01Sorun ve çözüm
Sızıntının ikinci yüzü şirket dışındadır. Çalışanların iş e-postasıyla açtığı hesaplar başka sitelerin veri ihlallerinde ortaya çıkar, kişisel bilgisayara bulaşan bilgi çalan yazılımlar tarayıcıda kayıtlı kurumsal parolaları toplar. Saldırgan bu listeleri VPN ve e-posta girişlerinde dener.
Devamını okuDaha az göster
Sızdırılmış veri ve secret taraması hizmetinde iki yönü birlikte ele alıyoruz: kendi depolarınızın, derleme çıktılarınızın ve paylaşım alanlarınızın içini tarıyor, dışarıda alan adınıza ait sızıntı izlerini araştırıyoruz. Her bulgu için anahtarın hâlâ geçerli olup olmadığını güvenli biçimde doğruluyor ve iptal sırasını sizinle planlıyoruz.
02Kimler için
Sızdırılmış veri ve secret taraması kimler için öncelikli
Kod ve erişim bilgisinin çok elden geçtiği yapılarda risk birikir.
- Yıllar içinde birçok geliştiricinin çalıştığı, depolarını hiç geçmişiyle birlikte taramamış yazılım ekipleri
- Bir depoyu açık kaynak yapmaya ya da dış bir firmayla paylaşmaya hazırlanan şirketler
- Ayrılan bir çalışan ya da tedarikçiden sonra hangi anahtarların değiştirilmesi gerektiğini bilmeyen işletmeler
- Bulut faturasında açıklanamayan bir kullanım ya da tanımadığı bir oturum fark eden ekipler
- Satın alma veya yatırım öncesi teknik inceleme kapsamında kod tabanının temiz olduğunu göstermesi gereken girişimler
03İhtiyaçlar
Secret sızıntılarının saklandığı yerler
Gizli bilgi çoğunlukla kaynak kodun kendisinde değil, etrafındaki dosyalarda ve araçlarda kalır.
- 01
Git geçmişi ve dallar
Silinmiş commit'ler, birleştirilmemiş eski dallar ve etiketler ayrı ayrı taranır. Geçmişten temizlenmiş görünen bir dosya, depoyu daha önce klonlamış her bilgisayarda durmaya devam eder.
- 02
Derleme ve dağıtım çıktıları
Konteyner imajlarının katmanları, mobil uygulama paketleri ve küçültülmüş JavaScript dosyaları, geliştirme sırasında gömülen anahtarları taşıyabilir. CI hattının iş günlükleri de ekrana basılmış değişkenler için incelenir.
- 03
İş birliği araçları
Konu takip kayıtları, wiki sayfaları ve ekip yazışmaları, hızlı yardım isterken yapıştırılan parolaların sık bulunduğu yerlerdir. Erişim izniniz olan alanlar kapsama alınır.
- 04
Dış kaynaklar
Herkese açık kod platformları, paylaşım siteleri ve kamuya açık veri ihlali kayıtları alan adınız ve kurumsal anahtar biçimleriniz için aranır.
04Özellikler
Sızdırılmış veri ve secret taraması hizmetinde neler yapıyoruz
Bulmak işin başıdır; asıl değer, bulgunun kapatılma biçimindedir.
- 01
Geçerlilik doğrulaması
Bulunan bir anahtarın hâlâ çalışıp çalışmadığı, yalnızca kimlik sorgulayan ve veri değiştirmeyen bir çağrıyla denetlenir. Böylece eski ve geçersiz kayıtlarla yeniden yazılması gereken anahtarlar ayrılır.
- 02
Etki ve öncelik
Her geçerli anahtarın hangi sisteme, hangi yetkiyle eriştiği çıkarılır. Üretim veritabanına yazma yetkisi olan bir parola, test ortamındaki bir bildirim anahtarının önüne alınır.
- 03
İptal ve yenileme planı
Anahtarı kullanan servisler belirlenir, yenisi tanımlanır ve eskisi uygulamayı kesintiye uğratmayacak sırayla kapatılır. Kötüye kullanım izi için ilgili erişim kayıtları da gözden geçirilir.
- 04
Tekrarı önleyen kontroller
Commit öncesi kanca, CI hattında tarama adımı ve depo platformunun gizli bilgi koruması gibi önlemler ekip alışkanlıklarına uygun şekilde önerilir ya da kurulur.
05Entegrasyonlar
Taramanın bağlandığı platformlar
Tarama, kodunuzun ve erişim bilgilerinizin yaşadığı araçlara göre kurgulanır.
- 01
Kod barındırma
GitHub, GitLab, Bitbucket ya da Azure DevOps üzerindeki bütün depolar, arşivlenmiş olanlar dahil, salt okuma yetkili bir erişimle taranır.
- 02
Konteyner kayıtları
Docker Hub, Amazon ECR, Azure Container Registry gibi kayıtlardaki imajlar katman katman açılarak incelenir.
- 03
Gizli bilgi yönetimi araçları
Yenilenen anahtarların koda değil, HashiCorp Vault, AWS Secrets Manager ya da Azure Key Vault gibi bir kasaya taşınması planlanır.
- 04
Kimlik sağlayıcı
Sızıntı listelerinde çıkan çalışan hesapları için Active Directory veya Google Workspace üzerinde parola sıfırlama ve oturum kapatma adımları birlikte yürütülür.
06Süreç
Sızdırılmış veri ve secret taraması hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Tarama yöntemi ve veri gizliliği
Depo taramasında gitleaks ve TruffleHog gibi açık kaynak araçların kural setleri, kurumunuza özgü anahtar biçimleriyle genişletilir; rastgelelik ölçümüne dayanan bulgular elle ayıklanır, çünkü test verisi ve örnek değerler de benzer görünür. Dış araştırma yalnızca hukuka uygun ve meşru erişilebilen kaynaklarla sınırlıdır.
Devamını okuDaha az göster
Bulunan parolalar ve anahtarlar raporda açık yazılmaz; ilk ve son birkaç karakteri ile konumu verilir. Tarama çıktıları şifreli bir alanda tutulur ve iş bitince silinir. Sızıntıda kişisel veri tespit edilirse durumu derhâl bildiririz; KVKK kapsamındaki bildirim yükümlülüğünü hukuk danışmanınızla birlikte değerlendirmenizi öneririz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Sızdırılmış veri ve secret taraması hakkında sık sorulan sorular
Anahtarı sonraki commit'te sildik; yine de risk var mı?
Evet. Silme işlemi yalnızca son sürümü değiştirir, geçmiş olduğu gibi kalır. Güvenli yol, anahtarı iptal edip yenisini tanımlamaktır. Geçmişin yeniden yazılması ise ek bir temizlik adımıdır ve tek başına yeterli sayılmaz.
Sızdırılmış veri ve secret taraması fiyatları neye göre değişir?
Depo sayısı ve geçmişin büyüklüğü, konteyner imajları ve mobil paketlerin kapsama girip girmediği, iş birliği araçlarının taranması, dış araştırmanın derinliği ve bulguların iptal sürecinde destek istenmesi belirleyicidir.
Bulduğunuz parolaları kullanarak sistemlerimize giriyor musunuz?
Hayır. Geçerlilik yalnızca kimlik doğrulayan, veri okumayan ve değiştirmeyen bir çağrıyla denetlenir. Sızma testi niteliğinde bir deneme istenirse bu ayrı bir kapsam ve yazılı izinle yapılır.
Çalışanlarımızın kişisel hesaplarında çıkan sızıntıları da raporluyor musunuz?
Kapsam kurumsal alan adınızla sınırlıdır. Kurumsal e-postayla açılmış hesaplar raporlanır; çalışanın özel e-posta adresleri araştırılmaz. Ortak parola kullanımı şüphesi varsa farkındalık önerisi olarak not edilir.
Bir anahtarı iptal edince uygulamamız durur mu?
Plansız yapılırsa durabilir. Bu yüzden anahtarı kullanan bütün servisleri önce listeliyor, yeni anahtarı devreye aldıktan sonra eskisini kapatıyoruz. Kritik sistemler için düşük trafik saatlerinde bir geçiş penceresi belirlenir.
Tarama tek seferlik mi, sürekli mi yapılmalı?
İlk tarama birikmiş geçmişi temizler. Sonrasında commit öncesi ve CI hattındaki otomatik kontroller yeni sızıntıları yakalar; dış kaynaklar için ise dönemsel tekrar yeterli olabilir. Danışmanlık modelinde bu düzeni ekibinizle birlikte kuruyoruz.
10İlgili hizmetler