Hafiye: ML Destekli Secret Scanner
Parola gibi formatsız secret'ları da yakalamak için makine öğrenmesi kullanan açık kaynak secret scanner Hafiye'yi tanıtıyoruz.
Blog
Tüm yazılar
Sonatype Nexus Repository - Gradle Entegrasyonu
Sonatype Nexus Repository'yi Gradle projelerine entegre ederek bağımlılıkları merkezi, tutarlı ve güvenli şekilde yönetmeyi anlatıyoruz.
Akamai API Security ve Kong Gateway Entegrasyonu
Akamai API Security (eski adıyla Noname) ile Kong API Gateway entegrasyonunu kurarak API trafiğinde gerçek zamanlı tehdit tespitini crAPI üzerinde gösteriyoruz.
MCP Nedir? - LLM'leri Güvenlik Araçlarıyla Konuşturmak
Model Context Protocol (MCP) nedir? OpenText MCP Server ile LLM'leri Claude, IDE ve Postman üzerinden güvenlik araçlarına bağlamayı anlatıyoruz.
Sonatype SCM Entegrasyonu
Sonatype'ın Bitbucket gibi SCM sistemleriyle entegrasyonunu, tarama tiplerini ve pull request'lerde otomatik politika geri bildirimini anlatıyoruz.
SAST Süreçlerinde LLM Kullanımı
LLM'lerin SAST bulgularını yorumlayarak false positive yükünü azaltmasını OpenText Fortify Aviator örneği üzerinden inceliyoruz.
Tenable Security Center - React2Shell Taraması
CVSS 10.0 puanlı React2Shell (CVE-2025-55182) uzaktan kod yürütme zafiyetini Tenable Security Center ile taramayı ve etkilenen sistemleri bulmayı anlatıyoruz.
Openshift Uyumluluk (Compliance) Taraması
OpenShift Container Platform üzerinde Tenable Nessus ile compliance (uyumluluk) denetim taraması yapmayı adım adım anlatıyoruz.
Windows 10 Sonrası Desteklenmeyen Sistemlerin Tespiti
Desteği 14 Ekim 2025'te sona eren Windows 10 sistemlerini ve diğer destek dışı Microsoft ürünlerini Tenable Nessus ile tespit etmeyi anlatıyoruz.
Zafiyet Taramalarında Kapsam ve Derinlik Belirleme
Zafiyet taramalarında port seti, plugin seçimi, thorough test ve brute force ayarlarının kapsama ve derinliğe etkisini senaryolarla karşılaştırıyoruz.
NPM Chalk Saldırısı ve JavaScript Malwarelerini Tarayıcıda Savunma
npm chalk ve debug paketlerini etkileyen tedarik zinciri saldırısının kripto cüzdanlarını nasıl hedeflediğini ve bu tür zararlılara tarayıcıda nasıl savunulacağını anlatıyoruz.
Kubernetes Security - Security Context
Kubernetes YAML dosyalarında eksik veya hatalı Security Context tanımlarının yol açtığı güvenlik açıklarını ve güvenli yapılandırma örneklerini anlatıyoruz.
Shai-Hulud Saldırısı
npm ekosisteminde solucan gibi yayılan Shai-Hulud tedarik zinciri saldırısının nasıl çalıştığını ve etkilenen paketlerin nasıl tespit edileceğini inceliyoruz.
Tenable ile Tarama Stratejileri
Nessus'ta kimlik bilgisiz, kimlik bilgili ve ajan tabanlı taramaları aynı sunucu üzerinde karşılaştırarak hangi senaryoda hangisinin kullanılacağını anlatıyoruz.
Tenable Security Center ile Active Directory Taraması
Tenable Security Center'daki Active Directory Starter Scan politikasıyla AD ortamındaki yanlış yapılandırmaları ve saldırı yollarını tespit etmeyi anlatıyoruz.
Web Uygulamalarında HTTP Güvenlik Başlıkları
CSP, HSTS, X-Frame-Options ve Permissions-Policy gibi HTTP güvenlik başlıklarının neyi koruduğunu ve nasıl yapılandırılması gerektiğini anlatıyoruz.
JavaScript Injection
Mobil uygulamalarda WebView üzerinden JavaScript injection zafiyetinin nasıl oluştuğunu güvensiz ve güvenli kod örnekleriyle ve önleme yöntemleriyle anlatıyoruz.
Cookie Canavarlarını Evcilleştirmek: Web Güvenliğinde Çerez Yönetimi
Secure, HttpOnly, SameSite ve __Host- gibi çerez özniteliklerini pratik örneklerle açıklayarak web uygulamalarında güvenli çerez yönetimini anlatıyoruz.
Zafiyet Önceliklendirme
Binlerce zafiyet içinde nereden başlanacağına karar vermek için CVSS'e alternatif VPR, ACR ve AES gibi risk tabanlı önceliklendirme yöntemlerini anlatıyoruz.
Ödeme Sayfası Güvenliği ve PCI DSS 6.4.3 & 11.6.1 Maddeleri
Magecart ve e-skimming saldırılarına karşı ödeme sayfası güvenliğini PCI DSS 4.0'ın 6.4.3 ve 11.6.1 maddeleri ve Jscrambler örneğiyle ele alıyoruz.
Tenable.sc API ile Otomatik Zafiyet Tarama ve Analiz Süreci
Tenable.sc REST API ve Python ile IP listesinden varlık oluşturup tarama başlatan ve kritik bulguları raporlayan bir otomasyon script'ini inceliyoruz.
OpenText Scancentral Mimarisinin Avantajları
OpenText Fortify Static Code Analyzer'ın translation ve analiz aşamalarını ve ScanCentral mimarisinin pipeline'larda sağladığı avantajları inceliyoruz.
SAST Taramalarının Derleme Araçlarına Entegrasyonu
Fortify SAST taramalarını Maven, dotnet ve MSBuild gibi derleme araçlarına doğrudan entegre ederek DevOps akışına eklemeyi anlatıyoruz.
Compliance Taramaları ile Regülasyonlara Uyum Sürecinizi Güçlendirin
ISO 27001, CIS Benchmarks ve NIST gibi standartlara uyumu Tenable Security Center compliance taramalarıyla nasıl ölçüp takip edebileceğinizi anlatıyoruz.
Tenable Security Center API Kullanımı ve Örnekleri
Tenable Security Center API'sini kullanarak tarama, varlık ve zafiyet verileriyle neler yapılabileceğini örneklerle anlatıyoruz.
Açık Kaynak Lisansları - Geliştirme Sürecindeki Etkileri ve Tespiti
Açık kaynak lisans kategorilerini, copyleft lisansların yazılım geliştirmeye etkilerini ve lisansların DevSecOps pipeline'ında tespit edilmesini anlatıyoruz.
Zafiyet Yönetimi Sürecinde SLA Takibine Farklı Bir Yaklaşım
Zafiyet kapatma süreçlerinde SLA takibini ticket sistemlerine bağımlı kalmadan doğrudan tarama verileri üzerinden yapmaya farklı bir yaklaşım.
Kriptografinin Temellerinden TLS Zafiyetlerine – 2: Anahtar Değişimi
Diffie-Hellman ve ayrık logaritma problemiyle güvenli anahtar değişiminin nasıl çalıştığını anlatan kriptografi ve TLS dizisinin ikinci bölümü.
Secret Security - DevSecOps Pipeline'ı Güvende Tutun!
Git geçmişine sızan parola ve anahtarların riskini anlatıyor, açık kaynak Gitleaks ile repoları tarayıp bir secret tarama pipeline'ı kuruyoruz.
Kriptografinin Temellerinden TLS Zafiyetlerine – 1: Giriş
Kriptoloji tarihine kısa bir girişle şifrelemenin temellerini ve simetrik algoritmaları anlatan, TLS zafiyetlerine uzanan yazı dizisinin ilk bölümü.
Fortify Static Code Analyzer Performans Analizi
Fortify Static Code Analyzer'da Quick Scan, scan speed ve tarama politikalarının tarama süresi ve bulgulara etkisini WebGoat üzerinde ölçüyoruz.
Secret Keys ve SAST: Neden Secret Key Analizi Ayrı Bir Güvenlik Katmanı Olmalı?
Hardcoded API anahtarları ve parolaları tespit etmede SAST araçlarının neden yetersiz kaldığını ve ayrı bir secret tarama katmanının gerekliliğini tartışıyoruz.
Backporting Geçmişe Güvenli Bir Yolculuk
Backporting nedir, güvenlik yamaları eski yazılım sürümlerine nasıl taşınır ve zafiyet taramalarında yanlış pozitiflere nasıl yol açar?
SSDLC Süreçlerinde Bileşen Analizi: SCA - OWASP Dependency Track ve Fortify SSC Entegrasyonu
OWASP Dependency Track'i Docker ile kurup CycloneDX SBOM ile bileşen analizi yapıyor, sonuçları Fortify SSC'ye aktararak SAST ve SCA'yı birleştiriyoruz.
JWT nedir?
JWT (JSON Web Token) nedir, header, payload ve signature yapısı nasıl çalışır, en yaygın JWT zafiyetleri nasıl tespit edilir ve istismar edilir?
Statik Kod Analizi ve Yazılım Bileşen Analizi Süreçleri
SAST ve SCA süreçlerinin farklarını ve uygulama güvenliğinde ikisinin birlikte kullanılmasının neden gerekli olduğunu anlatıyoruz.
CWE (Common Weakness Enumeration) Nedir?
CWE (Common Weakness Enumeration) nedir, CVE'den farkı ne, yazılım zayıflıklarının sınıflandırılmasında ve SAST bulgularında nasıl kullanılır?
API Yetkilendirme Açıkları, Bulgu Tespiti ve Test Otomasyonu - Bölüm 1
OWASP API Top 10'daki yetkilendirme açıklarını, DAST ve WAF'ların neden yetersiz kaldığını ve bu bulguların akan API trafiği üzerinden tespitini ele alıyoruz.
Mass Assignment Request Parameters Bound via Input Formatter
ASP.NET'te otomatik model bağlamanın yol açtığı mass assignment zafiyetini, Fortify bulgusu üzerinden örnek kod ve çözüm yollarıyla anlatıyoruz.
Ulaşılabilirlik Analizi (Reachability Analysis)
Ulaşılabilirlik analizinin (reachability analysis) SCA ve SAST bulgularında gerçek riski nasıl ayırdığını Sonatype Nexus Lifecycle üzerinden uygulamalı inceliyoruz.
Fortify SSC Üzerinden Bulgu Analizi
Fortify SCA tarama bulgularının Fortify Software Security Center (SSC) üzerinden nasıl analiz edildiğini ve önceliklendirildiğini anlatıyoruz.
Uygulama Güvenliği Hype Cycle 2024 Raporu Analizi
Gartner'ın Hype Cycle for Application Security 2024 raporunu analiz ediyor, GenAI dahil uygulama güvenliğinde öne çıkan teknolojileri değerlendiriyoruz.
External Attack Surface Management
External Attack Surface Management (EASM) nedir, kurumların internete açık varlıklarını sürekli izleyip saldırı yüzeyini nasıl yönettiğini anlatıyoruz.
CORS Nedir? Nasıl Konfigüre Edilmelidir?
Same Origin Policy ve CORS'un ne olduğunu, yanlış CORS yapılandırmalarının risklerini ve bu hataların Invicti ile nasıl tespit edildiğini anlatıyoruz.
Kubernetes Security
Kubernetes mimarisini ve kontrol düzlemi bileşenlerini tanıtıp Kubernetes kümesini, ana makineleri ve bileşenleri güvence altına almanın en iyi uygulamalarını anlatıyoruz.
Veri Tabanı Güvenliği
SQL ve NoSQL veritabanlarının güvenli yapılandırmasını OWASP önerileriyle ele alıyor, Fortify taramalarında çıkan veritabanı bulgularını inceliyoruz.
Software Composition Analysis (SCA)
Software Composition Analysis (SCA) nedir, açık kaynak ve üçüncü taraf bileşenlerdeki zafiyet ve lisans riskleri nasıl tespit edilip yönetilir?
Python Projeleri İçin Açık Kaynak Araçlarla DevSecOps Pipeline Oluşturma
Bandit, Safety ve Trivy gibi açık kaynak araçlarla Python projeleri için GitLab üzerinde bir DevSecOps pipeline'ı kurmayı örnek bir Flask uygulamasıyla anlatıyoruz.
Statik Kod Analizi IDE Entegrasyonları
Shift-left yaklaşımıyla Fortify SCA'nın Visual Studio eklentisini kullanarak zafiyetleri geliştirme sırasında IDE içinde tespit etmeyi anlatıyoruz.
Jenkins PipelineScript ile Fortify Scancentral Taraması Başlatmak
Jenkins Pipeline Script ile GitHub'daki bir projeyi Fortify ScanCentral'a gönderip kaynak kod taraması başlatmayı stage stage inceliyoruz.
Veritabanında Kullanılan Hatalı Hash Yöntemlerinin SAST Araçlarıyla Tespiti ve Güvenli Alternatifler
Zayıf hash algoritmaları ve yetersiz salt kullanımının SAST araçlarıyla nasıl tespit edildiğini ve parola saklamak için güvenli alternatifleri inceliyoruz.
Fortify SCA Assesment İle Android Gradle Projesi Taramak - Azure Devops Pipeline
Azure DevOps'ta Fortify SCA Assessment eklentisi ve ScanCentral ile bir Android Gradle projesinin kaynak kod taramasını yapılandırmayı anlatıyoruz.
CI/CD Güvenliği
CI/CD pipeline'larının yapısını, yaygın CI/CD güvenlik risklerini ve güvenliği yazılım yaşam döngüsünün parçası yapan en iyi uygulamaları ele alıyoruz.
Jenkins ile Fortify SCA Taraması Başlatma ve Fortify SSC’ye Yükleme
Jenkins'te Fortify Assessment eklentisiyle Static Code Analyzer taraması başlatıp sonuçları Fortify SSC'ye yüklemeyi adım adım anlatıyoruz.
Memory'de Açık Olarak Görünen Kritik Bilgiler ve SAST Araçlarıyla Tespiti
Java'da parolaların String olarak bellekte açık kalmasının nasıl dump edilebildiğini ve bu zafiyetin Fortify SAST ile önceden nasıl yakalandığını gösteriyoruz.
Açık Kaynak Kod Zafiyetlerinin Devops Pipeline'ında Yönetimi ve Örnek Uygulama
Zafiyetli Apache Struts içeren bir Java projesini Sonatype Nexus Lifecycle ile GitLab pipeline'ında SCA taramasından geçirip korumayı gösteriyoruz.
DevSecOps Güvenlik Kavram ve Teknolojileri
DevOps yaşam döngüsünün planlamadan izlemeye her aşamasında kullanılan DevSecOps güvenlik kavramları ve teknolojilerine genel bir bakış.
Dosya Yükleme Fonksiyonu Güvenliği
Dosya yükleme fonksiyonlarındaki güvenlik risklerini ve OWASP önerilerine göre uzantı, içerik türü, boyut ve depolama kontrollerini inceliyoruz.
Girdi Doğrulama (Input Validation)
Girdi doğrulamanın (input validation) ne olduğunu, allowlist ve denylist stratejilerini ve injection saldırılarına karşı nasıl uygulanacağını anlatıyoruz.
Tehdit Modelleme
Tehdit modellemenin ne olduğunu, yazılım güvenliğindeki önemini ve tehditleri tasarım aşamasında belirlemek için izlenecek temel adımları anlatıyoruz.
Nessus Üzerinde Hydra İle Custom Brute Force Saldırısı
Tenable Core üzerine Hydra kurup Nessus'ta özel brute force politikası oluşturarak zayıf parolaları zafiyet taramasıyla tespit etmeyi anlatıyoruz.
Azure Devops'ta Uçtan Uca Devsecops Pipeline'ı Oluşturma
SAST, DAST, bağımlılık ve konteyner taramalarını birleştiren uçtan uca bir DevSecOps pipeline'ını Azure DevOps'ta YAML örneğiyle kuruyoruz.
Azure Agent Kurulumu ve WI Entegrasyonu
Self-hosted Azure DevOps Agent kurulumu ve Fortify WebInspect (DAST) taramalarının Azure DevOps pipeline'ına iki farklı yöntemle entegrasyonu, adım adım.
Azure Devops'ta Yaml Dosyaları ile Pipeline Oluşturma
Azure DevOps'ta YAML ile CI/CD pipeline tanımlamayı temel ve ileri düzey sözdizimi örnekleri, çoklu ajan kullanımı ve uçtan uca bir örnekle anlatıyoruz.
Docker Güvenliği (Docker İçin En İyi Pratikler)
Docker mimarisini ve konteynerleri güvenli çalıştırmak için yetkisiz kullanıcı, yetki sınırlama ve daemon soket güvenliği gibi sıkılaştırma kurallarını anlatıyoruz.