SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Resmî duyuru ile Envanter arasındaki ilişkiyi açıklamak.
- “CVE başlığı etkilenenlik için yeterli mi?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Ürün, sürüm, JDK ve dağıtım biçimi gibi etkilenenlik koşullarını üreticinin duyurusundan okuyun. Paket envanteri ile çalışan artefakt farklı olabilir; gerçek dağıtımı doğrulayın. WAF kuralı kalıcı yama yerine geçmez. Güncelleme sonrası bağımlılık ve uygulama davranışını yeniden test edin. Bu ders exploit yükü değil, düzeltme süreci anlatır.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
Doğrulama:
CVE → üretici duyurusu
Duyuru → dağıtım ön koşulları
Envanter → çalışan sürüm
Yama → yeniden test ve kayıtBeklenen sonuç ve yorumu
Akış ürün adına dayalı yanlış pozitifleri azaltır.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Spring adı var | Ön koşul eşle | Her dağıtım etkilenmez |
| Depo güncellendi | Çalışan artefaktı doğrula | Dağıtılmamış olabilir |
| WAF eklendi | Yamayı sürdür | Kök neden kapanmamıştır |
Uygulama görevi
Bir bağımlılık güncellemesinin gerçekten üretime çıktığını hangi üç kanıtla göstereceğinizi yazın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Sadece kaynak depodaki sürüm numarasına bakarak çalışan sistemin yamalı olduğunu varsaymayın.
Kendinizi sınayın
CVE başlığı etkilenenlik için yeterli mi?
Açıklamalı yanıt: Hayır. Resmî sürüm ve dağıtım ön koşulları gerçek sistemle eşleştirilmelidir.
İlgili derslerle ilerleyin
- SSTI: Şablon kodu ile kullanıcı verisini ayırma
- MFA güvenliği: Akışın bütün yollarını koruma
- SSRF: Sunucunun erişebildiği hedefleri sınırlandırma
- XXE: XML ayrıştırıcısının dış kaynak erişimini kapatma
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
