Selamlar,
Bu haftanın gündemi (PHP2Shell, GitLab CVSS 10, LiteLLM tedarik zinciri, SafePay uyarısı) yalnızca teknik değil; iş ilanlarında aranan yetkinlikleri de netleştiriyor. Bu yazıda "yama hızı", olay iletişimi ve tedarik zinciri hijyeninin kariyer açısından nasıl öne çıktığını konuşuyoruz.
Konuda anlatılacaklar
- İşverenlerin bu hafta sorduğu üç soru
- CV ve mülakatta nasıl anlatılır?
- Junior / mid / senior için farklı beklentiler
- Türkçe ekosistemde pratik öneriler
Bu haftanın üç sorusu
- KEV / kritik yama SLA'nız ne? CISA'nın PHP uyarısı "hemen", SafePay uyarısı yıllardır açık olan uç cihaz CVE'lerini hatırlatıyor. "Planlandı" ile "uygulandı ve doğrulandı" arasındaki fark artık mülakat sorusu.
- Tedarik zincirini nasıl kilitliyorsunuz? LiteLLM: hash'li pip, digest'li Docker, floating latest yasağı, token hijyeni.
- Olay anında nasıl iletişim kuruyorsunuz? Zeabur'un şeffaf (ve geç gelen) raporları ile "her şey kontrol altında" belirsizliği arasındaki fark, güven ve kariyer itibarı demek.
CV'de nasıl yazılır?
Kötü: "Yamalama yaptım."
Daha iyi: "İnternete açık 40 PHP host'unda 8 saat içinde 8.3.36'ya geçiş; FPM restart doğrulaması; 12 uygulama secret rotasyonu; olay sonrası postmortem."
Somut rakam, kapsam ve doğrulama adımı olmadan yama deneyimi CV'de erir. Aynı şekilde "Docker kullandım" yerine "üretim imajları digest ile sabitlendi, latest namespace'te engellendi" yazın.
Seviyelere göre beklenti
- Junior: Kendi labında php -v / docker inspect / gh auth status çalıştırabilmek; bir runbook'u takip edebilmek.
- Mid: Envanter + yama + doğrulamayı bir servis ailesinde uçtan uca sahiplenmek; IOC'yi SIEM'e yüklemek.
- Senior / lead: SLA tanımlamak, istisna sürecini yönetmek, yönetim dilinde risk anlatmak, tedarik zinciri politikasını yazmak.
Mülakat sorusu örnekleri
- İnternete açık bir RCE için 4 saatlik pencereniz var; ilk 30 dakikada ne yaparsınız?
- pip install X latest CI'da çalışmış; nasıl anlar, nasıl temizlersiniz?
- Yama sonrası "sanırım düzeldi"yi kabul etmezsiniz - hangi pozitif/negatif kontrolleri koşarsınız?
Pratik öneri
Bu haftaki gerçek olaylardan birini seçin (PHP, GitLab, LiteLLM veya SafePay). Kendi labınızda veya iş yerinizde (izinli) bir kontrol listesi uygulayın. Sonucu 10 satırlık bir postmortem olarak yazın: kapsam, süre, engel, doğrulama, sonraki iyileştirme. Bu doküman, genel "güvenlikle ilgileniyorum" cümlesinden daha değerli bir portfolyo parçasıdır.
Sizce junior bir adayın CV'sinde yama hızını göstermek için en temiz kanıt nedir? Tartışalım.
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar