Hedefim SOC, DFIR ve güvenlik mühendisliği alanlarında ilerlemek.
Kurmak, güvenceye almak, savunmak.
Yaptığım neredeyse her şey bu üç fiilin etrafında döner. Bulutta dağıtım ve sistem yönetimi geçmişinden geliyorum; bu yüzden önce altyapı kurmayı (AWS ve Azure'da mikroservis mimarileri, veritabanları, önbellek, Kubernetes ile orkestrasyon) ve onu GitHub ile GitLab'de CI/CD pipeline'larıyla otomatikleştirmeyi öğrendim.
Siber güvenlik uzmanlığı bu pratiği DevSecOps yaklaşımına taşıdı: kontrolleri geliştirme döngüsünün tam içine yerleştirmek; hiçbir şey üretime ulaşmadan önce kod analizi, bağımlılık taraması ve konteyner incelemesiyle.
Sonra kurduğum şeyi savunmayı öğrendim.
Eksiksiz Blue Team ortamları hazırladım: Wazuh ile SIEM ve tespit kuralları, SOAR ile müdahale otomasyonu, OPNsense güvenlik duvarları, EDR ve VPN, bunlara ek olarak internete açık honeypot'lar. Sistem yönetiminden gelmek burada bana avantaj sağlıyor: sağlıklı bir makinenin nasıl göründüğünü bildiğinizde, normalin dışına çıkanı çok daha erken fark edersiniz.
Ama beni asıl yakalayan, saldırıdan sonra olanlar.
Honeypot'um her gün gerçek sızma girişimleri alıyor ve her biri yeniden kurulması gereken bir iz bırakıyor: nereden girdiği, hangi komutları çalıştırdığı, ne indirdiği ve ne kadar ilerlediği. Bunun için bellek analizine ve her hareketi bilinen taktik ve tekniklere göre sınıflandırmamı sağlayan MITRE ATT&CK çerçevesine dayanıyorum.
Buradan çıkanlar da laboratuvarda kalmıyor: saldırgan IP adreslerini raporluyor ve malware örneklerini herkese açık tehdit istihbaratı platformlarına yüklüyorum; aralarında daha önce hiçbir antivirüs motorunun kaydetmediği birkaç ikili dosya da var.
Hatta...
Başarılardan ve rakamlardan bahsedelim:
Kendi honeypot'larımdan ve laboratuvarlarımdan toplanan veriler, Ağustos 2026 itibarıyla güncel. İsterseniz bu katkıların herhangi birini ayrıntılı olarak anlatabilirim.
Dirtylands, değer önerisi hızlı dağıtım olan bir Cowrie + Dionaea projesi. Çalışan komutlar, gerçekçi bir ortam, titizlik ve proje olgunluğu. Ayrıca her olayı Telegram üzerinden, zararlı etkinlikleri de ilgili platformlara raporlama yeteneğine tam olarak sahiptir ve gözlemlenebilirlik sağlar.
5 dile çevrildi: İspanyolca, Fransızca, İngilizce, Almanca ve Bulgarca.
CyberDefenders.org'daki "Sysinternals" lab'ı üzerine adli bilişim raporu. Autopsy ve Registry Explorer ile incelenen .E01 imajı, Microsoft kılığına giren HTTP indirmesi, SYSTEM olarak çalıştırma, Amcache'ten kurtarılan SHA-1, Rozena truva atı, C2 ve servis üzerinden kalıcılık. Delil zinciri ve bilirkişi sonuçlarını içerir.
Lumma Stealer bulaşmış bir bilgisayardan alınan ağ trafiği kaydı (.PCAP) üzerine adli bilişim raporu. Wireshark'ta analiz, DHCP ve Kerberos ile host tespiti, C2'ye HTTP beaconing, sıkıştırılmış kimlik bilgilerinin sızdırılması ve VirusTotal'da doğrulanan beş zararlı alan adı. IoC'leri ve delil zincirini içerir.
StrelaStealer tarafından ele geçirilmiş bir bilgisayarın RAM dökümü (.dmp) üzerine adli bilişim raporu. Volatility 3 ile analiz: yetim süreçler, PowerShell ile Living off the Land zinciri, WebDAV üzerinden bir DLL'in dosyasız yüklenmesi, C2 bağlantısı ve kimlik bilgilerini çalmak için Thunderbird'e kod enjeksiyonu.
Uygulama 1: Docker ve WSL üzerinde Keycloak ile IAM laboratuvarı. OAuth 2.0 ve OpenID Connect akışları, üç token'ın anatomisi, PKCE, introspection, rotasyon ve iptal. Bilerek tetiklenen hataları sunucunun gerçek yanıtıyla birlikte içerir.
Uygulama 2: Keycloak'un verdiği JWT'leri onun JWKS'ine göre doğrulayan, imzayı, yayıncıyı, hedef kitleyi, geçerlilik süresini ve rolleri kontrol eden FastAPI kaynak sunucusu. Bilerek tetiklenen altı tür hatayı API'nin gerçek yanıtıyla birlikte içerir.
Uygulama 3: LDAPS üzerinden Keycloak'ta Active Directory federasyonu. Etki alanı denetleyicisi Hyper-V'de, Keycloak ise WSL2 içindeki Docker'da çalışıyor. Yalnızca AD'de bulunan kullanıcılar OIDC ile oturum açıyor; öznitelikleri ve grupları token'a ulaşıyor. Mapper'ları, yaşam döngüsünü ve sahipsiz hesapları içerir.
Azure'da iptables ile dinamik port knocking kullanan ve Telegram'dan gerçek zamanlı uyarı gönderen honeypot.
SonarQube, GitLeaks, Snyk ve OWASP ZAP'i entegre ederek kod kalitesini ve güvenliğini uçtan uca tarayan, GitLab CI/CD üzerinde eksiksiz bir DevSecOps pipeline'ı. Pipeline durumu Discord üzerinden otomatik ve gerçek zamanlı olarak bildirilir.
Yerelde kurulmuş çok katmanlı bir Java web uygulamasının AWS'ye (IaaS) lift & shift taşınması. Auto Scaling'li bir Elastic Load Balancer arkasında Tomcat sunucuları, arka uç servisi olarak MariaDB, Memcached ve RabbitMQ, Route 53'te özel DNS, S3'ten dağıtılan artifact'ler ve IAM ile sınırlandırılmış erişim.
Yepyeni bir hesaptan başlayarak AWS'de EKS ile yönetilen bir Kubernetes kümesinin dağıtımı. IAM kullanıcıları ve MFA ile erişimin sıkılaştırılması, CloudWatch'ta bir faturalandırma alarmı, genel alt ağlarıyla VPC, gereken rollerle düğüm grubu ve yol boyunca çıkan gerçek hatalar.
Udemy kursunun tüm modüllerini tamamlayarak Ansible'ın temel kullanımını uyguladığım proje. Ayrıca EC2 makinemin .pem anahtarlarının kaybolduğu senaryoyla da uğraşmak zorunda kaldım ve bunu çözmeye çalışıyorum.
Bu GitHub projesi, Udemy'deki "DevOps Beginners to Advanced" kursunun bir parçası. Vagrant, Nginx, Tomcat, RabbitMQ, Memcached ve MySQL kullanarak bir web sitesi kurmayı amaçlıyor.
Bu proje, bir web uygulamasını yönetmek, derlemek ve AWS Elastic Beanstalk'a dağıtmak için AWS servisleriyle bir CI/CD pipeline'ı oluşturmayı gösteriyor; AWS CodePipeline, AWS CodeBuild ve bir AWS RDS veritabanı bağlantısını bir araya getiriyor. Kaynak kodun git deposu olarak Bitbucket kullanılıyor.
Bu GitHub projesi, Udemy'deki "DevOps Beginners to Advanced" kursunun bir parçası. Önceki AWS projemiz Memcached, MySQL, Tomcat, RabbitMQ ve bir yük dengeleyiciyle çok katmanlı bir web uygulaması dağıtıyordu. Şimdi her şeyi ElastiCache, Amazon MQ, RDS ve Beanstalk gibi AWS servisleriyle yeniden kuruyoruz.
