# Sedat Özdemir > Siber güvenlik mühendisliği üzerine çalışıyorum. Öğrendiğim her şey sizlerle. 161 yazı, Türkçe ve İngilizce. On yıla yakındır ofansif güvenlik tarafındayım: offensive yapay zeka gelişimi, web, yerel ağ, mobil ve API sızma testleri, red team çalışmaları ve DevSecOps alanlarında çalışıyorum. Buradaki yazılar kamuya açık zafiyet haberlerine ve kendi laboratuvarımdaki denemelere dayanır; kişisel notlarımdır. İyi okumalar.. ## Yazar hakkında Merhaba, ben Sedat Özdemir. On yıla yakındır siber güvenlikte, ağırlıklı olarak ofansif tarafta çalışıyorum: web uygulamaları, API'ler, internal network ve mobil uygulamalar için sızma testleri, red team çalışmaları ve son dönemde ofansif yapay zekâ tarafı. Zamanla işimin büyük kısmı bulduğum açıkları raporlamaktan çok, o açıkların bir daha üretilmemesi için geliştirme süreçlerini değiştirmeye kaydı: SAST/DAST'ı CI pipeline'ına oturtmak, container ve Kubernetes hardening'i yapmak, secret management tarafını iyileştirmek. Güvenliğe yazılım tarafından geldim. 12 farklı programlama dilinde full stack geliştiricilik yaptım; bir uygulamanın nasıl kırıldığını, onu nasıl yazdığımı bildiğim için… Uzmanlık alanları: sızma testi (web, API, internal network, mobil), red team, DevSecOps, uygulama güvenliği, CI/CD pipeline güvenliği, container ve Kubernetes hardening, secret management, ofansif yapay zekâ. 12 programlama dilinde full stack geliştirme ve Linux/Windows sistem yöneticiliği geçmişi. ## Kaynak ve gizlilik Bu blog kişiseldir; yazarın çalıştığı hiçbir kurumu temsil etmez. Yazılardaki örnekler kamuya açık kaynaklardan (CVE kayıtları, üretici bültenleri, açık kaynak kod) ya da yazarın kendi test laboratuvarından gelir. Hiçbir işverene, müşteriye veya onların sistemlerine dair bilgi paylaşılmaz. Teknik örneklerdeki IP ve alan adları zararsızlaştırılmıştır. Dış habere dayanan yazılar sonlarında kaynak bağlantısını içerir. ## Sayfalar - [Yazılar](https://sedatozdemir.com.tr/tr): tüm blog yazıları, arama ve konu filtresi - [Hakkımda](https://sedatozdemir.com.tr/tr/hakkimda): kariyer geçmişi, uzmanlık alanları, çalışma biçimi - [İletişim](https://sedatozdemir.com.tr/tr/iletisim): röportaj, konuşma daveti ve danışmanlık için e-posta - [English](https://sedatozdemir.com.tr/en): same content in English ## Konular - [red-team](https://sedatozdemir.com.tr/tr/etiket/red-team): 53 yazı - [cybersecurity](https://sedatozdemir.com.tr/tr/etiket/cybersecurity): 43 yazı - [red-teaming](https://sedatozdemir.com.tr/tr/etiket/red-teaming): 43 yazı - [devsecops](https://sedatozdemir.com.tr/tr/etiket/devsecops): 41 yazı - [reverse-engineering](https://sedatozdemir.com.tr/tr/etiket/reverse-engineering): 21 yazı - [malware-analysis](https://sedatozdemir.com.tr/tr/etiket/malware-analysis): 19 yazı - [redteam](https://sedatozdemir.com.tr/tr/etiket/redteam): 17 yazı - [container-security](https://sedatozdemir.com.tr/tr/etiket/container-security): 14 yazı - [kubernetes](https://sedatozdemir.com.tr/tr/etiket/kubernetes): 14 yazı - [redteaming](https://sedatozdemir.com.tr/tr/etiket/redteaming): 14 yazı - [zero-day](https://sedatozdemir.com.tr/tr/etiket/zero-day): 13 yazı - [web-security](https://sedatozdemir.com.tr/tr/etiket/web-security): 12 yazı - [cyber-security](https://sedatozdemir.com.tr/tr/etiket/cyber-security): 11 yazı - [blue-team](https://sedatozdemir.com.tr/tr/etiket/blue-team): 10 yazı ## Son yazılar - [Prompt injection klasik güvenlik modeliyle çözülemez](https://sedatozdemir.com.tr/tr/blog/prompt-injection-klasik-guvenlik-modeliyle-cozulemez): Prompt injection bir parsing hatası değil; LLM'in instruction ile data'yı ayıramamasının doğal sonucu ve bu yüzden kalıcı bir yama beklenmemeli. - [Sıfırıncı Günün Soğuk Nefesi: Lazarus Çekirdeğe İndiğinde](https://sedatozdemir.com.tr/tr/blog/sifirinci-gunun-soguk-nefesi-lazarus-cekirdege-indiginde): Lazarus grubunun Windows'un kalbindeki sessiz istilasını, çekirdek seviyesindeki o kritik saniyeleri ve bir güvenlik uzmanının bu kaostaki gözlemlerini inceliyoruz. - [Yeşil Tikler Sizi Kurtarmaz: Güvenlik Tiyatrosunun Sonu](https://sedatozdemir.com.tr/tr/blog/yesil-tikler-sizi-kurtarmaz-guvenlik-tiyatrosunun-sonu): Sertifikalar ve denetim raporları masanızı süsleyebilir ama sızma testi başladığında o kağıt parçaları sizi korumaz. Gerçek güvenliği konuşalım. - [Otomasyon Sizi Kurtarmaz: DevSecOps’un Sahte Güven Hissi](https://sedatozdemir.com.tr/tr/blog/otomasyon-sizi-kurtarmaz-devsecopsun-sahte-guven-hissi): Siber güvenlikte araçlara boğulmanın yarattığı illüzyonu ve 'shift-left' kavramının nasıl bir kaosa dönüştüğünü Sedat Özdemir'in perspektifiyle inceleyin. - [Arka Kapı Değil, Ön Kapı: Metabase ve 'Güvenli' İç Araçlar Yanılgısı](https://sedatozdemir.com.tr/tr/blog/arka-kapi-degil-on-kapi-metabase-ve-guvenli-ic-araclar-yanilgisi): İç ağda, VPN arkasında duran veri araçlarınıza ne kadar güveniyorsunuz? Metabase sıfırıncı gün açığı, 'içerisi güvenli' mitini yerle bir ediyor. - [Trivy: Konteyner Güvenliğinde İsviçre Çakısı Kullanmak](https://sedatozdemir.com.tr/tr/blog/trivy-konteyner-guvenliginde-isvicre-cakisi-kullanmak): Konteyner güvenliğini sadece imaj taramak sanıyorsanız çok yanılıyorsunuz. Trivy ile CI/CD süreçlerinde gerçek güvenliği nasıl sağlarız? - [Görünenin Arkasındaki Zafiyet: Trivy ile Konteyner Dehlizleri](https://sedatozdemir.com.tr/tr/blog/gorunenin-arkasindaki-zafiyet-trivy-ile-konteyner-dehlizleri): Konteyner güvenliğinin vazgeçilmezi Trivy’nin derinliklerine iniyoruz. Nexoship senaryosuyla sahada neler değişiyor? - [Trivy: CI/CD Pipeline’ında Sessiz Bekçi mi, Yoksa Baş Belası mı?](https://sedatozdemir.com.tr/tr/blog/trivy-cicd-pipelineinda-sessiz-bekci-mi-yoksa-bas-belasi-mi): Container dünyasının vazgeçilmez tarayıcısı Trivy’yi, gece yarısı bir CI/CD krizinin ortasında, artıları ve eksileriyle masaya yatırıyoruz. - [Posta Kutusundaki Truva Atı: Zimbra ve Görünmez Sızıntı](https://sedatozdemir.com.tr/tr/blog/posta-kutusundaki-truva-ati-zimbra-ve-gorunmez-sizinti): Rus hackerların Zimbra sıfırıncı gün açığını kullanarak başlattığı saldırı dalgası, e-posta güvenliğine bakışımızı kökten değiştiriyor. Sahadan bir analiz. - [Gece Yarısı Gelen Sinyal: SonicWall ve Kırılan Sınırlar](https://sedatozdemir.com.tr/tr/blog/gece-yarisi-gelen-sinyal-sonicwall-ve-kirilan-sinirlar): SonicWall SMA cihazlarındaki sıfırıncı gün açıklarının nasıl kök yetkisine dönüştüğünü ve sınır güvenliğinin neden artık yetmediğini gece yarısı notlarıyla inceliyoruz. - [Sertifikalar Yalan Söyler mi? Terminalin Başında Geçen On Bin Saat](https://sedatozdemir.com.tr/tr/blog/sertifikalar-yalan-soyler-mi-terminalin-basinda-gecen-on-bin-saat): Kariyer basamaklarını tırmanırken biriktirdiğim yara izleri, sertifikalarımdan çok daha fazlasını anlatıyor; işte o sessiz gecelerin hikayesi. - [Sol Kayma Yanılsaması: Güvenlik mi Üretiyoruz Yoksa Sadece Gürültü mü?](https://sedatozdemir.com.tr/tr/blog/sol-kayma-yanilsamasi-guvenlik-mi-uretiyoruz-yoksa-sadece-gurultu-mu): Shift Left stratejisinin neden bir 'sorumluluk paslama' oyununa dönüştüğünü ve güvenlik araçlarının yarattığı gürültünün asıl tehlikeyi nasıl gizlediğini tartışıyoruz. ## Beslemeler - [RSS](https://sedatozdemir.com.tr/rss.xml) - [Sitemap](https://sedatozdemir.com.tr/sitemap.xml)