1. GİRİŞ

"Attack surface" yani saldırı yüzeyi, bir sistemin, uygulamanın veya altyapının potansiyel olarak hedef alınabilecek tüm erişim noktalarının, API'lerin, arayüzlerin ve bağımlılıkların toplamını ifade eder. Modern yazılım ekosistemlerinde mikroservisler, bulut servisleri, third‑party kütüphaneler, CI/CD pipeline'ları ve client‑side uygulamalar saldırı yüzeyini büyük ölçüde genişletti. Bu nedenle saldırı yüzeyini doğru tanımlamak ve küçültmek, güvenlik risklerini yönetmenin temel yaklaşımlarından biridir.

Bu konu neden bugün önemli?

• Bulut ve mikroservis mimarileri ile sistemler daha fazla dışa açık hale geldi; yanlış konfigürasyonlar büyük ihlallere neden oluyor.
• Yazılım tedarik zinciri (software supply chain) saldırıları arttı; üçüncü taraf paketler ve pipeline'lar yeni hedefler oluşturuyor.
• Regülasyonlar (GDPR, KVKK, PCI) ve uyumluluk gereksinimleri güvenlik kontrollerinin sistematik uygulanmasını zorunlu kılıyor.

Kimler için önemli?

• Güvenlik mühendisleri ve mimarlar
• Geliştiriciler ve DevOps/Platform ekipleri
• CTO/CISO, ürün yöneticileri ve uyum ekipleri

Hangi problemleri çözüyor?

• Saldırı yüzeyini belirleyip önceliklendirme ile sınırlı güvenlik kaynaklarını etkin kullanma
• Konfigürasyon hatalarını, gereksiz izinleri ve gereksiz erişim noktalarını azaltma
• Proaktif risk yönetimi ile incident olasılığını ve etkilerini düşürme

2. KAVRAMSAL TEMELLER

2.1 Temel tanımlar

• Attack surface: Bir sistemin potansiyel saldırı vektörlerinin toplamı — ağ girişleri, API'ler, UI bileşenleri, üçüncü taraf entegrasyonları, yönetim arayüzleri, CI/CD pipeline'ları vb.
• Exposed surface: Gerçekte dış dünyaya açık olan parçalar; publicly routable endpoints, misconfigured buckets vb.
• Reduced surface: İzinler, endpoint ve bağımlılıkların minimize edildiği durum — güvenlik hedefi budur.
• Attack vector: Sızma için kullanılan spesifik yol veya yöntem (SQLi, XSS, phishing, supply chain compromise).

2.2 Attack surface türleri

• Network attack surface: Açık portlar, servislerin dışa açık olduğu IP/hostname'ler, network ACL'ler ve firewall kuralları.
• Application attack surface: API endpoint'leri, web UI, mobile client, third‑party SDK'lar, pluginler.
• Human attack surface: Sosyal mühendislik, yetki kötüye kullanımı, geliştirici hataları, yanlış konfigurasyon yapan kişiler.
• Supply chain attack surface: Bağımlılıkların ve CI/CD boru hattının saldırıya açık olması—package repositories, build runners, artifact registries.
• Cloud & Infrastructure attack surface: IAM roller, misconfigured S3 buckets, publicly exposed managed databases, permissive security groups.

3. NASIL ÇALIŞIR? — TÜMLEŞİK ANALİZ METODOLOJİLERİ

3.1 Attack surface analizinin adımları

1. Sistem keşfi (discovery): Asset inventory, topology mapping, SBOM ve dependency listeleri toplanır.
2. Haritalama: DFD/architecture diagramları ile veri akışları, trust boundary'ler ve erişim noktaları belirlenir.
3. Son durum değerlendirmesi: Publicly routable endpoint'ler, yönetim arayüzleri, third‑party entegrasyonlar, CI/CD ve cloud konfigürasyonları incelenir.
4. Risk puanlama: Olasılık ve etki bazlı scoring yapılır; exploitability, asset value ve exposure süresi dikkate alınır.
5. Mitigasyon planı: False positive filtreleme sonrası yüksek riskli yüzeyler için azaltma, kapatma, segmentasyon veya detection kontrolleri planlanır.
6. Doğrulama ve otomasyon: Testler (pentest/DAST), IaC scanning, CI gates ve runtime monitoring ile doğrulama yapılır.

3.2 Teknik bileşenler ve örnek kontroller

• Network: VPC peering politikaları, least‑privilege security groups, private subnets, bastion hosts, WAF.
• Identity & Access Management: Principle of least privilege, role separation, temporary credentials (assume role), MFA, conditional access.
• Application: Input validation, authentication hardening, rate limiting, API gateways, content security policy (CSP).
• Supply chain: SBOM, signed artifacts, reproducible builds, isolated runners, least‑privilege pipelines.
• Observability & Detection: Centralized logging, EDR, NDR, SIEM correlation, alerting and playbooks for fast response.

3.3 Veri akışı örneği ve yüzey analizi

Örnek: SaaS uygulamada tipik bir veri akışı — client → CDN → public API gateway → authentication service → microservice cluster → database. Bu akışta attack surface analizinde göz önünde bulundurulacak noktalar: CDN cache poisoning, API gateway rate limiting ve auth bypass, service mesh mTLS eksikliği, database network exposure, management console erişimi. Her nokta için exposure azaltma yolları (CSP, WAF, mTLS, VPC endpoint kullanma, IAM policy restrict) belirlenir.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Netflix / Büyük ölçekli SaaS

Netflix gibi firmalar attack surface yönetimini platform ve otomasyon seviyesinde ele alır. Golden path'ler, self‑service güvenli şablonlar ve platform‑level guardrail'ler sayesinde geliştiriciler standart güvenlik ile uygulama üretebilir. Observability ve chaos engineering ile runtime yüzeydeki zayıflıklar proaktif test edilir.

4.2 Amazon / AWS kullanıcı senaryoları

AWS müşterileri için en sık görülen attack surface problemleri IAM yanlış yapılandırmaları, açık S3 bucket'lar ve permissive security group kurallarıdır. FinOps ve security ekosistemleri birlikte çalışarak kaynakların doğru network konumlandırılmasını, tagging ve RBAC ile yönetilmesini sağlar.

4.3 Open Source supply chain örneği

Tedarik zinciri saldırıları (örn. dependency hijack) açık kaynak ekosisteminde ciddi riskler doğurur. Etkili SBOM uygulamaları, signed packages ve dependency monitoring ile saldırı yüzeyi daraltılabilir.

4.4 Finans sektörü

Bankacılık ve ödemelerde attack surface azaltımı için segregated networks, HSM tabanlı key management, strict change control ve continuous monitoring kullanılır. Payment flow'lar PCI kapsamına alındığından yüzey küçültme ve tokenization hayati önem taşır.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Proaktif savunma: Saldırı yüzeyi küçültüldüğünde exploit olasılığı ve etki azalır.
• Kaynak optimizasyonu: Güvenlik bütçeleri en kritik yüzeylere yönlendirilir.
• Uyumluluk desteği: Denetimlerde izlenebilir yapı ve kontrol kanıtları sağlanır.

Sınırlamalar

• Tamamen kapatılması mümkün değil: İnsan faktörü ve dinamik sistem değişiklikleri yüzeyin tamamen ortadan kaldırılmasını engeller.
• Operational overhead: Yüzey azaltma bazen iş akışı ve performans maliyeti getirir; trade‑off yönetimi gerekir.
• Tooling eksikliği: Büyük ölçekli sistemlerde discovery ve sürekli güncelleme için otomasyon zorunludur.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

Production kullanımı

• Least‑privilege ve role‑separation: IAM rolleri ve izinler minimuma indirilmeli.
• Public endpoints'leri minimize edin: Gerekli olmayan servislere public IP atamayın.
• WAF, API gateway ve rate limiting ile edge seviyesinde koruma sağlayın.

Performans ve operasyon

• IaC scanning ve pipeline gates ile konfigürasyon hatalarını yakalayın.
• Automated discovery: asset inventory ve SBOM otomasyonu kurun.
• Continuous monitoring: SIEM, EDR, NDR ile anomali tespiti ve korelasyon.

Güvenlik

• Secret management ve otomatik rotation; HSM/KMS entegrasyonları kullanın.
• Signed artifacts ve reproducible builds ile supply chain saldırılarını zorlaştırın.
• Regular red/blue team ve pentest ile yüzeyi test edin.

8. SIK YAPILAN HATALAR

• Asset inventory'nin güncel tutulmaması—eski ve unutulmuş servisler risk oluşturur.
• Excessive permissions: Genişletilmiş IAM izinleri sıkça istismar edilir.
• Public S3/Blob kabullerinin yanlış yapılandırılması—çok yaygın veri sızıntısı nedeni.
• CI/CD pipeline'larını güvenlikten ayrı tutmak: pipeline compromise kritik bir vektördür.

9. GELECEK TRENDLER

AI destekli attack surface discovery

AI ve ML, telemetri ve konfigürasyon verilerini analiz ederek potansiyel attack surface değişikliklerini otomatik tespit edecek. Anomali temelli yüzey genişleme uyarıları ve önerilen mitigasyonlar gündeme gelecek.

Runtime surface management

"Living" attack surface modelleri runtime telemetriyle güncellenecek; otomatik policy enforcement ile anlık riskleri azaltma yetenekleri yaygınlaşacak.

Supply chain ve SBOM standartlaşması

SBOM, artifact signing ve provenance izleme standartları olgunlaşacak; tedarik zinciri korunması merkezî bir güvenlik disiplini haline gelecek.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Attack surface'i nasıl hızlıca keşfederim?

   Asset discovery araçları, cloud provider inventory, SBOM ve network scanning ile başlangıç yapılır; ardından DFD ve topology diagramları oluşturulur.

2. 2. Küçük ekipler attack surface ile nasıl başa çıkmalı?

   Öncelikle en kritik varlıkları (payment, PII) belirleyin, public endpoint'leri azaltın ve temel IAM, secrets yönetimi ve pipeline kontrollerini uygulayın.

3. 3. Public S3 bucket'ı nasıl tespit ederim?

   Cloud provider araçları ve üçüncü taraf scanner'lar kullanarak public access ve ACL misconfigurations tespit edilebilir; en iyi uygulama bucket'ları private tutmak ve ihtiyaç varsa VPC endpoint kullanmaktır.

4. 4. SBOM neden önemli?

   SBOM bağımlılıkların görünürlüğünü sağlar, supply chain saldırılarına karşı erken uyarı ve izleme imkânı verir.

5. 5. Attack surface'i azaltmak performansı etkiler mi?

   Bazı azaltma teknikleri (ör. ekstra auth veya proxy) gecikme ekleyebilir; bu nedenle trade‑off analizleri yapılmalı ve optimize edilmiş çözümler tercih edilmelidir.

6. 6. CI/CD pipeline saldırı yüzeyi nasıl korunur?

   Isolated runners, least‑privilege credentials, signed commits, artifact signing ve pipeline as code review pratikleri kullanılmalıdır.

7. 7. İnsan kaynaklı yüzeyleri nasıl azaltırım?

   Eğitim, phishing testleri, access review'lar ve approval süreçleri ile insan faktöründen kaynaklanan riskler azaltılabilir.

8. 8. Attack surface monitoring hangi metriklerle izlenir?

   Exposed endpoint count, public bucket count, privileged role count, stale assets, failed auth attempts ve anomalous traffic patterns gibi metrikler izlenmelidir.

Anahtar Kavramlar

• Attack surface: Sistemin tüm potansiyel saldırı noktaları.
• SBOM: Software Bill of Materials — yazılım bileşenleri envanteri.
• Least privilege: En az ayrıcalık ilkesi.
• WAF: Web Application Firewall.
• EDR / NDR: Endpoint / Network Detection and Response.

Öğrenme Yol Haritası

1. 0–1 ay: Networking temelleri, HTTP/TLS, authentication/authorization temel kavramlarını öğrenin.
2. 1–3 ay: Cloud güvenliği (IAM, VPC, buckets), IaC güvenliği ve basic asset discovery araçları üzerinde pratik yapın.
3. 3–6 ay: SBOM, supply chain güvenliği, CI/CD hardening, signed artifacts ve pipeline security uygulamalarını deneyin.
4. 6–12 ay: Attack surface discovery tooling, red team tatbikatları, runtime monitoring ve AI destekli detection araçları ile deneyim kazanın.