Blog
Sistemleri yönetenler için uygulamaya dönük güvenlik yazıları: neyi, hangi sırayla ve neden düzeltmeniz gerektiği.
- Tüm konular
- WordPress
- Web güvenliği
- Olay müdahalesi
- Fidye yazılımı
- Güvenli yazılım geliştirme
- Uyum
- Kimlik ve erişim
- Oltalama
- Sızma testi
- E-posta güvenliği
- Güvenlik açıkları
-
Uygulamaya dönük WordPress güvenlik kontrol listesi
Mantıklı bir sırayla on iki WordPress sıkılaştırma adımı: güncellemeler ve terk edilmiş eklentilerden 2FA, XML-RPC, yedek, dosya bütünlüğü ve WAF’a.
-
Bu hafta iki saatlik bir olay müdahalesi masa başı tatbikatı yapın
Küçük bir ekiple iki saatlik fidye yazılımı veya hesap ele geçirme tatbikatı yapın, açıkları kaydedip sahipli kısa bir runbook'a çevirin.
-
Önemli güvenlik başlıkları ve emekliye ayrılması gerekenler
Nonce’lu CSP, HSTS ve preload, frame-ancestors, Referrer-Policy, Permissions-Policy ve COOP için örnekli pratik rehber; nelerin bırakılması gerektiği.
-
Şirket verilerini bir yapay zeka asistanına bağlamadan önce
BT ekipleri için LLM bağlamadan önce kontrol listesi: veri sınıflandırma, düşmanca girdi, erişim, loglama, tedarikçi incelemesi, sahiplik.
-
Güvenli dosya yükleme özellikleri nasıl tasarlanır ve test edilir
OWASP cheat sheet temelinde dosya yükleme özellikleri için kontrol listesi ve her yükleme uç noktasına karşı çalıştırabileceğiniz testlerin tablosu.
-
Parolalar ve geçiş anahtarları - NIST SP 800-63B-4 ne öneriyor
NIST’in güncel parola kuralları: en az 15 karakter, zorunlu değişiklik yok, sızmış parola kontrolü; ayrıca MFA’nın gücü ve geçiş anahtarlarının yeri.
-
Orta ölçekli kurumlar için uygulamada NIS2 Madde 21
NIS2 Madde 21’deki on risk yönetimi önleminin uygulamadaki karşılığı ve Madde 23’teki 24 saat, 72 saat ve bir aylık bildirim süreleri.
-
JWT güvenliğinde sık yapılan hatalar ve bunlardan kaçınmanın yolları
Sık yapılan JWT hataları ve çözümleri: alg none, RS256/HS256 karışıklığı, zayıf HMAC anahtarları, eksik claim kontrolü, kid enjeksiyonu, iptal ve saklama.
-
Oltalama bağlantısı tıklamadan önce nasıl fark edilir
URL’yi saldırganın kurduğu gibi okuyun: asıl alan adı, benzer ve punycode alan adları, @ hilesi, açık yönlendirmeler, kısaltıcılar, yeni uzantılar.
-
Sızma testi raporu nasıl okunur
İyi bir sızma testi raporunda neler olur, bulgular nasıl derecelendirilir, önce ne düzeltilmeli; gerçek test, kılık değiştirmiş taramadan nasıl ayrılır.
-
Yazılım ekipleri için bir haftalık GitHub Actions sıkılaştırma planı
GitHub Actions için beş günlük görev: token izinleri, action denetimi, script injection, secret yönetimi ve workflow sahipliği.
-
Fidye yazılımı saldırısının ilk 24 saati
Fidye yazılımı saldırısının ilk günü: kanıtları kaybetmeden sınırlama, parola sıfırlama, yedek kontrolü, GDPR ve NIS2 süreleri, fidye ödenmeli mi.