https://handbook.orneksirket.com/tags/security/Recent content in Security on Denomas HandbookHugotrhttps://handbook.orneksirket.com/security/Mon, 01 Jan 0001 00:00:00 +0000https://handbook.orneksirket.com/security/<h1 id="güvenlik">Güvenlik</h1> <p>Denomas güvenlik ekibi, <strong>Zero Trust</strong> felsefesiyle tüm ürün ve hizmetlerde güvenlik öncelikli bir yaklaşım benimser. Hem kendi altyapımızın hem de müşterilerimizin ortamlarının güvenliğini sağlayacak kapsamlı bir güvenlik stratejisi uyguluyoruz.</p> <h2 id="güvenlik-vizyonu">Güvenlik Vizyonu</h2> <p>Güvenlik, Denomas'ta bir eklenti değil, tasarımın temel parçasıdır:</p> <ol> <li><strong>Zero Trust</strong> — Hiçbir şey varsayılan olarak güvenilir değildir</li> <li><strong>Defense in Depth</strong> — Katmanlı savunma yaklaşımı</li> <li><strong>Shift-Left Security</strong> — Güvenlik geliştirme sürecinin en başında başlar</li> <li><strong>Sürekli İzleme</strong> — Denomas Denetim Otomasyon ile 7/24 güvenlik izlemesi</li> </ol> <h2 id="departman-içerikleri">Departman İçerikleri</h2> <table> <thead> <tr> <th>Sayfa</th> <th>Açıklama</th> </tr> </thead> <tbody> <tr> <td><a href="https://handbook.orneksirket.com/security/security-approach/">Güvenlik Yaklaşımı</a> </td> <td>Zero Trust, derinlemesine savunma stratejisi</td> </tr> <tr> <td><a href="https://handbook.orneksirket.com/security/responsible-disclosure/">Sorumlu Açıklama</a> </td> <td>Güvenlik açığı bildirim politikası</td> </tr> <tr> <td><a href="https://handbook.orneksirket.com/security/compliance-overview/">Uyumluluk Genel Bakış</a> </td> <td>ISO 27001, KVKK, PCI-DSS, NIST</td> </tr> <tr> <td><a href="https://handbook.orneksirket.com/security/penetration-testing/">Sızma Testi</a> </td> <td>Sızma testi hizmetleri</td> </tr> </tbody> </table> <h2 id="uyumluluk-standartları">Uyumluluk Standartları</h2> <p>Denomas, aşağıdaki uluslararası ve ulusal standartlara uyumluluk sağlar:</p>https://handbook.orneksirket.com/security/security-approach/Mon, 01 Jan 0001 00:00:00 +0000https://handbook.orneksirket.com/security/security-approach/<h1 id="güvenlik-yaklaşımı">Güvenlik Yaklaşımı</h1> <p>Denomas, tüm ürün ve hizmetlerinde <strong>Zero Trust</strong> ve <strong>Defense in Depth (Derinlemesine Savunma)</strong> prensiplerini temel alan kapsamlı bir güvenlik yaklaşımı benimser.</p> <h2 id="zero-trust-prensipleri">Zero Trust Prensipleri</h2> <p>Zero Trust, &quot;asla güvenme, her zaman doğrula&quot; prensibine dayanır. Denomas'ta bu prensip aşağıdaki şekilde uygulanır:</p> <h3 id="temel-prensipler">Temel Prensipler</h3> <ol> <li><strong>Kimlik Doğrulama</strong> — Her erişim talebi, kaynağı ne olursa olsun (iç/dış ağ) kimlik doğrulamadan geçer</li> <li><strong>En Az Yetki (Least Privilege)</strong> — Kullanıcılar yalnızca işlerini yapmak için ihtiyaç duyduğu kaynaklara erişir</li> <li><strong>Mikro-Segmentasyon</strong> — Ağ kaynakları izole segmentlere ayrılır, yanal hareket sınırlanır</li> <li><strong>Sürekli Doğrulama</strong> — Oturum boyunca sürekli güven değerlendirmesi yapılır (cihaz durumu, konum, davranış)</li> <li><strong>Şifreli İletişim</strong> — Tüm trafik TLS 1.3/mTLS ile şifrelenir, iç ağ dahil</li> <li><strong>Varsayılan Reddet (Default Deny)</strong> — Açıkça izin verilmemiş tüm erişim engellenir</li> <li><strong>Log Her Şeyi</strong> — Tüm erişim girişimleri, başarılı/başarısız, kayıt altına alınır</li> </ol> <h3 id="zero-trust-uygulama-modeli">Zero Trust Uygulama Modeli</h3> <pre tabindex="0"><code>┌─────────────────────────────────────────────────┐ │ 1. Kimlik ve Erişim Yönetimi (IAM) │ │ FreeIPA + Keycloak SSO + MFA (YubiKey/TOTP) │ ├─────────────────────────────────────────────────┤ │ 2. Ağ Güvenliği (Mikro-Segmentasyon) │ │ VLAN izolasyonu + WireGuard VPN + mTLS │ ├─────────────────────────────────────────────────┤ │ 3. Uygulama Güvenliği │ │ SAST/DAST + Dependency Scan + WAF │ ├─────────────────────────────────────────────────┤ │ 4. Veri Güvenliği │ │ AES-256 şifreleme + Sınıflandırma + DLP │ ├─────────────────────────────────────────────────┤ │ 5. Altyapı Güvenliği │ │ IaC + CIS Hardening + Patch Yönetimi │ ├─────────────────────────────────────────────────┤ │ 6. İzleme ve Müdahale │ │ SIEM (Wazuh) + Zabbix + Olay Müdahale │ └─────────────────────────────────────────────────┘ </code></pre><h2 id="defense-in-depth-derinlemesine-savunma">Defense in Depth (Derinlemesine Savunma)</h2> <p>Katmanlı savunma stratejimiz, tek bir güvenlik kontrolünün başarısız olmasının tüm sistemi tehlikeye atmamasını sağlar. Her katman bağımsız olarak koruma sağlar:</p>https://handbook.orneksirket.com/hiring/job-families/security-engineer/Mon, 01 Jan 0001 00:00:00 +0000https://handbook.orneksirket.com/hiring/job-families/security-engineer/<h1 id="security-engineer-güvenlik-mühendisi">Security Engineer (Güvenlik Mühendisi)</h1> <p>Güvenlik mühendisleri, Denomas ürün ve altyapısının güvenlik duruşunu yönetir. Güvenlik testi, uyumluluk denetimi, olay müdahale ve güvenlik mimarisi tasarımından sorumludur.</p> <hr> <h2 id="kariyer-seviyeleri-ve-denomas-yetkinlik-çerçevesi-gereksinimleri">Kariyer Seviyeleri ve Denomas Yetkinlik Çerçevesi Gereksinimleri</h2> <h3 id="junior-security-engineer--yetkinlik-seviyesi-2">Junior Security Engineer — Yetkinlik Seviyesi 2</h3> <table> <thead> <tr> <th>Yetkinlik</th> <th>Seviye</th> <th>Açıklama</th> </tr> </thead> <tbody> <tr> <td>SCTY</td> <td>2</td> <td>Temel güvenlik uygulamaları</td> </tr> <tr> <td>AUDT</td> <td>1</td> <td>Denetim temelleri</td> </tr> </tbody> </table> <p><strong>Temel Sorumluluklar:</strong></p> <ul> <li>Güvenlik tarama araçlarını çalıştırma ve sonuç raporlama</li> <li>Güvenlik politikalarını izleme</li> <li>Zafiyet yönetimi süreçlerine katılım</li> <li>Güvenlik dokümantasyonu bakımı</li> </ul> <p><strong>Aranan Nitelikler:</strong></p>https://handbook.orneksirket.com/security/penetration-testing/Mon, 01 Jan 0001 00:00:00 +0000https://handbook.orneksirket.com/security/penetration-testing/<h1 id="sızma-testi">Sızma Testi</h1> <p>Denomas sızma testi hizmetleri, müşterilerimizin güvenlik duruşlarını bağımsız olarak değerlendirmek ve iyileştirmek için kapsamlı testler sunar.</p> <h2 id="test-türleri">Test Türleri</h2> <h3 id="ağ-sızma-testi">Ağ Sızma Testi</h3> <ul> <li>Dış ağ testi (perimeter)</li> <li>İç ağ testi (lateral movement)</li> <li>Kablosuz ağ testi</li> <li>VPN ve uzaktan erişim testi</li> </ul> <h3 id="web-uygulama-testi">Web Uygulama Testi</h3> <p>OWASP Top 10 odaklı kapsamlı test:</p> <ul> <li>Injection (SQL, NoSQL, LDAP)</li> <li>Broken Authentication</li> <li>Sensitive Data Exposure</li> <li>XML External Entities (XXE)</li> <li>Broken Access Control</li> <li>Security Misconfiguration</li> <li>Cross-Site Scripting (XSS)</li> <li>Insecure Deserialization</li> <li>Known Vulnerabilities</li> <li>Insufficient Logging</li> </ul> <h3 id="mobil-uygulama-testi">Mobil Uygulama Testi</h3> <ul> <li>Statik analiz (SAST)</li> <li>Dinamik analiz (DAST)</li> <li>API güvenlik testi</li> <li>Veri depolama analizi</li> </ul> <h3 id="sosyal-mühendislik-testi">Sosyal Mühendislik Testi</h3> <ul> <li>Phishing simülasyonu</li> <li>Vishing (telefon) testi</li> <li>Fiziksel güvenlik değerlendirmesi</li> </ul> <h2 id="metodoloji">Metodoloji</h2> <p>Sızma testlerimiz uluslararası standartlara uygun olarak yürütülür:</p>https://handbook.orneksirket.com/security/responsible-disclosure/Mon, 01 Jan 0001 00:00:00 +0000https://handbook.orneksirket.com/security/responsible-disclosure/<h1 id="sorumlu-açıklama-politikası">Sorumlu Açıklama Politikası</h1> <p>Denomas, güvenlik araştırmacıları ve topluluk üyeleriyle işbirliğine değer verir. Bu politika, güvenlik açıklarının sorumlu bir şekilde bildirilmesi ve çözülmesi için çerçeve sunar.</p> <h2 id="bildirim-süreci">Bildirim Süreci</h2> <p>Bir güvenlik açığı keşfettiğinizde aşağıdaki adımları izleyin:</p> <ol> <li><strong>Raporlama</strong> — <a href="https://handbook.orneksirket.com/mailto:security@denomas.com/">security@denomas.com</a> adresine şifrelenmiş e-posta gönderin (PGP anahtarımız web sitemizde mevcuttur)</li> <li><strong>Detay Sağlama</strong> — Açığı yeniden üretmek için yeterli bilgi ekleyin</li> <li><strong>Gizlilik</strong> — Açığı kamuya açıklamadan önce çözüm için makul süre tanıyın</li> <li><strong>Koordinasyon</strong> — Güvenlik ekibimizle çözüm süreci boyunca koordineli çalışın</li> </ol> <h2 id="kapsam">Kapsam</h2> <h3 id="kapsam-dahilindeki-varlıklar">Kapsam Dahilindeki Varlıklar</h3> <ul> <li>Denomas ürün portföyü (Monitoring, Automation, AIO, Agent, Cloud)</li> <li>denomas.com ve alt alan adları</li> <li>API endpoint'leri</li> <li>Mobil uygulamalar</li> </ul> <h3 id="kapsam-dışındaki-varlıklar">Kapsam Dışındaki Varlıklar</h3> <ul> <li>Üçüncü taraf hizmetleri</li> <li>Fiziksel güvenlik testleri</li> <li>Sosyal mühendislik saldırıları</li> <li>DoS/DDoS testleri</li> </ul> <h2 id="kabul-edilen-açık-türleri">Kabul Edilen Açık Türleri</h2> <ul> <li>Uzaktan kod yürütme (RCE)</li> <li>SQL injection</li> <li>Cross-site scripting (XSS)</li> <li>Kimlik doğrulama atlatma</li> <li>Yetki yükseltme</li> <li>Hassas veri ifşa</li> <li>SSRF (Server-Side Request Forgery)</li> </ul> <h2 id="yanıt-süresi">Yanıt Süresi</h2> <table> <thead> <tr> <th>Aşama</th> <th>Süre</th> </tr> </thead> <tbody> <tr> <td><strong>İlk Yanıt</strong></td> <td>2 iş günü</td> </tr> <tr> <td><strong>Değerlendirme</strong></td> <td>5 iş günü</td> </tr> <tr> <td><strong>Çözüm Planı</strong></td> <td>10 iş günü</td> </tr> <tr> <td><strong>Yama Yayınlama</strong></td> <td>Kritikliğe göre 7-30 gün</td> </tr> </tbody> </table> <h2 id="kurallar">Kurallar</h2> <ul> <li>Bulduğunuz açıklardan yararlanmayın veya kötü niyetle kullanmayın</li> <li>Başkalarının verilerine erişmeyin veya değiştirmeyin</li> <li>Hizmeti kesintiye uğratacak testler yapmayın</li> <li>Açığı yalnızca Denomas güvenlik ekibine bildirin</li> </ul> <div class="td-alert td-alert--md alert alert-info" role="alert"><div class="td-alert-heading alert-heading" role="heading">Gizlilik Taahhüdü</div> <div class="td-alert-body"> <p>Sorumlu açıklama sürecine uyan araştırmacılara karşı yasal işlem başlatılmayacaktır. Tüm bildirimler gizli tutulur.</p>https://handbook.orneksirket.com/security/compliance-overview/Mon, 01 Jan 0001 00:00:00 +0000https://handbook.orneksirket.com/security/compliance-overview/<h1 id="uyumluluk-genel-bakış">Uyumluluk Genel Bakış</h1> <p>Denomas, uluslararası ve ulusal düzenlemelere uyumluluk konusunda kapsamlı bir yaklaşım benimser. Bu sayfa, desteklediğimiz uyumluluk standartlarını ve müşterilerimize sağladığımız uyumluluk hizmetlerini özetler.</p> <h2 id="desteklenen-standartlar">Desteklenen Standartlar</h2> <h3 id="iso-27001">ISO 27001</h3> <p>Bilgi Güvenliği Yönetim Sistemi (BGYS) standardı, Denomas'ın güvenlik yönetiminin temelini oluşturur.</p> <table> <thead> <tr> <th>Bileşen</th> <th>Kapsam</th> </tr> </thead> <tbody> <tr> <td><strong>Risk Değerlendirmesi</strong></td> <td>Varlık tabanlı risk analizi</td> </tr> <tr> <td><strong>Güvenlik Kontrolleri</strong></td> <td>Annex A kontrolleri uygulama</td> </tr> <tr> <td><strong>İç Denetim</strong></td> <td>Yıllık iç denetim döngüsü</td> </tr> <tr> <td><strong>Sürekli İyileştirme</strong></td> <td>PDCA (Plan-Do-Check-Act) döngüsü</td> </tr> </tbody> </table> <h3 id="kvkk-kişisel-verilerin-korunması-kanunu">KVKK (Kişisel Verilerin Korunması Kanunu)</h3> <p>Türkiye'nin kişisel veri koruma mevzuatına tam uyumluluk:</p>