 57 yetenek ekran görüntüsü yakaladık. CrowdStrike, paketlemesi CTI özelliklerini SKU'lara yaydığı için ürün ailesi düzeyinde (Adversary Intelligence + Premium + Recon/Recon+ + CAO Elite + Exposure Management) puanlanır; katman sahipliği her yetenek için not edildi.
Siber tehdit istihbaratı nedir?
Siber tehdit istihbaratı (CTI), mevcut ve ortaya çıkan tehditler hakkındaki ham verilerin toplanması ve analizini ifade eder; güvenlik ekiplerinin siber saldırıları önlemesine, tespit etmesine ve yanıt vermesine yardımcı olan eyleme dönüştürülebilir içgörüler üretir. CTI hizmetleri; sensör ağları, açık kaynak istihbaratı, dark web forumları ve güvenlik açığı veritabanları gibi kaynaklardan tehdit verilerini toplar, ardından bunları kararları bilgilendiren tehdit göstergeleri, aktör profilleri ve raporlara dönüştürür.
Siber tehdit istihbaratı, kuruluşların hasar oluştuktan sonra olaylara tepki vermek yerine gelecekteki tehditleri öngörmesine yardımcı olur. İşletmeleri proaktif siber savunmaya yönlendirir: saldırı yüzeyini azaltmak için açık varlıkları belirlemek, bir saldırıdan önce ortaya çıkan bilgisayar korsanı eğilimlerini tespit etmek ve kendi endüstrilerini hedefleyen belirli tehditlere karşı güvenlik yatırımlarını önceliklendirmek.
Tehdit istihbaratı türleri
Tehdit istihbaratı 4 çerçeveye ayrılabilir ve olgun bir tehdit istihbaratı programı dördünü de tüketir:
- Stratejik tehdit istihbaratı, yöneticiler için siber tehdit ortamının üst düzey bir görünümünü sunar ve teknik karmaşıklıkları ilgili paydaşlar için ticari riske çevirir. Kıyaslamamızdan örnek: IBM'in Threat Index'i ve CrowdStrike'ın Threat Hunting Report'u.
- Taktik tehdit istihbaratı, saldırganların taktiklerine, tekniklerine ve prosedürlerine (TTP'ler) odaklanır; genellikle MITRE ATT&CK'ye eşlenir. Örnek: CrowdStrike'ın rakip başına ATT&CK matrisleri ve Feedly'nin otomatik TTP çıkarımı.
- Operasyonel tehdit istihbaratı, devam eden belirli kampanyaları ve saldırıları kapsar; olay müdahale ekiplerine gerçek zamanlı bağlam verir. Örnek: X-Force tehdit analizi raporları ve Early Warning kampanyaları.
- Teknik tehdit istihbaratı, otomatik tespiti besleyen IP'ler, alan adları, hash'ler ve URL'ler gibi uzlaşma göstergelerinden (IOC'ler) oluşur. Örnek: OTX pulse'ları ve GreyNoise IP sınıflandırmaları.
Tehdit istihbaratı yaşam döngüsü
Tehdit istihbaratı yaşam döngüsü, ham veriyi eyleme dönüştürülebilir tehdit istihbaratına dönüştüren 6 aşamadan oluşur:
- Gereksinimler: güvenlik ekibinin ve paydaşların ne bilmesi gerektiğini tanımlayın.
- Veri toplama: beslemelerden, sensörlerden, OSINT'ten ve dark web'den ham veri toplayın.
- İşleme: toplanan verileri normalleştirin, tekilleştirin ve yapılandırın.
- Analiz: işlenmiş veriyi değerlendirmelere, puanlara ve raporlara dönüştürün.
- Dağıtım: istihbaratı, SIEM, SOAR ve güvenlik duvarları gibi onunla hareket eden kişilere ve araçlara iletin.
- Geri bildirim: paydaşlar neyin işe yaradığını raporlar; programın gelişen tehditlere uyum sağlaması için ayarlamaları bilgilendirir.
8 kıyaslama kategorimiz bu yaşam döngüsüne eşlenir: veri kaynakları ve kapsam toplamayı, analiz ve atıf analiz aşamasını, entegrasyon, raporlama ve operasyonel senaryolar dağıtım ve eylemi ölçer.
Tehdit istihbaratını güvenlik operasyonlarıyla neden entegre etmeli?
- Erken uyarılar: tehdit istihbaratı beslemelerini bir SIEM ile birleştirmek, bir olay tırmanmadan önce günlüklerde göründüğünde yüksek riskli etkinliği sınıflandırır.
- Daha az yanlış pozitif: GreyNoise'un iyi huylu tarayıcı sınıflandırması gibi yüksek doğruluklu uyarılar, güvenlik analistlerinin gerçek tehditleri araştırması için uyarı yorgunluğunu en aza indirir.
- Daha hızlı olay müdahalesi: kötü amaçlı yazılım operasyonları ve tehdit aktörleri hakkında anında bağlam, olay müdahale yeteneklerini artırır ve yanal hareketten önce ihlal edilmiş sistemlerin izole edilmesine yardımcı olur.
- Tehdit bilgili yama uygulama: her yıl binlerce yazılım güvenlik açığı açıklanır; istismar farkındalıklı puanlar (EPSS, KEV, ExPRT.AI, GreyNoise gözlemleri) istismar edilenleri önceliklendirir.
- Bilgili kaynak tahsisi: tehdit istihbaratı kullanan kuruluşlar, siber güvenlik kaynaklarını kendi sektörleriyle ilgili saldırı vektörlerine ve potansiyel tehdit aktörlerine yönlendirebilir.
SSS'ler
5'in hiçbiri açık ara kazanmaz. CrowdStrike kapsamda liderdir (33 kriterin 30'u) ancak en pahalıdır ve yetenekleri 4'ten fazla SKU'ya böler. Feedly self-servis toplamada, X-Force (Ağustos 2026 EOL'ye kadar) ücretsiz araştırmada, GreyNoise IP triyajında ve OTX ücretsiz otomasyonda liderdir. Çoğu kuruluş bunlardan 2-3'ünü katmanlar halinde birleştirir.
IOC beslemeleri, zenginleştirme aramaları ve avcılık için evet: OTX, GreyNoise Community ve X-Force Freemium bunları ücretsiz sağlar. Tamamlanmış istihbarat, dark web izleme, sızdırılmış kimlik bilgisi tespiti, kaldırmalar ve analist erişimi yalnızca ücretli katmanlarda, çoğunlukla CrowdStrike ailesinde göründü.
Etkinliği analistler görmeden önce sınıflandırarak. Testlerimizde GreyNoise, Shodan ve Censys gibi bilinen tarayıcıları iyi huylu olarak etiketledi; X-Force, eski bir Conti C2 IP'sini analist incelemesinden sonra Risk 1/10'e düşürdü ve Feedly, bir olayı kapsayan 426 beslemeyi tek bir kartta tekilleştirdi.
Bu benchmarkı kaynak gösterin
Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.
@misc{dogan2026,
author = {Dogan, Sedat and PhD., Ezgi Arslan,},
title = {{En İyi 5 Siber Tehdit İstihbaratı Hizmeti Kıyaslandı}},
year = {2026},
month = aug,
howpublished = {\url{https://aimultiple.com/cyber-threat-intelligence-services}},
note = {AIMultiple. Erişim tarihi: 31 Ağustos 2026}
}14 veri noktasının sonuçları ve zaman damgaları. Bu makalede kullanılan verileri, 2 CSV dosyası içeren ZIP dosyası olarak indirin.
Referans Linkleri
- Programlama dilleri ve sunucu mimarileri konusunda kapsamlı uzmanlığa sahip, 20 yıllık deneyime sahip bir beyaz şapkalı hacker ve geliştirme gurusudur.
- Erken aşama teknoloji şirketlerine yatırım yapan bir VC'de ve 125.000 işletmeye hizmet veren bölgesel bir dijital ödeme platformu olan Ödeal'da yönetim kurulu danışmanıdır.
- Yedi ulusal seçimin teknoloji altyapısını ve siber güvenliğini yönetmiş ve Twitter dahil küresel teknoloji liderleri tarafından siber güvenlik Onur Listesi'nde tanınmıştır.
Yorum yapan ilk kişi olun
E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir. Yorumlar orijinal dilinde bırakılır.