Merhaba Bir önceki yazıda ISO/IEC 27090’ın ne olduğunu ve yapay zeka sistemlerine özgü dokuz saldırı tipini özetlemiştim. Standart, güvenlik kontrollerini ISO/IEC 27002’den seçip risk değerlendirmesine göre uygulamamızı istiyor. Pratikte akla gelen soru hemen şu: hangi kontrol hangi saldırıya karşı işe yarıyor? Bu yazıda bunu bir tabloya döküyorum. Önemli Not: Aşağıdaki tablo ISO/IEC 27090’ın resmi bir […]
ISO/IEC 27090 Nedir? Yapay Zeka Sistemlerine Özgü Güvenlik Tehditleri İçin Rehber
Merhaba Yapay zeka (AI, Artificial Intelligence) sistemleri artık birçok kurumda üretim ortamında çalışıyor: müşteri sohbet botları, dolandırıcılık (fraud) tespit modelleri, doküman arama ve özetleme araçları, kod asistanları. Güvenlik tarafında ise çoğunlukla klasik kontrollere güveniyoruz: erişim yönetimi, yama, loglama, ağ segmentasyonu. Bunlar vazgeçilmez ama yeterli değil. Eğitim verisine zehir karıştırmak, bir isteğe gizli talimat gömmek ya […]
Active Directory’yi PowerShell ile Denetlemek: Active Directory Audit Suite
Merhaba Bir Active Directory ortamını hiçbir şeyi değiştirmeden tarayan ve size ortamın fotoğrafını tek parça, çevrimdışı bir HTML raporu olarak veren 6 PowerShell modülü. Bu yazıda ne yaptıklarını, nasıl çalıştırıldıklarını ve ürettikleri raporların KVKK, ISO 27001 ve CIS açısından ne anlama geldiğini anlatıyorum. Her Active Directory ortamı zamanla birikir. Yıllar içinde açılıp unutulan servis hesapları, […]
TLS Şifreleme ve Uyumluluk: Basit Görünen Ama Yanlış Yapılandırılan Bir Kontrol Kutusu
Merhaba TLS’e Genel Bakış Birçok uyumluluk çerçevesi (compliance framework), internet üzerinden taşınan hassas verilerin şifreleme ile korunmasını zorunlu tutar. Bu şifreleme gereksinimini karşılamak için de en sık başvurulan yöntem Transport Layer Security (TLS) olur. Ancak sahada karşılaşılan tabloya bakınca, TLS’in nasıl çalıştığını tam olarak anlamayan ve bu yüzden güvensiz TLS yapılandırmaları devreye alan kurumların sayısı hiç de […]
Active Directory’de Unutulan Parolalar: Ortamınızda Kaç Yıllık Hesap Var?
Merhaba Son yıllarda hepimizin duyduğu bir cümle var: “Artık parola kullanmıyoruz.” Passwordless kimlik doğrulama, FIDO2 anahtarları, Windows Hello for Business, her yerde MFA… Modern kimlik dünyası gerçekten bu yöne gidiyor. Ama Active Directory tarafına döndüğünüzde tablo genellikle bambaşka oluyor. Çoğu kurumda AD, yıllar içinde katman katman büyümüş bir yapı. Devreden projeler, kapatılmayan servis hesapları, taşınan […]