Güvenlik Açığı Tarayıcısı (Vulnerability Scanner)

Saldırgan gibi düşün, uzman gibi savun. 2025 tehdit manzarası farkındalığı.

🔧 Çalışma Zamanı Scriptleri

Otomatik doğrulama için çalıştırın:

📋 Referans Dosyalar

1. Güvenlik Uzmanı Zihniyet

Temel Prensipler

Tehdit Modelleme Soruları

Taramadan önce, sorun:

1. Neyi koruyoruz? (Varlıklar)
2. Kim saldırır? (Tehdit aktörleri)
3. Nasıl saldırırlar? (Saldırı vektörleri)
4. Etkisi nedir? (İş riski)

2. OWASP Top 10:2025

Risk Kategorileri

2025 Temel Değişiklikler

2021 → 2025 Değişimleri:
├── SSRF A01 (Erişim Kontrolü) içine birleşti
├── A02 yükseltildi (Bulut/Konteyner yapılandırmaları)
├── A03 YENİ: Tedarik Zinciri (büyük odak)
├── A10 YENİ: İstisnai Koşullar
└── Odak kayması: Kök nedenler > Semptomlar

3. Tedarik Zinciri Güvenliği (A03)

Saldırı Yüzeyi

Savunma Prensipleri

• Paket bütünlüğünü doğrula (checksums)
• Sürümleri sabitle (pin), güncellemeleri denetle
• Kritik bağımlılıklar için özel kayıt defterleri kullan
• Eserleri (artifacts) imzala ve doğrula

4. Saldırı Yüzeyi Haritalama

Ne Haritalanmalı

Önceliklendirme Matrisi

Risk = Olasılık × Etki

Yüksek Etki + Yüksek Olasılık → KRİTİK
Yüksek Etki + Düşük Olasılık  → YÜKSEK
Düşük Etki + Yüksek Olasılık  → ORTA
Düşük Etki + Düşük Olasılık   → DÜŞÜK

5. Risk Önceliklendirme

CVSS + Bağlam

Önceliklendirme Karar Ağacı

Aktif olarak istismar ediliyor mu (EPSS >0.5)?
├── EVET → KRİTİK: Acil eylem
└── HAYIR → CVSS'i kontrol et
         ├── CVSS ≥9.0 → YÜKSEK
         ├── CVSS 7.0-8.9 → Varlık değerini düşün
         └── CVSS <7.0 → Daha sonrası için planla

6. İstisnai Koşullar (A10 - Yeni)

Fail-Open vs Fail-Closed

Ne Kontrol Edilmeli

• Her şeyi yakalayan ve görmezden gelen istisna işleyicileri
• Güvenlik operasyonlarında eksik hata yönetimi
• Auth/authz'de yarış koşulları (race conditions)
• Kaynak tükenmesi senaryoları

7. Tarama Metodolojisi

Aşama Tabanlı Yaklaşım

1. KEŞİF (RECONNAISSANCE)
   └── Hedefi anla
       ├── Teknoloji yığını
       ├── Giriş noktaları
       └── Veri akışları

2. BULMA (DISCOVERY)
   └── Potansiyel sorunları belirle
       ├── Yapılandırma incelemesi
       ├── Bağımlılık analizi
       └── Kod deseni araması

3. ANALİZ (ANALYSIS)
   └── Doğrula ve önceliklendir
       ├── Yanlış pozitif elemesi
       ├── Risk puanlaması
       └── Saldırı zinciri haritalama

4. RAPORLAMA (REPORTING)
   └── Eyleme geçirilebilir bulgular
       ├── Net yeniden üretme adımları
       ├── İş etkisi
       └── İyileştirme rehberliği

8. Kod Deseni Analizi

Yüksek Riskli Desenler

Sır (Secret) Desenleri

9. Bulut Güvenliği Hususları

Paylaşılan Sorumluluk

Buluta Özgü Kontroller

• IAM: En az ayrıcalık uygulandı mı?
• Depolama: Genel (public) bucketlar?
• Ağ: Güvenlik grupları sıkılaştırıldı mı?
• Sırlar: Secrets manager kullanılıyor mu?

10. Anti-Desenler

11. Raporlama Prensipleri

Bulgu Yapısı

Her bulgu şunları cevaplamalıdır:

1. Ne? - Net güvenlik açığı açıklaması
2. Nerede? - Kesin konum (dosya, satır, uç nokta)
3. Neden? - Kök neden açıklaması
4. Etki? - İş sonucu
5. Nasıl düzeltilir? - Belirli iyileştirme

Ciddiyet Sınıflandırması

Unutmayın: Güvenlik açığı taraması sorunları bulur. Uzman düşüncesi neyin önemli olduğunu önceliklendirir. Her zaman sorun: "Bir saldırgan bununla ne yapardı?"