Yöntem ve sınırlar

OSINT döngüsü

Açık kaynak istihbaratı, bir araç takımından önce bir çalışma yöntemidir. Döngü altı adımdır; bu merkezdeki araçlar toplama ve koruma adımlarına hizmet eder.

1. PlanlayınÖnce soruyu ve neyin onu yanıtlayacağını yazın. Bir soru olmadan topladığınız değeri sonradan gerekçelendirmek zordur.
2. ToplayınYalnızca herkese açık kaynakları, tek tek ve bilinçli sorgularla kullanın. Her sorgunun kaynağını, tam adresini ve zamanını not edin.
3. DoğrulayınBir bulguya güvenmeden önce ikinci, bağımsız bir kaynakla doğrulayın; hem kaynağı hem bilgiyi derecelendirin.
4. KoruyunGördüğünüzü, ne zaman ve nerede gördüğünüzü gösterecek biçimde saklayın ve özet (hash) değerini kaydedin.
5. ÇözümleyinKaynağın söylediği ile sizin çıkarımınızı ayırın. Olayları UTC sırasına koyun, her boşluğu ve varsayımı işaretleyin.
6. RaporlayınSoruyu, zamanlarıyla kaynakları, dereceleri, bulguları ve sınırlarını yazın. Bir ipucunu sonuç gibi sunmayın.

Bulguyu korumak

• Zamanı UTC olarak, yerel saatlerde kullandığınız saat dilimiyle birlikte kaydedin.
• Tam adresi parametreleriyle birlikte kopyalayın; yeniden yazmayın.
• Sayfayı ya da yanıtı dosya olarak kaydedin ve SHA-256 değerini hesaplayın. Araştırma dosyası bunu her sorgunun ham çıktısı için yapar.
• Adres çubuğunu ve saati de gösteren bir ekran görüntüsü alın. Ekran görüntüsü kayıtlı dosyayı destekler, yerine geçmez.
• Özgün kaydı olduğu gibi saklayın, kopya üzerinde çalışın.
• Her değeri hangi aracın ve hangi kaynağın ürettiğini yazın.

Kaynak derecelendirme (Amiralik kodu)

Amiralik sistemi kaynağı ve bilgiyi ayrı ayrı derecelendirir; örneğin B2: genellikle güvenilir kaynak, büyük olasılıkla doğru bilgi. Araştırma dosyası her öğede iki dereceyi de saklar.

Berkeley Protokolü

Berkeley Protokolü, uluslararası suç, insan hakları ihlali ve insancıl hukuk ihlali iddialarına ilişkin çevrim içi araştırma için BM İnsan Hakları Yüksek Komiserliği ve UC Berkeley İnsan Hakları Merkezince yayımlanmış bir rehberdir. Türk hukuku değildir; yöntem için bir başvuru kaynağıdır: dijital açık kaynak bilgisinin başkalarınca denetlenebilmesi için nasıl planlanacağını, toplanacağını, korunacağını, doğrulanacağını ve raporlanacağını anlatır.

Dijital Açık Kaynak Soruşturmaları Berkeley Protokolü (BM İnsan Hakları Yüksek Komiserliği ve UC Berkeley İnsan Hakları Merkezi, 2022) ↗

Türkiye'de hukuki sınırlar

• Herkese açık olmak serbestçe kullanılabilir olmak değildir. IP adresi, e-posta adresi ve telefon numarası kişisel veri olabilir. KVKK m. 5/2-d, ilgili kişinin kendisi tarafından alenileştirilmiş veriyi işlemeye izin verir; Kurul bunu dar yorumlar: alenileştirme, kişinin veriyi paylaşma amacıyla sınırlıdır (Kurul kararı 2019/331). KVKK ↗
• Kolluk ile vatandaş farklı rejimlere tabidir. KVKK m. 28 bazı istisnalar sayar; örneğin kanunla yetkilendirilmiş kamu kurumlarının önleyici, koruyucu ve istihbari faaliyetleri ile yargı makamlarının soruşturma, kovuşturma ve yargılama kapsamında yaptığı işlemeler. Bu merkezi kendi yasal yetkisi içinde kullanan personel o rejim içinde çalışır. Bir kişinin başkası hakkında bilgi toplaması bu istisnaların dışında kalır.
• Sistemlere girmeyin, sistemleri yormayın. 5237 sayılı TCK m. 243 ve 244, bilişim sistemine hukuka aykırı girmeyi ve sistemi engellemeyi ya da bozmayı düzenler. Bu nedenle bu merkez tarama yapmaz, giriş denemez, toplu istek göndermez. TCK ↗
• Kişisel veri derlemeyin. 135 ve 136. maddeler kişisel verilerin kaydedilmesini ve hukuka aykırı biçimde verilmesini, yayılmasını ya da ele geçirilmesini düzenler. Bir kişiyle ilgili dağınık bilgileri profilde toplamak bu maddelerin kapsamına girebilir; bu yüzden merkezde profil çıkarma özelliği yoktur.
• ZEKASTRA neden sorumludur? 5651 sayılı Kanun, içerik sağlayıcıyı yayımladığı içerikten sorumlu tutar; bağlantı verdiği üçüncü kişi içeriğinden ise kural olarak sorumlu tutmaz. Bağlantının sunuluş biçimi o içeriğin benimsendiğini açıkça gösteriyorsa sorumluluk doğar. Bu yüzden sitedeki resmî hizmetler kurumun hizmeti olarak etiketlenir, ZEKASTRA'nın hizmeti olarak değil. 5651 ↗

Merkezin hiçbir zaman yapmadıkları

• Telefon numarasından, IMEI'den ya da IP adresinden ad, sahip, abone veya adres çıkarmaz.
• Port taraması yapmaz, giriş denemez, parola tahmin etmez, giriş gerektiren sayfaları okumaz.
• Web sayfalarını ya da sosyal medya profillerini kazımaz, bir kullanıcı adının var olup olmadığını denetlemez.
• Sorgu geçmişi tutmaz: sunucu, hesap ve analiz yoktur.
• Telefon numarasını, IMEI'yi, e-posta adresinin @ işaretinden önceki kısmını, bir parolayı ya da bir dosyayı hiçbir hizmete göndermez. Parola denetiminde tarayıcınızdan yalnızca SHA-1 özetinin ilk 5 karakteri çıkar.
• Sonuçları yapay zekâ ile özetlemez.

Kullanılan kaynaklar

Bu merkezin sorguladığı tek yerler bunlardır ve yalnızca siz düğmeye bastığınızda sorgulanır. Gerisi sizin açacağınız bağlantıdır. Türkiye'deki resmî hizmetler resmî kanallar sayfasındadır. Resmî kanallar