Binalyze: DFIR, Dijital Adli Analiz ve Olay Müdahalesi

2018'de kurulan Binalyze'ın merkezi Estonya'nın Tallinn kentindedir; şirket Birleşik Krallık, Amerika Birleşik Devletleri ve Singapur'da küresel varlığa sahiptir. Kurucusu ve CEO'su Emre Tinaztepe'dir. Şirketin 2023'teki 19 milyon dolarlık A serisi yatırım turuna Molten Ventures öncülük etti; Earlybird Digital East, OpenOcean, Cisco Investments, Citi Ventures ve Deutsche Bank Corporate Venture Capital tura katıldı. Binalyze, veri güvenliği süreçlerini bağımsız denetimle belgeleyen SOC 2 Type II uyumluluğuna sahiptir ve Gartner'ın bulut soruşturma ve müdahale otomasyonu (Cloud Investigation and Response Automation, CIRA) kategorisinde değerlendirilen bir platform üreticisidir.

Bir alarm geldiğinde asıl soru şudur: ne oldu? 2026 araştırmasına göre bir siber soruşturma 8,5 günde sonuç üretiyor; Binalyze'ın yayımladığı 2026 Siber Güvenlik Soruşturmalarının Durumu araştırması ABD'de 200 CISO'nun katılımına dayanıyor; katılımcıların %84'ü saldırıyı kaçınılmaz görürken %72'si soruşturmaların eksik bilgiye dayandığını belirtiyor. Aynı araştırmada gecikme ve görünürlük eksikliklerinin maliyeti ihlal başına ortalama 1,1 milyon dolar olarak veriliyor. Sorunun nedenlerinden biri, tespit teknolojilerindeki olgunluğun soruşturma kapasitesiyle aynı hızda gelişmemesidir. Kanıt toplama ve uzman analist kapasitesi birçok kurumda darboğaz yaratabilir; kanıtın elle toplanması zaman alırken saldırganın ortamda kalış süresi uzar. Binalyze bu boşluğu kapatmak için kurgulanmıştır. Ürün ailesinin ortak paydası aynıdır: AIR temel soruşturma platformudur. DRONE onun otomatik analiz bileşenidir, Magellan gömülü dosya içeriği arama modülüdür. Tornado bulut kaynaklarından kanıt toplayan bağımsız masaüstü uygulaması, Fleet AIR ile API üzerinden entegre olabilen ayrı lisanslı yapay zekâ destekli SOC analisti, Outpost ise tarayıcı uzantısıdır. Türkiye'de lisanslama, kurulum ve PoC süreçlerini iş ortağı Innoset üstlenir.

Binalyze AIR

Soruşturma otomasyonu platformu

Binalyze AIR, adli kanıtı uzaktan ve eş zamanlı toplayan, analiz eden ve vaka bağlamında birleştiren platformdur. Bir olay şüphesi doğduğunda tek tek makinelere bağlanmak, disk imajı almak veya kullanıcıdan cihazını teslim etmesini istemek gerekmez: kanıt yüzlerce varlıktan aynı anda toplanır ve konsolda vakaya işlenir. Kapsam Windows, Linux, macOS, ChromeOS, ESXi ve IBM AIX sistemlerini içerir.

Platformun soruşturma araçları tek konsolda toplanmıştır. Acquisition ihtiyaç duyulan kanıtı hedefli biçimde toplar. Hunt, yerleşik analizörlerin yanında kendi osquery, YARA ve Sigma kurallarınızla ortam genelinde arama yapar. Compare, sistemleri bilinen bir temel durumla karşılaştırarak anlamlı değişiklikleri ve anomalileri çıkarır. InterACT ile birden çok varlıkta gerçek zamanlı komut çalıştırılır ve canlı inceleme yapılır.

Toplanan her şey tek soruşturma çalışma alanında birleşir: kanıtlar, otomatik bulgular, analist notları ve zaman çizelgesi aynı vakada durur. Böylece vardiya değiştiğinde bilgi kaybolmaz, dış ekiplerle çalışmak kolaylaşır ve kararın hangi kanıta dayandığı sonradan açıklanabilir kalır. Kanıt bütünlüğü SHA-256 karma ve RFC3161 zaman damgasıyla korunur; MITRE ATT&CK analizörü bulguları saldırı tekniklerine eşler. Kurulum kurum içinde ya da hizmet olarak yapılabilir.

• Yüzlerce varlıktan eş zamanlı kanıt toplama
• Acquisition, Hunt, Compare ve InterACT araçları
• osquery, YARA ve Sigma kural desteği
• Tek soruşturma çalışma alanı ve zaman çizelgesi
• SHA-256 karma ve RFC3161 zaman damgası
• Kurum içi veya hizmet olarak kurulum

Binalyze AIR Datasheet (PDF)

DRONE

Otomatik analiz motoru

DRONE, AIR platformunun içinde çalışan otomatik analiz katmanıdır. Yüzlerce uç noktadan gelen adli veriyi analistin tek tek incelemesi yerine, yerleşik analizörler ve tespit kurallarından geçirerek dikkat edilmesi gereken bulguları öne çıkarır. Analistin soruşturmaya nereden başlayacağı sorusu böylece veriyle cevaplanır.

Bulgular önem derecesine göre etiketlenir; ekip hangi uç noktayı önce inceleyeceğini listeden görür. Bu yapı, yanlış pozitiflerin daha hızlı değerlendirilmesini ve gerçek vakaların erken aşamada derinleştirilmesini destekler. DRONE, yerleşik analizörlerle toplanan kanıtı otomatik değerlendirir; AIR'ın Hunt ve Triage yetenekleri ise YARA, Sigma ve osquery kurallarıyla canlı varlıklarda tarama yapar; böylece yalnız dosya karması değil, sistem davranışı ve günlük etkinliği de incelenir.

• Yerleşik analizörlerle otomatik kanıt analizi
• Önem derecesine göre bulgu etiketleme
• Ölçekli korelasyon ve önceliklendirme
• Canlı varlıkta YARA, Sigma ve osquery taraması
• Yanlış pozitiflerin daha hızlı değerlendirilmesi
• AIR konsoluna gömülü çalışma

Tornado

Bulut ve SaaS kanıt toplama

Tornado, Microsoft 365 ve Google Workspace ortamlarından adli kanıt toplayan bağımsız masaüstü uygulamasıdır. E-posta kayıtları, kullanıcı erişim ve denetim günlükleri, sürücü etkinlikleri ve yönetici işlemleri birkaç adımda toplanır. Odak noktası iş e-postası ele geçirme (Business Email Compromise) vakalarıdır.

Bu vakalarda darboğaz teknik değil operasyoneldir: güvenlik ekiplerinin çoğu ilgili yönetim paneline doğrudan erişemez ve bilgi işlem ekibinden yetki talep eder. Bu sürede saldırgan kalıcılığını sürdürebilir veya kanıtı silebilir. Tornado, bu kaynaklardan kanıt toplamayı standartlaştırarak farklı yönetim panellerine ve manuel adımlara olan operasyonel bağımlılığı azaltır. Toplanan kanıt SQLite veritabanı olarak indirilebilir ya da AIR çalışma alanına aktarılarak uç nokta kanıtlarıyla aynı vakada değerlendirilir. Uygulama ön sürüm aşamasındadır; kullanılabilirliği ve erişim modeli dağıtım ile lisanslama koşullarına göre değişebilir.

• Microsoft 365 ve Google Workspace desteği
• E-posta, erişim ve denetim günlüğü toplama
• Yönetici işlemleri ve sürücü etkinlikleri
• İş e-postası ele geçirme vakalarına odak
• SQLite çıktısı veya AIR'a aktarım
• Tarih aralığı seçerek hedefli toplama

Fleet

Yapay zekâ destekli SOC analisti

Fleet, güvenlik operasyon merkezi analistleri, olay müdahale ekipleri, tehdit avcıları ve adli bilişim uzmanları için geliştirilmiş yapay zekâ destekli güvenlik analistidir. Bağımsız bir web uygulaması olarak çalışır ve tehdit avcılığı, tespit mühendisliği, dijital adli analiz, olay müdahalesi, zararlı yazılım analizi ile tehdit istihbaratı çalışmalarını doğal dil tabanlı bir çalışma alanında destekler.

Fleet, Binalyze AIR ile kimliği doğrulanmış ve şifrelenmiş API bağlantısı üzerinden entegre olabilir. Bu entegrasyon sayesinde uç noktaları ve vakaları sorgulayabilir, kanıt toplama ve triyaj görevleri başlatabilir, tespit kurallarını dağıtabilir, desteklenen uzaktan müdahale işlemlerini yürütebilir ve AIR soruşturma sonuçlarını analiz edebilir. Fleet aktif internet bağlantısı gerektirir, AIR 4.41 ve üzeri sürümlerle entegrasyonu destekler ve AIR lisansından ayrı olarak lisanslanır.

• Bağımsız web uygulaması, ayrı Fleet lisansı
• AIR ile güvenli API entegrasyonu
• Doğal dilden YARA, Sigma ve osquery kuralı
• Kanıt toplama ve triyaj görevi başlatma
• AIR soruşturma sonuçlarının analizi
• AIR 4.41 ve üzeri, aktif internet bağlantısı

Magellan

Dosya içeriği arama ve eDiscovery

Magellan, uç noktalardaki dosyaların içinde arama yapan katmandır. Klasik soruşturmada hangi dosyanın nerede olduğu bilinir, içinde ne yazdığı bilinmez; bu da içerik kör noktası yaratır. Magellan tam metin araması yaparak bu boşluğu kapatır ve elektronik keşif (eDiscovery) süreçlerini güvenlik operasyon merkezinin içine taşır.

Arama uçta çalışır: dosyaların merkezi bir depoya kopyalanması beklenmez, bu da hem süreyi kısaltır hem gereksiz veri taşımayı önler. Hassas bir belgenin hangi makinelerde bulunduğunu, bir sızıntı şüphesinde hangi içeriğin etkilendiğini veya bir hukuki talebe konu olan kayıtların nerede durduğunu aynı soruşturma akışı içinde çıkarabilirsiniz.

• Uç noktalarda tam metin arama
• Dosya içeriği düzeyinde görünürlük
• Uçta çalışan, merkeze kopyalamayan mimari
• Elektronik keşif süreçlerine destek
• Sızıntı şüphesinde etkilenen içeriğin tespiti
• AIR soruşturma akışına gömülü

Outpost

Gösterge zenginleştirme uzantısı

Outpost, güvenlik analistleri için geliştirilmiş ücretsiz tarayıcı uzantısıdır. Herhangi bir web sayfasında geçen tehdit göstergelerini tanır: IP adresi, alan adı, bağlantı, dosya karması ve CVE kimliği. Analist bir tehdit istihbaratı yazısını okurken göstergeleri tek tek kopyalayıp ayrı araçlarda aratmak zorunda kalmaz.

Tanınan göstergeler birden fazla tehdit istihbaratı kaynağıyla zenginleştirilir ve sonuç aynı sayfada görünür. AIR konsolunda Outpost için bir giriş noktası bulunur; üretici iki araç arasındaki doğrudan soruşturma akışını yol haritasında genişletmektedir.

• IP, alan adı, bağlantı ve dosya karması tanıma
• CVE kimliği tespiti
• Birden fazla tehdit istihbaratı kaynağıyla zenginleştirme
• Sonucun aynı sayfada gösterilmesi
• AIR arayüzünde Outpost erişim noktası
• Ücretsiz tarayıcı uzantısı

AIR hangi ortamlarda çalışır?

Hangi bileşen hangi işi görür?

• Bankacılık ve Finans

  Bankacılıkta bir olayın kapatılması yetmez; denetimde ne olduğu, hangi sistemlerin etkilendiği ve bunun hangi kanıtla doğrulandığı sorulur. Binalyze AIR kanıtı olay anında toplar, zaman çizelgesini kurar ve kararın dayanağını kayıt altında tutar. Beyan yerine kanıt sunulur; soruşturma kişiye değil sürece bağlı kalır.

• Savunma Sanayii

  Savunma sanayiinde soruşturmanın kendisi kadar nerede yürütüldüğü de önemlidir. Binalyze AIR kurum içinde kurulabilir; kanıt deposu kurumun denetimindeki ortamda konumlandırılabilir. Kanıt bütünlüğü karma ve zaman damgasıyla korunur, her adım kayıt altına alınır; birden çok birimin çalıştığı vakalarda ortak standart oluşur.

• Hizmet Sağlayıcılar ve MSSP

  Yönetilen güvenlik hizmeti veren ekiplerde kapasite doğrudan gelire dönüşür: analist başına kaç vaka kapatıldığı belirleyicidir. Otomatik kanıt toplama ve analizle aynı ekip daha çok vakayı paralel yürütür. Müşteriler mantıksal olarak ayrılır, soruşturma akışı her vakada aynı kalır ve raporlama ekipler arasında tutarlı yürütülür.

• 6698 Sayılı KVKK

  Problem: 12. madde veri sorumlusuna uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü getirir; ihlal bildiriminde etkilenen kişisel veri kategorilerinin belirlenmesi beklenir. AIR'ın topladığı adli kanıt, zaman çizelgesi ve dosya içeriği analizi ihlalin kapsamının ve etkilenen sistemlerin belirlenmesini destekler.

• ISO/IEC 27001:2022

  Problem: A.5.28 kontrolü bilgi güvenliği olaylarına ilişkin kanıtın tanımlı bir yöntemle toplanmasını ister; A.5.24 ve A.5.25 ise olay müdahalesinin planlanmasını ve değerlendirilmesini bekler. Kanıt toplama görev tabanlı yürür, karma ve zaman damgasıyla korunur; alınan kararlar vaka içinde kayıt altına alınarak denetim kanıtı üretimini destekler.

• BDDK Bilgi Sistemleri Yönetmeliği

  Problem: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'in 18. maddesi siber olay yönetimi süreci kurulmasını ve önemli olaylarda kök neden ile etki analizi yapılmasını öngörür. Uzaktan kanıt toplama, zaman çizelgesi ve vaka kayıtları kök nedenin ve etki alanının belgelenmesini destekler.

• Olay Sonrası Adli Delil Toplama

  Problem: olay şüphesinde kanıt tek tek makinelere bağlanarak ya da disk imajı alınarak toplandığında inceleme günler sürer. Binalyze AIR kanıtı yüzlerce varlıktan aynı anda ve uzaktan toplar; kanıt bütünlüğü SHA-256 karma ve RFC3161 zaman damgasıyla korunur.

  Detay
• Uç Nokta Güvenliği

  Problem: uç nokta ürünleri alarm üretir ama alarmın arkasındaki olayı açıklamaz. Binalyze AIR aynı uç noktalardan adli kanıt toplayarak alarmı kanıtlı soruşturmaya çevirir; olayın kapsamı ve kök nedeni tespit katmanının ötesinde netleşir.

  Detay
• Tehdit Avcılığı ve Proaktif Soruşturma

  Problem: alarm üretmeyen ama sistemde kalıcılık sağlamış tehditler görünmez kalabilir. Hunt ve Triage ile ortam genelinde kural tabanlı arama yapılır; Compare, sistemleri bilinen temel durumla karşılaştırarak beklenmeyen değişiklikleri gösterir.

• Ayrıcalıklı Erişim Yönetimi

  Problem: ayrıcalıklı bir hesabın kötüye kullanıldığı şüphesinde erişim kayıtları tek başına yetmez. Uç noktadan toplanan adli kanıt, hesabın hangi işlemleri yaptığını ve hangi sistemlere dokunduğunu zaman çizelgesi üzerinde gösterir.

  Detay

• Alarmın ardındaki olay bağlamının eksik kalması

  Problem: tespit ürünleri şüpheli etkinliği bildirir ama ne olduğunu anlatmaz; ekip eksik veriyle karar vermek zorunda kalır. AIR aynı uç noktalardan adli kanıt toplar; olayın kapsamı, kök nedeni ve etkilediği sistemler kanıtla ortaya konur.

• Soruşturma süresinin uzaması

  Problem: makineye tek tek bağlanmak ve kanıtı elle toplamak süreci uzatır; 2026 araştırmasına göre bir soruşturma ortalama 8,5 günde sonuç üretiyor. Yüzlerce varlıktan eş zamanlı toplama ve otomatik analiz bu süreci kısaltır.

• Manuel soruşturmada analist deneyimine bağımlılık

  Problem: elle yürütülen adli incelemede sonuç kalitesi uzmanın deneyimine bağlı kalabilir. Görev tabanlı akışlar ve otomatik analiz, aynı yöntemin vakalar arasında tekrarlanabilir biçimde uygulanmasını destekler.

Geleneksel adli analizle farkı

Türkiye'de sık karşılaştığımız yapılarda tespit teknolojileri ve güvenlik operasyon merkezleri olgunlaşmış olsa da olay soruşturması manuel süreçlere ve sınırlı uzman kapasitesine bağımlı kalabilmektedir. Kanıtın uç noktalardan elle toplanması soruşturma süresini uzatırken, farklı analistlerin aynı vakayı farklı yöntemlerle ele alması süreç tutarlılığını zorlaştırabilir. Binalyze AIR; uzaktan ve eş zamanlı kanıt toplama, otomatik analiz ve merkezi vaka yönetimiyle soruşturma süreçlerinin standartlaştırılmasını destekler.

Platformun ürettiği soruşturma kayıtları, yerel düzenlemeler kapsamındaki olay analizi ve denetim kanıtı hazırlama süreçlerini destekler: 6698 sayılı KVKK'nın 12. maddesi kapsamındaki teknik tedbir kanıtları ve veri ihlali bildiriminde beklenen etki değerlendirmesi, BDDK Bilgi Sistemleri Yönetmeliği'nin olay kayıtlarının izlenebilirliğine ilişkin beklentileri için soruşturma çıktıları denetim kanıtı üretimini destekler. Innoset, Binalyze'ın Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve Türkçe teknik destek süreçlerini yürütür; değerlendirme kurumunuzun kendi ortamında yapılır.