Siber Güvenlik & Ağ Güvenliği | Vulnerability Research | Tersine Mühendislik | Blue & Red Team | SANS & OffSec Müfredatı | Exploit/Implant Geliştirme | [TR:Türkçe - EN:İngilizce]

Rahyl hakkında daha fazla bilgi edin

• Ne zamandan beri bilişime ilgi duyduğunuzu ve de bilgisayarla ilk tanışmanızı anlatın!

  Teknolojiyle ilk ciddi temasım on üç yaşındayken, Minecraft oynarken rastgele bir IRC kanalında tanıştığım biri sayesinde oldu. Oyun hileleri ve yazılım mekanikleri üzerine sohbet ederken konu hızla işin teknik arka planına kaydı ve bana Eldad Eilam’ın Reversing: Secrets of Reverse Engineering kitabını önerdi. O satırları okuduktan sonra merak duygum tamamen tetiklendi; ardından Nick Cano gibi yazarların eserleriyle birlikte kendimi tamamen bu alanın derinliklerinde buldum. Sistemlerin ve yazılımların iç yapısını anlama merakım o günden beri hiç azalmadı.

• Sizi en çok etkileyen teknolojik gelişme nedir ve sizce bu alanda gelecekteki en büyük gelişme ne olacak?

  Beni en çok etkileyen gelişme, çevre birimi odaklı güvenlik anlayışından Sıfır Güven Mimarisine (Zero Trust Architecture) geçiş sürecidir. Yerel ağı baştan sona güvenli kabul eden geleneksel zihniyetin terk edilmesi; kimlik doğrulama, çekirdek düzeyinde erişim ve şifreli veri akışının her katmanda nasıl denetlenmesi gerektiğini kökten değiştirdi. Gelecekteki en büyük ve kritik gelişme ise Kuantum Sonrası Kriptografi (Post-Quantum Cryptography) olacaktır. Kuantum bilgisayarlar mevcut şifreleme standartlarımızı kaçınılmaz olarak kıracağı için, küresel altyapının kuantuma dayanıklı algoritmalara geçişi siber güvenlik tarihindeki en büyük zorunlu dönüşüm olacaktır.

• Bu alana ilginizi, alanda uzmanlığınızı ve bilişim evrenindeki önemini anlatın!

  Bu alana olan ilgim, sistemlerin iç yapısına duyduğum derin merak ve yazılımların en alt katmanlarda nasıl hata verdiğini çözme tutkusundan gelmektedir. Yazılım soyutlamalarını bir kenara bırakıp Linux çekirdeğinin, ağ protokollerinin veya bellek yönetiminin derinlemesine nasıl çalıştığını anlamanın benzersiz bir heyecanı vardır. Profesyonel olarak zafiyet araştırması, tersine mühendislik ve istismar mühendisliği alanlarında uzmanlaşıyorum. Son dört yıldır ikili dosya istismarı, MIPS ve ARM mimarileri ile kurumsal altyapı güvenliği üzerine yoğunlaşıyorum. Bu uzmanlık sayesinde Jenkins ve Microsoft Exchange (CVE-2021-26855 - ProxyLogon) gibi kritik sistemlerdeki yüksek etkili güvenlik açıklarını tespit edip sorumlu bir şekilde bildirdim. Gitgide birbirine bağlanan dijital evrende, yazılım tedarik zincirleri ve kurumsal altyapılar küresel toplumun temel direkleridir. Bu sistemlerdeki tek bir yamanmamış açık, hassas verileri tehlikeye atabilir veya endüstrileri durdurabilir. Güvenlik araştırmacıları nihai savunma hattıdır; sıfır gün açıklarını bularak ve güvenlik açıklarını analiz ederek sistemlerin gerçek saldırganlardan önce güvenli hale getirilmesini sağlarız.

• Bill Gates, Steve Jobs veya Mark Zuckerberg gibi devrimsel teknoloji girişimcilerinde size ilham veren şey nedir?

  Geleneksel ön yüz geliştiricisi kurucular yerine, Linus Torvalds ve kurgusal bir karakter olan Bertram Gilfoyle gibi isimlerden ilham alıyorum. Bu kişiler, düşük seviyeli mühendisliğin ve altyapının gerçek ruhunu temsil etmektedir. Linus Torvalds modern dijital evrenin temelini inşa etmiştir; denetlediğim neredeyse tüm kurumsal sunucular, bulut altyapıları ve gömülü sistemler Linux çekirdeği üzerinde çalışmaktadır. Kendisi, küresel gerçeği şekillendiren saf ve ödün vermeyen teknik mükemmelliğin en somut örneğidir. Gilfoyle ise kurgusal bir karakter olmasına rağmen bir sistem mühendisi ve güvenlik araştırmacısının gerçeğini parlak bir şekilde yansıtır. Diğerleri parıltılı ön yüz özelliklerini kutlarken dijital evrenin mimari, paket iletimi ve güvenlik sınırları gibi görünmez sistemler sayesinde ayakta durduğunu bilir. Bana ilham veren şey, teknik gerçeğe olan ödün vermeyen odaklanmalarıdır. Bu durum, bir istismar mühendisi olarak görevimin yüzeye bakmak değil kilit bir bileşendeki tek bir hatalı yapılandırmanın tüm altyapıyı çökertmesini önleyen bekçi olmak olduğunu hatırlatır.

• Alanınız veya eğitiminizle ilgili bize anlatmak istediğiniz bir anınız?

  Kariyerimdeki en unutulmaz an, Jenkins denetleyicisinde kritik kimlik doğrulamasız dosya erişim açığı olan CVE-2024-23897 numaralı zaafiyetin keşfi ve istismar edilmesi sürecidir. Gece yarısı masamda oturmuş, Jenkins komut satırı arayüzünün komut argümanlarını nasıl işlediğini inceliyordum. Dosya içeriklerini argümanlara genişletmek amacıyla kullanılan @ karakterini kullanan özel bir özellik vardı. Düşük seviyeli bir araştırmacı olarak kontrol edilmeyen girdi işleme mekanizmalarını gördğünüzde sezgileriniz hemen harekete geçer. Çözümleyicinin anormal girdiler altında nasıl davrandığını test etmeye başladım. Dönüm noktası gerçekleştiğinde hissettiğim şey olağanüstüydü. Girdi işleme mantığındaki ince bir hatadan yararlanarak herhangi bir kimlik doğrulamaya gerek kalmadan sunucu dosya sisteminden rastgele dosyalar okumayı başardım. Jenkins dünyadaki en büyük kurumsal altyapılar tarafından kullanılmaktadır; kötü yönetilen tek bir metin satırının küresel CI/CD gizliliklerini ifşa edebileceğini fark etmek modern altyapının ne kadar kırılgan olabileceğini gösterdi. Güvenilir bir istismar çatısı geliştirip Jenkins Güvenlik Ekibi ile sorumlu bir bildirim süreci yürüttüm. Karmaşık ikili günlüklerden milyonlarca kurumsal dağıtımı güvenli hale getirmeye yardımcı olan temiz ve çalışan bir istismara geçiş anı, bu alanı neden sevdiğimin tam karşılığıdır.

• Bilgisayar konusunda çok iyi olmayan ve size "ya ben anlamıyorum bu bilgisayardan" diyen birine ne derdiniz?

  Gülümser ve şöyle derdim: Arabayı güvenli bir şekilde sürmek için motorun nasıl çalıştığını anlamak zorunda değilsiniz. Bilgisayarların sihir olmadığını, sadece dijital alışkanlıklara dönüştürülmüş günlük rutinler olduğunu her zaman ifade ederim. Hırsızları uzak tutmak için evinizin kapısını nasıl kilitleyeceğinizi biliyorsanız, bir güvenlik duvarının veya güçlü bir parolanın mantığını zaten anlamış olursunuz. Devletten geldiğini iddia eden yabancı birine kapınızı açmıyorsanız, kim avı e-postasından nasıl kaçınacağınızı zaten biliyorsunuz demektir. Bir siber güvenlik uzmanı olarak benim görevim herkesin Linux çekirdeğini veya ikili kodu anlamaya zorlamak değildir. Benim işim, teknolojiyi alt katmanda yeterince güvenli hale getirmek ve böylece herkesin kaputun altında ne olduğunu bilmek zorunda kalmadan güvenle kullanabilmesini sağlamaktır. Makinede uzmanlaşmanız gerekmez; sadece güvenli bir şekilde nasıl gezineceğinizi bilmeniz yeterlidir ve ben de bu konuda yardımcı olmak için buradayım.

• Bilişimle ilgili olsun olmasın bize hobilerinizi anlatın, sizi daha iyi tanıyalım!

  Güvenlik araştırmalarının dışında odaklanma ve tempo değişikliği gerektiren alanlarla ilgileniyorum. Zihinsel düzeyde, Kindle ile edebi kurgu, klasik filoloji ve postmodern edebiyat okumaktan keyif alan hevesli bir okuyucuyum. Karmaşık anlatıları ve dilbilimsel yapıları keşfetmek, garip bir şekilde yazılımı parçalamayı seven analitik beyin yapımı tatmin etmektedir. Ekranlardan uzaklaşmak ve zihnimi boşaltmak için çim tenisi oynamak ve düzenli koşu yapmak temel aktivitelerimdir. Hafta sonları ise tamamen farklı bir yöne geçerek yemek pişirmeyle ilgilenirim. Kendi kendime barbekü yapmayı, tatlarla denemeler yapmayı ve teknik karmaşıklıktan tamamen uzaklaşmayı severim. Ayrıca atalarım için mezarlık ziyaretleri yapıp dua etmeye ve dini buluşmalara katılmaya zaman ayırırım. Tabii ki saf ve nostaljik bir rahatlama istediğimde siber güvenlik yolculuğumu başlatan Minecraft oyununu hâlâ zaman zaman açarım.

• Sizi SuperÖğretmen yapan şey (yapay zekanın yerini alamayacağı) nedir?

  Nicel matematik, tersine mühendislik ve gelişmiş fuzzing metodolojileri gibi uzmanlık gerektiren alanlarda yapay zeka güçlü bir araçtır ancak hiçbir zaman insan uzmanının yerini tamamen alamaz. Yapay zeka tamamen kalıp eşleştirmeye ve geçmiş verilere dayanır. Standart şablon kodlar yazabilir ancak bir sistemi içeriden dışarıya kırmak için gereken zihinsel düşünce kalıplarından yoksundur. Yapay zeka insan sezgisini kopyalayamaz. Karmaşık ve tescilli bir ikili dosyaya bakıp ince bir mantık anomalisini fark etme ve daha önce eğitim verilerinde hiç bulunmamış özgün bir istismar yöntemi geliştirme yaratıcı içgüdüsüne sahip değildir. Bir eğitmen ve araştırmacı olarak benim avantajım tam olarak bu insan bilişsel modelini aktarabilmektir. Öğrencilere yalnızca sözdizimsel olarak doğru kod yazmayı değil bir saldırgan gibi düşünmeyi öğretiyorum. Sistem belleğini nasıl manipüle edeceklerini, ikili kodun satır aralarını nasıl okuyacaklarını ve otomatik araçların tamamen gözden kaçırdığı görünmez kusurları nasıl tespit edeceklerini gösteriyorum. Yapay zeka bilgi verebilir ancak bir zafiyet araştırmacısının sezgisel zihniyetini kazandıramaz ve beni vazgeçilmez kılan da budur.