Siber güvenlik mühendisliği üzerine çalışıyorum. Öğrendiğim her şey sizlerle.
On yıla yakındır ofansif güvenlik tarafındayım: offensive yapay zeka gelişimi, web, yerel ağ, mobil ve API sızma testleri, red team çalışmaları ve DevSecOps alanlarında çalışıyorum. Buradaki yazılar kamuya açık zafiyet haberlerine ve kendi laboratuvarımdaki denemelere dayanır; kişisel notlarımdır. İyi okumalar..
Yazılar
165 yazı · sayfa 7 / 14Kutunun İçinde Ne Var? Malware Analizi ile Karanlığa Işık Tutmak
Eskiden bir dosyanın hash değerini VirusTotal'e atmak yeterliydi, ancak bugün saldırganlar çok daha kurnaz. Bir dosyanın içinde ne sakladığını onu gerçekten 'çalıştırmadan' nasıl anlarız?
Akıllı Cihazlar, Aptalca Hatalar: IoT Dünyasının Karanlık Arka Kapıları
Herkes Shodan üzerinden açık port bulup 'hacker' olduğunu sanıyor. Gerçek IoT güvenliği, o portun arkasındaki özensiz firmware kodlarında ve sızdıran MQTT paketlerinde gizli. Gel, bu karmaşayı beraber çözelim.
Sokaktaki Lambadan Sunucu Odasına: IoT Güvenliğinde 'S' Harfinin Gizemi
Akıllı cihazlar dünyayı ele geçiriyor ama güvenlikleri hala 90'ların sonunda kalmış durumda. Firmware analizinden network protokollerine, IoT cihazların zayıf noktalarına teknik bir bakış atıyoruz.
Cebimizdeki Casuslar: Mobil Güvenliğin Görünmeyen Yüzü ve Tersine Mühendislik Maceraları
Mobil uygulamalarda 'güvenli' sandığımız o alanların aslında ne kadar kırılgan olduğunu, kendi yaptığım hatalardan yola çıkarak anlatıyorum. Tersine mühendislikten SSL pinning'e kadar sahada karşılaştığımız gerçekleri konuşalım.
Cebimizdeki Truva Atı: Mobil Uygulamalarda 'Güvendeyiz' İllüzyonu
Mobil dünyada güvenlik, sadece kodu yazıp markete yüklemekten ibaret değil. Bir APK dosyasının içindeki sırlar, yanlış yapılandırılmış bir SSL pinning ve daha fazlası... Gelin, o gece terminal başında başıma gelenleri ve cebimizdeki tehlikeleri konuşalım.
Kube-apiserver'ı İnternete Açtığın Gün, Cluster'ın Tapusunu Hacker'a Devretmişsindir
Kubernetes dünyasında default ayarlar genellikle felaket getirir. RBAC'tan Network Policy'ye, siber saldırganların iştahını kabartan o kritik boşlukları ve savunma hattını nasıl kuracağımızı konuşuyoruz.
Sıfırıncı Gün: Yaması Olmayan Bir Kabusla Yaşama Sanatı
Zero-day sadece bir Hollywood terimi değil; bellek adreslerinin, fuzzing seanslarının ve yaması olmayan açıkların tam ortasında verdiğimiz bir savaş. Sahadan tecrübelerle sıfırıncı günü anlamak.
Akıllı Evlerin Aptal Güvenliği: IoT Dünyasında Neden Hala 1990'ları Yaşıyoruz?
Her gün elimizin altında olan o 'akıllı' cihazlar aslında birer güvenlik saatli bombası. Shodan başında sabahlamayı bırakın, asıl tehlike içerideki MQTT trafiğinde ve statik analizden kaçan o gizli backdoorlarda.
Görünmez Kapıların Anahtarsız Kilidi: Modern API Güvenliğinde 'IDOR' Sadece Bir Başlangıç
Modern web mimarilerinde API'ler her yerde. Peki, sadece kimlik doğrulaması yapmak yetiyor mu? BOLA'dan Mass Assignment'a, API'lerin karanlık dehlizlerine iniyoruz.
Güvendiğin Dağlara Kar Yağması: Yazılım Tedarik Zinciri ve 'Dependency' Cehennemi
Eskiden sadece kendi yazdığımız koda odaklanırdık, şimdi başkasının yazdığı üç satırlık paketin tüm şirketi yakmasından korkuyoruz. Yazılım tedarik zinciri güvenliğini ve korunma yollarını sahadan örneklerle inceleyelim.
Kubernetes: Orkestrasyonun Büyüsü mü, Yoksa İçerideki Truva Atı mı?
K8s dünyasında her şey 'çalışıyor' demek, her şey 'güvende' demek değildir. Cluster'ın kalbinden sızan o sinsi yapılandırma hatalarına yakından bakıyoruz.
Paket Yöneticine Güvenmek mi? Tedarik Zincirinde Truva Atı Beslemek
SCA araçlarına güvenip uyumak, pimi çekilmiş el bombasını yastık altına koymaktır. Tedarik zinciri güvenliğinde neden hala sınıfta kalıyoruz?