1. GİRİŞ

Kod güvenliği taramaları (code security scanning) modern yazılım geliştirme süreçlerinin ayrılmaz bir parçası hâline gelmiştir. Yazılımın karmaşıklığı arttıkça ve üçüncü taraf kütüphaneler ile microservice mimarileri yaygınlaştıkça, güvenlik açıklarının erken aşamada yakalanması hem maliyeti düşürür hem de üretim riskini azaltır. Bu makalede SAST, SCA, DAST, IAST ve modern hibrit yaklaşımların teknik temellerini, mimarilerini, CI/CD entegrasyonlarını ve pratik uygulamalarını mühendis perspektifiyle ele alacağız.

Bu neden bugün önemli?

• Bağımlılık zinciri (supply chain) saldırıları ve otomatik exploit araçları sayesinde bir güvenlik açığı hızla geniş etki yaratabilir.
• Regülasyonlar ve müşteri beklentileri güvenlik kanıtı ve sürekli izlenebilirlik talep ediyor.
• Continuous Delivery süreçleri, güvenliği sona bırakmanın maliyetini ve riskini artırıyor; bu yüzden taramaların pipeline'a entegrasyonu kritik.

Kimler için önemli?

• Yazılım geliştiriciler ve teknik takım liderleri
• Güvenlik mühendisleri ve SOC ekipleri
• DevOps/SRE ekipleri — pipeline ve operasyonel entegrasyon için
• CTO/CISO — risk yönetimi ve strateji için

2. KAVRAMSAL TEMELLER

2.1 Kod güvenliği taramaları türleri

Kod taramaları farklı yaklaşımlarla yapılır. En yaygın kategoriler şunlardır:

• SAST (Static Application Security Testing): Kaynak kod veya derleme öncesi artifact'lar üzerinde statik analiz yapar; kod yolunu, veri akışını ve potansiyel güvenlik antipattern'lerini inceler.
• SCA (Software Composition Analysis): Projede kullanılan üçüncü taraf kütüphaneleri ve bileşenleri tarar; bilinen CVE'leri, lisans uyumluluğunu ve versiyon politikalarını kontrol eder.
• DAST (Dynamic Application Security Testing): Çalışan uygulamaya dışarıdan erişerek (black‑box) zafiyetleri bulmaya çalışır; injection, XSS, authentication bypass gibi runtime zafiyetlerini hedef alır.
• IAST (Interactive Application Security Testing): Uygulama çalışırken hem içerden hem dışardan gözlem yapar; genellikle test ortamına entegre edilen ajanlarla daha yüksek doğruluk sunar.
• RASP (Runtime Application Self‑Protection): Uygulamanın çalışma zamanında kendi içinde anomali tespiti ve koruma sağlayan yaklaşımdır.

2.2 Temel terminoloji

• False positive / negative: Tarama sonuçlarının doğruluğunu belirleyen kritik metrikler; false positive geliştiricinin zamanını boşa harcar, false negative ise gerçek risk bırakır.
• Recall & Precision: Detection modellerinin performans ölçümleri.
• SBOM: Yazılım bileşen listelemesi; SCA sistemlerinin girdisini oluşturur.
• Provenance & Signing: Artefaktların kaynağını doğrulama ve tedarik zinciri güvenliği mekanizmaları.

3. NASIL ÇALIŞIR? — TEKNİK MİMARİ VE BİLEŞENLER

3.1 Genel mimari

Güvenlik tarama mimarisi tipik olarak üç ana katman içerir: analiz katmanı (SAST/SCA/DAST araçları), entegrasyon katmanı (CI/CD, SCM webhooks) ve operasyon katmanı (SIEM, ticketing, SOAR). Araçlar pipeline içinde tetiklenerek kod commit'lerinden üretime kadar sürekli doğrulama yapar; sonuçlar merkezi bir dashboard'a/bug tracker'a veya geliştiriciye PR üzerinde geri bildirim olarak gönderilir.

3.2 SAST nasıl çalışır?

SAST araçları kaynak kod veya ara artifact'ları parse eder, Abstract Syntax Tree (AST) oluşturur, data flow ve control flow analizleri ile potansiyel güvenlik açıkları (ör. SQL injection, path traversal, insecure deserialization) tespit eder. Daha gelişmiş SAST çözümleri semantic analysis, taint tracking ve model tabanlı tehdit analizi kullanır. SAST'ta önemli olan nokta, tespitlerin anlamlı ve geliştirici dostu kılınmasıdır; aksi halde geliştiriciler alarm yorgunluğu yaşar.

3.3 SCA nasıl çalışır?

SCA araçları proje manifestlerini (package.json, pom.xml, requirements.txt vb.) ve image/ artifact içindeki bileşenleri tarar; bilinen CVE veritabanları ve vulnerability feeds ile karşılaştırma yapar. Kütüphane versiyonları, transitive dependency'ler ve lisans uyumluluğu raporlanır. Otomatik remediation önerileri (upgrade, patch) ve policy‑based gating SCA'nın üretim hattında uygulanmasını sağlar.

3.4 DAST ve IAST çalışma mantığı

DAST, uygulamaya gerçek HTTP/HTTPS istekleri göndererek güvenlik açıklarını tespit eder. Bunun avantajı gerçek world attack yüzeyini test etmesidir; dezavantajı ise coverage'ın test senaryolarına bağlı olmasıdır. IAST ise uygulama çalışırken içerden gözlemler yapar; unit/integration test sırasında gerçek zafiyetleri daha yüksek doğrulukla bulabilir. IAST, test kapsamı ile birleştiğinde DAST'in zayıf olduğu alanları tamamlar.

3.5 Telemetri, korelasyon ve otomasyon

Taramalar sonucu oluşan bulguların SIEM/NDR/EDR ile korele edilmesi, false positive'leri azaltır ve TTP (Tactics, Techniques and Procedures) bazlı tespitleri güçlendirir. Ayrıca SOAR playbook'ları ile otomatik ticket açma, hotfix tetikleme veya canary rollback gibi süreçler otomasyona bağlanabilir.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Büyük teknoloji firmaları

Netflix, Google, Amazon gibi şirketler SAST/SCA/DAST kombinasyonunu pipeline'larına entegre eder. Örneğin Google, CodeQL benzeri SAST yaklaşımlarını geniş ölçekte kullanarak semantic query'ler ile yüksek doğrulukta tespitler üretir. Netflix gibi firmalar ise uygulama telemetry'sini kullanarak üretim benzeri ortamlarda saldırı simülasyonları ve DAST testleri yapar.

4.2 Finans, sağlık ve regüle sektörler

Bu sektörlerde zafiyet yönetimi çok sıkı denetlenir. Düzenli SCA raporlaması, immutable audit trail ve change control mekanizmaları (approval gates) hayati öneme sahiptir. Ayrıca third‑party dependency'lerin denetlenmesi ve SBOM tutulması regülasyon gereksinimleriyle paraleldir.

4.3 Startuplar ve KOBİ'ler

Küçük ekipler için managed SCA ve SAST servisleri (SaaS) hızlı değer sağlar. Temel olarak dependency scanning, otomatik PR bildirimleri ve pipeline gating ile başlanabilir; zamanla IAST/DAST ve daha ileri seviye SAST kullanımına geçilir.

5. AVANTAJLAR VE SINIRLAMALAR

5.1 Avantajlar

• Zafiyetleri erken yakalamak maliyeti ve yaygın etkileri azaltır.
• Otomasyon sayesinde güvenlik süreçleri ölçeklenebilir ve tekrarlanabilir olur.
• SBOM ve SCA ile tedarik zinciri görünürlüğü artar; regülasyon gereksinimleri kolaylaşır.

5.2 Sınırlamalar ve zorluklar

• False positive yönetimi: yüksek alarm hacmi geliştirici güvenini zayıflatabilir.
• Coverage ve test eksikliği: DAST performansı test senaryolarına bağımlıdır; IAST ve test tasarımına yatırım gerekir.
• Tooling entegrasyonu ve veri standardı eksikliği: SBOM ve vulnerability feeds arasında uyumsuzluklar olabilir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

7.1 CI/CD entegrasyonu

• SAST ve SCA'yı pre‑merge ve build aşamalarında çalıştırın; DAST ve IAST'i test/QA aşamasında çalıştırın.
• Risk‑based gating: kritik projeler için daha sık ve derin taramalar; düşük risk için sampling uygulayın.
• Artifact signing ve SBOM ile provenance doğrulaması yaparak tedarik zinciri riskini azaltın.

7.2 Operasyon ve workflow

• False positive'leri azaltmak için security engineering ekipleri ile geliştiriciler arasında geri besleme döngüsü kurun.
• Vulnerability triage: CVSS, exploit maturity ve asset criticality'yi birleştirerek önceliklendirme yapın.
• SOAR playbook'ları ile rutin remediation adımlarını otomatikleştirin (ticket, patch PR, rollback).

7.3 Detection engineering ve telemetry

• Runtime telemetry, SIEM/NDR/EDR ile korele edilerek tarama bulgularının doğruluğu artırılmalı.
• Test harness'ları oluşturun: DAST ve IAST için repeatable test senaryoları tasarlayın.
• SBOM, CVE feed ve threat intelligence entegrasyonları ile proaktif patch management uygulayın.

8. SIK YAPILAN HATALAR

• Sadece tek bir tarama tekniğine güvenmek (ör. yalnızca SAST) — hibrit yaklaşım gereklidir.
• False positive'leri görmezden gelip tuning yapmamak; geliştirici güvenini kaybetmek.
• SBOM ve provenance eksikliği; third‑party risklerini görmezden gelmek.
• Tarama sonuçlarını merkezi olmayan şekilde saklamak — izlenebilirlik kaybı.

9. GELECEK TRENDLER

9.1 AI/ML destekli tarama ve önceliklendirme

Makine öğrenmesi modelleri, vulnerability scoring'i, false positive azaltmayı ve exploit öngörüsünü iyileştirecek. AI destekli kod analizleri, pattern recognition ile daha derin semantic tespitler sunabilir; ancak model explainability ve adversarial robustness konuları kritik olacaktır.

9.2 SBOM ve tedarik zinciri standartlaşması

SBOM'ların standartlaşması ve otomatik tüketimi, tedarik zinciri güvenliğini güçlendirecek. Sigstore, in‑toto gibi projeler provenance ve imzalama için geri kalmayan ekosistemler oluşturuyor.

9.3 Shift‑left ve shift‑right yakınsaması

Kod güvenliği sadece erken testlerde değil, üretimde de otomatik izleme ile sürdürülecek. IAST ve RASP yaklaşımları ile shift‑right pratikleri güçlendirilecek; CI/CD ve runtime güvenlik daha sıkı entegre olacak.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Hangi tarama türü önce uygulanmalı: SAST mi SCA mı?

   Her ikisi de önemlidir; pratikte pre‑merge aşamasında hızlı SAST kontrolleri ve dependency manifest'lerinin SCA taraması birlikte çalıştırılmalıdır. Hızlı geribildirim için SAST'ın hafif versiyonları pre‑commit veya PR düzeyinde etkili olur.

2. 2. False positive'leri nasıl azaltırım?

   Context enrichment (build metadata, runtime traces), whitelisting, custom rule tuning ve feedback loop ile false positive oranı düşürülür. Güvenlik ve geliştirme ekiplerinin ortak inceleme oturumları faydalıdır.

3. 3. SBOM neden zorunludur?

   SBOM, hangi bileşenlerin kullanıldığını gösterir; CVE takibi, license compliance ve provenance için temel gereksinimdir. Regülatörler ve büyük müşteriler SBOM talep etmeye başladı.

4. 4. DAST testleri production'da çalıştırılmalı mı?

   Genelde production üzerinde kapsamlı DAST çalıştırmak risklidir; ancak controlled canary veya saldırı simülasyonları planlı olarak yapılabilir. Testlerin erişim kontrolleri ve gözlem altyapısı iyi tasarlanmalıdır.

5. 5. IAST kullanmanın dezavantajları nelerdir?

   IAST agent'ları performans etkisi yaratabilir ve test kapsamına bağımlıdır; ayrıca agent yönetimi ve entegrasyon gerektirir.

6. 6. Hangi metrikleri takip etmeliyim?

   Time to remediate vulnerabilities, false positive rate, number of high severity open findings, SBOM coverage, triage time ve pipeline failure rate gibi metrikler izlenmelidir.

7. 7. Küçük ekipler için hızlı başlangıç adımları nelerdir?

   Dependency scanning (SCA), temel SAST kuralları, SBOM üretimi ve PR tabanlı security feedback ile başlamanız en hızlı kazanımı sağlar.

8. 8. Taramaları pipeline'a entegre ederken dikkat edilmesi gerekenler nelerdir?

   İzolasyon, secrets yönetimi, sonuçların geliştirici dostu olması, gating politikalarının aşırı katı olmaması ve otomatik remediation yollarının planlanması kritiktir.

Anahtar Kavramlar

• SAST: Kaynak kod analizi ile güvenlik açılarını tespit eden yöntem.
• SCA: Projedeki üçüncü taraf bileşenlerin güvenlik ve lisans durumunu inceleyen analiz.
• DAST: Çalışan uygulamayı dışarıdan test ederek runtime zafiyetleri bulur.
• IAST: Uygulama çalışırken eğitsel içgörü sağlayan hibrit yaklaşım.
• SBOM: Yazılım bileşen listesi; tedarik zinciri görünürlüğünün temeli.

Öğrenme Yol Haritası

1. 0–1 ay: Temel güvenlik kavramları, OWASP Top10, ve dependency management öğrenin.
2. 1–3 ay: SAST ve SCA araçlarını (SonarQube, CodeQL, Trivy) pipeline'a entegre edin ve PR'larda otomatik geribildirim sağlayın.
3. 3–6 ay: DAST testlerini test ortamına entegre edin, IAST deneyimleri ve SBOM üretimini uygulayın.
4. 6–12 ay: SOAR entegrasyonu, provenance/signing süreçleri, AI destekli önceliklendirme ve tam tedarik zinciri güvenliği projelerinde rol alın.