Terminalin başında gözlerim yanıyor, kahve çoktan soğumuş, muhtemelen üçüncüye tazelemem gerekiyor ama o SSH tünelini kurmadan bırakamıyorum. Yıllar önce ilk sızma testimde (penetration testing) CarePath (kurgusal şirket) benzeri bir yapıda debelenirken, elimdeki havalı sertifikaların hiçbir işe yaramadığını fark ettiğim o anı hatırlıyorum. O an, 'Hacker' olmanın bir kağıt parçasıyla değil, sistemin en küçük dişlisinin nasıl döndüğünü bilmekle ilgili olduğunu anlamıştım. Sertifikalar... Eh, kapıyı açarlar ama içeride nasıl yürüyeceğini öğretmezler. OSCP aldığımda kendimi kral sanıyordum, sonra gerçek bir siber saldırı (cyber attack) simülasyonunda bir bash script'i bile düzgün yazamadığımda yerin dibine girmiştim. İnsanlar genelde ne kadar çok bildiğini göstermeye çalışır, ben size ne kadar çok yanıldığımı anlatayım ki aynı çukura düşmeyin.
Sektörde yeni olan birine verebileceğim tek bir tavsiye var, listelerle kafanı karıştırmayacağım: Araçlara değil, protokollere aşık ol. Nmap çalıştırmayı herkes öğrenir, ama o 'syn scan' yapılırken arka planda TCP el sıkışmasının (handshake) neden yarım kaldığını ve işletim sisteminin buna neden farklı tepki verdiğini bilmek seni asıl uzman yapar. Tool-monkey (araç bağımlısı) olmak kolay, zor olan o aracın neden hata verdiğini anlamak için kaynak koduna dalmak. Bir gün CarePath (kurgusal şirket) gibi bir yerde kompleks bir mikroservis mimarisiyle karşılaştığında, hiçbir otomatik tarayıcı sana o mantık hatasını (logic flaw) gümüş tepside sunmayacak. Derine inmek zorundasın.
Sertifika meselesine dönersek; cidden ne hissettiğimi söyleyeyim mi? Sertifikalar birer 'gereklilik' değil, 'etiket'. İş dünyası bu etiketleri seviyor, İK sistemleri bunlara bakıyor, doğru. Ama benim gözümde, birinin GitHub reposundaki yarım yamalak bir Python projesi veya karmaşık bir ağ topolojisini (network topology) ayağa kaldırma çabası, en pahalı sertifikadan daha değerlidir. Sahada ne yaptığın, o stres anında 10[.]0[.]5[.]20 IP adresli sunucuda yetki yükseltme (privilege escalation) yaparken ellerinin ne kadar az titrediği önemli. Ben ilk zamanlarımda bir sızma testi (penetration testing) sırasında yanlışlıkla bir geliştirme sunucusunu (dev server) kilitlediğimde o soğuk terlerin nasıl boşaldığını hala unutamam. O an öğrendiğim 'yedekleme ve geri yükleme (rollback)' bilincini hiçbir kurs veremezdi.
Geçenlerde bir junior arkadaş geldi, 'Abi hangi sertifikayı alayım?' diyor. Ona sadece 'Bir home-lab kur ve onu boz' dedim. Bozmak, yapmaktan daha öğreticidir. Kendi Kubernetes cluster'ını kurup sonra onu yanlış yapılandırılmış bir RBAC (Role-Based Access Control) ile hack'lemeye çalışmaktan daha iyi bir öğretmen tanımıyorum. DevSecOps dünyasına geçtiğimden beri her şeyin kodla bittiğini daha iyi anlıyorum. Eskiden sadece 'sızardık', şimdi o sızıntıyı daha kod yazılırken, o CI/CD boru hattında (pipeline) nasıl durdururuz diye kafa yoruyoruz. Terraform dosyalarındaki bir açık, bazen bir SQL enjeksiyonundan (SQL injection) daha ölümcül olabiliyor.
Yoruluyor mu insan? Evet. Burnout (tükenmişlik) bu işin fıtratında var gibi. Her gün yeni bir 0-day, her gün yeni bir teknik. Bazen her şeyi kapatıp bir köye yerleşme isteği geliyor, yalan yok. Ama sonra bir bakıyorsun, gece yarısı bir 'writeup' okurken buluyorsun kendini. Bu bir hastalık gibi, iyileşmek de istemiyorum. Sen de hiç sabahın dördünde, sadece bir paket kaybının (packet loss) nedenini bulamadığın için kendine küfrettin mi?
Neyse, bu kadar nostalji yeter sanırım... Geçenlerde bir API güvenliği (API security) testi yaparken attacker[.]example[.]com üzerinden gelen istekleri inceliyordum ve fark ettim ki hala en basit 'istek sınırlama (rate limiting)' hatalarını yapıyoruz. Teknoloji değişiyor ama insan hatası sabit kalıyor. Belki de bu yüzden bu meslek hiç ölmeyecek.
Kafamda deli sorular var aslında, acaba yapay zeka bu sızma testlerinin neresine tam olarak oturacak? Ya da biz sadece o araçları yöneten operatörlere mi dönüşeceğiz? Bilmiyorum. Belki de sadece yorgunumdur. Yarın sabah o pipeline'ı tekrar kontrol etmem gerekecek, o zamana kadar...