Hafiye: ML Destekli Secret Scanner
Modern yazılım geliştirme süreçlerinde secret’ların kaynak koduna sızması, çok sık karşılaşılan ve oldukça yıkıcı bir güvenlik riskidir. CI/CD süreçleri hızlandıkça, mikroservis mimarileri yaygınla...
Blog
Tüm yazılar
Ahmet Hakan YILDIZ
Sonatype Nexus Repository - Gradle Entegrasyonu
Özellikle CI/CD süreçlerinin yaygınlaştığı günümüzde, bağımlılıkların güvenli, tutarlı ve izlenebilir biçimde yönetilmesi kritik önem taşımaktadır. Bu ihtiyacı karşılayan repository yöneticileri, y...
İrfan Karaduman
Akamai API Security — Kong Gateway Entegrasyonu ile API Güvenliğini Güçlendirmek
Modern uygulama mimarilerinde API’ler vazgeçilmez hale geldi. Ancak API’lerin yaygınlaşmasıyla birlikte güvenlik riskleri de katlanarak artıyor. Akamai’nin verilerine göre, API saldırılarında yılda...
MCP Nedir? - LLM'leri Güvenlik Araçlarıyla Konuşturmak
Yapay zeka modelleri hayatımızın merkezine yerleşti ancak şu ana kadar onlarla ilişkimiz genelde kısıtlı bir döngüden ibaretti. Kodunu kopyala, chat ekranına yapıştır, cevabı al, tekrar editöre dön...
Yusuf Yıldız
Sonatype SCM Entegrasyonu
Modern yazılım geliştirme süreçlerinde kod artık yalnızca derlenip çalıştırılan bir çıktı değil; sürekli değişen, sürekli büyüyen ve her değişiklikle birlikte yeni riskler üreten canlı bir varlıktı...
SAST Süreçlerinde LLM Kullanımı
LLM’lerin sahneye çıkışıyla birlikte uygulama güvenliği dünyasında da köklü bir dönüşüm başladı. Özellikle SAST tarafında, yalnızca kodu tarayan değil, bulguyu anlayan ve yorumlayan LLM tabanlı yak...
Furkan Turan
Tenable Security Center - React2Shell Taraması
Log4Shell, duyurulduğu zaman IT dünyasında bir panik havası oluşmuştu. Herkes log4j kütüphanesini güncelleyip, “Biz zafiyetten etkileniyor muyuz?” diye sorarak araştırmalara başlamıştı. Bugün geldi...
Resul Bozburun
Openshift Uyumluluk (Compliance) Taraması
Günümüzde kurumlar için bilgi güvenliği, yasal uyumluluk ve operasyonel şeffaflık artık bir tercih değil, bir gereklilik haline geldi. Bu noktada uyumluluk denetimi (compliance auditing), sistemler...
Windows 10 Desteği Sona Erdi — Desteklenmeyen Sistemler Nasıl Tespit Edilir?
14 Ekim 2025 itibarıyla Microsoft, Windows 10 için desteğini resmi olarak sonlandırdı.Windows 10 support has ended on October 14, 2025Bu tarihten sonra Windows 10 sistemleri güvenlik güncellemesi a...
Zafiyet Taramalarında Kapsam ve Derinlik Belirleme
IT bileşenlerinde var olan zafiyetleri tespit etmek için çeşitli ürünler vasıtasıyla periyodik zafiyet taramaları gerçekleştiriliyor. Danışmanlık hizmetlerimiz sırasında bize en çok gelen sorularda...
Oktay Şahin
NPM Chalk Saldırısı ve JavaScript Malwarelerini Tarayıcıda Savunma
8 Eylül 2025’te popüler npm paketleri chalk ve debug dahil olmak üzere onlarca kütüphaneyi etkileyen büyük bir supply chain saldırısı yaşandı. Haftada 2.6 milyar indirme alan bu paketler, bir geliş...
Kubernetes Security - Security Context
Kubernetes Cluster Nedir?Kubernetes, konteynerli uygulamların dağıtımını, ölçeklenmesini ve yönetimini otomatize hale getirmek için geliştirilen açık kaynak kodlu bir konteyner orkestrasyon aracıdı...
Shai-Hulud Saldırısı
Geçtiğimiz ayın ortasında ortaya çıkan Shai-Hulud npm tedarik zinciri saldırısı sektöre bomba gibi düşmüştü. Kısa süre öncesinde gerçekleşen başka tedarik zinciri saldırıları bu konuda dikkatli olu...
Tenable ile Tarama Stratejileri
Tenable’ın sunduğu Nessus, siber güvenlik profesyonellerinin altyapılarındaki zafiyetleri tespit etmesi için endüstri standardı haline gelmiş güçlü bir araçtır. Ancak Nessus’un gerçek gücü sunduğu ...
Tenable Security Center ile Active Directory Taraması
Tenable Security Center, kuruluşların ağlarındaki güvenlik açıklarını merkezi olarak yönetebilmelerini sağlayan bir zafiyet yönetim platformudur. Sunduğu özelleştirilebilir politika yapısı ve hazır...
Web Uygulama Güvenliğinin Temel Taşı — HTTP Güvenlik Başlıkları
Web uygulamaları günümüzde siber saldırıların en sık hedef aldığı sistemler arasında yer alıyor. Geliştiriciler ve sistem yöneticileri için güvenli bir uygulama inşa etmek, sadece güvenli kod yazma...
JavaScript Injection
Mobil uygulamalarda güvenlik, kullanıcı verilerinin korunması açısından büyük önem taşır; bu bağlamda JavaScript injection, geliştiricilerin dikkatle ele alması gereken kritik bir tehdit unsuru ola...
Cookie Canavarlarını Evcilleştirmek: Web Güvenliğinde Çerez Yönetimi
Cookie SecurityCookie Security kısmına geçmeden önce Cookie nedir ve neden ihtiyacımız vardır onu bir irdeleyelim. Bu yazıda, cookie güvenliğinin derinliklerine inecek, temel mekanizmaları anlayaca...
Zafiyet Önceliklendirme
IT sistemlerinde zafiyetlerin tespit edilmesi ile taramalar sonucu tespit edilen zafiyetlerin giderilmesi ve genel olarak yönetilmesi süreci kritik önemdedir. Bu yazıda tespit edilen zafiyetleri na...
Ödeme Sayfası Güvenliği ve PCI DSS 6.4.3 & 11.6.1 Maddeleri
Ödeme sayfaları doğrudan hassas finansal bilgilere erişim sağladığı için yüksek değerli ve cazip hedeflerdir. Bu yüzden saldırganlar uzun süredir ödeme sayfalarını hedef almaktadır.Magecart, 2015 y...
Tenable.sc API ile Otomatik Zafiyet Tarama ve Analiz Süreci
Siber güvenlik dünyasında zafiyet yönetimi her geçen gün daha otomatik, daha entegre ve daha akıllı hale geliyor. Özellikle kurumsal güvenlik çözümlerinde, manuel tarama süreçlerinin otomatikleştir...
OpenText Scancentral Mimarisinin Avantajları
Uygulama güvenliği süreçlerinde güvenli bir pipeline oluşturmanın yolu, pipeline adımlarında gerekli güvenlik testlerinin düzgün bir şekilde yapılmasıdır. Bu sebeple, statik kod tarama araçlarının ...
SAST Taramalarının Derleme Araçlarına Entegrasyonu
SAST taramalarının DevOps akışına entegrasyonu sürecinde, derleme bağımlılıklarının sağlanması önemli konulardan biridir. Derleme bağımlılıklarının başka bir araç için tekrar sağlanması ve alışmadı...
Compliance Taramaları ile Regülasyonlara Uyum Sürecinizi Güçlendirin
1. Compliance Nedir?Compliance, bir kuruluşun yasal düzenlemelere, sektör standartlarına ve iç politikalarına uyum sağlamasını ifade eder. Kurumlar, bu gerekliliklere uyarak hem yasal yükümlülükler...
Tenable Security Center API Kullanımı ve Örnekleri
Bu yazımda Tenable Security Center üzerinde API kullanımı ve API ile örnek olarak neler yapılabileceğinden bahsedeceğim.İlk olarak Tenable Security Center nedir kısa bir bahsedelim.Tenable Security...
Açık Kaynak Lisansları - Geliştirme Sürecindeki Etkileri ve Tespiti
Açık kaynak lisanslama, yazılım dünyasında yeni bir trend gibi görünse de aslında ilk yazılım lisanslama modeli olarak ortaya çıktı. 1960’ların sonunda AT&T Bell Labs tarafından geliştirilen Un...
Zafiyet Yönetimi Sürecinde SLA Takibine Farklı Bir Yaklaşım
Zafiyet Yönetimi sürecinde zafiyetlerin eksiksiz bir şekilde tespit edilebilmesi çok önemlidir. Tespit edilen zafiyetlerin kapatılması konusu ise, en az tespit edilmesi kadar önemlidir. Zafiyetler ...
Kriptografinin Temellerinden TLS Zafiyetlerine – 2: Anahtar Değişimi
Çoğumuz Sen Ayrı Trende, Ben Ayrı Garda şarkısını duymuştur, hatta bazılarımızın favori listesindedir. Alice ayrı bir trende, Bob ayrı bir gardayken ve Eve mesajları okumaya çalışırken Alice ile Bo...
Secret Security - DevSecOps Pipeline'ı Güvende Tutun!
Github, GitLab ve BitBucket gibi kod depolama platformları yazılım geliştirme süreçlerimizin olmazsa olmaz bir parçası. Git versiyon kontrol sistemini kullanarak, yazdığımız kodları geçmişe dönebil...
Kriptografinin Temellerinden TLS Zafiyetlerine – 1: Giriş
Tarihte daha günümüz bilgisayarları icat edilmemişken; hükümdarların, askerlerin birbirine gönderdiği mektupların içeriğinin gizlenmesi amacıyla şifreleme üzerine çalışmalar yapılmıştır. Bu yazı di...
Fortify Static Code Analyzer Performans Analizi
Selamlar, bu yazımızda Fortify Static Code Analyzer’ın performansını etkileyen parametreleri ve tarama sonuçlarını birlikte analiz edeceğiz. Ortamlarınızdaki SCA tarama süresini azaltmak istiyorsan...
Secret Keys ve SAST: Neden Secret Key Analizi Ayrı Bir Güvenlik Katmanı Olmalı?
GirişGünümüzde yazılım güvenliği, organizasyonların en kritik önceliklerinden biri haline gelmiştir. Birçok kurum, kaynak kodlarında güvenlik açıklarını tespit etmek için SAST (Static Application S...
Backporting Geçmişe Güvenli Bir Yolculuk
GirişBackporting, özellikle yazılım geliştirme ve siber güvenlikte, eski bir yazılım sürümüne yeni bir özellik veya güvenlik yamasının uygulanması anlamına gelir. Red Hat Enterprise Linux (RHEL) gi...
SSDLC Süreçlerinde Bileşen Analizi: SCA - OWASP Dependency Track ve Fortify SSC Entegrasyonu
SSDLC Süreçlerinde Bileşen Analizi: SCA - OWASP Dependency Track ve Fortify SSC EntegrasyonuSelamlar, bu yazımızda Docker ile Dependency Track kurulumunu gerçekleştirip ardından Secure Development ...
JWT nedir?
JWT nedir?JWT (JSON Web Token), web uygulamalarında güvenli bilgi alışverişi sağlamak için kullanılan, JSON tabanlı ve RFC7519 standardına dayalı bir token formatıdır. Kimlik doğrulama, yetkilendir...
Statik Kod Analizi ve Yazılım Bileşen Analizi Süreçleri
Bu yazımızda, SAST (Static Application Security Testing) ve SCA (Software Composition Analysis) süreçlerinin her ikisinin de uygulama güvenliği süreçlerine entegre edilmesinin öneminden ve bu iki s...
CWE (Common Weakness Enumeration) Nedir?
Siber güvenlik dünyasındaki herkes CVE’nin ne olduğunu bilmektedir. CVE (Common Vulnerabilities and Exposures – Yaygın Zafiyetler ve Maruziyetler), bilgisayar sistemlerinde bulunmuş güvenlik açıklı...
API Yetkilendirme Açıkları, Bulgu Tespiti ve Test Otomasyonu - Bölüm 1
Günümüzde, modern web uygulamaları büyük ölçüde API tabanlı çalışıyor ve internet trafiğinin %90’a yakın bir kısmını API trafiği oluşturuyor. Önümüzdeki manzara bu olmasına rağmen, API güvenliği op...
Mass Assignment Request Parameters Bound via Input Formatter
Frameworkler, içerisindeki istek ve nesnelerin http parametrelerine otomatik olarak bağlanmasına imkan tanır. Bu imkan, yazılımcıların parametreleri ya da objeleri tek tek bağlaması yerine otomatik...
Ulaşılabilirlik Analizi (Reachability Analysis)
Ulaşılabilirlik analizi (Reachability Analysis), güvenlik açıklarını daha iyi anlamak ve önceliklendirmek için kullanılan bir yöntemdir. SAST (Statik Uygulama Güvenlik Testi) ve SCA (Yazılım Bileşe...
Fortify SSC Üzerinden Bulgu Analizi
Bir sorun ortaya çıktıktan sonra alınan aksiyonlar, sorunu ortadan kaldırmaya yöneliktir. Ortaya çıkan sorunlar birtakım hasarlar bırakabilir. Sorun ortaya çıkmadan alınan aksiyonlar ise, alınacak ...
Uygulama Güvenliği Hype Cycle 2024 Raporu Analizi
Bu yazımızda Gartner tarafından yayınlanan Hype Cycle for Application Security, 2024 raporunu analiz edeceğiz. Yeni teknolojilerin planlanması ve devreye alınması konusunda Hype Cycle raporları öne...
External Attack Surface Management
Bu yazımızda siber güvenliğin önemli konularından External Attack Surface Management kısaca EASM’den bahsedeceğiz. Kurumların internete açık olan bileşenleri tehdite en açık olan bileşenlerdir. Bu ...
CORS Nedir? Nasıl Konfigüre Edilmelidir?
Daha Geriye Gidelim: SOPKökler Arası Kaynak Paylaşımı(Cross-Origin Resource Sharing - CORS) nedir, ne değildir bahsetmeden önce Aynı Kök Politikasından (Same Origin Policy - SOP) bahsetmekte fayda ...
Kubernetes Security
Kubernetes kümesini güvence altına almak, modern uygulama geliştirme ve dağıtım süreçlerinde kritik bir adımdır. Bu blog yazısı, Kubernetes kümenizi güvence altına almak için gerekli en iyi uygulam...
Veri Tabanı Güvenliği
Uygulamalarda içeriklerin dinamikleştirilmesi ve kişilere özel sunumlar ve işlemler yapılabilmesi için bilindiği gibi veritabanı sistemleri kullanılmaktadır. İlgili sistemler bir yandan uygulamalar...
Software Composition Analysis (SCA)
GirişSelamlar! Bu makalede, yazılım güvenliğinde kritik bir rol oynayan Software Composition Analysis (SCA) konusunu ele alacağız. SCA’nın artan önemiyle birlikte, bu süreçlerin nasıl işlediğini ve...
Python Projeleri İçin Açık Kaynak Araçlarla DevSecOps Pipeline Oluşturma
Bu makalede, Python projelerinde güvenliği sağlamak için açık kaynaklı araçlarla nasıl etkili bir DevSecOps pipeline oluşturabileceğinizi inceleyeceğiz. Açık kaynak araçlar, ticari araçlar kadar ka...
Statik Kod Analizi IDE Entegrasyonları
Uygulama Güvenliği süreçlerinde zafiyetleri erken aşamada tespit etmek ve önlem almak çok önemlidir. Yazılım Geliştirme Yaşam Döngüsü’nde (SDLC) ve DevSecOps süreçlerinde Shift Left olarak geçen b...
Jenkins PipelineScript ile Fortify Scancentral Taraması Başlatmak
Selamlar, bir önceki yazımızda Fortify Assesment eklentisi ile Frestyle proje ile Fortify taraması başlatmıştık. Bu yazımızda da Jenkins üzerinden Pipeline Script kullanarak Fortify Scancentral ile...
Veritabanında Kullanılan Hatalı Hash Yöntemlerinin SAST Araçlarıyla Tespiti ve Güvenli Alternatifler
Büyük veri ihlalleri ve sızıntıları gibi olaylar sıkça gündemde. Ele geçirilen parola hashleri, zayıf algoritma ve tekniklerle oluşturulduysa, saldırganlar parolaların açık haline çok daha kolay ve...
Fortify SCA Assesment İle Android Gradle Projesi Taramak - Azure Devops Pipeline
Selamlar, bu yazımızda Azure Devops ortamında bir Pipeline ile Java ile yazılmış bir gradle projesinin kaynak kod taramasını gerçekleştireceğiz. Bunun için Azure Devops’da bulunan Fortify Static Co...
CI/CD Güvenliği
Hızlı inovasyon talebi ve çevik metodolojilerin benimsenmesi göz önüne alındığında, Sürekli Entegrasyon/Sürekli Dağıtım (CI/CD) pipeline’ları tüm DevOps süreçlerinin üzerine inşa edildiği temel hal...
Jenkins ile Fortify SCA Taraması Başlatma ve Fortify SSC’ye Yükleme
Selamlar, bu yazıda sizlere Jenkins üzerinde Fortify Assesment plugini ile built-in node agent kullanarak Static Code Analyzer (SCA) ile bir tarama başlatıp Software Security Center (SSC) arayüzüne...
Memory'de Açık Olarak Görünen Kritik Bilgiler ve SAST Araçlarıyla Tespiti
Bu yazıda, bir uygulamanın çalışması sırasında memory’ye yazdığı kritik bilgilerin nasıl dump edilebileceğini ve bu tür zafiyetlerin bir SAST (Static Application Security Testing) aracı olan Fortif...
Açık Kaynak Kod Zafiyetlerinin Devops Pipeline'ında Yönetimi ve Örnek Uygulama
Bu makalede zafiyetli Apache Struts kütüphanesi içeren örnek bir java projesini, bir SCA (Software Composition Analysis) ürünü olan Sonatype Nexus Lifecycle ile açık kaynak kod açıklarına karşı de...
DevSecOps Güvenlik Kavram ve Teknolojileri
Günümüzde pek çok firma, yazılım geliştirme ve altyapı operasyonlarının birarada ve eşgüdüm halinde yürütülmesini sağlayan DevOps mimarisine geçiş yapmıştır veya bu mimariye geçiş için hazırlık yap...
Dosya Yükleme Fonksiyonu Güvenliği
Uygulamalarda dosya yükleme özelliği sayesinde bir çok evrak, resim, video hatta uygulama bileşenleri, uzantılar gibi dosyaların yüklenmesi uygulamaların hem kullanıcılar için daha kullanışlı hale ...
Girdi Doğrulama (Input Validation)
Teknolojinin hem inovasyonu hem de kolaylığı beslediği günümüzün hızla gelişen dijital ortamında, dijital varlıklarımızın güvenliğini sağlamak kritik bir endişe kaynağı olmaya başlamıştır. Sağlam u...
Tehdit Modelleme
GirişGünümüzde dijital ortamların hızla gelişmesiyle birlikte, uygulama güvenliği giderek daha fazla önem kazanmaktadır. Tehdit modelleme, bu bağlamda, yazılım ve sistemlerin güvenlik zafiyetlerini...
Nessus Üzerinde Hydra İle Custom Brute Force Saldırısı
Tenable Core Üzerine Hydra KurulumuHydrayı kurabilmemiz için Tenable Core makinamıza EPEL reposunu eklememiz gerekiyor. Öncelikle wget komutu ile Dosya indirme işlemi yapacağımızdan wget komutunu y...
Azure Devops'ta Uçtan Uca Devsecops Pipeline'ı Oluşturma
Bu makalede size kapsamlı bir güvenlik pipeline sunacağım. Ürünler ve fikirler farklılık gösterse de, sonuçta benzer bir yapıyı uygulamak kuruluşunuzun altyapısını büyük ölçüde geliştirecektir.Uygu...
Azure Agent Kurulumu ve WI Entegrasyonu
Merhaba! Bu makalede, Azure ortamında iş akışlarınızı daha verimli hale getirmek için Azure Agent’ın kurulumunu ve Azure Fortify WebInspect’in entegrasyonunu ele alacağız. Azure Agent’ın kurulumuyl...
Azure Devops'ta Yaml Dosyaları ile Pipeline Oluşturma
Azure DevopsAzure DevOps, yazılım geliştirme sürecini desteklemeyi ve bir işbirliği kültürü oluşturmayı amaçlayan bir dizi hizmet ve araçtır. Şirketler geliştiricileri, proje yöneticilerini ve kat...
Docker Güvenliği (Docker İçin En İyi Pratikler)
Docker, en yaygın kullanılan sanallaştırma ve konteynerizasyon teknolojilerinden bir tanesidir. Esasen bir platform olan Docker sayesinde, ana makineden izole bir şekilde çalışan ve esnek olarak ...