Siber güvenlik topluluğunun nabzı

Selam arkadaşlar,

Uzaktan çalışma yaygınlaştıkça "çalışanınız gerçekten iddia ettiği kişi mi?" sorusu bir İK sorusu olmaktan çıkıp güvenlik sorusuna dönüştü. ABD Adalet Bakanlığı (DOJ), 13 Ekim 2026'da Kuzey Kore'nin uzaktan IT çalışanı planlarına karşı koordineli bir operasyonun sonuçlarını açıkladı: 14 kişiye suçlama, iki tutuklama, Teksas'ta 40'tan fazla adreste arama ve yaklaşık 187 bilgisayar cihazına el koyma. Operasyonun adı "Operation Lonestar Roundup".

Konuda Anlatılacaklar

1. Kuzey Kore'nin uzaktan IT çalışanı planı nedir?
   
2. "Laptop çiftliği" ne demek?
   
3. Ohio iddianamesi: 70'ten fazla şirket, 3 milyon dolar
   
4. Operation Lonestar Roundup: Teksas'taki aramalar
   
5. Cihazları çiftliğe yönlendirme yöntemleri
   
6. Şirketler için tespit ve önleme önerileri
   
7. Kaynaklar
   

Plan Nedir?

DOJ'un açıklamasına göre Kuzey Koreli IT çalışanları, çalınmış ya da sahte kimlik belgeleri, VPN ve proxy altyapısı kullanarak ABD'li şirketlerde uzaktan pozisyonlara başvuruyor ve işe alınıyor. Amaç, kendilerini ABD'de yaşayan ve çalışan kişiler gibi göstermek. Kazanılan maaşlar, yaptırım altındaki Kuzey Kore rejimine aktarılıyor.

DOJ Ulusal Güvenlik Bölümü'nden Başsavcı Yardımcısı John A. Eisenberg'e göre rejim bu gelirleri, ABD'yi ya da müttefiklerini hedef alabilecek silahların geliştirilmesi dahil çeşitli yasa dışı amaçlar için kullanıyor. DOJ'un açıklamasında, daha önceki uyarılarda bu çalışanların veri çaldığı ve şantaj yaptığı vakalara da değiniliyor.

BleepingComputer'a göre bu faaliyetin arkasındaki grup CrowdStrike tarafından Famous Chollima (diğer adıyla WageMole) olarak izleniyor ve sadece maaş geliri değil, bazı durumlarda işverenin ağına sızarak hassas veri çalma, zararlı yazılım yerleştirme ya da kripto para elde etme girişimleriyle de biliniyor.

"Laptop Çiftliği" Ne Demek?

Plan, ABD'deki yardımcılar (facilitator) olmadan işlemiyor. DOJ'a göre bu kişiler, mağdur şirketlerin yeni "çalışanlarına" gönderdiği dizüstü bilgisayarları kendi evlerinde teslim alıyor, kuruyor, üzerlerine uzaktan erişim yazılımı yüklüyor ve kazançları Kuzey Kore kontrolündeki hesaplara aktarıyor. Bu evlere laptop çiftliği deniyor.

Şirketin bakış açısından durum tamamen normal görünüyor: Laptop ABD'deki bir ev adresinde, ABD IP adresinden bağlanıyor. Ama klavyenin başındaki kişi binlerce kilometre uzakta, uzaktan erişim aracıyla bu cihazı kullanıyor. Aramalarda el konulan cihazlar arasında dizüstü bilgisayarların yanında KVM (klavye, video, fare) cihazlarının da bulunması, bu çiftliklerin sadece cihaz deposu değil, uzaktan kullanım için kurulmuş düzenekler olduğunu gösteriyor.



Ohio İddianamesi: 70'ten Fazla Şirket, 3 Milyon Dolar

DOJ'a göre Ohio Kuzey Bölgesi Savcılığı, iki ABD vatandaşının tutuklandığını duyurdu: Pennsylvania'dan Michael James Bostelle ve Teksas'tan Juan Cecilio Pena Carrillo. Suçlamalar dört maddelik bir iddianamede elektronik dolandırıcılık (wire fraud), kara para aklama ve kimlik hırsızlığı.

İddianameye göre:

• Plan 2019'dan Temmuz 2025 civarına kadar sürdü.
  
• 70'ten fazla ABD'li işvereni etkiledi.
  
• IT çalışanlarına yaklaşık 3 milyon dolar gelir sağladı; bu gelirin yaptırım altındaki Kuzey Kore kontrolündeki kuruluşlara gönderildiği değerlendiriliyor.
  
• Mağdurlar arasında sağlık, iletişim, siber destek, perakende ve üretim sektörlerinden şirketler var; Ohio dahil 17 eyalette ve Washington D.C.'de.
  

İddianame ayrıca Çin merkezli 10 kişiyi de suçluyor; iki sanığın kimliği gizli tutuluyor. Böylece toplam suçlanan kişi sayısı 14'e ulaşıyor. DOJ'un hatırlattığı gibi bunlar şu aşamada iddia; sanıklar suçları kanıtlanana kadar masum kabul ediliyor.

Operation Lonestar Roundup

DOJ'a göre FBI, 21-25 Eylül tarihleri arasında Teksas'ta laptop çiftliği olduğu bilinen ya da şüphelenilen 40'tan fazla konutta arama ve diğer işlemleri gerçekleştirdi. Operasyonun tamamında yaklaşık 187 dizüstü bilgisayar ve KVM cihazına el konuldu. Operasyonu Teksas Kuzey Bölgesi Savcılığı, FBI Dallas Saha Ofisi ve FBI Siber Bölümü yürüttü.

FBI Siber Bölümü'nden Brett Leatherman, operasyonda özel sektörle yakın koordinasyonun merkezi bir rol oynadığını vurguladı. BleepingComputer'a göre CrowdStrike bu tür operasyonların etkisinin sınırlı kalabileceğini kabul ediyor, ama Lonestar Roundup'ı Famous Chollima'nın ABD'deki altyapısını çökertmeye yönelik daha geniş bir çabanın başlangıcı olarak görüyor.

Cihazlar Çiftliğe Nasıl Yönlendiriliyor?

Savunma açısından en faydalı kısım burası. BleepingComputer'ın aktardığına göre CrowdStrike, Kuzey Koreli çalışanların şirket laptoplarını kimlik belgesindeki adres yerine çiftliğe ulaştırmak için şu yöntemleri kullandığını tespit etti:

• Sahte hırsızlık bildirimiyle yedek cihazın çiftlik adresine gönderilmesini sağlamak
  
• Son varış noktasını gizlemek için farklı ev adresleri arasında dönüşümlü kullanım
  
• Son dakika taşınma bahanesiyle sevkiyatı yolda başka adrese yönlendirmek
  
• Bazen sahip oldukları IT personel tedarik rollerini kötüye kullanarak sevkiyatları gizlice yönlendirmek
  

CrowdStrike'a göre kamuoyunda artan farkındalık, bu operatörleri cihaz tanımlayıcılarını taklit etmeye ve hatta aynı tanımlayıcıları farklı mağdur kuruluşlarda yeniden kullanmaya itmiş. DOJ ise FBI'ın yeni kamu duyurusuna (PSA) atıfla Kuzey Koreli çalışanların artık daha fazla ABD'li yardımcı işe aldığını, bu kişilere daha geniş görevler verdiğini ve bazı durumlarda işlerin tamamını üçüncü ülke vatandaşlarına taşere ettiğini belirtiyor.

DOJ'un Paylaştığı Göstergeler

DOJ, soruşturmada tespit edilen bazı sahte e-posta hesaplarını paylaştı ve işverenleri bunları kendi tespit göstergelerine eklemeye çağırdı. İK ve güvenlik ekipleri başvuru ve işe alım kayıtlarında bu adresleri arayabilir:

Örneğin İK sisteminizden dışa aktarılmış bir başvuru listesinde arama yapmak için (dosya adını kendi ortamınıza göre değiştirin):



Şirketler İçin Tespit ve Önleme Önerileri

Kaynaklardaki bilgilerden ve genel iyi uygulamalardan derlediğim öneriler:

İşe alım aşamasında:

• Kimlik doğrulamayı güçlendirin; mümkünse en az bir görüşmeyi canlı ve kamerası açık yapın.
  
• Kimlik belgesindeki adres ile cihaz teslimat adresi arasındaki farkları sorgulayın.
  
• Referansları kendi bulduğunuz iletişim kanallarından teyit edin.
  

Cihaz sevkiyatında:

• Son dakika adres değişikliklerini ve "kayboldu/çalındı" bildirimiyle gelen yedek cihaz taleplerini ek onaya bağlayın; CrowdStrike'ın listelediği yöntemlerin çoğu tam bu noktayı hedefliyor.
  
• IT personel tedarik firmalarıyla çalışıyorsanız sevkiyat süreçlerini de denetleyin.
  

Uç nokta ve ağ tarafında:

• Şirket cihazlarında onaylanmamış uzaktan erişim yazılımlarını tespit edip engelleyin.
  
• Kullanıcının bağlandığı konumu, saat dilimini ve çalışma desenini, beyan ettiği konumla karşılaştırın.
  
• Aynı cihaz tanımlayıcısının farklı kullanıcılar ya da kuruluşlarla ilişkili görünmesi gibi anomalilere dikkat edin.
  

Windows uç noktalarda kurulu programları listeleyip yaygın uzaktan erişim araçlarını aramak için basit bir örnek (PowerShell, yönetici olarak):
Bu araçların varlığı tek başına kötü niyet göstermez; ama şirket politikanızda onaylı değilse incelenmeli.

FBI'ın 13 Ekim'de yayımladığı yeni kamu duyurusu, tespit için ayrıntılı rehberlik içeriyor; ABD dışındaki şirketlerin de göz atmasında fayda var. Bu plan ABD'ye özgü değil: BleepingComputer'ın belirttiği gibi bu operatörler dünya genelinde şirketlerde teknoloji işleri arıyor.

Türkiye'den yurt dışına freelance ya da uzaktan çalışan çok arkadaşımız var; işverenler tarafındaki bu sıkılaşma meşru uzaktan çalışanları da etkileyecek gibi. Sizin şirketiniz uzaktan işe alımda kimlik doğrulamayı nasıl yapıyor? Yorumlarda konuşalım.

Kaynaklar

• U.S. Department of Justice - Justice Department Announces Coordinated Actions to Combat North Korean Remote IT Worker Schemes Affecting More than 70 U.S. Companies (13 Ekim 2026): https://www.justice.gov/opa/pr/justice-d...-it-worker
  
• BleepingComputer - FBI raids DPRK IT worker laptop farms in Texas, US nationals arrested (14 Ekim 2026): https://www.bleepingcomputer.com/news/se...-arrested/
  
• SecurityWeek - US Arrests Two in Crackdown on North Korean IT Worker Laptop Farms (14 Ekim 2026): https://www.securityweek.com/us-arrests-...top-farms/
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
   

Selam arkadaşlar,

npm tarafında tedarik zinciri saldırıları artık haftalık rutin haline geldi, ama MALFEX kampanyasını ilginç kılan şey saldırganın inatçılığı. Paketleri silindikçe birkaç gün içinde yenilerini yükleyen tek bir operatörden söz ediyoruz. The Hacker News'in 17 Ekim 2026'da SafeDep araştırmasına dayanarak aktardığına göre kampanyanın yeni halkası imgdecode adlı paket: Masum görünen dokuz satırlık bir JavaScript dosyası, derlenmiş bir Windows DLL'ini yüklüyor ve bu DLL GitHub'dan şifreli shellcode indirip dllhost.exe sürecine enjekte ediyor.

Konuda Anlatılacaklar

1. MALFEX kampanyası nedir?
   
2. Üç ayrı bulaşma yolu
   
3. imgdecode: Silinen paketlerin yerine gelen yeni yükleyici
   
4. Hırsızlık yazılımının yetenekleri
   
5. Etkilenip etkilenmediğinizi nasıl anlarsınız?
   
6. Bulaşma varsa yapılacaklar ve önleme
   
7. Kaynaklar
   

MALFEX Kampanyası Nedir?

Kampanya ilk olarak Checkmarx ve CloudSEK tarafından belgelendi. Checkmarx'ın 5 Ekim 2026 tarihli raporuna göre MALFEX, Ağustos 2023'ten beri npm'e paket yükleyen tek bir saldırganla bağlantılı. Rapor yazıldığında bu kişi 12 paket yayımlamıştı; bunların sekizi zararlı, dördü ise zararsız "kamuflaj" paketleriydi. Hedef platform yalnızca Windows.

İsmin hikayesi de ilginç: MALFEX adı doğrudan operatörün kendi markasından geliyor. Checkmarx'a göre bu ad beş npm yayıncı hesabında (malfexkkj, malfex_user, malfexteste2, malfexteste3, malfexteste4), yük deposunun git yazar e-postasında ve hırsızlık zincirinin şifre çözme anahtarında ("malfexteam2027") geçiyor. CloudSEK de operatörün Portekizce hesaplar kullandığını belirtiyor.

Checkmarx'ın 1 Ekim itibarıyla npm istatistiklerinden derlediği verilere göre zararlı paketlerin toplam indirme sayısı 40.767; bunun 37.419'u tek başına function-flag paketine ait. Firma bu sayıların ele geçirilmiş makine sayısı değil, kayıt defteri erişimi olduğunu özellikle vurguluyor. Ayrıca bilinen hiçbir meşru paket bu paketlere bağımlı değil, yani risk bu paket isimlerini doğrudan kuranlarla sınırlı.

Üç Ayrı Bulaşma Yolu

Checkmarx kampanyada birbirinden bağımsız üç yol tanımlıyor:

• Overlord RAT yükleyicileri (tlxbnhd, tldriver, mxdriver): npm install sırasında çalışan preinstall/postinstall betikleri, PNG gibi sunulan bir Windows çalıştırılabilirini indiriyor. Sonuçta Go ile yazılmış açık kaynaklı bir uzaktan erişim truva atı olan Overlord RAT kuruluyor.
  
• Hırsızlık zinciri (native-runner, img-to-native, cdn-img-fetch): Bu paketlerde kurulum kancası (install hook) yok; zararlı kod paket yüklendiğinde (require edildiğinde) çalışıyor. GitHub'daki bir PNG dosyasının sonuna eklenmiş şifreli veri çözülüp bir Go indiricisine dönüşüyor, bu da "movinlike" adlı Node.js tabanlı hırsızlık yazılımını indiriyor.
  
• function-flag indiricisi: Temmuz 2025'ten beri zararlı olan bu paketin postinstall betiği, ASCII art fonksiyonunu belirli bir font parametresiyle çağırdığında gizli bir indirme rutinini tetikliyor.
  

Checkmarx'ın verdiği önemli bir detay: Zararlı satırlar, tipik bir kod editöründe görünür alanın dışında kalacak şekilde boşluklarla sağa itilmiş. Yani dosyayı açıp hızlıca bakan biri bir şey fark etmeyebilir.



imgdecode: Silinen Paketlerin Yerine Gelen Yeni Yükleyici

The Hacker News'in aktardığı zaman çizelgesi, operatörün kamuya açık bildirimlere ve silmelere nasıl tepki verdiğini gösteriyor (saatler UTC; TSİ için 3 saat ekleyin):

• 26 Eylül 2026: cdn-img-fetch, img-to-native ve native-runner 1.0.0 yayımlandı.
  
• 28 Eylül, 16:06 UTC (19:06 TSİ): npm, native-runner ve img-to-native'i kaldırdı.
  
• 30 Eylül, 03:29 ve 03:37 UTC: Yerlerine imgbundle ve runhelper yayımlandı.
  
• 30 Eylül, 16:13 UTC: runhelper yayından kaldırıldı.
  
• 30 Eylül, 22:32 UTC: imgdecode 1.0.0 yayımlandı; 1.0.1 ve 1 Ekim'de 1.0.2 izledi.
  
• 7 ve 8 Ekim: npm, imgbundle ve cdn-img-fetch'i kaldırdı.
  
• 11 Ekim, 22:09 UTC (12 Ekim 01:09 TSİ): imgdecode 1.0.3 yayımlandı.
  

Paketi yükleyen hesap "malfexteste8". The Hacker News'e göre paket yazı yazıldığı sırada 979 kez indirilmişti ve hâlâ npm'de duruyordu; son sürüm 1.0.3. SafeDep'in ReversingLabs topluluk sayfasında yer alan analizine göre 1.0.0'dan 1.0.3'e kadar tüm sürümler zararlı, yani temiz bir sürüm yok. 1.0.3'ün asıl farkı, npm'in güvenlik tutucu paketiyle değiştirdiği imgbundle bağımlılığını kaldırması; böylece paket yeniden temiz bir şekilde kurulabiliyor ve başka bir MALFEX paketine ihtiyaç duymuyor.

SafeDep'in tarifine göre zincir şöyle işliyor: Bir Node.js programı Windows konsolunda require('imgdecode') çağırdığında, paketin içindeki önceden derlenmiş 64 bit DLL (Node.js native addon) yükleniyor. DLL önce bir geliştirici terminalinde çalışıp çalışmadığını kontrol ediyor, ardından aynı GitHub deposundan bir JPG dosyası çekiyor, içindeki şifreli yükü çözüyor ve sonucu yeni bir dllhost.exe sürecine enjekte ediyor. SafeDep, şifre çözülen verinin ilk baytları JPEG ya da PNG imzasıyla eşleşirse DLL'in durduğunu, bunun operatöre yükleyiciyi uzaktan kapatma imkanı verebileceğini çıkarım olarak not ediyor.

Bu yaklaşımın savunma açısından anlamı şu: Zararlı mantık JavaScript'te değil derlenmiş bir ikili dosyada olduğu için, yalnızca JS kaynak kodunu tarayan araçlar bunu kaçırabilir.

Hırsızlık Yazılımının Yetenekleri

The Hacker News'e göre GitHub hesabı ("cavecrew") artık erişilebilir değil, ama 6 Ekim tarihli bir Internet Archive kaydı, yükün hırsızlık yazılımını getiren aynı Go indiricisi olduğunu gösteriyor. Zararlı yazılım:

• Sanal makine, sandbox ve Process Monitor, Wireshark gibi analiz araçlarını kontrol ediyor.
  
• Kurtarma ifadeleri (seed phrase) içeren dosyaları ve .kdbx, .pem, .ppk, .env uzantılı dosyaları topluyor.
  
• Chromium tabanlı tarayıcılar, Discord, Telegram, kripto cüzdanları ve Steam, Epic Games, Riot, Battle.net, Minecraft, Ubisoft gibi oyun uygulamalarından veri çalıyor.
  
• WebSocket üzerinden komut alarak kabuk komutu çalıştırma, dosya aktarımı, ekran görüntüsü, pano erişimi ve fare/klavye kontrolü sağlıyor.
  
• Kalıcılık için bir Registry Run anahtarı ve "MicrosoftEdgeUpdateService" adlı bir zamanlanmış görev oluşturuyor.
  

Checkmarx da movinlike'ın sekiz farklı Discord istemcisini hedeflediğini, çalınan verileri 25 MB'lık parçalar halinde sabit kodlu bir Discord webhook'una gönderdiğini belirtiyor.

Etkilenip Etkilenmediğinizi Nasıl Anlarsınız?

Checkmarx'ın önerdiği kontrollere imgdecode, imgbundle ve runhelper'ı da ekleyerek:

Bağımlılık ağacını (dolaylı bağımlılıklar dahil) kontrol etmek:

Lock dosyalarında aramak (paket kayıt defterinden kalksa bile lock dosyasında sabitlenmiş kalabilir):

Windows makinelerde belgelenmiş iz kalıntılarını kontrol etmek (PowerShell):

Checkmarx'a göre herhangi bir "True" sonucu ya da eşleşen bir zamanlanmış görev büyük olasılıkla bulaşma anlamına geliyor. Overlord yolunda Run anahtarı kullanılmadığını ve "\Maiden" görevinin 2020 tarihine geri tarihlendiğini, bu yüzden yalnızca yeni oluşturulan görevlere bakmanın yetmeyeceğini de ekliyor. Son komuttaki görev adı meşru bir Edge görevini taklit ettiği için, eşleşme çıkarsa görevin çalıştırdığı dosya yoluna mutlaka bakın.



Bulaşma Varsa Yapılacaklar ve Önleme

Checkmarx ve The Hacker News'in önerileri özetle:

1. Makineyi ağdan izole edin, kayıtları ve dosya sistemi kanıtlarını koruyun. node_modules silinmiş olsa bile makineyi ele geçirilmiş kabul edin.
   
2. Kalıcılık kayıtlarını (zamanlanmış görevler, Run anahtarları, yukarıdaki dosyalar) adli kopyasını alarak temizleyin.
   
3. Temiz bir makineden Discord, tarayıcıda kayıtlı hesaplar ve kullanılan diğer hesapların parolalarını değiştirin, aktif Telegram oturumlarını sonlandırın.
   
4. Kurtarma ifadeleri o makinede tutulmuşsa fonları yeni cüzdanlara taşıyın.
   
5. Paketleri özel registry'lerinizden, proxy ve önbelleklerinizden temizleyin; npm'den kaldırılmaları dahili kopyaları silmiyor.
   

Önleme tarafında Checkmarx'ın altını çizdiği bir nokta çok önemli: --ignore-scripts tek başına yetmiyor. Kurulum betiklerine dayanan yolları durdursa da, hırsızlık zinciri ve imgdecode paket yüklendiğinde çalıştığı için bu bayrak onları engellemiyor. Ayrıca bir paket kaldırıldığında bağımlılıklarına da bakmak gerekiyor: cdn-img-fetch, ona bağımlı olan img-to-native kaldırıldıktan sonra da kurulabilir halde kalmıştı. Checkmarx, raw.githubusercontent.com veya discord.com gibi paylaşılan servisleri tamamen engellemek yerine belirli yolları engellemeyi öneriyor.

Kendi projelerinizde son bir haftada yeni eklenmiş, az indirilmiş ve içinde .node uzantılı önceden derlenmiş ikili dosya taşıyan paketleri nasıl denetliyorsunuz? Kullandığınız araçları yorumlarda paylaşırsanız herkes için faydalı olur.

Kaynaklar

• The Hacker News - MALFEX npm Package 'imgdecode' Hides Shellcode Loader in Windows Native Addon (17 Ekim 2026): https://thehackernews.com/2026/10/malfex...hides.html
  
• Checkmarx - MALFEX npm Malware Campaign: Three Payloads And An Adversary That Signs Their Work (5 Ekim 2026): https://checkmarx.com/zero-post/malfex-n...heir-work/
  
• CloudSEK - MALFEX kampanyası analizi: https://www.cloudsek.com/blog/malfex-mal...n-campaign
  
• ReversingLabs Spectra Assure Community - imgdecode (SafeDep bildirimi): https://secure.software/npm/packages/imgdecode/malware
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
   

Merhaba arkadaşlar,

Yapay zeka destekli uygulamalar her yere girdi; peki bu uygulamalar prompt injection, veri sızdırma veya zararlı içerik üretimine karşı test ediliyor mu? Klasik güvenlik testleri bu yeni saldırı yüzeyini kapsamıyor. "LLM red teaming", bir dil modeli uygulamasını saldırgan girdilerle sistematik olarak sınamaktır. Bu rehberde iki açık kaynak aracı resmi belgelerine dayanarak tanıtıyorum: NVIDIA'nın garak tarayıcısı ve Microsoft'un PyRIT çerçevesi. Testleri yalnızca kendi geliştirdiğiniz veya test izniniz olan modeller ve uygulamalar üzerinde çalıştırın.

Konuda Anlatılacaklar

1. LLM red teaming nedir, neden gerekli?
   
2. OWASP LLM Top 10 ile çerçeve
   
3. garak kurulumu ve ilk tarama
   
4. garak ile belirli riskleri hedefleme
   
5. PyRIT nedir, nasıl kurulur?
   
6. PyRIT ile ilk saldırı senaryosu
   
7. Bulguları raporlama ve savunma
   

LLM Red Teaming Nedir, Neden Gerekli?

LLM red teaming, bir modele ya da model tabanlı uygulamaya, güvenlik korkuluklarını (guardrail) aşmaya çalışan girdiler göndererek zayıflıkları ortaya çıkarmaktır. Amaç; prompt injection, sistem prompt'u sızıntısı, zararlı içerik üretimi, veri sızdırma gibi davranışları saldırgandan önce tespit etmektir. Manuel test değerlidir ama ölçeklenmez; garak ve PyRIT bu işi otomatikleştirir.


OWASP LLM Top 10 ile Çerçeve

Testlerinizi bir çerçeveye oturtmak için OWASP Top 10 for LLM Applications (2025) listesini kullanın:

• LLM01: Prompt Injection
  
• LLM02: Sensitive Information Disclosure (hassas bilgi ifşası)
  
• LLM03: Supply Chain (tedarik zinciri)
  
• LLM04: Data and Model Poisoning (veri/model zehirleme)
  
• LLM05: Improper Output Handling
  
• LLM06: Excessive Agency (aşırı yetki)
  
• LLM07: System Prompt Leakage
  
• LLM08: Vector and Embedding Weaknesses
  
• LLM09: Misinformation
  
• LLM10: Unbounded Consumption
  

garak, problarını (probe) bu taksonomiyle etiketleyebilir; böylece bulgularınızı doğrudan OWASP maddeleriyle eşlersiniz.

garak Kurulumu ve İlk Tarama

garak, NVIDIA'nın açık kaynak LLM zafiyet tarayıcısıdır. Kurulum ve sürüm kontrolü:


Mevcut probları (saldırı modüllerini) listelemek:


Resmi belgelere göre bir tarama en az hedef türünü (--target_type) ve genelde hedef adını (--target_name) gerektirir. Test için küçük bir model olan GPT-2'yi Hugging Face üzerinden taramak (yalnızca kendi ortamınızda):


Not: Eski --model_type/--probes bayrakları artık kullanımdan kaldırıldı; güncel kullanım --target_type ve --spec'tir.


garak ile Belirli Riskleri Hedefleme

--spec bayrağı birleşik bir seçim dilidir. Belgelerdeki örneklere göre bir prob ailesini seçebilir, belirli probları hariç tutabilir ya da bir etiketi hedefleyebilirsiniz:


OpenAI gibi barındırılan modellerde garak, gerekli API anahtarını ortam değişkeninden bekler; ayarlı değilse hangi değişkenin gerektiğini söyleyip durur:


Tarama bitince garak bir rapor dosyası üretir; raporu --report ile AVID formatına da dönüştürebilirsiniz.

PyRIT Nedir, Nasıl Kurulur?

PyRIT (Python Risk Identification Tool), Microsoft AI Red Team'in açık kaynak çerçevesidir. garak hazır problarla hızlı tarama yaparken, PyRIT çok adımlı (multi-turn) saldırı stratejileri (Crescendo, TAP, Skeleton Key gibi) ve özelleştirilebilir senaryolar sunar. Kurulum (resmi belgeye göre Python 3.13 önerilir):


PyRIT; OpenAI, Azure, Anthropic, Hugging Face, özel HTTP uç noktaları ve Playwright ile web hedeflerini destekler. Konuşmaları, skorları ve sonuçları yerleşik bir bellekte (SQLite) tutar.


PyRIT ile İlk Saldırı Senaryosu

PyRIT üç modda kullanılır: Scanner (komut satırı), GUI (CoPyRIT) ve Framework (Python). Komut satırından hazır bir senaryoyu kendi hedefinize karşı çalıştırmak (resmi belge örneği):


Framework modunda basit bir tek-adım saldırısı, PyRIT'in resmi örneğine dayanarak:


Tüm bu testleri yalnızca kendi API anahtarınız ve kendi/izinli hedefleriniz üzerinde çalıştırın.

İleri Seviye: Bulguları Raporlama ve Savunma

Red teaming'in amacı sadece açık bulmak değil, savunmayı güçlendirmektir. Bulgularınızı OWASP LLM Top 10 maddeleriyle etiketleyin ve her bulgu için savunma önerisi yazın:

• Girdi/çıktı filtreleme: Kullanıcı girdisini ve model çıktısını doğrulayın; çıktıyı başka bir sisteme körlemesine geçirmeyin (LLM05).
  
• En az yetki: Modelin erişebildiği araç ve veriyi daraltın (LLM06 aşırı yetki).
  
• Sistem prompt'unu koruyun: Sırları sistem prompt'una koymayın (LLM07).
  
• Oran sınırlama: Kaynak tüketimini sınırlandırın (LLM10).
  
• Sürekli test: garak/PyRIT'i CI hattında düzenli çalıştırın.
  

Microsoft'un RAMPART gibi araçları, red team bulgularını pytest tabanlı tekrarlanabilir regresyon testlerine çevirmenizi sağlar; böylece düzelttiğiniz bir zayıflık geri gelmez.

Sonuç

LLM uygulamaları yeni bir saldırı yüzeyi getiriyor ve bunu test etmek için artık olgun araçlar var. Hızlı ve geniş tarama için garak, derin ve çok adımlı senaryolar için PyRIT kullanın; hepsini OWASP LLM Top 10 çerçevesine oturtun ve bulguları savunmaya çevirin. Testleri yalnızca kendi/izinli sistemlerinizde yapın. Siz YZ uygulamalarınızı nasıl test ediyorsunuz? Yorumlarda paylaşın.

Kaynakça

• NVIDIA garak, Getting Started: https://reference.garak.ai/en/latest/usage.html
  
• NVIDIA garak, CLI reference: https://reference.garak.ai/en/stable/cliref.html
  
• garak GitHub: https://github.com/NVIDIA/garak
  
• Microsoft PyRIT belgeleri: https://microsoft.github.io/PyRIT/latest/
  
• PyRIT GitHub: https://github.com/Azure/PyRIT
  
• OWASP Top 10 for LLM Applications 2025: https://genai.owasp.org/llm-top-10/
  
• OWASP GenAI, LLM01 Prompt Injection: https://genai.owasp.org/llmrisk/llm01-prompt-injection/
  

Yasal Uyarı

garak ve PyRIT ile yapılan testler yalnızca kendinize ait veya yazılı test izni bulunan modeller, API anahtarları ve uygulamalar üzerinde çalıştırılmalıdır. Başkasına ait YZ sistemlerine izinsiz saldırı girdileri göndermek, hizmet koşullarını ve 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddelerini ihlal edebilir. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
               

Merhaba arkadaşlar,

OSCP, sızma testi alanında işe alımlarda en çok sorulan uygulamalı sertifikalardan biri olmaya devam ediyor. 1 Kasım 2024'ten itibaren sınavı geçenler OSCP ile birlikte üç yıl geçerli OSCP+ unvanını da alıyor ve 1 Aralık 2026'da puanlama sisteminde önemli bir değişiklik devreye giriyor. Bu rehberde OffSec'in resmi sınav kılavuzunu temel alarak sınavın yapısını, yasak araçları, raporlama kurallarını ve bunlara göre kurulmuş pratik bir hazırlık planını anlatıyorum. Burada yazan her kural OffSec'in resmi belgelerinden alınmıştır; sınava girmeden önce kılavuzun güncel halini mutlaka kendiniz okuyun.

Konuda Anlatılacaklar

1. OSCP ve OSCP+ farkı
   
2. Sınav yapısı ve puan dağılımı
   
3. 1 Aralık 2026 ölçekli puanlama değişikliği
   
4. Yasak araçlar ve Metasploit kısıtı
   
5. Kanıt (proof) ve ekran görüntüsü kuralları
   
6. Rapor ve teslim süreci
   
7. Lab hazırlığı ve not tutma düzeni
   
8. 12 haftalık çalışma planı
   

OSCP ve OSCP+ Farkı

OffSec'in Eylül 2024 duyurusuna göre 1 Kasım 2024'ten itibaren sınavı geçen adaylar iki sertifika alır: süresiz geçerli OSCP ve üç yıl sonra sona eren OSCP+. İkisi arasındaki tek fark geçerlilik süresidir. OSCP+ süresi dolarsa OSCP unvanınız devam eder. OSCP+'ı yenilemek isteyenler için OffSec'in yeniden sertifikalandırma sınavı seçeneği bulunur.

Bağımsız sınav satın alımı (eğitimsiz) yalnızca OSCP+ için mümkündür ve OffSec SSS sayfasına göre iki sınav hakkı içerir; her iki hak da satın alma tarihinden itibaren 120 gün geçerlidir. Başarısız denemeden sonra zorunlu bir bekleme süresi olduğu için sınav tarihini buna göre planlayın.

Sınav Yapısı ve Puan Dağılımı

Resmi sınav kılavuzuna göre sınav yapısı şöyledir:

• Sınav süresi 23 saat 45 dakikadır; ardından rapor yüklemek için 24 saat daha verilir.
  
• Tüm sınavlar gözetimlidir (proctored) ve Kali Linux + OpenVPN ile bağlanılır.
  
• 3 bağımsız makine: her biri 20 puan (10 ilk erişim + 10 yetki yükseltme), toplam 60 puan.
  
• 1 Active Directory seti (3 makine): toplam 40 puan (10 + 10 + 20). AD setinde size bir kullanıcı adı ve parola verilir; bu, ihlal sonrası senaryoyu simüle eder.
  

Kılavuzdaki geçme senaryolarından bazıları (100 üzerinden 70 ile geçilir): 40 AD + 3 local.txt; 40 AD + 2 local.txt + 1 proof.txt; ya da 10 AD puanı + 3 bağımsız makinenin tamamı. Görüldüğü gibi AD setini bitirmek geçmeyi büyük ölçüde kolaylaştırır.


1 Aralık 2026 Ölçekli Puanlama Değişikliği

OffSec'in resmi "OSCP+ Scoring Update" duyurusuna göre:

• 30 Kasım 2026'ya kadar girilen sınavlarda geçmek için 100 üzerinden 70 puan sabit eşiktir.
  
• 1 Aralık 2026'dan itibaren puanlar, sınav setine özgü bir dönüşümle ölçeklenmiş (equated scaled) skora çevrilir ve bu skor geçme standardıyla karşılaştırılır. Yani 70, her set için sabit kesme değeri olmaktan çıkar.
  

Önemli nokta: Sınavın yapısı (üç bağımsız makine + bir AD zinciri), süresi, gözetim kuralları ve istenen yetkinlik aynı kalıyor. Değişen tek şey farklı zorluktaki setler arasında skorların nasıl eşitlendiği. Sınav tarihiniz hangi yöntemin uygulanacağını belirler, bu yüzden tarihinizi planlarken bu eşiği göz önünde bulundurun.

Yasak Araçlar ve Metasploit Kısıtı

Kılavuz, kullanılamayacak araçları açıkça sayar:

• Spoofing (IP, ARP, DNS, NBNS vb.)
  
• Ticari araçlar (Metasploit Pro, Burp Pro vb.)
  
• Otomatik sömürü araçları (db_autopwn, browser_autopwn, SQLmap, SQLninja vb.)
  
• Kitlesel zafiyet tarayıcıları (Nessus, Nexpose, OpenVAS, Core Impact vb.)
  
• Yapay zeka sohbet botları (ChatGPT, Gemini, Deepseek, OffSec KAI vb.) — bunların kullanımı üçüncü taraf yardımı sayılır ve akademik politikayı ihlal eder.
  

İzin verilenler arasında Nmap (ve NSE), Nikto, Burp Free, DirBuster gibi araçlar vardır. Metasploit kısıtı çok nettir: Metasploit modüllerini (Auxiliary, Exploit, Post) veya Meterpreter yükünü yalnızca seçtiğiniz tek bir hedef makineye karşı kullanabilirsiniz. Bir hedefte kullanmaya karar verdiğiniz an kilitlenirsiniz; başka hedeflerde (pivot dahil) kullanamazsınız. Buna karşılık multi/handler ve msfvenom tüm hedeflerde kullanılabilir.


Kanıt ve Ekran Görüntüsü Kuralları

Her hedef makinede en az bir kanıt dosyası vardır: ayrıcalıksız kullanıcının erişebildiği local.txt ve yalnızca root/Administrator erişebildiği proof.txt. Kılavuza göre:

• Kanıt dosyalarının içeriği hedef üzerinde etkileşimli bir kabukta type veya cat ile, orijinal konumundan gösterilmelidir. Web tabanlı kabukla alınan içerik puan getirmez.
  
• Her ekran görüntüsü hem dosya içeriğini hem de hedefin IP adresini (ipconfig, ifconfig veya ip addr çıktısıyla) içermelidir.
  
• İçerik hem kontrol panelinde hem de raporda ekran görüntüsüyle sunulmalıdır.
  
• Windows'ta tam puan için SYSTEM/Administrator yetkili bir kabuk, Linux'ta root kabuğu gerekir.
  

Örnek bir kanıt gösterimi (kendi lab makinenizde prova için):



Rapor ve Teslim Süreci

Raporlama kuralları katıdır; eksik dokümantasyon puan kaybı demektir. Kılavuzdaki teslim kontrol listesi:

• Rapor PDF formatında olmalı ve "OSCP-OS-XXXXX-Exam-Report.pdf" adını taşımalı (XXXXX = OSID).
  
• PDF, parolasız bir .7z arşivine konmalı ve arşiv 200 MB'ı geçmemeli.
  
• Dosya https://upload.offsec.com adresine yüklenmeli; yükleme sonrası verilen MD5 özeti yerel dosyanınkiyle karşılaştırılmalı.
  

Rapor arşivini kendi Kali makinenizde oluşturup özetini doğrulayın:


Sonuç, dokümantasyon teslim edildikten sonra 10 iş günü içinde e-posta ile bildirilir. Rapor bir kez gönderildikten sonra eksik ekran görüntüsü tamamlanamaz; bu yüzden göndermeden önce dikkatle kontrol edin.

Lab Hazırlığı ve Not Tutma Düzeni

Sınav baskısında zaman kaybetmemek için keşif ve not tutmayı otomatikleştirin. Kendi lab makinenizde (örneğin yerel bir sanal ağdaki hedefte) çalışan bir keşif düzeni:


Nmap resmi kılavuzuna göre -oN normal, -oA ise üç formatta (normal, XML, grepable) çıktı kaydeder; rapora ek için -oA pratiktir. Her hedef için ayrı klasör ve standart bir not şablonu tutmak, rapor yazımını saatlerce kısaltır. Not şablonu: hedef IP, açık portlar, servis sürümleri, denenen yollar, işe yarayan adım, local.txt ve proof.txt ekran görüntüleri.


İleri Seviye: 12 Haftalık Çalışma Planı


Pratik için PEN-200 ders labı, Proving Grounds ve benzeri yasal lab platformları uygundur. Haftada en az bir kez tam makine çözüp raporunu yazmak, yalnızca makine çözmekten çok daha değerlidir; çünkü sınavda puan getiren şey dokümantasyondur.

Sonuç

OSCP+ hazırlığının özü: resmi kılavuzu satır satır bilmek, AD setine ağırlık vermek, Metasploit kısıtını ve kanıt kurallarını içselleştirmek ve her makineyi rapor yazarak bitirmek. 1 Aralık 2026 ölçekli puanlama değişikliğini sınav tarihinizi planlarken hesaba katın. Siz hazırlıkta hangi lab platformunu kullanıyorsunuz? Deneyimlerinizi yorumlarda paylaşın.

Kaynakça

• OffSec, OSCP+ Exam Guide: https://help.offsec.com/hc/en-us/article...Exam-Guide
  
• OffSec, OSCP+ Scoring Update: https://www.offsec.com/blog/oscp-scoring-update/
  
• OffSec, Everything you need to know about the OSCP+: https://www.offsec.com/blog/everything-y...oscp-plus/
  
• OffSec Certification Exam FAQ: https://help.offsec.com/hc/en-us/article...n-Exam-FAQ
  
• Nmap Reference Guide, Output: https://nmap.org/book/man-output.html
  
• PEN-200 (OSCP) kurs sayfası: https://www.offsec.com/courses/pen-200/
  

Yasal Uyarı

Bu rehberdeki tüm komutlar yalnızca kendi bilgisayarınızda, OffSec'in sağladığı sınav/lab ortamında veya yazılı izin aldığınız sistemlerde çalıştırılmalıdır. İzinsiz tarama, sömürü veya erişim 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddeleri kapsamında suçtur. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
               

Merhaba arkadaşlar,

Siber güvenlik ilanlarına bakınca birçok kişi aynı duvara çarpıyor: "Giriş seviyesi" yazan bir ilanda 3 yıl deneyim, 5 sertifika ve 15 araç adı. Sonuç ya hiç başvurmamak ya da her ilana aynı CV ile başvurup sessizlikle karşılaşmak oluyor. Bu rehberde bir ilanı nasıl parçalara ayıracağınızı, "olmazsa olmaz" ile "olsa iyi olur" maddelerini nasıl ayırt edeceğinizi, kendi becerilerinizle küçük bir script yardımıyla nasıl eşleştireceğinizi ve başvurularınızı nasıl takip edeceğinizi anlatıyorum. Son bölümde de sahte iş ilanı dolandırıcılıklarına karşı dikkat edilmesi gerekenleri ele alıyorum.

Konuda Anlatılacaklar

1. Bir ilanın anatomisi
   
2. Zorunlu ve tercih edilen gereksinimleri ayırmak
   
3. İlanı resmi rol çerçevesiyle eşleştirmek
   
4. Python ile basit beceri eşleştirme scripti
   
5. CV'yi ilana göre uyarlamak
   
6. Başvuru takip tablosu
   
7. Sahte iş ilanı ve işe alım dolandırıcılıkları
   

Bir İlanın Anatomisi

Tipik bir ilan beş bölümden oluşur: şirket ve ekip tanıtımı, sorumluluklar (responsibilities), gereksinimler (requirements / qualifications), tercih edilenler (nice to have / preferred) ve yan haklar. En değerli bilgi sorumluluklar kısmındadır; çünkü işin gerçekte ne olduğunu orası söyler. Unvan ise çoğu zaman yanıltıcıdır.


Zorunlu ve Tercih Edilen Gereksinimler

İlan metinleri genellikle "ideal aday" tarifidir, kesin bir eleme listesi değil. Pratik bir kural: sorumluluklar kısmında tekrar eden ve "must", "required", "zorunlu", "en az" gibi ifadelerle gelen maddeler zorunludur. "Plus", "tercih sebebi", "nice to have" ifadeleri ise artı puandır. Zorunlu maddelerin yaklaşık yüzde 60-70'ini karşılıyor ve geri kalanını kısa sürede öğrenebileceğinizi gösterebiliyorsanız başvurmaktan çekinmeyin. Bu oran bir kural değil, kişisel deneyimden gelen bir başparmak kuralıdır; ilanı yazan ekibe göre değişir.

Sertifika maddelerine dikkat: Bazı kamu ve savunma projelerinde sertifikalar sözleşme gereği zorunlu olabilir. Özel sektörde ise çoğu zaman "veya eşdeğer deneyim" şeklinde esnektir. Emin değilseniz ön görüşmede doğrudan sorun.

İlanı Resmi Rol Çerçevesiyle Eşleştirmek

NIST NICE Framework (SP 800-181r1) rolleri görev ve bilgi ifadeleriyle tanımlar. İlandaki sorumlulukları NICE'taki görev ifadeleriyle eşleştirdiğinizde, hangi konuları çalışmanız gerektiği netleşir. Örneğin "SIEM alarmlarını incelemek ve olayları eskale etmek" sorumluluğu NICE'taki savunma amaçlı siber operasyon ve olay müdahalesi rollerine denk gelir. NICE Framework Resource Center'daki rol listesini ve görev ifadelerini indirilebilir formatta bulabilirsiniz.

Python ile Basit Beceri Eşleştirme Scripti

İlan metnini bir dosyaya kaydedin ve kendi becerilerinizi bir listede tutun. Aşağıdaki script yalnızca standart kütüphaneyle çalışır, ilanda geçen anahtar kelimeleri sizin listenizle karşılaştırır.

Önce beceri dosyanız:


İlanda aranacak anahtar kelime sözlüğü:


Script:


Çalıştırma:



Bu script bir karar makinesi değil; sadece ilanı sistematik okumanızı sağlar. "EKSIK" satırındaki maddeler sonraki iki haftalık çalışma planınızın girdisidir.

CV'yi İlana Göre Uyarlamak

Her ilana aynı CV'yi göndermek yerine, eşleşen becerileri öne çıkaran küçük düzenlemeler yapın:

• Özet paragrafını ilandaki rol diline göre yeniden yazın (örneğin "SOC analisti adayı" ya da "uygulama güvenliği odaklı geliştirici").
  
• Her beceri için bir kanıt ekleyin: lab projesi, GitHub deposu, CTF writeup'ı, blog yazısı.
  
• İlanda geçen terimleri, gerçekten bildiğiniz sürece, aynı yazımla kullanın. Birçok şirket başvuru takip sistemi (ATS) kullanır ve anahtar kelime araması yapar.
  
• Bilmediğiniz bir aracı CV'ye yazmayın; mülakatta ilk sorulacak şey odur.
  

Git ile CV sürümlerini takip etmek, hangi başvuruda hangi sürümü gönderdiğinizi unutmamanın kolay yoludur:


Başvuru Takip Tablosu

Onlarca başvuruyu akılda tutmak mümkün değil. Basit bir CSV dosyası yeterlidir:


Durumları bir bakışta görmek için komut satırında basit bir özet:



İleri Seviye: Sahte İş İlanları ve İşe Alım Dolandırıcılıkları

Siber güvenlik adayları da hedef alınıyor. ABD Federal Ticaret Komisyonu (FTC) ve FBI'ın İnternet Suç Şikayet Merkezi (IC3), sahte iş teklifleri üzerinden kişisel veri ve para toplayan dolandırıcılıklar hakkında düzenli uyarılar yayımlıyor. Dikkat etmeniz gereken işaretler:

• İşe alım sürecinde sizden ekipman, eğitim veya "sertifika ücreti" adı altında para istenmesi.
  
• Mülakatın yalnızca mesajlaşma uygulaması üzerinden yapılması ve kurumsal e-posta adresi kullanılmaması.
  
• Daha teklif aşamasında kimlik fotokopisi, banka bilgisi veya e-Devlet şifresi istenmesi.
  
• "Teknik test" adı altında bilinmeyen bir depodan kod çalıştırmanızın istenmesi. Bu tür dosyaları yalnızca izole bir sanal makinede açın ve önce inceleyin.
  

Bir ilanın gerçekliğini doğrulamak için şirketin resmi kariyer sayfasında aynı ilanın olup olmadığına bakın ve e-posta alan adını kontrol edin:


Çok yeni kaydedilmiş bir alan adı tek başına kanıt değildir ama diğer işaretlerle birlikte ciddi bir uyarıdır.

Sonuç

İlanı bir eleme listesi olarak değil, bir yol haritası olarak okuyun. Sorumlulukları resmi rol çerçeveleriyle eşleştirin, eksiklerinizi sistematik çıkarın, CV'nizi kanıtlarla uyarlayın ve başvurularınızı takip edin. Sahte ilanlara karşı da bir güvenlikçi refleksiyle yaklaşın. Sizin ilan okurken dikkat ettiğiniz başka işaretler var mı? Yorumlarda paylaşın.

Kaynakça

• NIST SP 800-181r1, NICE Framework: https://csrc.nist.gov/pubs/sp/800/181/r1/final
  
• NICE Framework Resource Center: https://www.nist.gov/itl/applied-cyberse...rce-center
  
• FTC, Job Scams: https://consumer.ftc.gov/articles/job-scams
  
• FBI IC3, Public Service Announcements: https://www.ic3.gov/PSA
  
• Python belgeleri, re modülü: https://docs.python.org/3/library/re.html
  
• Git belgeleri, git-tag: https://git-scm.com/docs/git-tag
  
• GNU Coreutils, cut / sort / uniq: https://www.gnu.org/software/coreutils/m...utils.html
  

Yasal Uyarı

Bu konudaki komut ve scriptler yalnızca kendi verileriniz ve kamuya açık bilgiler üzerinde, kişisel kariyer planlaması amacıyla kullanılmalıdır. Başkalarına ait sistemlere izinsiz erişim, tarama veya veri toplama 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddeleri kapsamında suçtur; kişisel verilerin işlenmesinde 6698 sayılı KVKK hükümlerine uyulmalıdır.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
               

Merhaba arkadaşlar,

"Siber güvenlikçi olmak istiyorum" cümlesi aslında tek bir meslek tarif etmiyor. Bir SOC analistinin günü ile bir sızma testi uzmanının ya da bir GRC uzmanının günü birbirinden çok farklı. Yanlış role hazırlanmak aylarınızı alabilir. Bu rehberde en yaygın beş kariyer yolunu resmi rol çerçevelerine (NIST NICE, ENISA ECSF) dayanarak karşılaştırıyor, her rol için evde hemen deneyebileceğiniz küçük bir "ilk görev" veriyorum. Amaç, hangi rolün size uygun olduğunu okuyarak değil deneyerek bulmanız.

Konuda Anlatılacaklar

1. Rol çerçeveleri: NICE, ECSF ve CISA Cyber Career Pathways
   
2. Kırmızı takım / sızma testi
   
3. Mavi takım / SOC analisti
   
4. Uygulama güvenliği (AppSec)
   
5. Bulut güvenliği
   
6. GRC (yönetişim, risk, uyum)
   
7. Hangi rol bana uygun? Deneme planı
   

Rol Çerçeveleri: Neden Önemli?

İş ilanlarındaki unvanlar şirketten şirkete değişir; "Security Engineer" bir yerde SOC işi, başka bir yerde bulut mimarisi anlamına gelebilir. Bu karmaşayı çözmek için standart çerçeveler kullanılır:

• NIST NICE Framework (SP 800-181r1): Rolleri görev, bilgi ve beceri ifadeleriyle tanımlar. ABD kaynaklı olsa da dünya genelinde referans alınır.
  
• ENISA European Cybersecurity Skills Framework (ECSF): Avrupa Birliği Siber Güvenlik Ajansı'nın 12 rol profilinden oluşan çerçevesi. Her profil için görevler, beceriler ve çıktılar listelenir.
  
• CISA Cyber Career Pathways Tool: NICE rollerini görsel olarak bağlayan, rolden role geçiş yollarını gösteren etkileşimli bir araç.
  

Bir ilan okurken unvana değil görev listesine bakın ve bunu bu çerçevelerdeki en yakın rolle eşleştirin.


1) Kırmızı Takım / Sızma Testi

Ne yapar: Yetkili kapsam dahilinde sistemlere saldırgan gözüyle bakar, zafiyetleri bulur, doğrular ve raporlar. ECSF'te karşılığı "Penetration Tester" profilidir.
Günlük işler: Kapsam toplantısı, keşif, zafiyet doğrulama, rapor yazımı. Rapor yazımı işin en az yarısıdır; bunu küçümsemeyin.
İlk görev (kendi labınızda): Metasploitable2 veya kendi sanal makinenizi tarayıp bulguları tablo halinde raporlayın.


-oA seçeneği Nmap resmi kılavuzuna göre çıktıyı normal, XML ve grep'lenebilir üç formatta birden kaydeder; rapora ek koymak için idealdir.

2) Mavi Takım / SOC Analisti

Ne yapar: SIEM'e düşen alarmları inceler, gerçek olayları yanlış pozitiflerden ayırır, olay müdahale sürecini başlatır. ECSF'te "Cyber Incident Responder" ve "Cyber Threat Intelligence Specialist" profilleriyle örtüşür.
Günlük işler: Alarm triyajı, log sorgulama, vaka dokümantasyonu, tespit kuralı iyileştirme.
İlk görev: Kendi Linux makinenizde başarısız SSH girişlerini IP bazında sayın:


Windows tarafında aynı mantık:


Not: 4625 olayında IP adresi alanının sırası olay şemasına bağlıdır; kendi sisteminizde Message alanını kontrol ederek doğrulayın. Bu tür "veriyi kendin doğrula" alışkanlığı SOC'ta en değerli beceridir.

3) Uygulama Güvenliği (AppSec)

Ne yapar: Yazılım geliştirme yaşam döngüsüne güvenlik ekler: tehdit modelleme, kod incelemesi, SAST/DAST araçları, geliştiricilere eğitim. Yazılım geçmişi olanlar için doğal bir geçiş yoludur.
İlk görev: Kendi bir Python projenizde statik analiz çalıştırın. Bandit, PyCQA'nın resmi Python güvenlik linter'ıdır:


Ardından bağımlılık zafiyetlerine bakın (PyPA'nın pip-audit aracı):



4) Bulut Güvenliği

Ne yapar: AWS, Azure, GCP ortamlarında kimlik ve erişim yönetimi, ağ izolasyonu, loglama ve yanlış yapılandırma tespiti. Sistem/ağ yöneticiliğinden gelenlerin hızlı yükseldiği bir alan.
İlk görev: Kendi ücretsiz katman AWS hesabınızda kök hesapta MFA olup olmadığını ve kimlik özetini kontrol edin (AWS CLI resmi komutları):


Çıktı 1 ise kök hesapta MFA etkin demektir. 0 görüyorsanız ilk işiniz bu olmalı.

5) GRC (Yönetişim, Risk ve Uyum)

Ne yapar: Politika yazımı, risk değerlendirmesi, ISO/IEC 27001, KVKK gibi gereksinimlere uyum, iç denetim. Teknik derinlik diğer rollere göre daha az ama iletişim ve yazma becerisi kritik. ECSF'te "Cyber Legal, Policy and Compliance Officer", "Cybersecurity Risk Manager" ve "Cybersecurity Auditor" profilleri bu alandadır.
İlk görev: Ev ağınız için basit bir risk kaydı oluşturun:


Risk = olasılık x etki şeklindeki basit model, NIST SP 800-30'daki risk değerlendirme mantığının sadeleştirilmiş halidir.

Hangi Rol Bana Uygun? 5 Haftalık Deneme Planı

Okuyarak karar vermek zor. Önerim, her role bir hafta ayırıp yukarıdaki ilk görevleri yapmanız ve her hafta sonunda kendinize üç soru sormanız: "Zaman nasıl geçti?", "Takıldığımda araştırmaktan keyif aldım mı?", "Bunu her gün yapabilir miyim?".



İleri Seviye: Roller Arası Geçiş

Roller birbirinden kopuk değildir. SOC'tan tehdit avcılığına ve olay müdahalesine, sistem yöneticiliğinden bulut güvenliğine, yazılımdan AppSec'e, pentestten kırmızı takım operasyonlarına geçiş yaygındır. CISA'nın Cyber Career Pathways aracı bu geçişleri rol bazında gösterir; hedef rolünüzün "komşu" rollerini görmek için iyi bir başlangıçtır. Hangi rolde başlarsanız başlayın, ağ temelleri, Linux/Windows yönetimi ve yazılı iletişim her yerde ortak paydadır.

Sonuç

Doğru rolü bulmanın en hızlı yolu, resmi rol çerçevelerinden görev listesini okuyup o görevlerin küçük bir örneğini kendi labınızda denemek. Beş haftalık planı uygulayın, notlarınızı tutun ve hangi haftada zamanın nasıl geçtiğini fark etmediğinize bakın. Siz hangi rolde çalışıyorsunuz ya da hangisine hazırlanıyorsunuz? Yorumlarda deneyimlerinizi paylaşın.

Kaynakça

• NIST SP 800-181r1, NICE Framework: https://csrc.nist.gov/pubs/sp/800/181/r1/final
  
• ENISA, European Cybersecurity Skills Framework (ECSF): https://www.enisa.europa.eu/topics/skill...ework-ecsf
  
• CISA / NICCS, Cyber Career Pathways Tool: https://niccs.cisa.gov/tools/cyber-career-pathways-tool
  
• Nmap Reference Guide, Output: https://nmap.org/book/man-output.html
  
• Bandit belgeleri: https://bandit.readthedocs.io/
  
• pip-audit (PyPA): https://github.com/pypa/pip-audit
  
• AWS CLI, get-account-summary: https://docs.aws.amazon.com/cli/latest/r...mmary.html
  
• AWS CLI, get-caller-identity: https://docs.aws.amazon.com/cli/latest/r...ntity.html
  
• Microsoft Learn, Get-WinEvent: https://learn.microsoft.com/en-us/powers...t-winevent
  
• NIST SP 800-30r1, Guide for Conducting Risk Assessments: https://csrc.nist.gov/pubs/sp/800/30/r1/final
  

Yasal Uyarı

Bu konudaki komutlar yalnızca kendi bilgisayarınızda, kendi bulut hesabınızda, kendi sanal labınızda veya yazılı izin aldığınız sistemlerde çalıştırılmalıdır. Başkasına ait sistemleri izinsiz taramak veya erişmek 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddeleri kapsamında suçtur. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
               

Merhaba arkadaşlar,

Siber güvenlikte ilk işe ya da bir üst pozisyona geçerken en çok strese giren aşama teknik mülakat oluyor. CV'yi geçtiniz, ön görüşmeyi de geçtiniz; şimdi karşınızda "TCP üçlü el sıkışmasını anlat", "Bir alarmı nasıl incelersin?" ya da "Ekibinle anlaşmazlık yaşadığın bir an" diyen biri var. Bu rehberde mülakatlarda en sık karşılaşılan soru ailelerini, cevabı nasıl kurmanız gerektiğini ve evde kendi labınızda nasıl prova yapacağınızı adım adım anlatıyorum. Ezber cevap listesi değil; düşünme biçimi ve pratik kanıt üzerine kurulu bir hazırlık planı.

Konuda Anlatılacaklar

1. Mülakat süreci nasıl işler, hangi aşamada ne ölçülür?
   
2. Soru aileleri: ağ, işletim sistemi, web, SOC, kriptografi
   
3. Teknik cevabı kurma yöntemi: tanım, örnek, kanıt
   
4. Lab provası: komutlarla cevap verebilmek
   
5. Davranışsal sorular ve STAR yöntemi
   
6. Senaryo (case) soruları ve canlı görevler
   
7. Mülakat sonrası: soru sorma ve takip
   

Mülakat Süreci Nasıl İşler?

Kurumdan kuruma değişse de tipik akış şöyledir: İK ön görüşmesi, teknik ekip görüşmesi (sözlü teknik sorular), bazen ev ödevi ya da canlı görev, son olarak yönetici veya kültür görüşmesi. Her aşamada ölçülen şey farklıdır. İK aşamasında iletişim ve motivasyon, teknik aşamada temel kavramlar ve problem çözme, canlı görevde gerçek araç kullanımı, son aşamada ise ekibe uyum değerlendirilir.


Rollerin beklediği beceriler için en sağlam referans NIST'in NICE Çerçevesidir (NIST SP 800-181r1). Bu çerçeve görevleri (Task), bilgi (Knowledge) ve beceri (Skill) ifadeleri olarak tanımlar. İlan metnindeki rolü NICE'taki karşılığıyla eşleştirip o rolün bilgi ifadelerini çalışmak, rastgele soru listesi ezberlemekten çok daha verimlidir.

Soru Aileleri ve Beklenen Derinlik

Giriş seviyesi pozisyonlarda soruların büyük kısmı beş aileden gelir:

• Ağ: OSI/TCP-IP katmanları, TCP el sıkışması, DNS çözümleme süreci, yaygın portlar, NAT, VLAN.
  
• İşletim sistemi: Linux dosya izinleri, süreçler, log konumları; Windows olay günlükleri, Active Directory temel kavramları.
  
• Web: OWASP Top 10 kategorileri, XSS ile CSRF farkı, SQL injection ve parametreli sorgu.
  
• SOC ve olay müdahalesi: alarm triyajı, yanlış pozitif, NIST olay müdahale yaşam döngüsü, MITRE ATT&CK.
  
• Kriptografi: hash, şifreleme ve encoding farkı; simetrik/asimetrik; TLS el sıkışmasının ana hatları.
  

Teknik Cevabı Kurma Yöntemi: Tanım, Örnek, Kanıt

İyi bir teknik cevap üç parçadan oluşur: kısa ve doğru bir tanım, somut bir örnek ve mümkünse bunu kendi elinizle gördüğünüzü gösteren bir kanıt. "TCP el sıkışması SYN, SYN-ACK, ACK'tir" demek tanımdır. "Kendi labımda tcpdump ile yakaladım, SYN bayrağını şu filtreyle ayırdım" demek kanıttır ve sizi diğer adaylardan ayırır.

Lab Provası: Komutlarla Cevap Verebilmek

Aşağıdaki komutların hepsi kendi bilgisayarınızda veya kendi sanal labınızda çalıştırılmak içindir. Her birini bir mülakat sorusuna bağladım.

Soru: "TCP üçlü el sıkışmasını gösterebilir misin?" tcpdump kılavuz sayfasındaki (man tcpdump) filtre sözdizimiyle yalnızca SYN paketlerini görebilirsiniz:


Başka bir terminalde kendi sitenize bağlanın ve çıktıda Flags [S], Flags [S.] ve ardından ACK satırlarını gösterin:


Soru: "DNS çözümleme nasıl çalışır?" dig ile yetkili sunuculara kadar izi sürmek iyi bir kanıttır:


Soru: "SYN taraması ile connect taraması farkı nedir?" Nmap resmi kılavuzuna göre -sS yarı açık (SYN) tarama, -sT ise işletim sisteminin connect() çağrısını kullanan tam bağlantı taramasıdır. Yalnızca kendi lab makinenizde deneyin:


Soru: "TLS sertifikasını nasıl incelersin?"


Soru: "Linux'ta başarısız SSH girişlerini nasıl bulursun?" systemd kullanan dağıtımlarda:


Soru: "Windows'ta başarısız oturum açma olayı hangisidir?" Microsoft belgelerine göre başarısız oturum açma 4625, başarılı oturum açma 4624 numaralı olaydır. PowerShell ile:


Soru: "Hash ile encoding farkını göster."


Base64 geri çevrilebilir bir kodlamadır; SHA-256 ise tek yönlü bir özettir. Bu iki satırı canlı göstermek, ezber bir tanımdan çok daha ikna edicidir.


Davranışsal Sorular ve STAR Yöntemi

"Baskı altında çalıştığın bir an", "Hata yaptığın bir durum", "Teknik olmayan birine bir riski nasıl anlattın?" gibi sorular teknik sorular kadar belirleyicidir. Cevabı STAR kalıbıyla kurun:

• S (Situation / Durum): Ne oluyordu? Kısa bağlam.
  
• T (Task / Görev): Sizin sorumluluğunuz neydi?
  
• A (Action / Eylem): Siz ne yaptınız? "Biz" değil "ben" diyerek anlatın.
  
• R (Result / Sonuç): Ne değişti, ne öğrendiniz?
  

İş deneyiminiz yoksa CTF, okul projesi veya kendi labınızdan örnek verin. Hazırlık için kendinize küçük bir hikaye bankası tutun:


Senaryo Soruları ve Canlı Görevler

SOC ve olay müdahalesi pozisyonlarında sık sorulan bir senaryo: "Bir kullanıcı şüpheli bir e-postadaki bağlantıya tıkladığını söylüyor, ne yaparsın?" Burada beklenen, NIST'in olay müdahale yaklaşımına uygun yapılandırılmış bir düşünce: kapsamı anlamak, kanıtı korumak, sınırlamak, temizlemek, kurtarmak ve ders çıkarmak. Cevabınızı adım numarasıyla verin; kararsız kaldığınız yerde hangi bilgiyi toplayacağınızı söyleyin. "Bilmiyorum ama şu kaynaklara bakarak şöyle doğrularım" demek, uydurmaktan her zaman iyidir.

Canlı görevlerde çoğu zaman size bir PCAP dosyası, bir log parçası ya da küçük bir web uygulaması verilir. Pratik için Wireshark örnek yakalamaları ve kendi labınızdaki loglar iyi bir başlangıçtır. Wireshark'ın komut satırı aracı tshark ile hızlı bir özet:


İleri Seviye: Rol Bazlı Hazırlık Planı

İki haftalık basit bir plan önerisi:

1. 1-3. gün: İlandaki rolü NICE çerçevesinde bulun, bilgi ifadelerini listeleyin.
   
2. 4-7. gün: Her soru ailesinden 5 soru seçip tanım-örnek-kanıt formatında yazın, kanıtı labda üretin.
   
3. 8-10. gün: Hikaye bankasına en az 6 STAR hikayesi ekleyin.
   
4. 11-13. gün: Bir arkadaşınızla sesli prova yapın; cevapları 2 dakikayı geçmeyecek şekilde kısaltın.
   
5. 14. gün: Şirketi, ürünlerini ve yayımladığı güvenlik bültenlerini okuyun; soracağınız 3 soruyu hazırlayın.
   

Mülakat sonunda sorabileceğiniz iyi sorular: "Ekipte ilk 90 günde benden ne bekleniyor?", "Nöbet (on-call) düzeni nasıl?", "Eğitim ve sertifika desteği var mı?". Görüşmeden sonra kısa bir teşekkür e-postası göndermek profesyonel bir kapanıştır.

Sonuç

Mülakatı geçiren şey en çok bilgiyi ezberlemek değil, bildiğini doğru, kısa ve kanıtlı anlatabilmektir. Temel soru ailelerini çalışın, her cevabı kendi labınızda üretilmiş bir kanıta bağlayın, davranışsal sorular için hikaye bankanızı hazırlayın. Siz mülakatlarda en çok hangi soruyla karşılaştınız? Yorumlarda paylaşırsanız bu listeyi birlikte büyütelim.

Kaynakça

• NIST SP 800-181r1, Workforce Framework for Cybersecurity (NICE Framework): https://csrc.nist.gov/pubs/sp/800/181/r1/final
  
• NICE Framework Resource Center: https://www.nist.gov/itl/applied-cyberse...rce-center
  
• NIST SP 800-61r3, Incident Response Recommendations: https://csrc.nist.gov/pubs/sp/800/61/r3/final
  
• tcpdump kılavuz sayfası: https://www.tcpdump.org/manpages/tcpdump.1.html
  
• Nmap Reference Guide, Port Scanning Techniques: https://nmap.org/book/man-port-scanning-techniques.html
  
• OpenSSL s_client belgesi: https://docs.openssl.org/master/man1/openssl-s_client/
  
• Microsoft Learn, Event 4625 (An account failed to log on): https://learn.microsoft.com/en-us/previo...event-4625
  
• Microsoft Learn, Get-WinEvent: https://learn.microsoft.com/en-us/powers...t-winevent
  
• tshark kılavuzu: https://www.wireshark.org/docs/man-pages/tshark.html
  
• OWASP Top 10: https://owasp.org/Top10/
  
• MITRE ATT&CK: https://attack.mitre.org/
  

Yasal Uyarı

Bu konudaki tüm komutlar yalnızca kendi bilgisayarınızda, kendi sanal labınızda veya yazılı izin aldığınız sistemlerde çalıştırılmalıdır. İzinsiz tarama, erişim veya veri ele geçirme 5237 sayılı Türk Ceza Kanunu'nun 243, 244 ve 245. maddeleri kapsamında suçtur. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
               

[center][/center]

Selam TurkTeam, BlueTornado ile devam.

Dosya yükleme özelliği; profil fotoğrafı, ek, CV, fatura gibi meşru ihtiyaçlar için vardır. Yanlış uygulanırsa webshell yükleme, XSS (SVG/HTML), path traversal, depolama tüketimi (DoS) ve sunucu tarafı parse açıklarına yol açar. Bu rehber güvenli doğrulama odaklıdır; örnekler DVWA ve kendi labınız içindir.

Konuda Anlatılacaklar

1. File upload riskleri nelerdir?
   
2. DVWA File Upload labı
   
3. Tehlikeli doğrulama hataları
   
4. Savunma katmanları: tip, içerik, depolama, sunum
   
5. Uygulamalı güvenli tasarım
   
6. İleri seviye: SVG, zip slip, malware tarama
   
7. Kaynakça ve yasal uyarı
   

1) Riskler

• Uzaktan kod çalıştırma:
  Kod:

  .php
  ,
  Kod:

  .jsp
  ,
  Kod:

  .aspx
  webshell'in web köküne yazılması
  
• XSS:
  Kod:

  .html
  /
  Kod:

  .svg
  dosyasının aynı origin'den sunulması
  
• Path traversal:
  Kod:

  ../../var/www/shell.php
  dosya adı
  
• Overwrite: mevcut kritik dosyanın üzerine yazma
  
• Zip Slip: arşiv açarken dizin kaçışı
  
• DoS: çok büyük dosya, zip bomb
  

OWASP WSTG içinde "Testing for Uploaded File Attacks" bölümü bu aileyi kapsar. CWE örnekleri: CWE-434 (Unrestricted Upload of File with Dangerous Type).

2) Lab: DVWA File Upload

Low seviyede çoğu kurulum yalnızca istemci tarafı veya basit uzantı kontrolü yapar. Impossible seviyede içerik tipi ve depolama sertleştirmesi vardır.

[center][/center]

Gözlem adımları (lab):

Webshell yüklemeyi üretimde veya izinsiz sistemlerde denemeyin. Labda bile yüklediğiniz dosyaları işiniz bitince silin.

3) Yaygın Hatalı Kontroller

Sadece istemci tarafı:

Sadece uzantı kara listesi:

Sadece Content-Type başlığı:

MIME sniffing/

Kod:

file

komutu tek başına: Polyglot dosyalar (hem geçerli görüntü hem script) tarih boyunca görülmüştür; yine de sunucu tarafı MIME tahmini + uzantı allowlist birlikte kullanılmalıdır.

4) Güvenli Doğrulama Katmanları

1 - Allowlist: Yalnızca iş ihtiyacı olan uzantılar ().

2 - Rastgele dosya adı: Kullanıcı adını kullanmayın.


3 - İçerik doğrulama:

4 - Depolama konumu: Dosyaları web kökü dışına veya yalnızca statik object storage'a koyun. Uygulama sunucusunun yorumladığı dizine yazmayın.

5 - Sunum:
SVG/HTML'i aynı origin'de inline açmayın; mümkünse ayrı domain (static.example) kullanın.

6 - Boyut ve hız sınırı:

[center][/center]

5) Uygulamalı Güvenli İskelet


6) İleri Seviye
SVG: İçinde JavaScript / external entity olabilir. Avatar için SVG kabul etmeyin veya sıkı sanitizer + ayrı domain kullanın.

Zip Slip:

Malware tarama: ClamAV vb. ile async tarama; temizlenmeden public yapmayın.

ImageMagick / parse CVE'leri: Görüntü işleme kütüphanelerini güncel tutun; policy.xml ile coder'ları kısıtlayın. İcat CVE numarası yazmayın; NVD'den doğrulayın.


[center][/center]

7) Sonuç
Dosya yükleme, "uzantıya bakmak"tan ibaret değildir. Allowlist, içerik doğrulama, güvenli depolama ve güvenli sunum birlikte gerekir. DVWA Low/Impossible farkını inceleyerek kendi uygulamanızın kontrol listesini çıkarın.



Ek: Operasyonel Kontrol Listesi ve Yaygın Senaryolar
Profil fotoğrafı: Yalnızca raster; yeniden encode; sabit max boyut (ör. 1024px); EXIF temizliği (konum sızıntısı).


PDF yükleme: PDF içinde JavaScript / form aksiyonları olabilir. Inline göstermek yerine veya güvenilir bir önizleme servisi kullanın.

Çok parçalı / chunked upload: Her parçayı ayrı doğrulayın; birleştirme sonrası tekrar MIME/uzantı kontrolü yapın; geçici dosyaları güvenli dizinde tutun.


CI kontrolü: Yükleme ile ilgili birim testleri: path traversal dosya adı reddi, aşırı boyut reddi, yanlış MIME reddi, başarılı PNG yolu.

[center][/center]

Yükleme özelliği ürün için vazgeçilmezse, güvenlik bütçesini "sonra bakarız"a bırakmayın; tasarım aşamasında depolama ve sunum kararlarını kilitleyin.

Kaynakça

• OWASP Unrestricted File Upload
  
• OWASP File Upload Cheat Sheet
  
• WSTG - Malicious File Upload
  
• CWE-434
  
• DVWA
  

Yasal Uyarı
Zararlı dosya yükleme ve webshell denemeleri yalnızca kendi labınızda veya yazılı yetki ile yapılmalıdır. İzinsiz yükleme TCK 243-245 kapsamında suçtur. Eğitim amaçlıdır; sorumluluk uygulayana aittir.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
   

Selam TurkTeam,

Yerel ağlar (LAN), çoğu zaman güvenliğin en zayıf olduğu yerlerdir. Katman 2 protokollerindeki zayıflıklar, bir saldırganın trafiği kendine yönlendirmesine (ortadaki adam / MITM) veya kimlik bilgilerini toplamasına izin verebilir. Bu rehberde iki klasik tekniği, isim çözümleme zehirleme için Responder ve ARP tablosu zehirleme için arpspoof, SADECE kendi izole lab ağınızda anlatıyoruz. Amaç, saldırıyı anlamak ve ona karşı savunmayı kurmaktır.

Konuda Anlatılacaklar

1. MITM, ARP ve LLMNR/NBT-NS nedir
   
2. Yasal ve izole lab kurulumu
   
3. Responder ile isim çözümleme zehirleme
   
4. Yakalanan NTLMv2 hash'lerini inceleme
   
5. arpspoof ile ARP zehirleme temelleri
   
6. Savunma: zehirlemeyi durduran kontroller
   
7. Sonuç, kaynakça ve yasal uyarı
   

1. Temel Kavramlar
MITM (ortadaki adam), saldırganın iki taraf arasındaki trafiğin akışına girmesidir. Yerel ağda bunu başarmanın iki yaygın yolu vardır:

• ARP zehirleme: ARP, IP adreslerini MAC adreslerine eşler ve kimlik doğrulaması yoktur. Saldırgan sahte ARP yanıtlarıyla "ağ geçidi benim" diyerek kurbanın trafiğini kendi üzerinden geçirtebilir.
  
• İsim çözümleme zehirleme (LLMNR/NBT-NS/mDNS): Windows, DNS başarısız olduğunda bu yayın tabanlı protokollerle "bu isim kimde?" diye sorar. Responder bu yayınlara "bende" diye yanıt verip kurbanı kendine kimlik doğrulamaya zorlar ve NTLMv2 hash'ini yakalar.
  

2. Yasal ve İzole Lab Kurulumu
Bu teknikler yalnızca tamamen izole, size ait bir lab ağında denenmelidir. Ne kurumsal ne de paylaşılan bir ağda çalıştırın; MITM tüm ağı etkiler ve yasa dışıdır. İdeal kurulum: bir sanal ağ (Host-Only/Internal) üzerinde bir Kali (saldırgan) ve bir veya iki hedef VM (ör. bir Windows test makinesi).
Arayüzünüzü doğrulayın:

3. Responder ile İsim Çözümleme Zehirleme
Responder, LLMNR, NBT-NS ve mDNS yayınlarına yanıt vererek sahte servisler (SMB, HTTP vb.) sunar ve kimlik doğrulama girişimlerini yakalar.
-I - Dinlenecek arayüz; -A - analiz modu (zehirlemeden yalnızca izler, keşif için idealdir):
Analizle ağı anladıktan sonra, lab'da aktif modda çalıştırırsınız:
Responder açılışta hangi sahte sunucuların (SMB, HTTP, MSSQL...) etkin olduğunu listeler ve zehirleme yanıtlarını canlı gösterir.

Hangi sahte sunucuların açık olacağını yapılandırma dosyasından ayarlayabilirsiniz (örneğin yalnızca belirli servisleri açmak için):
Bir lab kurbanı var olmayan bir paylaşıma (örn. yanlış yazılmış \\suncu) erişmeye çalıştığında, Responder bu isteği yakalar ve istemciyi kimlik doğrulamaya zorlayarak NTLMv2 hash'ini elde eder.

4. Yakalanan Hash'leri İnceleme
Responder, yakaladığı hash'leri hem ekranda gösterir hem de log dizinine kaydeder (genelde /usr/share/responder/logs/):
Yakalanan kayıt, "kullanici:OMAIN:challenge:response..." biçiminde bir NTLMv2 hash'idir. Bu hash, çevrimdışı olarak kırılmaya çalışılabilir (yalnızca lab verinizde):
Burada -m 5600 Hashcat'in NTLMv2 modudur. Bu, zayıf parolaların yerel ağda ne kadar kolay ifşa olabileceğini somut biçimde gösterir.


5. arpspoof ile ARP Zehirleme Temelleri
Trafiği üzerinizden geçirmeden önce yönlendirmeyi açın; aksi halde kurbanın bağlantısı kesilir (hizmet reddi):
dsniff paketindeki arpspoof ile hem kurbana hem ağ geçidine sahte ARP yanıtları gönderin (iki yönlü):
Artık trafik sizin üzerinizden akar. Bunu bir lab'da gözlemlemek için kendi analiz aracınızla (ör. tcpdump/Wireshark) akışı izleyebilirsiniz. Kurban makinede ARP önbelleğini inceleyerek etkiyi doğrulayabilirsiniz:
Saldırgan tarafında üzerinizden geçen trafiği gözlemlemek için (yalnızca lab):
Kurbanın ARP tablosunda ağ geçidi MAC'inin sizin MAC'inizle değiştiğini görmek, tekniğin çalıştığını doğrular.


Önemli: İş bittiğinde zehirlemeyi durdurun (arpspoof'u Ctrl+C ile kapatın); araç çıkışta doğru ARP kayıtlarını geri göndermeye çalışır. ip_forward'ı da eski haline alın.

6. Savunma: Zehirlemeyi Durduran Kontroller
Bu teknikleri öğrenmenin asıl amacı savunmadır. Etkili önlemler:

• LLMNR/NBT-NS/mDNS kapatma: Kurumsal ağlarda bu eski protokolleri Group Policy ile devre dışı bırakmak, Responder saldırılarının çoğunu etkisiz kılar.
  
• SMB imzalama (signing) zorunlu: NTLM relay saldırılarını kırar ve yakalanan hash'lerin yeniden kullanımını zorlaştırır.
  
• Dynamic ARP Inspection (DAI) ve DHCP Snooping: Yönetilebilir anahtarlarda sahte ARP yanıtlarını engeller.
  
• Port security ve 802.1X: Yetkisiz cihazların ağa katılmasını sınırlar.
  
• Güçlü parola ve MFA: Hash yakalansa bile kırılmasını pratikte imkansız kılar.
  

7. İleri Seviye Not
Modern testlerde Responder genellikle NTLM relay araçlarıyla (ör. Impacket'in ntlmrelayx betiği) birlikte kullanılır: yakalanan kimlik doğrulama, kırılmadan doğrudan başka bir hedefe "aktarılır". ARP/MITM için ise bettercap, modüler yapısıyla arpspoof'a göre daha kapsamlı bir alternatiftir. Bu ileri senaryolar da yalnızca izole lab ve yetkili testler içindir; mantığı anlamak, savunma kontrollerini doğru konumlandırmanıza yardımcı olur.

Sonuç
Responder ve ARP zehirleme, yerel ağ katmanının neden dikkatle korunması gerektiğini çarpıcı biçimde gösterir: kimlik doğrulaması olmayan protokoller, bir saldırgana trafik yönlendirme ve kimlik toplama fırsatı verir. Bu teknikleri yalnızca kendi izole lab'ınızda deneyin, her denemeden sonra ortamı temiz bırakın ve öğrendiklerinizi doğrudan savunma kontrollerine (LLMNR kapatma, SMB imzalama, DAI) dönüştürün.

Kaynakça

• Responder Resmi Deposu - https://github.com/lgandx/Responder
  
• Kali Tools: responder - https://www.kali.org/tools/responder/
  
• dsniff / arpspoof - https://www.kali.org/tools/dsniff/
  
• Hashcat Örnek Hash Türleri (NTLMv2 -m 5600) - https://hashcat.net/wiki/doku.php?id=example_hashes
  
• MITRE ATT&CK - Adversary-in-the-Middle (T1557) - https://attack.mitre.org/techniques/T1557/
  

Yasal Uyarı

Alıntı:MITM, ARP zehirleme ve isim çözümleme zehirleme teknikleri tüm yerel ağı etkiler ve SADECE kendinize ait, izole bir lab ağında denenmelidir. İzinsiz uygulanması Türk Ceza Kanunu 243-245. maddeleri kapsamında ağır suçtur; başkasının trafiğine müdahale ve kimlik bilgisi ele geçirme kesinlikle yasaktır.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri
   

Merhaba arkadaşlar,

Bir Android uygulamasının güvenli olup olmadığını anlamanın en hızlı yollarından biri statik analizdir: uygulamayı çalıştırmadan, paketinin içindeki kodu, izinleri ve yapılandırmayı incelemek. Mobile Security Framework (MobSF), açık kaynak ve ücretsiz bir mobil uygulama güvenlik analiz çerçevesidir; APK dosyalarını sürükle-bırak kolaylığında tarar. Bu rehberde MobSF'i resmi belgelerine dayanarak Docker ile kurup, kendi geliştirdiğiniz veya analiz izniniz olan bir APK'yı nasıl statik analiz edeceğinizi ve raporu OWASP MASVS çerçevesiyle nasıl okuyacağınızı anlatıyorum. Yalnızca kendi uygulamalarınızı veya yazılı izin aldığınız uygulamaları analiz edin.

Konuda Anlatılacaklar

1. Statik analiz nedir, MobSF ne yapar?
   
2. Docker ile kurulum
   
3. APK yapısı ve analize hazırlık
   
4. Statik tarama adımları
   
5. Raporu okuma: izinler, sertifika, kod
   
6. OWASP MASVS/MASTG ile eşleştirme
   
7. Komut satırı ve CI entegrasyonu
   

Statik Analiz Nedir, MobSF Ne Yapar?

Statik analiz, uygulamayı çalıştırmadan paketini inceler. MobSF bir APK'yı açar; AndroidManifest.xml'den izinleri ve bileşenleri çıkarır, imza sertifikasını kontrol eder, sabit kodlanmış sırları (API anahtarı, parola) arar, güvensiz kod desenlerini işaretler ve bir güvenlik skoru üretir. Dinamik analiz (çalışırken inceleme) de destekler ama bu rehberde statik tarafa odaklanıyoruz.


Docker ile Kurulum

MobSF'i çalıştırmanın en temiz yolu Docker'dır. Resmi belgelerdeki komutlar:


Ardından tarayıcıda http://127.0.0.1:8000 adresini açın. Resmi belgelere göre Docker imajı yönetici kullanıcı bilgilerini mobsf / mobsf olarak ayarlar; ilk girişten sonra bu parolayı değiştirin. MobSF'i kendi bilgisayarınızda, yerel ağa kapalı biçimde çalıştırın; internete açmayın.

APK Yapısı ve Analize Hazırlık

Bir APK aslında bir ZIP arşividir. İçinde classes.dex (derlenmiş kod), AndroidManifest.xml, kaynaklar ve imza bulunur. MobSF bunları sizin için çözer, ama yapıyı bilmek raporu okumayı kolaylaştırır. Kendi test APK'nızın imzasını komut satırından da inceleyebilirsiniz (Android SDK'nın resmi aracı apksigner ile):


Analiz edeceğiniz APK yalnızca kendinize ait olmalı ya da sahibinden yazılı izin almış olmalısınız. Mağazadan indirdiğiniz üçüncü taraf bir uygulamayı tersine mühendislik yapmak, uygulamanın lisans koşullarını ve yasaları ihlal edebilir.

Statik Tarama Adımları

MobSF arayüzünde analiz çok basittir:

1. Ana sayfadaki yükleme alanına APK dosyasını sürükleyip bırakın.
   
2. MobSF otomatik olarak statik analizi başlatır ve birkaç dakika içinde rapor üretir.
   
3. Rapor üstünde bir güvenlik skoru ve özet görürsünüz.
   
4. Sol menüden izinler, manifest analizi, kod analizi gibi bölümlere geçersiniz.
   

Raporu Okuma: İzinler, Sertifika, Kod

Raporun en önemli bölümleri:

• İzinler (Permissions): Uygulamanın istediği izinler. SMS okuma, konum, kişiler gibi "tehlikeli" izinler işlevle orantısızsa dikkat edin. İşlevi dosya not tutmak olan bir uygulamanın SMS iznine ihtiyacı yoktur.
  
• Sertifika (Signer): İmza algoritması ve geçerlilik. Zayıf imza şeması (yalnızca v1) veya hata ayıklama (debug) sertifikasıyla imzalı bir sürüm üretim için risklidir.
  
• Manifest analizi: exported=true olan bileşenler (activity, service, receiver, provider) dışarıdan erişilebilir; gereksizse kapatılmalıdır. android:debuggable="true" ve izin veren clear-text trafik ayarları da burada işaretlenir.
  
• Kod analizi: Sabit kodlanmış API anahtarları, zayıf kriptografi (ECB modu, sabit IV), güvensiz rastgelelik, SSL doğrulamasını atlayan kod gibi desenler.
  

MobSF her bulguyu bir açıklama ve genellikle ilgili OWASP referansıyla sunar; raporu baştan sona değil, önce yüksek önemli bulgulardan okuyun.

OWASP MASVS/MASTG ile Eşleştirme

MobSF bulgularını bir çerçeveye oturtmak için OWASP Mobile Application Security projesini kullanın. MASVS (güncel sürüm v2.1.0) kontrolleri tanımlar; MASTG (güncel sürüm v2.0.0) bu kontrolleri sınayan testleri içerir. 2026'da yayımlanan MASWE v1.0.0 ise MASVS kontrolleri ile MASTG testleri arasındaki belirli zayıflıkları numaralandırır (78 zayıflık). Örneğin MobSF'in bulduğu "hassas veri korumasız depolanıyor" bulgusu MASVS-STORAGE kategorisine, oradan ilgili MASWE zayıflığına ve MASTG testine bağlanır. Bu eşleştirme, bulgularınıza standart bir dil ve raporlanabilir bir kimlik kazandırır.


İleri Seviye: Komut Satırı ve CI Entegrasyonu

MobSF bir REST API sunar; bunu CI/CD hattında otomatik tarama için kullanabilirsiniz. MobSF ekibinin açık kaynak aracı mobsfscan ise kaynak kod üzerinde doğrudan statik güvenlik taraması yapar (kod tabanınız elinizdeyse ideal):


mobsfscan, güvensiz kriptografi, sabit kodlanmış sırlar, SSL pinning eksikliği gibi sorunları kaynak kodda işaretler ve CI'da "fail" döndürecek şekilde yapılandırılabilir. Böylece her kod değişikliğinde mobil güvenlik kontrolü otomatik çalışır. Statik analizi, mümkünse dinamik analiz ve manuel test ile birleştirmek en sağlam sonucu verir; hiçbir otomatik araç tek başına tam güvence vermez.

Sonuç

MobSF, bir APK'nın güvenlik durumunu dakikalar içinde ortaya koyan güçlü ve ücretsiz bir araç. Docker ile kurun, varsayılan mobsf/mobsf parolasını değiştirin, kendi uygulamanızı tarayın, izin-sertifika-kod bulgularını önceliklendirin ve hepsini OWASP MASVS/MASTG/MASWE çerçevesine oturtun. CI için mobsfscan ile bunu otomatikleştirin. Siz hangi mobil güvenlik aracını kullanıyorsunuz? Yorumlarda paylaşın.

Kaynakça

• MobSF, Docker ile çalıştırma: https://github.com/MobSF/Mobile-Security...work-MobSF
  
• MobSF belgeleri: https://mobsf.github.io/docs/
  
• mobsfscan: https://github.com/MobSF/mobsfscan
  
• OWASP MASVS: https://mas.owasp.org/MASVS/
  
• OWASP MASTG v2.0.0 duyurusu: https://mas.owasp.org/news/2026/07/04/ma...0-release/
  
• OWASP MASWE v1.0.0 duyurusu: https://mas.owasp.org/news/2026/08/17/ma...0-release/
  
• Android, apksigner: https://developer.android.com/tools/apksigner
  

Yasal Uyarı

Bu rehberdeki analizler yalnızca kendinize ait veya sahibinden yazılı izin aldığınız uygulamalar üzerinde yapılmalıdır. Başkasına ait uygulamaları izinsiz tersine mühendislik veya analiz etmek, lisans ihlaline ve 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında sorumluluğa yol açabilir. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

Ek Dosyalar

Ekran Görüntüleri