Skip to main content
SECNODEX

Siber Güvenlik Blogu

Sızma testi, kaynak kod analizi, web uygulama güvenliği ve red team konularında teknik yazılar. Güncel saldırı teknikleri, etkili savunma yaklaşımları ve doğru güvenlik kararları için sahadaki deneyimimize dayanan, uygulanabilir içerikler paylaşıyoruz.

İletişime Geçin

Tüm yazılar

Red Team37 dk okuma

Red Team Maliyeti Hangi Değişkenlere Bağlıdır?

Red Team maliyeti IP veya çalışan sayısından türetilen sabit bir rakam değildir. Objective, starting condition, scope, senaryo derinliği, ekip, Threat Intelligence, operasyon süresi, altyapı, safety ve raporlama birlikte hesaplanmalıdır.

7 Ağustos 2026Devamını oku
Red Team36 dk okuma

Finans ve Fintek Şirketlerinde Red Team Kapsamı Nasıl Sınırlandırılır?

Finans Red Team kapsamı kritik sistemleri test dışı bırakılarak değil, gerçek attack path korunurken para hareketi, müşteri verisi ve hizmet sürekliliği için geri döndürülemez etkinin sınırlandırılmasıyla tasarlanır.

6 Ağustos 2026Devamını oku
Sızma Testi31 dk okuma

Retest Ne Zaman Yapılmalı, Ne Zaman Beklemeli?

Retest, geliştirici ticket'ı kapattığında değil, düzeltme test edilebilir ortama eksiksiz taşındığında yapılmalıdır. Doğru zamanlama finding bazlı readiness, risk ve deployment kanıtıyla belirlenir.

3 Ağustos 2026Devamını oku
Web Uygulama Güvenliği34 dk okuma

E-Ticarette Fiyat, Kupon ve Sepet Manipülasyonu Nasıl Önlenir?

E-ticarette fiyat, kupon ve sepet manipülasyonu çoğunlukla geçerli isteklerle, injection olmadan gerçekleşir. Güvenli bir sistem fiyatı istemciye bırakmaz; server-side pricing, kupon kuralları, idempotency ve race condition kontrolleriyle iş mantığını saldırgandan önce korur.

3 Ağustos 2026Devamını oku
Red Team40 dk okuma

Active Directory Odaklı Red Team'de En Sık Zincirlenen Zafiyetler · AD Red Team

Active Directory odaklı Red Team çalışmasının asıl değeri tek bir misconfiguration bulmak değil, düşük yetkili bir identity'den identity control plane'e uzanan gerçek attack path'i güvenli biçimde doğrulamaktır.

2 Ağustos 2026Devamını oku
Red Team37 dk okuma

Oltalama Simülasyonu Ayrı, Red Team Ayrı · Phishing vs Red Team

Oltalama simülasyonu çalışanların şüpheli mesajı tanıma ve bildirme davranışını ölçer. Red Team ise phishing dahil farklı attack path'leri kullanarak kritik objective'e ulaşılıp ulaşılamadığını ve savunmanın bunu fark edip durdurabildiğini sınar.

1 Ağustos 2026Devamını oku
Web Uygulama Güvenliği46 dk okuma

GraphQL Güvenliğinde Gözden Kaçan 6 Nokta · GraphQL Güvenliği

GraphQL güvenliği introspection'ı kapatmak veya query depth belirlemekle tamamlanmaz. Asıl risk resolver authorization, execution cost, batching, transport, subscription ve federation sınırlarında ortaya çıkar.

1 Ağustos 2026Devamını oku
Web Uygulama Güvenliği50 dk okuma

JWT Kullanan Uygulamalarda Kritik Yapılandırma Hataları · JWT Güvenliği

JWT kullanan bir uygulamada signature doğrulamak yalnızca ilk adımdır. Güvenli validator, kabul ettiği issuer, audience, algorithm, key, token type ve claim kurallarını açık biçimde tanımlar. Aksi hâlde cryptographically geçerli bir token yanlış API, yanlış tenant veya yanlış işlem bağlamında kabul edilebilir.

31 Temmuz 2026Devamını oku
Sızma Testi46 dk okuma

API ve Mobil Uygulama İçin Ayrı Sızma Testi Gerekir mi? API/Mobil Pentest Rehberi

Mobil uygulama ile kullandığı API aynı ürünün parçalarıdır, fakat aynı attack surface değildir. Sağlıklı bir API/mobil pentest, backend’deki güven kararlarını ve cihaz üzerindeki istemci risklerini ayrı coverage ölçütleriyle test eder, ardından iki katmanı gerçek attack chain’ler üzerinde birleştirir.

31 Temmuz 2026Devamını oku
Sızma Testi45 dk okuma

E-Ticaret Sitelerinde En Sık Bulunan Kritik Zafiyetler: E-Ticaret Sızma Testi Rehberi

E-ticaret güvenliği yalnızca SQL injection veya XSS aramakla ölçülemez. Fiyatın hangi sistemde belirlendiği, ödeme sonucuna neden güvenildiği, kupon ve refund haklarının eşzamanlı request’lerde nasıl korunduğu çoğu zaman gerçek kritik riski belirler.

30 Temmuz 2026Devamını oku
Kaynak Kod Analizi56 dk okuma

.NET'te Yetkilendirme Hatalarını Kaynak Koddan Tespit Etme

ASP.NET Core projesinde [Authorize] görmek, yetkilendirmenin doğru uygulandığını kanıtlamaz. Etkili kaynak kod incelemesi endpoint metadata’sından policy ve handler mantığına, tenant filtrelerinden background consumer’lara kadar aynı işleme ulaşan bütün yolları birlikte değerlendirir.

30 Temmuz 2026Devamını oku
Kaynak Kod Analizi44 dk okuma

Kod İncelemesinde İş Mantığı (Business Logic) Açıkları Nasıl Yakalanır?

Business logic açıkları çoğu zaman geçerli request’ler, izin verilen endpoint’ler ve syntactically doğru veriler kullanılarak ortaya çıkar. Bu nedenle etkili kod incelemesi yalnızca tehlikeli function aramaz, uygulamanın değişmez iş kurallarını, state transition’larını ve transaction sınırlarını kanıt üzerinden değerlendirir.

29 Temmuz 2026Devamını oku
Siber Güvenlik42 dk okuma

Kurumsal Siber Güvenlik Nedir? Kapsamlı Rehber ve Yol Haritası

Kurumsal siber güvenlik, ürünleri yan yana dizmek değil, iş açısından kritik varlıkları gerçek tehdit senaryolarına karşı koruyan, saldırıyı erken fark eden ve olay sonrasında güvenli biçimde toparlanabilen ölçülebilir bir risk yönetimi programı kurmaktır.

29 Temmuz 2026Devamını oku
Kaynak Kod Analizi40 dk okuma

Kaynak Kod Analizi (SAST) Nedir? Güvenli Kod İnceleme Rehberi

Kaynak kod analizi yalnızca bir SAST aracını repository üzerinde çalıştırmak değildir. Güçlü bir inceleme, otomatik static analysis coverage'ını uzman Secure Code Review ile birleştirerek zafiyetin root cause'unu, gerçek etkisini ve uygulanabilir remediation yolunu ortaya çıkarır.

28 Temmuz 2026Devamını oku
Zafiyet Yönetimi38 dk okuma

Zafiyet Tarama Nedir? Zafiyet Yönetimi ve Düzenli Tarama Rehberi

Zafiyet tarama, belirli bir tarihte bulunan açıkların listesini üretmekten ibaret değildir. Değer, varlık keşfi, risk tabanlı önceliklendirme, remediation, re-scan ve dönemsel değişim takibinin sürekli bir zafiyet yönetimi döngüsünde birleşmesiyle ortaya çıkar.

27 Temmuz 2026Devamını oku
Web Uygulama Güvenliği40 dk okuma

Oturum Yönetiminde En Sık Yapılan Hatalar · Oturum Güvenliği

Güvenli oturum yönetimi yalnızca Secure ve HttpOnly cookie kullanmak değildir. Session'ın üretiminden rotation, timeout, revocation, distributed store ve logout aşamasına kadar bütün yaşam döngüsü korunmalıdır.

27 Temmuz 2026Devamını oku
Red Team42 dk okuma

Red Team Nedir? Kurumsal Red Team Simülasyonu Kapsamlı Rehber

Red Team, en fazla sistemi ele geçiren ekibi seçme yarışı değildir. Kurumun gerçekçi bir saldırı zincirini önleme, fark etme, araştırma ve sınırlandırma kabiliyetini ölçen objective odaklı bir güvenlik çalışmasıdır.

27 Temmuz 2026Devamını oku
Red Team40 dk okuma

Red Team Senaryosu Nasıl Yazılır? Hedef, Kısıt ve Başarı Ölçütleri

İyi bir Red Team senaryosu saldırı tekniklerinin listesi değildir. Gerçek bir business objective'i, threat rationale'ı, operasyonel sınırları ve ölçülebilir başarı kriterlerini tek bir test tasarımında birleştirir.

27 Temmuz 2026Devamını oku
Sızma Testi25 dk okuma

Sızma Testi Nedir? Kapsamlı Rehber (2026)

Sızma testi, otomatik bir zafiyet taramasından daha fazlasıdır. Bu kapsamlı rehber test türlerini, metodolojileri, aşamaları, scope hazırlığını, raporlamayı ve doğru hizmet sağlayıcı seçimini teknik ayrıntılarıyla açıklar.

26 Temmuz 2026Devamını oku
Web Uygulama Güvenliği44 dk okuma

Güvenli Dosya Yükleme için Geliştirici Kontrol Listesi

Güvenli dosya yükleme yalnızca extension veya MIME kontrolü değildir. Request limitinden quarantine alanına, parser isolation'dan malware scanning ve güvenli download'a kadar bütün file lifecycle korunmalıdır.

26 Temmuz 2026Devamını oku
Kaynak Kod Analizi41 dk okuma

Java Spring Projelerinde Güvenlik Kod İncelemesine Nereden Başlanır?

Java Spring projelerinde güvenlik kod incelemesi yalnızca controller veya SecurityConfig dosyasını okumakla başlamaz. Build graph, aktif profile, filter chain, authorization modeli, data binding ve runtime configuration birlikte incelenmelidir.

25 Temmuz 2026Devamını oku
Sızma Testi33 dk okuma

Sızma Testi Kaç Gün Sürer? Süreyi Etkileyen 8 Değişken

Sızma testi süresi tek başına domain veya IP sayısıyla hesaplanamaz. Scope, business logic, rol matrisi, erişim modeli, test ortamı, operasyonel sınırlar, raporlama ve retest birlikte değerlendirilmelidir.

25 Temmuz 2026Devamını oku
Sızma Testi37 dk okuma

Sızma Testi Teklifinde Hangi Teknik Maddeler Olmalı?

İyi bir sızma testi teklifi fiyat listesi değildir. Kapsam, test derinliği, çalışma kuralları, kanıt standardı, raporlama ve retest maddeleri net yazılmadığında iki teklif asla aynı işi tanımlamaz.

24 Temmuz 2026Devamını oku
Red Team37 dk okuma

Purple Team, Red Team ve BAS: Hangi Çalışma Neyi Ölçer?

Purple Team, Red Team ve Breach and Attack Simulation aynı işi yapmaz. Her biri farklı bir soruyu yanıtlar: savunma görüyor mu, saldırı nereye kadar ilerliyor, kontroller sürekli çalışıyor mu?

24 Temmuz 2026Devamını oku
Web Uygulama Güvenliği35 dk okuma

SSRF'yi Kapatmak İçin Yalnızca Allowlist Yeterli mi?

Allowlist, SSRF riskini azaltan değerli bir kontroldür. Fakat parser farkları, DNS değişimi, redirect zincirleri ve kontrolsüz egress nedeniyle tek başına güvenlik sınırı değildir.

23 Temmuz 2026Devamını oku
Kaynak Kod Analizi32 dk okuma

CI/CD'ye SAST Eklerken En Sık Yapılan 7 Hata

SAST job'ının pipeline'da çalışması güvenlik sonucu üretildiği anlamına gelmez. Yanlış gate, eksik kapsama, kontrolsüz suppression ve sahipsiz bulgular entegrasyonu kısa sürede etkisiz hale getirir.

23 Temmuz 2026Devamını oku
Web Uygulama Güvenliği31 dk okuma

Web Uygulaması Sızma Testinde Kapsam Nasıl Belirlenir?

Web pentest kapsamı yalnızca domain ve ekran sayısı değildir. Uygulama sınırı, API'ler, roller, tenant'lar, iş akışları, test ortamı ve güvenli çalışma kuralları birlikte tanımlanmalıdır.

22 Temmuz 2026Devamını oku
Red Team33 dk okuma

Her Kurumun Red Team'e İhtiyacı Var mı?

Red Team, şirket büyüklüğüne göre satın alınan ileri seviye bir pentest değildir. Gerçek değeri; kurumun önleme, tespit, müdahale ve toparlanma yeteneklerini birlikte sınayabilecek bir olgunluk oluştuğunda ortaya çıkar.

22 Temmuz 2026Devamını oku
Web Uygulama Güvenliği32 dk okuma

IDOR Açığı Neden Hâlâ Bu Kadar Yaygın?

IDOR, identifier tahmin edilebildiği için değil, server her object access sırasında doğru authorization kararını veremediği için oluşur. Yaygınlığın mimari ve süreç nedenlerini inceliyoruz.

22 Temmuz 2026Devamını oku
Kaynak Kod Analizi30 dk okuma

Secure Code Review ile Otomatik SAST Taraması Farkı

SAST kurallarla ifade edilebilen code pattern ve data flow'ları ölçekli biçimde tarar. Secure Code Review ise security requirement, business logic ve implementation context'ini insan muhakemesiyle değerlendirir.

22 Temmuz 2026Devamını oku
Sızma Testi31 dk okuma

Dış Ağ ve İç Ağ Sızma Testi Arasındaki Farklar

Dış ağ sızma testi internetten görünen attack surface'i, iç ağ sızma testi ise bir foothold sonrasında lateral movement ve kritik varlıklara erişimi sınar. Farkları teknik senaryolarla inceliyoruz.

22 Temmuz 2026Devamını oku
Kaynak Kod Analizi30 dk okuma

Kaynak Kod Analizi ile Sızma Testi Aynı Problemi Çözmez: Nerede Ayrışır?

Kaynak kod analizi uygulamanın nasıl yazıldığını, sızma testi ise çalışan sistemde neyin gerçekten istismar edilebildiğini inceler. Aralarındaki farkı teknik örneklerle ele alıyoruz.

22 Temmuz 2026Devamını oku
Sızma Testi24 dk okuma

Black Box, Gray Box, White Box Sızma Testi: Hangisi Gerçekten Neyi Gösterir?

Black box, gray box ve white box ifadeleri testin kalitesini değil, test ekibinin başlangıçta sahip olduğu bilgi seviyesini anlatır. Her model farklı bir güvenlik sorusuna cevap verir ve farklı blind spot'lar üretir.

22 Temmuz 2026Devamını oku
Red Team22 dk okuma

Red Team ile Sızma Testi Arasındaki Fark Gerçekten Nerede Başlar?

Red Team ile sızma testi arasındaki gerçek fark kullanılan araçlarda değil, sorulan soruda başlar. Pentest zafiyet ve exploitability ararken Red Team, belirli bir tehdit senaryosu altında kritik hedefe erişilip erişilemeyeceğini ve savunmanın bunu fark edip durduramadığını ölçer.

22 Temmuz 2026Devamını oku
Kaynak Kod Analizi22 dk okuma

SAST Nedir, Hangi Açıkları Bulur, Hangilerini Kaçırır?

SAST, uygulama çalıştırılmadan source code, bytecode veya binary üzerinde güvenlik analizi yapar. Injection ve riskli API kullanımında güçlüdür; ancak business logic, IDOR ve runtime configuration gibi kritik riskleri tek başına kapsayamaz.

22 Temmuz 2026Devamını oku
Sızma Testi14 dk okuma

Sızma Testi Ne Zaman Yaptırılmalı? Yayına Çıkmadan Önce mi, Olay Sonrası mı?

Sızma testi için doğru zaman yalnızca yıllık denetim tarihi değildir. Yeni bir sistem yayına çıkmadan önce, önemli değişikliklerden sonra ve siber olay sonrasında farklı amaçlarla test yapılmalıdır.

22 Temmuz 2026Devamını oku

Siber güvenlik çalışmanızı
SECNODEX ile planlayın

İhtiyacınız tek bir uygulamanın testinden kurum genelinde bir Red Team çalışmasına kadar uzanabilir. Ekibimiz scope’u, kritik varlıkları ve beklenen çıktıları sizinle netleştirir. Ardından iş hedefinize ve risk önceliklerinize uygun, sınırları belirlenmiş bir çalışma planı sunar.

İletişime Geçin