Dark Web Ekonomisi

Baibusec Ocak 29, 2026

Hazırlayanlar : Vuslat Kaymak & Kerem Kasimoğlu Dark Web Ekonomisi: Siber Suçların Görünmeyen Yüzü İnternet dünyası, çoğu kullanıcının sandığından çok daha derin ve çok katmanlı bir yapıya sahiptir. Günlük hayatta kullandığımız sosyal medya platformları, haber siteleri ve e-ticaret portalları; internetin yalnızca görünen yüzünü, yani “Surface Web”i oluşturur. Bu katman, toplam internet içeriğinin tahminen yalnızca %4 ila %10’unu kapsar. Asıl büyük kütle, tıpkı bir buzdağının suyun altında kalan kısmı gibi, Deep Web ve onun en karanlık bölgesi olan Dark Web’de yer alır. Dark Web çoğu zaman gizli iletişim, sansürden kaçış veya mahremiyet arayışıyla ilişkilendirilse de, günümüzde bu alan çok daha farklı bir kimliğe bürünmüştür: kendi kuralları, para birimleri ve aktörleri olan devasa bir yasa dışı ekonomi. Geleneksel suç örgütlerinin yerini dijital kartellerin aldığı bu yeni dünyada, siber suç artık rastgele gerçekleştirilen bireysel “hack” girişimleri olmaktan çıkmış; planlı, ölçeklenebilir ve sürdürülebilir bir iş modeline dönüşmüştür. Şekil 1: İnternetin Katmanları: Yüzey Ağı, Derin Ağ ve Karanlık Ağ İnternetin Katmanları ve Dark Web’in Konumu Dark Web ekonomisini anlamak için, öncelikle bu faaliyetlerin gerçekleştiği dijital zemini doğru şekilde tanımlamak gerekir. İnternet genel olarak üç ana katmandan oluşur: Dark Web ekonomisi, büyük ölçüde anonimliğin sağladığı “cezasızlık algısı” üzerine inşa edilmiştir. Ancak bu algının yarattığı kaos ortamının içinde, şaşırtıcı derecede düzenli ve sistematik bir serbest piyasa ekonomisi işlemektedir. Siber Suçun Ticarileşmesi: Hizmet Olarak Suç (CaaS) Günümüzde ise Dark Web üzerinde hâkim olan Cybercrime-as-a-Service (Hizmet Olarak Siber Suç – CaaS) modeli, bu tabloyu tamamen değiştirmiştir. Bu model sayesinde, teknik bilgisi sınırlı olan bireyler bile para karşılığında karmaşık ve etkili siber saldırılar düzenleyebilmektedir. Bu yeraltı ekonomisi temel olarak üç ana aktör etrafında şekillenir: Özellikle fidye yazılımları, bu ekonominin lokomotifi hâline gelmiştir. Ransomware-as-a-Service (RaaS) modelinde, zararlı yazılımı geliştiren ekip ile saldırıyı gerçekleştiren taşeronlar arasında elde edilen fidye genellikle %30-%70 oranında paylaşılmaktadır. Bu yapı, siber suçu bireysel eylemlerden çıkarıp organize bir gelir modeline dönüştürmüştür. Dark Web Marketlerinde Fiyatlandırma ve Ürünler Dark Web marketleri (Darknet Markets – DNM), işleyiş açısından modern e-ticaret platformlarına şaşırtıcı derecede benzer. Kullanıcı puanlamaları, satıcı yorumları, güvenilirlik rozetleri ve hatta belirli koşullarda “iade garantisi” gibi mekanizmalar bu pazarlarda yaygın olarak kullanılmaktadır. Bu platformlarda satılan ürünler yalnızca uyuşturucu veya silahlarla sınırlı değildir. Aksine, dijital veriler ve erişim yetkileri, en çok işlem gören ürünler arasında yer almaktadır. 2024-2025 verilerine göre Dark Web karaborsasında bazı dijital varlıkların ortalama fiyatları aşağıdaki gibidir: Şekil 2: Dark Web Pazarında Dijital Ürün Vitrini (Temsili) Tablo 1: Dark Web Pazarında Ortalama Ürün/Hizmet Fiyatları Ürün / Hizmet Kategorisi Ürün Detayı Ortalama Fiyat Aralığı Kredi Kartı Verileri CVV ile birlikte (ABD/AB menşeli) $15 – $35 Kimlik Bilgileri Taranmış Pasaport / Ehliyet $1000 – $3500 Sosyal Medya Hesapları Hacklenmiş Facebook/Instagram Hesabı $25 – $45 DDoS Saldırıları 24 Saatlik Orta Ölçekli Saldırı $100 – $200 Zararlı Yazılımlar Android RAT (Uzaktan Erişim Truva Atı) $600 – $1200 Erişim Yetkisi Kurumsal Ağlara Başlangıç Erişimi (IAB) $2000 – $10.000+ Bu tablo, siber güvenliğin neden yalnızca teknik bir problem olarak ele alınamayacağını açıkça göstermektedir. Örneğin, bir kurumsal ağa ilk erişimi sağlayan bir Initial Access Broker (İlk Erişim Aracısı), bu erişimi fidye yazılımı gruplarına satarak tek bir işlemden binlerce dolar gelir elde edebilmektedir. Ödeme Sistemleri ve Para Aklama Dark Web ekonomisinin temelini kripto paralar oluşturur. Bitcoin (BTC) hâlen yaygın olarak kullanılsa da, blok zinciri üzerindeki işlemlerin izlenebilir olması, suç aktörlerini daha gizlilik odaklı alternatiflere yöneltmiştir. Bu yöntemler sayesinde siber suçlular, elde ettikleri gelirleri soğuk cüzdanlara aktarmadan önce “temizleyerek” yasal borsalar üzerinden nakde çevirebilmektedir. Güven Mekanizması: Escrow (Emanet) Sistemi Yasa dışı bir ortamda, birbirini tanımayan iki suçlu birbirine nasıl güvenir? Dark Web marketleri bu sorunu “Escrow” (Emanet) sistemiyle çözmüştür. Alıcı ödemeyi yapar, ancak para doğrudan satıcıya gitmez; marketin havuz hesabında bekletilir. Alıcı ürünü (örneğin çalıntı bir veriyi) teslim alıp onayladığında para satıcıya aktarılır. Bu sistem, dolandırıcılığı (Exit Scam) minimize etmeyi amaçlar. Şekil 3: Dark Web Ekonomisinde Güven Mekanizması: Escrow (Emanet) Sistemi İşleyişi Kurumsal Dünyaya Yönelik Tehditler Dark Web yalnızca dış kaynaklı saldırganlar için değil, kurum içinden bilgi sızdıran kişiler için de önemli bir pazardır. Insider Threat (İç Tehdit) olarak adlandırılan bu durumda, maddi çıkar peşindeki veya kuruma karşı motivasyonu düşmüş çalışanlar, hassas verileri Dark Web forumlarında satışa çıkarabilmektedir. Ayrıca, “Exploit Marketleri”nde henüz yaması yayınlanmamış “Zero-Day” (Sıfır Gün) açıkları yüz binlerce dolara el değiştirmektedir. Bu açıklar, devlet destekli siber casusluk grupları veya büyük fidye çeteleri tarafından satın alınır. Tablo 2: Dark Web Ekonomisinin Geleneksel Suç Ekonomisinden Farkları Özellik Geleneksel Suç Ekonomisi Dark Web / Siber Suç Ekonomisi Erişim Fiziksel temas ve referans gerekir Tor tarayıcısı ile küresel erişim Risk Fiziksel yakalanma riski yüksektir Anonimlik ve VPN/Tor ile risk düşüktür Ölçeklenebilirlik Yerel veya bölgesel sınırlıdır Küresel ölçekte anında yayılabilir Ödeme Nakit para (İzlenmesi zor ama fiziksel) Kripto para (Hızlı ve sınır ötesi) Giriş Bariyeri Fiziksel güç veya hiyerarşi gerekir Teknik bilgi veya sadece sermaye yeterlidir Sonuç: Görünmeyen Düşmanla Mücadele Dark Web ekonomisi, siber suçları münferit olaylar olmaktan çıkararak sürdürülebilir ve küresel bir endüstriye dönüştürmüştür. Bu yapıyla mücadele, yalnızca güvenlik duvarları veya antivirüs yazılımlarıyla sınırlı kalamaz. Kurumların ve devletlerin, Siber Tehdit İstihbaratı (Cyber Threat Intelligence) yeteneklerini geliştirerek Dark Web üzerindeki hareketliliği proaktif şekilde izlemeleri gerekmektedir. Unutulmamalıdır ki dijital dünyada güvenlik, yalnızca kapıları kilitlemek değil; kapının dışındaki tehdidin motivasyonunu, yöntemlerini ve ekonomik dinamiklerini anlamakla mümkündür. KAYNAKÇA Europol. (2024). Internet Organised Crime Threat Assessment (IOCTA). European Union Agency for Law Enforcement Cooperation. https://www.europol.europa.eu/iocta-2024 Chainalysis. (2024). The 2024 Crypto Crime Report: Trends in Darknet Markets. https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/ CrowdStrike. What is the Dark Web? Understanding the Layers of the Internet. CrowdStrike Cybersecurity 101. https://www.crowdstrike.com/cybersecurity-101/dark-web Kaspersky. Dark Web Price Index 2024: How much is your data worth? Kaspersky SecureList. https://securelist.com/dark-web-threats-2024 Checkpoint Research. The Economy of Cybercrime: From RaaS to Access Brokers. https://research.checkpoint.com/2023/cybercrime-economy-overview Cisco Talos. Understanding the Dark Net Market Ecosystem. https://blog.talosintelligence.com/dark-web-market-dynamics Norton. Deep Web vs. Dark Web: What’s the difference? https://us.norton.com/blog/privacy/deep-web-vs-dark-web SOCRadar. Dark Web Monitoring and Cyber Threat Intelligence. https://socradar.io/dark-web-monitoring T.C. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi. Siber Güvenlik Terimleri Sözlüğü. https://cbddo.gov.tr/siber-guvenlik/sozluk Trend Micro. The Underground Economy: Buying and Selling Cybercrime Services. https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/the-underground-economy Verizon. 2024 Data Breach Investigations Report (DBIR). https://www.verizon.com/business/resources/reports/dbir

Yapay Zeka ile Saldırı Tespit Sistemleri

Baibusec Ocak 22, 2026

Hazırlayanlar: Nefise Nur Erdaş ve Rojin Ceylancı Günümüzde dijital ekosistemlerin ulaştığı devasa boyutlar—bulut bilişimden nesnelerin internetine (IoT), 5G ağlarından mikro hizmet mimarilerine kadar—veri trafiğini daha önce hiç görülmemiş bir yoğunluğa ulaştırmış durumdadır. Bu genişleme, beraberinde siber saldırıların sadece hacmini değil, aynı zamanda sofistike yapısını ve varyasyon hızını da insan analistlerin bilişsel sınırlarının çok ötesine taşımaktadır. Geleneksel güvenlik mimarileri, büyük oranda İmza Tabanlı Saldırı Tespit Sistemleri (Signature-based IDS) üzerine kuruludur. Bu sistemler, tıpkı bir suçlu veri tabanı gibi çalışmaktadır; yalnızca daha önce tanımlanmış, parmak izi alınmış ve “kara listeye” eklenmiş tehditleri durdurabilir. Ancak modern siber dünyada asıl yıkıcı güç, bu “bilinen” tehditlerden ziyade, yazılım açıklarından yararlanan ve henüz bir savunma reçetesi bulunmayan “Sıfırıncı Gün” (Zero-day) saldırılarıdır. Saldırganlar artık statik kodlar yerine, kendi kendini modifiye edebilen polimorfik zararlı yazılımlar kullanmaktadır. İşte tam bu noktada, savunma hattımızda bir zeka devrimi gerçekleşmesi kaçınılmaz hale gelmiştir. Yapay Zeka (AI) ve Makine Öğrenmesi (ML), siber güvenlikte pasif birer filtreleme aracı olmanın ötesine geçerek devasa veri yığınları içindeki sinsi anomalileri milisaniyeler içinde fark edebilen aktif, otonom ve proaktif birer karar vericiye dönüşmektedir. Bu teknolojiler, yalnızca geçmişin saldırı kalıplarını ezberlemekle kalmaz; ağın “normal” davranış formunu öğrenerek daha önce hiç karşılaşılmamış tehditleri bile niyet analizi yoluyla tespit edebilme yeteneği sunar. 1. Geleneksel IDS ile Yapay Zeka Tabanlı IDS (A-IDS) Arasındaki Paradigma Farkı Siber güvenlik mimarisinde Geleneksel Saldırı Tespit Sistemleri (Legacy IDS), temelde “reaktif” bir çalışma prensibine dayanır. Bu sistemler, tıpkı bir kütüphane kataloğu gibi, daha önce tanımlanmış ve veri tabanına işlenmiş zararlı yazılım imzalarını (Signature) tarar. Bir veri paketinin içindeki kod, veri tabanındaki bir “sabıkalı” ile birebir eşleşirse alarm çalar. Ancak bu yöntem, günümüzün sofistike saldırı dünyasında ciddi bir kör nokta yaratır: Eğer bir saldırgan, mevcut bir virüs kodunun tek bir satırını değiştirirse (Polimorfik yapı) veya daha önce hiç görülmemiş bir yöntem (Zero-day) denerse geleneksel sistem bu trafiği tamamen “güvenli” olarak etiketler. Bu durum, savunma hattında devasa bir boşluk oluşturur. Buna karşılık Yapay Zeka Tabanlı Sistemler (A-IDS), güvenliği statik kurallardan kurtarıp dinamik bir sürece taşır. A-IDS’in sunduğu temel devrimleri üç ana başlıkta detaylandırabiliriz: I. Bilişsel Örüntü Tanıma ve Davranış Analizi: Yapay zeka, bir saldırıyı sadece dosya adıyla veya belirli bir kod dizisiyle tanımaz. Bunun yerine, “bu trafik neden bu saatte bu sunucuya gidiyor?” veya “bu kullanıcı neden normalde erişemediği binlerce küçük dosyayı sorguluyor?” gibi bağlamsal sorular sorar. Saldırının “şekline” değil, sergilediği davranışın “niyetine” odaklanarak daha önce hiç kaydedilmemiş saldırı paternlerini bile şüpheli olarak işaretleyebilir. II. Proaktif Tahminleme ve Tehdit Modelleme: Makine öğrenmesi algoritmaları, ağ trafiğindeki devasa geçmiş veri yığınlarını analiz ederek saldırganların olası rotalarını belirler. Henüz bir sızıntı gerçekleşmeden, ağdaki zayıf noktaları ve bu noktalara yönelik gelişebilecek muhtemel saldırı vektörlerini istatistiksel olasılıklarla tahmin eder. Bu, güvenlik ekiplerine saldırı gerçekleşmeden savunma hattını güçlendirme şansı tanır. III. Otonom ve Sürekli Öğrenme Döngüsü: A-IDS’i geleneksel sistemlerden ayıran en radikal fark, sistemin durağan olmamasıdır. Her geçen saniye ağdan geçen her bir veri paketi, sistem için yeni bir “eğitim verisidir”. Yapay zeka, ağın değişen dinamiklerine uyum sağlar; yani yeni bir cihaz eklendiğinde veya kullanıcı alışkanlıkları değiştiğinde bunu “yeni normal” olarak öğrenir. Bu sayede, güvenlik duvarı her gün biraz daha akıllı hale gelen, yaşayan bir organizmaya dönüşür. 2. Teknik Derinlik: Yapay Zeka Saldırıları Nasıl Teşhis Eder? Yapay zeka sistemlerinin siber tehditleri tespit etme başarısı, rastgele bir tahminden ziyade, matematiksel modellerin veri setleri üzerinden yürüttüğü titiz bir analiz sürecine dayanır. Bu sistemler, veriyi işleme ve sonuç çıkarma biçimlerine göre genellikle iki temel makine öğrenmesi metodolojisi üzerine inşa edilir: A. Denetimli Öğrenme (Supervised Learning): Dijital Bir Uzman Eğitmek Denetimli öğrenme modelinde, algoritmaya çok geniş ve önceden etiketlenmiş bir “eğitim seti” sunulur. Bu veri setinde her bir trafik örneğinin kimliği bellidir: “Bu güvenli bir e-posta trafiğidir”, “Bu bir SQL Injection girişimidir” veya “Bu bir DDoS saldırısıdır”. Nasıl Çalışır? Algoritma (özellikle Support Vector Machines (SVM), Random Forest veya Gradient Boosting gibi modeller), bu devasa veri yığınları arasındaki istatistiksel farkları analiz eder. Saldırı trafiğini normal trafikten ayıran milyonlarca küçük parametreyi (paket boyutu, gönderim sıklığı, port numaraları vb.) birer “karar kriteri” haline getirir. Kritik Avantajı Nedir? Bilinen saldırı türlerinin (örneğin bilinen bir fidye yazılımının yeni bir alt türevi) tespitinde son derece yüksek doğruluk oranına sahiptir. Sistem neyi araması gerektiğini bildiği için hızlı ve kesin sonuçlar üretir. Kullanım Alanı Nedir? Mevcut saldırı kütüphanelerinin gelişmiş varyasyonlarını yakalamak ve yaygın tehditlere karşı “otomatik bariyer” oluşturmak. B. Denetimsiz Öğrenme (Unsupervised Learning): Görünmeyeni Keşfetmek Denetimsiz öğrenme, siber güvenliğin en karanlık noktalarını aydınlatmak için kullanılır. Bu modelde sisteme herhangi bir etiket veya “doğru cevap” verilmez; algoritma tamamen kendi başına bırakılır. Nasıl Çalışır? YZ, ağın içerisindeki veri akışını sürekli izleyerek sistemin “normal nabzını” (Baseline) çıkarır. Her kullanıcının, her sunucunun ve her uygulamanın rutin davranış kalıplarını öğrenir. Eğer bir gün, bir muhasebe çalışanının bilgisayarı gece yarısı aniden şifrelenmiş veri paketlerini daha önce hiç iletişimde bulunmadığı bir IP adresine göndermeye başlarsa YZ bunun bir saldırı olup olmadığını “etiketlere” bakarak değil, bu davranışın “normalden sapma” (Anomali) olduğunu fark ederek anlar. Kritik Avantajı Nedir? Bu yöntem; daha önce hiç görülmemiş, literatüre girmemiş Sıfırıncı Gün (Zero-day) saldırılarının tespitinde en etkili yaklaşımlardan biridir.. Ayrıca, meşru yetkilerini kötüye kullanan “içerideki tehditleri” (Insider Threats) yakalamada rakipsizdir. Kullanım Alanı Nedir? Karmaşık casusluk faaliyetleri, gelişmiş sürekli tehditler (APT) ve sistem içindeki sinsi hareketlerin tespiti. 3. Mimari Yapı: Derin Öğrenmenin (Deep Learning) Yıkıcı Gücü Siber güvenlik dünyasında basit makine öğrenmesi modelleri, belirli özelliklerin (feature engineering) insanlar tarafından tanımlanmasına ihtiyaç duyar. Ancak günümüzde bu modellerin yerini, çok daha karmaşık ve otonom olan Derin Öğrenme (Deep Learning) mimarileri almaktadır. Derin öğrenme, insan beynindeki biyolojik nöron ağlarını taklit eden Yapay Sinir Ağları (ANN) üzerine kuruludur. Bu teknoloji, veriyi manuel müdahaleye gerek duymadan en alt katmanına kadar —yani ham ağ trafiğini oluşturan veri paketlerini (Deep Packet Inspection)— analiz edebilme yeteneğine sahiptir. Derin öğrenme mimarileri, saldırı tespitinde iki ana eksende uzmanlaşır: A. RNN (Recurrent Neural Networks – Özyinelemeli Sinir Ağları): Zamansal Analizin Mimarı Geleneksel sistemler her veri paketini birbirinden bağımsız birer parça gibi görür. Oysa modern saldırılar, tespit edilmemek için zamana yayılır (Low and Slow Attacks). Nasıl Çalışır? RNN modelleri “hafızaya” sahiptir. Bir veri paketini analiz ederken kendinden önce gelen paketlerin bilgisini de saklar. Bu sayede, tek başına zararsız görünen bir veri paketinin,

Kuantum Bilgisayarlar Siber Güvenliği Nasıl Değiştirecek?

Baibusec Ocak 16, 2026

Hazırlayan: Melike Aydın Dijital dünyanın güvenliği, temelde çözülmesi zor matematiksel problemlere dayanır. Bugün bankacılık işlemlerinden devlet sırlarına, kişisel mesajlaşmalardan blokzinciri teknolojisine kadar her şeyi koruyan şifreleme algoritmaları, klasik bilgisayarların makul bir sürede çözemeyeceği varsayımı üzerine kuruludur. Ancak Kuantum Bilgisayarlar, bu güvenli bölgeyi tehdit eden en büyük asimetrik güç olarak karşımıza çıkmaktadır. Kuantum bilgisayarlar henüz günlük hayatta yaygın değil; fakat siber güvenliği “gelecekte” değil, bugünden etkilemeye başlayan bir paradigma değişimini temsil ediyor. Bu yazıda, kuantum bilgisayarların ne olduğu ile başlayacak, ardından mevcut siber güvenlik sistemlerini neden ve nasıl tehdit ettiklerini, savunma tarafının buna nasıl hazırlanması gerektiğini ele alacağız. Kuantum Bilgisayarların Tarihçesi Kuantum bilgisayar fikri, sanılanın aksine son yıllarda ortaya çıkmış bir kavram değil; kökleri 1980’li yıllara uzanan derin bir bilimsel arayışın ürünüdür. 1981 yılında Nobel ödüllü fizikçi Richard Feynman, doğanın klasik fizik kurallarına göre işlemediğini fark etti. Feynman, atom altı dünyayı ve doğayı tam anlamıyla simüle edebilmek için klasik bilgisayarların yetersiz kalacağını belirterek kuantum mekaniği prensipleriyle çalışan yeni bir bilgisayar türüne ihtiyaç duyulduğunu öne sürdü. Onun “Doğa klasik değildir, eğer doğanın simülasyonunu yapmak istiyorsanız, onu kuantum mekaniksel yapmalısınız!” sözü, bu alanın işaret fişeği oldu. Ancak bu teorik yaklaşım, 1994 yılında matematikçi Peter Shor’un devrim niteliğindeki keşfiyle stratejik bir gerçekliğe dönüştü. Shor, geliştirdiği algoritma (Shor Algoritması) ile yeterince güçlü bir kuantum bilgisayarın, günümüz şifreleme sistemlerinin temelini oluşturan matematiksel problemleri şaşırtıcı bir hızla çözebileceğini kanıtladı. Bu an, kuantum bilgisayarların sadece bilimsel bir hesap makinesi değil, aynı zamanda siber güvenlik dengelerini değiştirecek bir güç olduğunun anlaşıldığı andı. Kuantum Bilgisayar Nedir? Klasik Bilgisayarlardan Farkı Nerede Başlar? Klasik bilgisayarların çalışma mimarisi, en temel seviyede “bit” kavramı üzerine kuruludur. Bu dünyada bir bit, herhangi bir anda mutlak bir kesinlikle ya 0’dır ya da 1’dir. Tüm dijital hesaplamalar, bu ikili mantığın (binary) katı kuralları üzerinden ilerler. Dolayısıyla kullandığımız işlemci ne kadar güçlü olursa olsun, sistem deterministik sınırlar içinde kalır ve aynı anda her bit yalnızca tek bir durumu temsil edebilir. Kuantum bilgisayarlar ise bu sınırları aşarak “kübit” (qubit) adı verilen tamamen farklı bir temel birimi kullanır. Bu noktada devreye giren kuantum mekaniği, kuralları kökten değiştirir. “Süperpozisyon” özelliği sayesinde kübitler, klasik bitlerin aksine aynı anda hem 0 hem de 1 durumunda bulunabilirler. Buna ek olarak, “dolanıklık” (entanglement) adı verilen olgu sayesinde, bir kübitin durumu fiziksel mesafeden bağımsız olarak başka bir kübit ile doğrudan ve anlık olarak ilişkilendirilebilir. Bu iki kuantum özelliği bir araya geldiğinde, hesaplama gücünde doğrusal değil; devasa bir sıçrama yaşanır. Kuantum bilgisayarlar; milyonlarca olasılığı tek tek denemek yerine, belirli problemleri klasik bilgisayarlara kıyasla üstel derecede daha hızlı çözme potansiyeline kavuşur. İşte siber güvenlik dünyasını alarma geçiren ve mevcut şifreleme yöntemlerini tehdit eden o kritik kırılma noktası da tam olarak bu işlem kapasitesinin doğduğu yerde ortaya çıkar. Mevcut siber güvenlik sistemlerini neden ve nasıl tehdit ediyorlar? Mevcut siber güvenlik paradigması, “imkansızlık” üzerine değil, klasik bilgisayarların “yetersizliği” üzerine kuruludur. İnternetin omurgasını oluşturan RSA ve Elliptic Curve (ECC) şifreleme sistemleri, devasa sayıları çarpanlarına ayırmanın binlerce yıl süreceği varsayımıyla çalışır. Yani güvenlik duvarımız, matematiksel bir zorluktan ziyade; saldırganın zamanının yetmeyeceği kabulüne emanettir. Ancak kuantum bilgisayarlar bu denkleme dahil olduğunda “zaman” faktörü ortadan kalkar. Shor Algoritması sayesinde, klasik bir süper bilgisayarın evrenin yaşından uzun sürede çözebileceği şifreler, dakikalar içinde çözülebilir matematiksel işlemlere dönüşür. Bu sadece şifreli mesajların okunması değil; dijital imzaların taklit edilebilir hale gelmesi ve internetteki “kimlik doğrulama” güveninin tamamen çökmesi demektir. Stratejik Tehdit: “Şimdi Kaydet, Sonra Çöz” (HNDL) Kuantum bilgisayarların henüz laboratuvarda olması, “tehdidin uzak bir gelecekte olduğu” yanılgısını yaratır. Oysa siber savaşta cephe çoktan açılmıştır. Bu stratejiye “Şimdi Kaydet, Sonra Çöz” (Harvest Now, Decrypt Later – HNDL) adı verilir. Saldırganlar, bugün şifresini kıramadıkları stratejik verileri (devlet sırları, ticari patentler, genomik veriler) çalarak depolamaktadır. Amaçları, 5-10 yıl sonra güçlü bir kuantum bilgisayar erişilebilir olduğunda bu verileri geçmişe dönük olarak çözmektir. Dolayısıyla, eğer koruduğunuz verinin gizlilik ömrü kuantum teknolojisinin gelişinden daha uzunsa, teknik olarak bugün güvenlik açığınız var demektir. Bugün gönderilen “güvenli” bir mesaj, aslında gelecekteki bir kuantum ekranında okunmayı bekleyen açık bir mektuptur. Savunma Stratejisi: Post-Kuantum Kriptografi (PQC) ve Kripto-Çeviklik Kuantum tehdidi karşısında savunma dünyası çaresiz değildir. Bu asimetrik gücü dengelemek için geliştirilen çözümün adı Post-Kuantum Kriptografi (PQC)’dir. Başta ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) olmak üzere küresel otoriteler, kuantum bilgisayarların süperpozisyon yeteneğiyle bile çözmekte zorlanacağı yeni matematiksel standartlar belirlemektedir. Bu yeni nesil algoritmalar (örneğin Kafes Tabanlı Kriptografi), asal sayı çarpanlarına ayırma problemi yerine, çok boyutlu uzaylardaki karmaşık vektör problemlerine dayanır. Bu matematiksel yapılar, kuantum bilgisayarların işlem gücü avantajını nötralize edecek şekilde tasarlanmıştır. Ancak sadece algoritma değiştirmek yeterli değildir; kurumların mimari bir esneklik kazanması, yani “Kripto-Çeviklik” (Crypto-Agility) yeteneğine sahip olması şarttır. Kripto-çeviklik, bir şifreleme algoritması kırıldığında veya zayıfladığında, tüm donanım altyapısını değiştirmeye gerek kalmadan, hızlıca yeni ve güvenli bir algoritmaya geçebilme yeteneğidir. Geleceğin siber güvenlik mimarisi, statik ve kalıcı şifreler yerine; tehdidin boyutuna göre anında güncellenebilen bu dinamik yapılar üzerine kurulacaktır. Son olarak, geçiş sürecindeki riskleri minimize etmek için “Hibrit Şifreleme” modeli benimsenmelidir. Bu yaklaşım, verilerin hem yıllardır güvenilirliği kanıtlanmış klasik algoritmalarla (RSA/ECC) hem de yeni nesil post-kuantum algoritmalarıyla katmanlı olarak şifrelenmesini öngörür. Böylece, yeni algoritmaların olası teorik zafiyetlerine karşı klasik yöntemlerin güvencesi korunurken kuantum tehdidine karşı da gelecek odaklı bir kalkan oluşturulmuş olur. Özellikle “Şimdi Kaydet, Sonra Çöz” tehdidine maruz kalabilecek uzun ömürlü veriler için bu hibrit yapı, bir tercih değil stratejik bir zorunluluktur. Kaynakça https://www.ibm.com/quantum/learn/what-is-quantum-computing https://www.scientificamerican.com/article/feynmans-quantum-computer https://www.nature.com/articles/npjqi201523 https://www.cloudflare.com/learning/ssl/quantum-computing-and-cryptography https://www.ibm.com/topics/quantum-safe-cryptography https://csrc.nist.gov/projects/post-quantum-cryptography https://www.nist.gov/pqcrypto https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation https://www.cloudflare.com/learning/ssl/what-is-post-quantum-cryptography/ ChatGPT: Bilgi ve içerik oluşturma için OpenAI tarafından geliştirilen ChatGPT modeli kullanılmıştır. Gemini AI – Blog içeriği oluşturulurken veri analizi ve örnek senaryolar için Gemini AI kaynaklarından yararlanılmıştır.

NFT Güvenliği : Dijital Varlıkların Çalınması Nasıl Engellenir?

Baibusec Ocak 6, 2026

Hazırlayanlar: Büşra Can & Berke Zorlu NFT’ler, dijital varlıkların blokzinciri üzerinde benzersiz biçimde temsil edilmesini sağlayan teknolojilerdir. Dijital sanat eserlerinden oyun içi öğelere, müzikten koleksiyon ürünlerine kadar pek çok içerik NFT’ye dönüştürülebilir. NFT’lerin popülerleşmesiyle birlikte, bu dijital varlıklara karşı siber saldırılar da artmıştır. Bu nedenle NFT güvenliği, hem yatırımcılar hem sanatçılar hem de kripto ekosistemiyle ilgilenen herkes için kritik bir konudur. NFT ve Kripto Para Birimleri Arasındaki Farklar NFT’ler (Non-Fungible Token) ve kripto paralar, her ikisi de blokzinciri üzerinde çalışan dijital varlıklardır; ancak yapıları, kullanım alanları ve ekonomik özellikleri bakımından birbirlerinden önemli ölçüde ayrılırlar. Kripto paralar (Bitcoin, Ethereum gibi) “fungible” yani birbirinin yerine geçebilen, standart ve değiştirilebilir token’lardır. Bir Bitcoin diğer Bitcoin ile tamamen aynıdır ve aynı değere sahiptir. Bu nedenle kripto paralar dijital para, ödeme aracı veya bir değer saklama aracı olarak kullanılır. NFT’ler ise “non-fungible” yani benzersizdir. Her NFT’nin kendine özgü bir kimliği, metadata bilgisi ve sahiplik geçmişi vardır. Bu nedenle bir NFT’nin değeri, başka bir NFT ile birebir değiştirilemez. NFT’ler dijital sanat, koleksiyon ürünleri, oyun içi varlıklar, sanal gayrimenkuller gibi eşsiz dijital mülkiyetleri temsil eder. Teknik açıdan bakıldığında, kripto paralar ERC-20 gibi değiştirilebilir token standartlarını kullanırken NFT’ler ERC-721 ve ERC-1155 gibi değiştirilemez token standartlarıyla üretilir. Kripto paralar daha çok finansal işlemler ve transferler için optimize edilmiştir; NFT’ler ise sahiplik, eşsizlik ve varlık doğrulaması için tasarlanmıştır. Bu yapısal farklar, iki varlık türü arasındaki kullanım amacını ve güvenlik risklerini de farklılaştırmaktadır. NFT Nedir? NFT’ler (Non-Fungible Token), blokzinciri üzerinde benzersiz bir dijital varlığı temsil eden kriptografik token’lardır. “Non-fungible” kavramı, değiştirilemezlik ve eşsizliği ifade eder; yani her NFT diğerinden farklıdır ve birbirinin yerine geçemez. Bu yönüyle Bitcoin veya Ethereum gibi “fungible” yani birbirinin yerine geçebilen token’lardan ayrılır. NFT’ler genellikle dijital sanat eserleri, koleksiyon ürünleri, oyun içi varlıklar, müzik parçaları, domain isimleri veya kimlik bilgileri gibi dijital varlıklara sahipliği temsil etmek için kullanılır. Sahiplik bilgisi blokzinciri üzerinde değiştirilemez bir şekilde kayıt altına alındığı için, NFT’nin kime ait olduğu şeffaf bir şekilde takip edilebilir. NFT’lerin en önemli yapısal özelliği, bir akıllı sözleşme (smart contract) tarafından tanımlanmasıdır. Ethereum ekosisteminde ERC-721 ve ERC-1155 standartları en yaygın kullanılan protokollerdir. Bu standartlar; transfer kuralları, sahiplik yönetimi ve metadata formatı gibi konuları tanımlar. Bu sayede NFT’ler farklı uygulamalar, cüzdanlar ve pazaryerleri arasında birlikte çalışabilirlik (interoperability) kazanır. Günümüzde NFT’lerin popülaritesi, dijital mülkiyet kavramına getirdiği yeni yaklaşım sayesinde hızla artmıştır. Blokzinciri teknolojisi, merkezi olmayan yapısı nedeniyle NFT’lere güvenlik, şeffaflık ve sahiplik doğrulaması gibi özellikler kazandırır. Ancak bu özelliklerin yanında kullanıcı hataları, akıllı sözleşme zafiyetleri ve phishing saldırıları nedeniyle önemli güvenlik riskleri de bulunmaktadır. NFT’lerin Çalışma Mantığı NFT’lerin çalışma mantığı, benzersiz dijital varlıkların blokzinciri üzerinde kriptografik yöntemlerle temsil edilmesine dayanır. Her NFT, akıllı sözleşme içinde tanımlanan benzersiz bir Token ID, sahiplik bilgisi ve metadata (eserin açıklaması, görsel bağlantısı vb.) olmak üzere üç temel bileşenden oluşur. Ethereum ekosisteminde yaygın olarak kullanılan ERC-721 ve ERC-1155 standartları, NFT’lerin üretim (minting), transfer ve sahiplik doğrulama kurallarını belirler. ERC-721 tam anlamıyla değiştirilemezlik sunarken ERC-1155 aynı sözleşme içinde hem fungible hem non-fungible varlıkların oluşturulmasına izin verir. Bu standartlar sayesinde NFT’ler; cüzdanlar, pazaryerleri ve farklı uygulamalar arasında uyumlu şekilde çalışabilir. Bir NFT’nin temsil ettiği görsel, video veya dosya çoğu zaman doğrudan blokzincir üzerinde tutulmaz. Bunun yerine içerik, IPFS gibi dağıtık depolama sistemlerinde saklanır ve akıllı sözleşmede yalnızca bu içeriğe ait metadata URL’si bulunur. Bu yaklaşım, hem depolama maliyetlerini düşürür hem de eserin bütünlüğünü korur. NFT’nin sahiplik kaydı, zincire yazılan her işlemde güncellenir. Kullanıcı bir NFT satın aldığında ilgili Token ID’nin sahibi değişir ve bu bilgi blokzincirine geri döndürülemez şekilde kaydedilir. Böylece eserin tüm geçmişi şeffaf biçimde izlenebilir. Bu teknik yapı NFT’lere güvenilirlik sağlar; ancak aynı zamanda akıllı sözleşme hataları, sahte metadata bağlantıları ve phishing saldırıları gibi yeni güvenlik risklerini de ortaya çıkarır. NFT’nin Tarihçesi Dijital dünyada üretilen içeriklerin kolayca kopyalanabilmesi, uzun yıllar boyunca “dijital mülkiyet” kavramının sorgulanmasına neden olmuştur. Bir dijital dosyanın kime ait olduğu, hangi sürümün orijinal olduğu ve sahipliğin nasıl kanıtlanacağı önemli bir problem olarak görülmüştür. NFT’ler (Non-Fungible Token), bu soruna blokzinciri teknolojisi üzerinden çözüm sunan bir yapı olarak ortaya çıkmıştır. NFT fikrinin temelleri, 2012 yılında Bitcoin blokzinciri üzerinde geliştirilen Colored Coins çalışmalarına dayanmaktadır. Colored Coins, Bitcoin’lere ek bilgiler (metadata) bağlanarak belirli varlıkların temsil edilmesini amaçlamış ve benzersiz dijital varlık fikrinin ilk adımlarını oluşturmuştur. Asıl kırılma noktası ise Ethereum ekosistemiyle yaşanmıştır. 2017 yılında geliştirilen ERC-721 token standardı, her bir token’ın benzersiz olmasını mümkün kılarak NFT’lerin teknik altyapısını oluşturmuştur. Aynı dönemde ortaya çıkan CryptoPunks ve CryptoKitties projeleri, NFT’lerin geniş kitleler tarafından tanınmasını sağlamış ve dijital koleksiyonculuk kavramını popüler hâle getirmiştir. NFT’ler, 2020–2021 yılları arasında dijital sanat dünyasında büyük bir yükseliş yaşamıştır. Dijital sanatçı Beeple’ın Everydays: The First 5000 Days adlı eserinin 2021 yılında yaklaşık 69 milyon dolara satılması, NFT’leri ana akım medyanın ve yatırımcıların gündemine taşımıştır. Bu dönemde OpenSea, Rarible ve benzeri NFT pazaryerleri hızla büyümüş, milyonlarca kullanıcı NFT ekosistemine dâhil olmuştur. Günümüzde NFT’ler yalnızca dijital sanat eserleriyle sınırlı kalmayıp; oyun içi varlıklar, sanal gayrimenkuller, müzik eserleri ve dijital kimlik çözümleri gibi birçok alanda kullanılmaktadır. Ancak bu hızlı büyüme, NFT’leri siber saldırganlar için de cazip bir hedef hâline getirmiştir. Dolayısıyla NFT’lerin tarihsel gelişimi, aynı zamanda dijital varlık güvenliğinin neden bu kadar önemli hâle geldiğini de açıkça göstermektedir. NFT Güvenliğinin Önemi NFT’ler; dijital sanat eserleri, oyun içi öğeler, koleksiyon ürünleri ve çeşitli dijital varlıkları temsil etmektedir. Fiziksel bir sanat eserinin çalınması nasıl maddi ve itibar kaybına yol açıyorsa, NFT’lerin ele geçirilmesi de benzer sonuçlar doğurmaktadır. Son yıllarda kripto varlık ekosisteminde yaşanan siber saldırılar, milyonlarca dolarlık kayıplara neden olmuş; bu saldırıların büyük bir bölümü özel anahtarların, seed phrase bilgilerinin veya cüzdan erişim yetkilerinin ele geçirilmesiyle gerçekleşmiştir. Her ne kadar blokzinciri teknolojisi NFT’ler için değiştirilemez ve şeffaf bir sahiplik yapısı sunsa da bu durum kullanıcıların tamamen güvende olduğu anlamına gelmemektedir. NFT ticaretinin ağırlıklı olarak çevrimiçi pazar yerleri üzerinden gerçekleştirilmesi, bu platformları siber saldırganlar için cazip hedefler hâline getirmektedir. Phishing saldırıları, sahte akıllı sözleşmeler ve sosyal mühendislik yöntemleri, hem pazaryerlerini hem de bireysel kullanıcıları tehdit eden başlıca riskler arasında yer almaktadır. Bu bağlamda NFT güvenliği yalnızca teknik altyapı ile sınırlı değildir. Güvenli bir ekosistem oluşturulabilmesi için pazaryerlerinin güçlü güvenlik önlemleri alması kadar, kullanıcıların da siber farkındalık düzeylerinin yüksek olması

Phishing 2.0: Sosyal Mühendislik Saldırıları Nasıl Daha İkna Edici Hale Geldi?

Baibusec Aralık 30, 2025

Hazırlayanlar: Eylül Melike Baysal & Kübra Aysima Çelebi Siber güvenlik dünyasında sıkça duyduğumuz bir söz vardır: “Bir zincir, en zayıf halkası kadar güçlüdür.” Milyon dolarlık güvenlik duvarları, en güncel antivirüs yazılımları veya karmaşık şifreleme algoritmaları… Hepsi, dikkatsiz bir kullanıcının yanlış bir linke tıklamasıyla etkisiz hale gelebilir. İşte bu noktada karşımıza Phishing (Oltalama) çıkıyor. Ancak artık karşımızda sadece bozuk Türkçeyle yazılmış “Nijeryalı Prens” e-postaları yok. Karşımızda yapay zeka destekli, sizi tanıyan ve sesinizi taklit edebilen Phishing 2.0 var. Bu yazıda, oltalama saldırılarının evrimini, yeni nesil tehditleri ve bu dijital tuzaklardan nasıl korunabileceğimizi derinlemesine inceleyeceğiz. Phishing (Oltalama) Nedir? En basit tabiriyle Phishing; siber saldırganların, kurbanlarını kandırarak şifre, kredi kartı bilgileri veya kişisel verilerini çalmaları ya da sisteme zararlı yazılım bulaştırmaları eylemidir. Saldırgan, kendini güvenilir bir kaynak (banka, kargo şirketi, iş arkadaşı vb.) gibi göstererek kurbana bir “yem” atar. Eğer kurban bu yemi yutar ve istenilen eylemi (linke tıklamak, dosya indirmek) gerçekleştirirse, saldırı başarılı olmuş demektir. Eski Phishing vs. Phishing 2.0: Değişen Oyunun Kuralları Eskiden phishing saldırılarını ayırt etmek nispeten kolaydı. Saldırılar da daha çok şu şekildeydi: Ancak Phishing 2.0 ile oyunun kuralları değişti. Artık saldırılar: Phishing Türleri: Okyanustaki Tüm Tehlikeler Oltalama saldırıları tek bir yöntemle sınırlı değildir. Saldırganlar hedefe ve kullanılan platforma göre farklı teknikler geliştirmiştir. 1. E-posta Phishing (Bulk Phishing) En geleneksel yöntemdir. Saldırganlar, rastgele binlerce e-posta adresine zararlı bağlantılar içeren mailler gönderir. Amaç, ağa takılan birkaç dikkatsiz kullanıcı bulmaktır. 2. Spear Phishing (Mızrak Oltalama) Bu yöntem, rastgele değil, belirli bir kişiye veya kuruma yöneliktir. Saldırgan, hedef hakkında önceden bilgi toplar (OSINT). 3. Whaling (Balina Avı) Spear phishing’in daha üst düzey versiyonudur. Hedefte “büyük balıklar” yani CEO, CFO veya üst düzey yöneticiler vardır. Amaç genellikle büyük miktarda para transferi yaptırmak veya şirketin en hassas verilerine erişmektir. 4. Smishing (SMS Phishing) Saldırının e-posta yerine SMS yoluyla yapılmasıdır. Akıllı telefon kullanımının artmasıyla popülerleşmiştir. 5. Vishing (Voice Phishing – Sesli Oltalama) Saldırganın telefonla arayarak sosyal mühendislik yapmasıdır. Kendilerini polis, savcı veya bankacı olarak tanıtabilirler. 6. Pharming (Yönlendirme) Kullanıcının bilgisayarına veya modemine sızarak, doğru adresi yazsa bile sahte bir web sitesine yönlendirilmesidir. Kullanıcı banka.com yazdığını sanar ancak saldırganın kopyaladığı sahte siteye gider. 7. Clone Phishing (Klon Oltalama) Saldırgan, daha önce size gelmiş meşru ve güvenli bir e-postayı ele geçirir. İçeriği aynı tutar ancak e-postadaki güvenli bağlantıyı veya eki, zararlı olanla değiştirip tekrar size gönderir. “Az önceki mailde link çalışmıyordu, güncelini gönderiyorum” gibi bahaneler kullanılır. 8. BEC (Business Email Compromise – İş E-postası İstismarı) Şirket içi yazışmaların taklit edilmesidir. Genellikle tedarikçi ödemeleri veya fatura sahteciliği üzerine kuruludur. Bir çalışanın e-postası ele geçirilir ve muhasebeye “Acil ödeme yapılması gerek” şeklinde talimat gönderilir. 9. Angler Phishing (Sosyal Medya Oltalama) Saldırganlar, sosyal medyada şikayetini dile getiren müşterileri hedefler. Sahte bir “Müşteri Hizmetleri” hesabı oluşturarak şikayet eden kişiye “Sorununuzu çözmemiz için şu linke tıklayıp bilgilerinizi girin” derler. Yeni Nesil Tehdit: Phishing ve Deepfake Tehlikesi Phishing 2.0’ın en korkutucu yüzü, Yapay Zeka (AI) ve Deepfake teknolojilerinin işin içine girmesidir. Artık “gözümle görmeden, kulağımla duymadan inanmam” devri kapanıyor. Bu teknolojiler, phishing saldırılarını “reddedilemez” bir gerçeklik seviyesine taşımaktadır. Bu Dijital Tuzaklardan Nasıl Korunuruz? Kaynakça: https://www.usom.gov.tr https://www.guvenliweb.org.tr/blog-detay/oltalama-phishing-nedir https://gelecegiyazanlar.turkcell.com.tr/blog/oltalama-saldirilari-nelerdir-nasil-onlenir https://www.kaspersky.com.tr/resource-center/definitions/phishing https://dergipark.org.tr/tr/search?q=sosyal+m%C3%BChendislik+oltalama https://www.netsys.com.tr/phishing-saldirilari-e-posta-dolandiriciligindan-nasil-kacinilir/ https://kiril.com.tr/post/phishing-oltalama-nedir

Metasploit ve Exploit Temelleri:Dijital Dünyada Güvenlik Neden Bu Kadar Önemli?

Baibusec Aralık 23, 2025

Hazırlayan: Beyza Dağ Dijitalleşme, yalnızca teknolojik bir ilerleme değil, aynı zamanda yaşam biçimimizin kökten değişmesi anlamına gelmektedir. Günümüzde bankacılık işlemleri, akademik çalışmalar, kamu hizmetleri, sağlık kayıtları ve hatta günlük iletişimimiz bile internet ve bilgisayar ağları üzerinden yürütülmektedir. Bu durum, bilgiye erişimi kolaylaştırırken aynı zamanda ciddi güvenlik risklerini de beraberinde getirmiştir. Bir sistemin “çalışıyor” olması, onun “güvenli” olduğu anlamına gelmez. Aksine, çalışır durumdaki birçok sistem arka planda ciddi güvenlik açıkları barındırabilir. Bu noktada şu temel soru ortaya çıkar:Bir sistemin gerçekten güvenli olup olmadığını nasıl anlayabiliriz? Fiziksel dünyada bir kapının sağlamlığını test etmek için onu zorlamak gerekiyorsa, dijital dünyada da sistemlerin güvenliği kontrollü ve bilinçli saldırılarla test edilir. Bu testlerin temelinde ise iki kritik kavram yer alır: Exploit ve Metasploit. Güvenlik Açığı (Vulnerability) ve Exploit Kavramı Bir yazılım ya da sistem tasarlanırken geliştiriciler çoğunlukla işlevselliğe odaklanır. Ancak yazılım ne kadar karmaşık hale gelirse hata yapma olasılığı da o kadar artar. İşte bu hatalar, güvenlik açığı (vulnerability) olarak adlandırılır. Güvenlik açığı tek başına çoğu zaman pasif bir problemdir. Asıl tehdit, bu açığın aktif olarak kullanılabilir hale gelmesiyle ortaya çıkar. Bu noktada exploit kavramı devreye girer. Exploit, bir güvenlik açığından yararlanarak sistem üzerinde yetkisiz işlem yapılmasını sağlayan kod, teknik veya yöntemdir. Basit bir benzetmeyle açıklamak gerekirse: Bu nedenle güvenlik dünyasında şu yaklaşım yaygındır:“Açık tek başına tehlike değildir; o açığın exploit edilebilir olması tehlikelidir.” Tablo 1: Güvenlik Açığı – Exploit – Payload İlişkisi Kavram Tanım Gerçek Hayat Benzetmesi Güvenlik Açısından Önemi Vulnerability (Güvenlik Açığı) Yazılım veya sistemde bulunan tasarım ya da kod hatası Kilidi bozuk kapı Saldırıya zemin hazırlar Exploit Güvenlik açığını kullanan yöntem veya kod Kapıyı açma tekniği Açığı aktif tehdide dönüştürür Payload Exploit sonrası çalışan kod Eve girdikten sonra yapılanlar Saldırının amacını belirler Exploit Türleri ve Kullanım Amaçları Exploit’ler, saldırının nereden ve nasıl gerçekleştirildiğine göre farklı kategorilere ayrılır. Bu sınıflandırma, güvenlik analizleri açısından oldukça önemlidir. Tablo 2: Exploit Türlerinin Karşılaştırılması Exploit Türü Erişim Şekli Kullanım Amacı Risk Seviyesi Örnek Senaryo Remote Exploit Uzaktan (ağ/internet) Sisteme ilk erişim Çok Yüksek Web sunucusuna uzaktan erişim Local Exploit Yerel (sistem içi) Yetki yükseltme Orta Kullanıcıdan root yetkisi alma Zero-Day Exploit Bilinmeyen açık Gizli saldırılar Kritik Yaması olmayan açıkların kullanımı Exploit Geliştirmenin Zorlukları Exploit yazmak, sanıldığı kadar kolay bir süreç değildir. Özellikle bellek tabanlı açıklar söz konusu olduğunda, saldırganın sistemin iç yapısını çok iyi anlaması gerekir. İşletim sisteminin bellek yönetimi, işlemci mimarisi, programlama dilleri ve derleyici davranışları bu sürecin temel bileşenleridir. Bu nedenle exploit geliştirme süreci genellikle şu bilgi alanlarını gerektirir: Her exploit geliştiricisi bu teknik bilgiye sahip değildir; ancak exploit mantığını anlamak ve hazır exploit’leri analiz edebilmek, siber güvenlik öğrencileri için temel bir yetkinliktir. Metasploit Framework Nedir? Metasploit, exploit geliştirme ve kullanma sürecini standartlaştıran, modüler hale getiren açık kaynaklı bir siber güvenlik framework’üdür. İlk olarak 2003 yılında H.D. Moore tarafından geliştirilmiştir. Daha sonra proje büyümüş, topluluk katkıları artmış ve Metasploit, güvenlik dünyasının en önemli araçlarından biri hâline gelmiştir. Metasploit’in temel amacı, exploit yazmayı kolaylaştırmak değil; exploit kullanım sürecini öğretmek ve güvenlik testlerini sistematik hâle getirmektir. Metasploit Nerede ve Nasıl Çalışır? Metasploit genellikle Kali Linux gibi sızma testi odaklı Linux dağıtımları üzerinde kullanılır. Grafik arayüzden çok, komut satırı (terminal) üzerinden çalışır. Metasploit başlatıldığında kullanıcıyı msfconsole adı verilen etkileşimli bir ortama alır. Bu ortam bir kontrol merkezi gibi çalışır ve kullanıcı burada: Bu yapı, Metasploit’i rastgele kullanılan bir saldırı aracı olmaktan çıkarıp akademik ve profesyonel bir test platformu hâline getirir. Metasploit Modüllerinin Mantığı Metasploit’in en güçlü yönlerinden biri modüler yapısıdır. Her modül, belirli bir görevi yerine getirir ve diğer modüllerle birlikte çalışır. Tablo 3: Metasploit Framework Modülleri Modül Türü Görevi Kullanım Aşaması Exploit Güvenlik açığını tetikler Sisteme giriş Payload Sistemde yapılacak işlemleri belirler Sızma sonrası Auxiliary Tarama ve bilgi toplama Keşif Post Ele geçirilen sistemde analiz Yetki sonrası Encoder Payload gizleme Güvenlik atlatma Exploit Yaşam Döngüsü Bir güvenlik açığının keşfedilmesinden aktif olarak kullanılabilir hâle gelmesine kadar geçen süreç exploit yaşam döngüsü olarak adlandırılır. Aşamalar şunlardır: Zero-day durumlarında ise exploit, yayımlanmadan gizli şekilde kullanılır. Metasploit bu yaşam döngüsünün özellikle analiz, test ve uygulama aşamalarında büyük kolaylık sağlar. Metasploit ile Tipik Bir Sızma Testi Süreci Gerçek bir sızma testi rastgele yapılmaz. Önce hedef sistem hakkında bilgi toplanır, ardından bu bilgiler analiz edilir. Uygun exploit ve payload seçildikten sonra saldırı kontrollü şekilde gerçekleştirilir. Başarılı olunursa sistem üzerindeki yetkiler değerlendirilir ve gerekli raporlama yapılır. Bu süreç, öğrencilerin siber saldırıların nasıl gerçekleştiğini adım adım anlamasını sağlar. Savunma Perspektifi: Neden Bunları Öğrenmeliyiz? Exploit ve Metasploit bilgisi yalnızca saldırı amaçlı değildir. Savunma sistemleri (IDS/IPS, EDR, SIEM) bu saldırı teknikleri bilinmeden doğru şekilde yapılandırılamaz. Bu yüzden Metasploit, savunma ekipleri için de vazgeçilmez bir eğitim aracıdır. Etik, Hukuki ve Akademik Sorumluluk Metasploit güçlü bir araçtır; izinsiz sistemlerde kullanımı hukuka aykırıdır. Üniversite düzeyinde bu konular etik hackerlık çerçevesinde ele alınmalı ve yalnızca kontrollü laboratuvar ortamlarında uygulanmalıdır. Metasploit ve exploit temelleri, siber güvenliğin arka planını anlamak isteyen herkes için kritik öneme sahiptir. Bu konular yalnızca teknik bilgi kazandırmakla kalmaz; aynı zamanda analitik düşünme, sistem yaklaşımı ve güvenlik farkındalığı geliştirir. Güçlü savunmalar, saldırganların yöntemlerini en iyi bilenler tarafından inşa edilir. KAYNAKÇA Varonis. What is Metasploit? A Comprehensive Overview. Varonis Blog.https://www.varonis.com/blog/what-is-metasploit Hack The Box. Metasploit Tutorial. HackTheBox Blog.https://www.hackthebox.com/blog/metasploit-tutorial TechTarget. Using Metasploit for Real‑World Security Tests.https://www.techtarget.com/searchsecurity/tip/Using-Metasploit-for-real-world-security-tests Wikipedia. Metasploit. Türkçe Vikipedi.https://tr.wikipedia.org/wiki/Metasploit Demirtürk, Kerem. Exploit ve Metasploit. Medium.https://keremdemirtrk.medium.com/exploit-ve-metasploit-a6d52d61d8ba Beyaz.net. Metasploit Nedir?https://www.beyaz.net/tr/guvenlik/makaleler/metasploit_nedir.html Exploit‑DB. Pen Testers Guide for Metasploit Framework (Türkçe PDF).https://www.exploit-db.com/docs/turkish/24132-[turkish]-pen-testers-guide-for-metasploit-framework.pdf ChatGPT – Bilgi ve içerik oluşturma için OpenAI tarafından geliştirilen ChatGPT modeli kullanılmıştır. Gemini AI – Blog içeriği oluşturulurken veri analizi ve örnek senaryolar için Gemini AI kaynaklarından yararlanılmıştır.

Zafiyet Analizi Nedir ve Neden Önemlidir?

Baibusec Aralık 17, 2025

Hazırlayanlar: İlker Bitigiç ve Burak Çağrı Aydın Günümüz dijital dünyasında bilgi, kurumlar ve bireyler için en değerli varlıklardan biri hâline gelmiştir. Bu bilginin saklandığı, işlendiği ve iletildiği sistemler ise her geçen gün daha karmaşık ve daha fazla tehdit altında kalmaktadır. Siber saldırıların sayısı ve karmaşıklık seviyesi artarken, güvenlik açıklarının erken tespiti ve giderilmesi kritik bir gereklilik hâline gelmiştir. İşte bu noktada zafiyet analizi (vulnerability analysis) devreye girer. Zafiyet Analizi Nedir? Zafiyet analizi; bir bilgi sisteminde, ağda, uygulamada veya donanımda bulunan ve kötü niyetli kişiler tarafından istismar edilebilecek güvenlik açıklarının sistematik olarak tespit edilmesi, sınıflandırılması ve raporlanması sürecidir. Bu süreç yalnızca mevcut zafiyetlerin bulunmasını değil, aynı zamanda bu zafiyetlerin risk seviyelerinin belirlenmesini ve giderilmesine yönelik önceliklendirme yapılmasını da kapsar. Zafiyetler; gibi birçok farklı kaynaktan ortaya çıkabilir. Zafiyet analizi, bu problemlerin saldırganlar tarafından kullanılmadan önce fark edilmesini sağlar. Zafiyet Analizi ile Sızma Testi Arasındaki Fark Zafiyet analizi sıklıkla sızma testi (penetration testing) ile karıştırılır. Ancak aralarında temel bir fark vardır. Zafiyet analizi, sistemdeki olası açıkları bulmaya ve listelemeye odaklanırken; sızma testi bu açıkların gerçekten istismar edilip edilemeyeceğini göstermeyi amaçlar. Başka bir deyişle zafiyet analizi “Nerede risk var?” sorusuna cevap verirken, sızma testi “Bu risk gerçekten sömürülebilir mi?” sorusunu yanıtlar. Neden Önemlidir? Zafiyet analizinin önemi hem teknik hem de stratejik boyutta değerlendirilebilir: Özellikle finans, sağlık, eğitim ve kamu sektörlerinde zafiyet analizi artık bir tercih değil, zorunluluk hâline gelmiştir. Zafiyet Analizi vs. Sızma Testi (Pentest): Farkı Anlamak Siber güvenlik alanında en sık karşılaşılan kavramlardan ikisi zafiyet analizi (vulnerability analysis) ve sızma testidir (penetration testing – pentest). Bu iki yaklaşım çoğu zaman birbirinin yerine kullanılsa da amaçları, yöntemleri ve çıktıları bakımından önemli farklar barındırır. Etkili bir güvenlik stratejisi oluşturabilmek için bu farkların doğru anlaşılması kritik öneme sahiptir. Zafiyet Analizi: Geniş Kapsamlı Bir Tarama Zafiyet analizi, bir sistemde mevcut olan güvenlik açıklarını geniş kapsamlı ve sistematik bir şekilde tespit etmeyi amaçlar. Bu süreçte genellikle otomatik araçlar kullanılarak ağlar, sunucular, işletim sistemleri ve uygulamalar taranır. Zafiyet analizinin temel özellikleri şunlardır: Bu yönüyle zafiyet analizi, kurumlara “Nerelerde zayıfız?” sorusunun cevabını verir. Ancak tek başına, bu açıkların gerçek bir saldırı senaryosunda ne kadar tehlikeli olduğunu tam olarak ortaya koyamaz. Sızma Testi (Pentest): Gerçek Saldırı Senaryosu Sızma testi ise bir saldırganın bakış açısıyla hareket ederek, tespit edilen (veya henüz tespit edilmemiş) zafiyetlerin gerçekten istismar edilip edilemeyeceğini test eder. Pentest süreci çoğunlukla manuel teknikler, özel araçlar ve uzman analistler tarafından yürütülür. Sızma testinin öne çıkan yönleri: Hangisi Ne Zaman Kullanılmalı? Aslında bu iki yaklaşım birbirinin alternatifi değil, tamamlayıcısıdır. İdeal bir güvenlik mimarisinde: Bir benzetme yapmak gerekirse; zafiyet analizi, bir binadaki tüm kapı ve pencerelerin kilitlerini kontrol etmeye benzerken, pentest bu kilitleri gerçekten kırmaya çalışmaktır. Zafiyet Yönetim Döngüsü (The Vulnerability Management Lifecycle) Siber güvenlikte zafiyetlerin tespit edilmesi tek başına yeterli değildir. Asıl önemli olan, bu zafiyetlerin süreklilik arz eden, ölçülebilir ve yönetilebilir bir süreç içerisinde ele alınmasıdır. İşte bu yaklaşım, Zafiyet Yönetim Döngüsü (Vulnerability Management Lifecycle) olarak adlandırılır. Bu döngü, kurumların güvenlik açıklarını rastgele değil; planlı, sistematik ve sürdürülebilir bir şekilde yönetmesini sağlar. Zafiyet Yönetimi Nedir? Zafiyet yönetimi; bilgi sistemlerinde bulunan güvenlik açıklarının keşfedilmesi, değerlendirilmesi, önceliklendirilmesi, giderilmesi ve yeniden doğrulanması süreçlerinin tamamını kapsayan sürekli bir güvenlik pratiğidir. Tek seferlik taramalar yerine, sürekli iyileştirmeyi hedefler. Zafiyet yönetimi, yalnızca teknik ekiplerin sorumluluğu değildir; BT, yazılım, operasyon ve yönetim katmanlarının birlikte çalışmasını gerektirir. Zafiyet Yönetim Döngüsünün Temel Aşamaları Zafiyet yönetim döngüsü genel olarak beş ana adımdan oluşur: 1. Varlıkların Tanımlanması (Asset Discovery) Etkili bir zafiyet yönetimi için öncelikle neyi koruduğunuzu bilmeniz gerekir. Bu aşamada: envanter hâline getirilir. Eksik veya güncel olmayan varlık envanteri, zafiyet yönetiminin en büyük zayıf noktalarından biridir. 2. Zafiyetlerin Tespiti (Vulnerability Identification) Bu aşamada, belirlenen varlıklar üzerinde zafiyet taramaları gerçekleştirilir. Genellikle otomatik araçlar kullanılır: Amaç, sistemde potansiyel olarak istismar edilebilir tüm güvenlik açıklarını ortaya çıkarmaktır. 3. Risk Değerlendirmesi ve Önceliklendirme (Risk Assessment & Prioritization) Her zafiyet aynı derecede tehlikeli değildir. Bu nedenle tespit edilen açıklar: gibi kriterlere göre değerlendirilir ve önceliklendirilir. Bu adım, sınırlı kaynakların doğru alanlara yönlendirilmesini sağlar. 4. Giderme ve İyileştirme (Remediation & Mitigation) Önceliklendirilen zafiyetler için aksiyon alınır. Bu aksiyonlar: şeklinde olabilir. Bazı durumlarda zafiyet tamamen kapatılamıyorsa, riski azaltacak geçici çözümler uygulanır. 5. Doğrulama ve Sürekli İzleme (Verification & Continuous Monitoring) Zafiyet giderildikten sonra, yapılan işlemin gerçekten etkili olup olmadığı yeniden test edilmelidir. Ardından süreç burada bitmez; yeni zafiyetler ve sistem değişiklikleri için sürekli izleme devam eder. Bu aşama, zafiyet yönetim döngüsünün süreklilik kazandığı noktadır. Zafiyet Yönetim Döngüsünün Önemi Zafiyet yönetim döngüsü sayesinde kurumlar: 4. Yaygın Zafiyet Tarama Türleri Zafiyet taraması (Vulnerability Scanning), BT varlıklarındaki bilinen güvenlik açıklarını proaktif bir şekilde belirlemek için otomatik araçların kullanıldığı temel bir süreçtir. Doğru tarama türünün seçimi, güvenlik duruşunu bütünsel olarak anlamak için kritik öneme sahiptir. 4.1. Kapsama Alanına Göre Tarama 4.2. Kimlik Doğrulamasına Göre Tarama 4.3. Hedeflenen Sistem Türüne Göre Tarama 5. Kullanılan Popüler Araçlar Zafiyet analizi sürecinde kullanılan araçlar genellikle ticari ve açık kaynaklı (Open-Source) olarak iki ana kategoriye ayrılır. Bu araçlar, ağ keşfinden detaylı sistem ve uygulama zafiyet analizine kadar geniş bir yelpazede hizmet sunar. Bu araçlar, zafiyet tarama döngüsünde kritik rol oynar; sistemleri otomatik olarak tarayarak binlerce bilinen güvenlik açığını hızlıca tespit ederler. 6. Zafiyetlerin Skorlanması: CVSS Nedir? Zafiyet taraması sonucunda yüzlerce, hatta binlerce potansiyel güvenlik açığı tespit edilebilir. Bir güvenlik ekibi, bu zafiyet yığınını yönetebilmek ve onarım çabalarını önceliklendirebilmek için bir standarda ihtiyaç duyar. İşte bu noktada CVSS (Common Vulnerability Scoring System – Ortak Zafiyet Skorlama Sistemi) devreye girer. 6.1. CVSS Nedir? CVSS; zafiyetlerin ciddiyetini objektif, standart ve sayısal bir şekilde değerlendirmek için kullanılan açık bir çerçevedir. Zafiyetin risk seviyesini 0.0 ile 10.0 arasında bir puanla ifade eder: 6.2. CVSS Temel Metrikleri CVSS skoru, bir zafiyetin temel özelliklerini tanımlayan üç ana metrik grubu kullanılarak hesaplanır: CVSS, güvenlik uzmanlarının ve yöneticilerinin, sınırlı kaynakları en kritik zafiyetleri gidermeye odaklamasını sağlayarak etkili bir risk yönetimi yapılmasının temelini oluşturur. Kaynakça

Tarama ve Keşif: Siber İstihbaratın Derinlemesine Analizi ve Metodolojik Yaklaşımlar

Baibusec Aralık 13, 2025

Hazırlayanlar: Kudret Efil & Resul Emin Göçer Siber uzayda güvenlik, asimetrik bir savaş alanıdır. Savunma tarafı (mavi takım) sistemin tamamını korumak zorundayken, saldırı tarafının (kırmızı takım) başarılı olmak için yalnızca tek bir zafiyet bulması yeterlidir. Bu asimetrik denklemde, başarılı bir siber operasyonun—ister etik bir penetrasyon testi isterse kötü niyetli bir saldırı olsun—temeli, sağlam ve kapsamlı bir istihbarat toplama sürecine dayanır. “Cyber Kill Chain” (Siber Saldırı Zinciri) veya PTES (Penetration Testing Execution Standard) gibi endüstri standartlarında ilk aşamalar olarak tanımlanan bu süreç, pasif bilgi toplamadan aktif sorgulamaya geçişi ifade eder. Bu yazının odak noktasını oluşturan Tarama (Scanning) ve Keşif (Enumeration), hedef altyapı üzerinde doğrudan paket gönderimi yaparak gerçekleştirilen, agresif ancak hayati öneme sahip bilgi toplama fazlarıdır. Bu aşamalar, “Hedefte ne var?” sorusundan “Hedef nasıl çalışıyor ve zayıf noktaları nelerdir?” sorusuna geçişin metodolojik köprüsünü kurar. 1. Tarama (Scanning) Metodolojisinin Kuramsal Çerçevesi Tarama, geniş bir ağ bloğu veya belirli bir hedef sistem üzerinde; erişilebilirliği, aktif servisleri ve ağ topolojisini belirlemek amacıyla yürütülen sistematik bir sondaj işlemidir. Bu aşama, genellikle “genişten özele” (broad-to-narrow) bir yaklaşım izler. 1.1. Host Keşfi ve Ağ Varlıklarının Tespiti (Host Discovery) Bir saldırı yüzeyini haritalandırmanın ilk adımı, hangi sistemlerin “canlı” (alive) olduğunu belirlemektir. Bu, OSI modelinin farklı katmanlarındaki protokollerin davranışları kullanılarak gerçekleştirilir. 1.2. Port Tarama Taksonomisi ve Durum Analizi Host keşfinin ardından, hedef üzerindeki “kapıların” yani portların durumu analiz edilir. Bir portun durumu, güvenlik açısından kritik bilgiler sunar. Nmap gibi endüstri standardı araçlar portları temel olarak üç durumda sınıflandırır: Temel ve Gelişmiş Tarama Teknikleri 2. Keşif (Enumeration): Sistematik Veri Madenciliği Tarama aşaması “nerede” sorusuna yanıt verirken, Keşif (Enumeration) aşaması “ne” ve “kim” sorularına odaklanır. Bu, tarama sırasında bulunan açık portlar ve servisler üzerinden hedef sisteme özgü kritik verilerin aktif olarak çekilmesi işlemidir. Keşif, saldırı vektörünün belirlenmesinde en belirleyici adımdır. 2.1. Servis Versiyon Tespiti ve Parmak İzi (Fingerprinting) Bir portun 80/TCP (HTTP) olduğunu bilmek yeterli değildir. O portta “Apache 2.4.49” mu yoksa “Microsoft IIS 10.0” mı çalıştığını bilmek hayati önem taşır. 2.2. Ağ Protokolleri Üzerinden Veri Keşfi Ağ ortamlarında yaygın olarak kullanılan bazı protokoller, doğaları gereği veya hatalı yapılandırmalar sonucu çok miktarda bilgi sızdırabilir. a. NetBIOS ve SMB (Server Message Block) Keşfi (Windows Ortamları) Windows ağlarının temel taşı olan SMB, keşif için bir altın madenidir. Uygun araçlarla (örn: enum4linux, smbclient) şunlar elde edilebilir: b. DNS (Domain Name System) Keşfi DNS sunucuları, bir organizasyonun dış dünyadaki ve bazen iç ağdaki dijital haritasını barındırır. c. SNMP (Simple Network Management Protocol) Keşfi Ağ cihazlarını yönetmek için kullanılan SNMP, genellikle zayıf varsayılan ayarlarla bırakılır. “Public” gibi varsayılan topluluk dizeleri (community strings) kullanılarak yönlendiriciler, anahtarlar ve sunucular hakkında inanılmaz detayda bilgi (sistem çalışma süresi, yüklü yazılımlar, ağ arayüz istatistikleri, hatta bazen kullanıcı hesapları) sorgulanabilir. 2.3. Dizin ve Kimlik Doğrulama Servisleri (LDAP/AD) Kurumsal ortamlarda, Active Directory (AD) veya LDAP (Lightweight Directory Access Protocol) sunucuları, organizasyonun tüm hiyerarşisini barındırır. Bu servislerin keşfi, saldırganın domain içerisindeki kullanıcıları, grupları, bilgisayarları ve organizasyonel birimleri (OU) haritalandırmasını sağlar. Bu bilgi, yanal hareket (lateral movement) ve yetki yükseltme saldırıları için kritik öneme sahiptir. 3. Savunma Perspektifi: Tespit ve Önleme Stratejileri Tarama ve Keşif tekniklerine hakimiyet, Mavi Takımlar (Savunmacılar) için proaktif bir güvenlik duruşu geliştirmenin ön koşuludur. Savunma stratejisi “derinlemesine savunma” (defense in depth) ilkesine dayanmalıdır. 3.1. Ağ Sıkılaştırma ve Filtreleme (Network Hardening) 3.2. Gizleme ve Yanıltma (Obfuscation and Deception) 3.3. Anomali Tespiti ve İzleme Saldırı Tespit Sistemleri (IDS) ve SIEM (Güvenlik Bilgileri ve Olay Yönetimi) çözümleri, tarama aktivitelerinin karakteristik imzalarını tanıyacak şekilde yapılandırılmalıdır. Örneğin: Sonuç Tarama ve Keşif, siber güvenliğin hem saldırı hem de savunma tarafında yer alan, sürekli ve döngüsel bir süreçtir. Bir saldırgan için bu aşama, karanlıkta bir el feneri yakmak gibidir. Hedefin sınırlarını, zayıflıklarını ve giriş noktalarını aydınlatır. Bu aşamada elde edilen istihbaratın kalitesi, takip eden zafiyet sömürme (exploitation) aşamasının başarısını doğrudan belirler. Savunmacılar için ise bu teknikleri düzenli olarak kendi sistemlerine uygulamak (Penetrasyon Testi ve Zafiyet Taraması), saldırganlardan önce güvenlik açıklarını görmenin ve kapatmanın tek yoludur. Modern, dinamik ağ altyapılarında güvenlik, statik bir durum değil, sürekli bir keşif ve iyileştirme sürecidir. Kaynakça

DevSecOps Kültürü: Yazılım Geliştirme Sürecine Güvenliği Dahil Etmek

Baibusec Aralık 3, 2025

Hazırlayanlar: Şevval Kanberoğlu ve Çağrı Ceyhan 1)DevSecOps Nedir? 1.1. DevSecOps’un Tanımı ve Ortaya Çıkışı DevSecOps terimini açıklayabilmek için öncelikle DevOps’un ne anlama geldiğini bilmek gerekir. DevOps, IT (ınformation Technologies) departmanının iki ana bileşeni olan geliştirme(develop) ve operasyon(operations) birimlerinin beraber çalışmasıdır ve yazılım geliştirme yaşam döngüsü(SDLC) boyunca devam eden bir süreç bileşenidir. Bu çalışma sürecin yürütülmesi ve denetlenmesini aynı anda mümkün kılar. Ancak bu yapının en büyük zafiyeti ürünün güvenlik tarafındaki gereksinimleri hep en son basamak olarak bırakılmasıydı. DevOps sürecinde güvenlik, ürün üretim sürecinin en son adımında yer almaktaydı. Bu sebeple ürünün güvenlik tarafındaki açıkları, eksiklikleri vb. ürün yayımlandıktan sonra fark ediliyor ve düzenlenmek zorunda kalınıyordu. Bu durum kurumlara mali ve operasyonel yük katıyordu. Bu eksiklikler yeni ürün geliştirmesi tarafını da aksatıyordu. Bundan dolayı güvenlik son kontrol yerine otomatikleştirilip sürecin içerisine yayıldı. 1.2. DevSecOps’un Kapsamı CI/CD(continuous ıntegration/continuous delivery), yazılım geliştirme sürecinde manuel kod dağıtımı yerine otomasyonu benimser ve bu süreci optimize eder. Bu süreç, modern yazılım süreçlerinin ana fikridir. CI, kod geliştirme sürecinde her yazılan adımda kod birleştirme işlemi otomatik testte doğrular ve bu sayede yazılım geliştirme sürecinde hatalar daha erken fark edilir. CD, CI sonrasında yazılan kod geçici olarak ana kodda denenir ve ana ürün öncesi olası hatalar daha çabuk test edilir. Bu adıma Delivery(teslimat) denir. Diğer bir kavram deployment(dağıtım), son adımın otomatikleştirilmesi ile oluşturulur. Kurumlar risk toleransyonuna, test kapsamlarına vs. göre bu iki kavramdan birini benimserler. Shift left security, verilen isim dolayısıyla güvenliği sola yani başa kaydırır. Bu da önceden kullanılan tüm testi bitirelim en son güvenlik kalsın anlayışının aksine güvenlik basamağını ürün üretim sürecinin; tasarım, kod geliştirme, commit/push sırasında ve CI/CD adımlarının erken adımlarına da ekler. Bu süreç güvenlik açıklarının daha kolay tespit edilmesini ve bu sayede düzeltme sürecinin daha kısa sürede tamamlanmasına olanak sağlar. Shift left security, DevSecOps kültürün yapı taşlarından biridir. 1.3. DevSecOps ve DevOps Arasındaki Temel Farklar DevOps kültüründe güvenlik basamağı tüm ürün üretim ve test süreçlerinin sonunda gerçekleştiriliyordu. Bu yöntem sebebiyle herhangi bir açık bulunduğunda bunu kapatmak hem fazla zaman kaybına hem de pahalı düzeltmelere yol açıyordu. Bunun aksine DevSecOps güvenliği üretimin her adımına yerleştirerek hatanın bulunma süresini azaltıyor, buna bağlı olarak da sonraki üretimi aksatmıyor. 2) Neden DevSecOps’a İhtiyaç Duyarız? 2.1. Artan Siber Tehditlerin Etkisi Modern dönemin yazılım mimarileri daha dinamik ve parçalı bir yapıya ulaştı. Bu durum kurumlara hız ve esneklik kazandırırken olası saldırılar için de birçok farklı kapı aralıyor. Bu tarz durumlarda geleneksel güvenlik yöntemleri yetersiz kalmakta. DevSecOps’a tam olarak bu duruma uygun olduğundan ihtiyaç duyuyoruz. Shift left security, otomatikleştirilmiş test ve tarama, her üretim ve geliştirme adımında sağlanan geri dönüş dinamik saldırılara karşı dinamik bir koruma döngüsü sağlamakta. Supply chain saldırısında, saldırgan direkt uygulamayı değil uygulamanın yaralandığı tedarik ögelerine saldırır. Bu durumda tek bir yanlış girdi, paket, pipeline tüm sistemin dengesini bozabilir. DevSecOps, süreç boyunca tüm adımları otomatik denetleme ve geri bildirim yapar. Bu sayede bu saldırının sürecin hangi kısmına etki ettiğini erkenden fark ederek olası zararları minimuma indirir. 2.2. Geliştirme Süreçlerindeki Hız Baskısı Oluşturulma biçimi sebebiyle DevOps’un hızlı teslimat anlayışı, sürekli üretim, sürekli entegrasyon ve geri dönüş adımlarını içermektedir. Bu hız anlayışının oluşturduğu riskler de kontrol mekanizması yeterince gelişmemiş sistemlerde büyük zarara yol açar. Örneğin bir an önce yetiştirme amacı ile oluşan bir ekip hatası aynı şekilde çabuk yetişsin diye ertelenen güvenlik kontrolleri yetiştirilmeye çalışılan bu iş saldırılmaya açık bir yüzey oluşturur. 2.3. Güvenlik ve Geliştirme Ekipleri Arasındaki Kopukluk DevSecOps yapısı gereği geliştirme, denetleme ve güvenlik departmanlarının tüm süreçte aktif rol alması ile oluşturulan bir yöntemdir. Güvenliğin sona bırakılması ile oluşacak aksaklık ve mali zararları, geliştirme sonucunda denetlenmemenin yaratabileceği eksiklik ve hatalar yığınını engellemesi bu yöntemin süreç boyunca neden kullanıldığını açıklıyor. 3)DevSecOps’un Temel İlkeleri 3.1. Otomasyonun Merkezde Olması SAST: Kaynak kodu analiz ederek güvenlik açıklarını tespit eden bir yöntemdir. Yazılım geliştirme sürecinin erken aşamalarında kullanılır ve kodun yazıldığı veya derlendiği her noktada çalıştırılır. Erken müdahale, güvenlik açıklarının giderilmesi için gereken maliyet ve zaman kaybını önemli ölçüde azaltır. DAST: Uygulama çalışırken gerçekleştirilen güvenlik testleridir. Bu yöntem, uygulamanın dinamik davranışını analiz ederek güvenlik açıklarını tespit eder. Özellikle web uygulamaları için yaygın olarak kullanılan DAST, saldırganların uygulamaya nasıl erişebileceğini anlamaya çalışır. SCA: Yazılımın bağımlılıklarını ve bileşenlerini analiz eder. Açık kaynak kütüphaneler ve üçüncü parti bileşenler, yazılım geliştirme sürecinde sıkça kullanılır ve bu bileşenlerdeki güvenlik açıkları ciddi riskler oluşturabilir. SCA araçları, bu bileşenlerin güncel olup olmadığını ve bilinen güvenlik açıklarına karşı korunup korunmadığını kontrol eder. — Bu araçlar sürecin azalmasında kullanılan en temel araçlardır– 3.2. Sürekli İzleme ve Geri Bildirim Loglar, güvenlik açıklarını ve anormal aktiviteleri tespit etmek için analiz edilir. Aynı zamanda yasal gerekliliklere uyumu sağlamak ve denetim süreçlerinde kanıt sunmak için de kullanılır. Bu durum yeni ürün süreçlerinde geliştirilmesi gereken yerlerin tespitinde yarar gösterir. Log analizi, sistemin performansını optimize etmeye yardımcı olur. IDS: Paketler ve ağ istilasının olası devamı için ağ trafiğini analiz eder. Daha sonra sistem bilinen tehditleri ve zafiyetleri işaretler. IPS: IPS sistemi, bir güvenlik duvarı ile aynı alanda; dahili ağ ile dış internet arasında yer alır. IDS tehdit olarak aldığı şeyi işaretlerken IPS kötü niyetli trafiği reddeder ve paket gönderimini keser. SIEM: Bilgi güvenliği yönetimi ve durum güvenliği yönetimi teknolojilerinin birleşimidir. SIEM’in temel amacı güvenlik ile ilgili tüm bilgileri takip ve analiz ederek toplamaktır. Hep tespit hem de duruma uygun korumayı/aksiyonu sağlar. 4) Erken Aşama Güvenlik Yaklaşımı Geleneksel yazılım geliştirme süreçlerinde güvenlik genellikle projenin sonuna bırakılır. Kod tamamlandıktan, testler yapıldıktan ve ürün yönetim ortamına alınmadan önce güvenlik kontrolleri yapılır. Bu yaklaşım, çoğu zaman güvenlik açıklarının tespit edilmesini geciktirir ve düzeltme maliyetlerini yükseltir. Erken aşama güvenlik yaklaşımı, güvenliği yazılım geliştirme sürecinin başına taşır. Yani, kod yazımından tasarım aşamasına, hatta fikir aşamasına kadar güvenlik perspektifi entegre edilir. Bu yaklaşımın temel avantajı, sorunlar büyümeden, sistemin temel yapı taşlarıyla birlikte ele alınabilmesidir. Sonuç olarak hem zaman hem de kaynak tasarrufu sağlanır; güvenlik, ürünün sonradan eklenen bir zorunluluk değil, doğal bir parçası haline gelir. Bu yaklaşım aynı zamanda ekipler arası sorumluluk paylaşımını da güçlendirir. Geliştiriciler, güvenliği bir engel olarak değil, proje başarısının kritik bir boyutu olarak görür. Test ekipleri ve operasyon ekipleri de güvenlik önlemlerini baştan dahil ederek sürprizlerle karşılaşma riskini azaltır. Özet olarak erken aşama güvenlik yaklaşımı, yazılım geliştirme sürecinde güvenliğin

Saldırganın Gözünden Düşünmek: Etik Hacker’ların Rolü

Baibusec Kasım 21, 2025

Hazırlayanlar: Abdullah Kadir Eroğlu ve Kerem Gürel Saldırgan Gibi Düşünmenin Önemi Siber güvenlik dünyasında uzun yıllar boyunca hakim olan “kale savunması” anlayışı, yani sadece duvarları yükseltip saldırıyı bekleme stratejisi; günümüzün tehdit ortamında geçerliliğini yitirmiş durumdadır. Geleneksel savunma mekanizmaları çoğunlukla imza tabanlıdır ve yalnızca önceden tanımlanmış tehditlere yanıt verebilir. Ancak saldırganlar kurallara uymaz; sürekli değişen, yaratıcı ve beklenmedik yollar izlerler. Savunma katmanları durağandır; saldırı yüzeyi ise sürekli genişleyen, değişken ve otomasyonla beslenen bir yapıdır. Etik Hacker Kimdir? Hacker; bilgisayar sistemleri, ağlar veya uygulamalarda güvenlik açıklarını keşfetmek ve bu açıklardan yararlanmak için teknik bilgi ve becerilerini kullanan kişidir. “Hacking, yetkisiz erişim elde etmek veya sistemleri ihlal etmek anlamına gelir. Etik hacker, kurumların izni ve yetkilendirmesi doğrultusunda siber saldırı yöntemlerini simüle eden, sistemlerdeki açıkları tespit eden ve bu açıkların kötü niyetli kişiler tarafından kullanılmasını engellemek için çözüm önerileri sunan güvenlik uzmanıdır. Etik hackerlar, asıl amacı savunmayı güçlendirmek olan, teknik bilgi birikimini kurumun yararı için kullanan profesyonellerdir. Yaptığı işlemler saldırgan tekniklerine benzese de niyet, yöntem ve hukuki boyut açısından büyük farklar barındırır. White Hat, Black Hat, Gray Hat Ayrımı Hackerları genellikle niyetleri ve davranış biçimlerine göre üç ana gruba ayırıyoruz: White Hat, Black Hat ve Grey Hat. Bu ayrım, sadece teknik becerilere değil, aynı zamanda hackerın etik duruşuna ve hareket amacına da bakmamızı sağlar. White Hat (Beyaz Şapkalı):Kurumdan yazılı izin alarak çalışan, etik kurallara bağlı, bulgularını raporlayan ve sistemi güçlendirmeyi amaçlayan uzmanlardır. Etik hackerlar bu kategoridedir. Black Hat (Siyah Şapkalı):Maddi kazanç, veri hırsızlığı, şantaj, casusluk ve sabotaj amacıyla izinsiz sistemlere sızan saldırganlardır. Faaliyetleri yasa dışıdır. Bu kişilerin eylemleri hem bilgisayar kullanıcılarına hem de çalıştıkları kuruluşlara ciddi zararlar verebilir. Kişisel bilgileri çalabilir, web sitelerini ve kritik sistemleri bozabilir veya devre dışı bırakabilirler. Gray Hat (Gri Şapkalı):Genellikle izin almadan sistemleri araştıran, kötü bir niyeti olmayan fakat yöntemleri hukuken hatalı olan kişilerdir. Eylemlerini genellikle kamu yararı için gerçekleştirirler. Örneğin, bir güvenlik açığının varlığından haberdar olmak için bu açığı kullanabilirler, ancak beyaz şapkalı hackerların aksine bunu herkesin gözü önünde yaparlar. Bulgularını kimi zaman yetkililere bildirseler de yaptıkları izinsiz erişim birçok ülkede suç kapsamındadır. Saldırgan Nasıl Düşünür? Tehdit Modeli Analizi Savunma uzmanları genellikle sistemin “nasıl çalışması gerektiğine” odaklanırken, saldırganlar sistemin “nasıl bozulabileceğine” veya “nasıl manipüle edilebileceğine” odaklanır. Bu zihniyet farkını kapatmak için kullanılan yönteme Tehdit Modellemesi (Threat Modeling) diyoruz. Saldırganın düşünce yapısını anlamak için üç temel aşamayı analiz etmeliyiz: Motivasyon, Hedef Belirleme ve Saldırı Döngüsü. 1. Motivasyon: “Neden Saldırıyorlar?” Her siber saldırının arkasında bir itici güç vardır. Saldırganı neyin motive ettiğini bilmek, olası hedefleri öngörmeyi kolaylaştırır: 2. Hedef Belirleme: “En Zayıf Halka Neresi?” Saldırganlar, hedeflerini rastgele seçmezler; bir tüccar mantığıyla “Yatırım Getirisi” (ROI) hesabı yaparlar. Onlar için denklem basittir: “En az eforla en büyük veriyi nasıl çalarım?” Bu yüzden, milyonlarca dolarlık güvenlik duvarlarını (Firewall) zorlamak yerine, genellikle gözden kaçan “arka kapıları” ararlar. Bu kapı bazen güvenliği düşük bir üçüncü parti tedarikçi, bazen unutulmuş bir test sunucusu (Shadow IT), bazen de sosyal mühendisliğe kanmaya müsait bir çalışandır. Saldırgan, en zayıf halkanın teknolojiden ziyade, o teknolojiyi yöneten süreçler veya insanlar olduğunu bilir. 3. Saldırı Zinciri (The Attack Chain) Saldırganın düşünce yapısı kaotik değil, son derece sistematiktir. Profesyonel bir saldırı genellikle şu adımları izler: Etik hackerlar, bu döngüyü savunma amacıyla kullanır. Eğer saldırganın keşif aşamasında nelere baktığını bilirseniz, dışarıya sızan bilgilerinizi kısıtlayabilirsiniz. Eğer kalıcılık yöntemlerini bilirseniz, sisteminizde saklanan bir tehdidi tespit edebilirsiniz. Etik Hackerların Kullandığı Araçlar ve Yöntemler Etik hackerlar, bir sistemin zayıf noktalarını saldırganlardan önce ortaya çıkarabilmek için çeşitli araçlar, analiz yöntemleri ve sosyal mühendislik tekniklerinden yararlanırlar. Bu araçların ve yöntemlerin amacı, hem sistem güvenliğini güçlendirmek hem de kuruluşların olası saldırıları önceden anlamasına yardımcı olmaktır. Zafiyet Tarayıcılarının Amacı Zafiyet tarayıcıları; ağlar, uygulamalar ve cihazlar üzerindeki bilinen güvenlik açıklarını otomatik olarak tespit eden yazılımlardır. Etik hackerlar bu araçları kullanarak Bu tarayıcılar, saldırganların en sık istismar ettiği açıkları tespit etmeyi sağlayarak sistem savunmasının ilk ve en kritik adımını oluşturur. Şirketlerin düzenli tarama yapması, güvenlik seviyesinin sürdürülebilir olmasını sağlar. Pentest Süreçlerinde Kullanılan Temel Araçlar Bir sızma testi (pentest) sırasında etik hackerlar, hem keşif hem de istismar aşamalarında çeşitli araçlardan yararlanır. Bunların bazıları: ● Nmap – Ağ Keşfi ve Port Tarama Aracı Nmap; bir ağdaki cihazları, açık portları, hizmetleri ve güvenlik seviyelerini analiz etmek için kullanılır. Etik hackerlar bu araçla sistemin dışarıya hangi noktalarından açıldığını ve hangi servislerin çalıştığını tespit ederek olası saldırı yollarını belirler. ● Burp Suite – Web Uygulama Güvenlik Testleri Burp Suite, web uygulamalarını test etmek için kullanılan en yaygın araçlardan biridir. Tarayıcı ile sunucu arasındaki tüm HTTP/HTTPS trafiğini yakalayarak incelemeye, değiştirmeye ve test etmeye olanak sağlar. Etik hackerlar Burp Suite’i kullanarak, web uygulamalarının sunucu–istemci iletişimini derinlemesine inceler ve bu iletişimin güvenli olup olmadığını test eder. Web uygulamalarına yönelik sızma testlerinde endüstri standardı araçlardan biri olarak kabul edilir. ● Metasploit – Zafiyet Doğrulama ve Sızma Testi Çerçevesi Metasploit, etik hackerların en çok başvurduğu istismar (exploit) geliştirme ve zafiyet doğrulama platformlarından biridir. Temel amacı, bir sistemde tespit edilen güvenlik açığının gerçekten sömürülebilir olup olmadığını kontrollü bir şekilde test etmektir. Metasploit; bünyesinde binlerce hazır exploit, payload ve yardımcı modül barındırır. Platformun temel amacı kuruluşların altyapılarının gerçek saldırı koşullarında nasıl davrandığını anlamalarını sağlamaktır. Bu sayede firmalar, saldırganların kullanabileceği yolları önceden görerek güvenlik yamalarını uygulayabilir ve savunmalarını güçlendirebilir. Sosyal Mühendislik Testleri ve İnsan Faktörünün Önemi Teknolojik altyapılar kadar, insan faktörü de güvenlikte kritik bir bileşendir. Sosyal mühendislik, kullanıcıları manipüle ederek gizli bilgi elde etmeye yönelik yöntemleri ifade eder. Etik hackerlar, gerçek saldırganların yöntemlerini anlamak için bu tür testleri kontrollü şekilde uygular: Saldırganın Mantığını Savunmaya Dönüştürmek Saldırganın zihniyetini anlamak, savaşın sadece yarısıdır; diğer yarısı ise bu bilgiyi aktif ve dayanıklı bir savunma stratejisine dönüştürmektir. Geleneksel güvenlik anlayışı genellikle reaktif (tepkisel) bir yapıdadır; yani bir saldırı alarmı çaldığında müdahale edilir. Ancak “saldırgan gibi düşünmek”, kurumları proaktif (önleyici) bir yapıya taşır. Artık amaç “saldırıyı beklemek” değil, “saldırıyı öngörmek”tir. Bu dönüşümü sağlayan üç temel stratejik yaklaşımı inceleyelim: Proaktif Savunma ve “Threat Hunting” (Tehdit Avcılığı) Eskiden güvenlik ekipleri “Duvarlarımızı aşıp içeri giren var mı?” sorusunu sorardı. Bugün ise saldırgan gibi düşünen bir ekip şu varsayımla hareket eder: “Saldırgan zaten içeride olabilir, onu henüz tespit edemedik.” İşte bu noktada Threat Hunting (Tehdit Avcılığı) devreye girer. Bu yaklaşım, güvenlik cihazlarından bir alarm

Siber Güvenlik

Siberle kalın, güvende kalın!