DevOps ve DevSecOps Nedir? CI/CD, Docker, Kubernetes ve Güvenli Yazılım Geliştirme Rehberi

DevOps ve DevSecOps nedir? CI/CD, Docker, Kubernetes, GitOps, SAST, DAST, SCA, SBOM, container güvenliği ve güvenli yazılım geliştirmeyi keşfedin.

DevOps ve DevSecOps Nedir?

DevOps, yazılım geliştirme (Development) ve BT operasyonları (Operations) arasındaki iş birliğini, otomasyonu ve sürekli iyileştirmeyi destekleyen bir çalışma yaklaşımıdır.

DevSecOps ise güvenlik (Security) faaliyetlerinin yazılım geliştirme ve operasyon süreçlerinin tamamına entegre edilmesini hedefleyen yaklaşımdır.

Geleneksel yazılım geliştirme süreçlerinde yazılım ekipleri uygulamayı geliştirirken operasyon ekipleri uygulamanın çalıştırılmasından sorumlu olabilir.

Güvenlik değerlendirmeleri ise bazen yazılım tamamlandıktan sonra gerçekleştirilebilir.

Bu durum geç tespit edilen güvenlik sorunlarına, yeniden geliştirme ihtiyacına ve teslimat gecikmelerine neden olabilir.

DevOps yaklaşımı geliştirme ve operasyon süreçlerinin daha uyumlu çalışmasını destekler.

DevSecOps ise bu yapıya güvenlik gereksinimlerini, otomatik kontrolleri, güvenlik testlerini ve risk yönetimini bütünleşik olarak dahil eder.

Örneğin bir CRM uygulamasında geliştirici yeni bir API oluşturduğunda kod değişikliği otomatik testlerden geçirilebilir.

Aynı süreçte kaynak kod analizi, bağımlılık taraması ve gizli bilgi kontrolü gerçekleştirilebilir.

Uygun kontroller tamamlandıktan sonra yazılım test veya canlı ortama dağıtılabilir.

Kısa cevap: DevOps, yazılım geliştirme ve operasyon süreçlerini iş birliği ve otomasyonla bütünleştiren yaklaşımdır. DevSecOps ise güvenliği bu süreçlerin ayrılmaz bir parçası haline getirmeyi hedefler. CI/CD, Docker, Kubernetes, SAST, DAST ve SCA gibi teknolojiler bu yaklaşımların uygulanmasını destekleyebilir.

1. DevOps Ne İşe Yarar?

DevOps, yazılımın geliştirilmesi, test edilmesi, dağıtılması ve işletilmesi süreçlerinde koordinasyonu artırmayı hedefler.

Temel amaçları

Geliştirme ve operasyon ekipleri arasında iş birliği oluşturmak
Tekrarlanan işlemleri otomatikleştirmek
Yazılım teslim süreçlerini iyileştirmek
Test ve dağıtım faaliyetlerini standartlaştırmak
Sistemlerin izlenebilirliğini artırmak
Geri bildirim döngülerini hızlandırmak
Hizmet sürekliliğini desteklemek

Örnek

Bir işletmenin web uygulamasında yapılan değişiklikler daha önce manuel olarak sunucuya aktarılıyorsa, otomatik dağıtım süreçleriyle bu işlemler standartlaştırılabilir.

2. DevSecOps Ne İşe Yarar?

DevSecOps, yazılım geliştirme yaşam döngüsünde güvenliğin sistematik biçimde ele alınmasını sağlar.

Temel amaçları

Güvenlik gereksinimlerini erken belirlemek.

Kod güvenliği kontrollerini otomatikleştirmek.

Üçüncü taraf bileşen risklerini değerlendirmek.

CI/CD süreçlerini korumak.

Dağıtım ortamlarının güvenliğini artırmak.

Güvenlik bulgularını yönetmek.

Örnek

Bir yazılım geliştiricisi uygulamaya yeni bir açık kaynak kütüphane eklediğinde SCA aracı ilgili bileşenin bilinen güvenlik açıklarını değerlendirebilir.

3. DevOps ile DevSecOps Arasındaki Fark

Kriter	DevOps	DevSecOps
Temel odak	Geliştirme ve operasyon iş birliği	Güvenliğin tüm sürece entegrasyonu
Otomasyon	Derleme, test, dağıtım	Bunlara ek güvenlik kontrolleri
Kod güvenliği	Uygulanabilir	Temel faaliyetlerden biridir
Güvenlik sorumluluğu	Organizasyona bağlı	Paylaşılan sorumluluk vurgulanır
Risk yönetimi	Operasyonel riskler	Yazılım ve tedarik zinciri riskleri de dahil

Önemli nokta

DevSecOps, DevOps'un yerine geçen ayrı bir teknoloji değildir. Güvenlik odaklı uygulamaların DevOps süreçleriyle bütünleştirilmesidir.

4. DevOps Bir Yazılım mı, Metodoloji mi?

DevOps tek bir yazılım ürünü değildir.

Kültür, süreç, otomasyon ve teknik uygulamaları kapsayan bir yaklaşımdır.

DevOps kapsamında kullanılabilecek araçlar

Git.

GitLab.

GitHub Actions.

Jenkins.

Azure DevOps.

Docker.

Kubernetes.

Terraform.

Ansible.

Prometheus.

Önemli nokta

Bu araçların kurulmuş olması tek başına başarılı DevOps uygulaması anlamına gelmez.

5. DevSecOps Bir Güvenlik Ürünü müdür?

DevSecOps tek başına satın alınan bir güvenlik ürünü değildir.

Farklı güvenlik teknolojileri ve süreçleriyle uygulanır.

Örnek bileşenler

SAST.

DAST.

SCA.

Secret scanning.

Container scanning.

IaC scanning.

SBOM.

Güvenlik politikaları.

Önemli nokta

DevSecOps uygulamasında araçlardan elde edilen bulguların değerlendirilmesi, önceliklendirilmesi ve giderilmesi gerekir.

6. SDLC ile DevSecOps İlişkisi

SDLC (Software Development Life Cycle), yazılım geliştirme yaşam döngüsüdür.

DevSecOps, güvenlik faaliyetlerinin SDLC boyunca uygulanmasını destekler.

Örnek aşamalar

Planlama.

Analiz.

Tasarım.

Geliştirme.

Test.

Dağıtım.

İşletim.

Güvenlik faaliyetleri

Gereksinim analizi.

Tehdit modelleme.

Güvenli kodlama.

Kod analizi.

Güvenlik testleri.

İzleme.

7. Secure SDLC Nedir?

Secure SDLC, güvenlik gereksinimlerinin yazılım yaşam döngüsüne entegre edildiği geliştirme yaklaşımıdır.

Temel faaliyetler

Güvenlik gereksinimleri.

Tehdit modelleme.

Güvenli tasarım.

Kod inceleme.

Güvenlik testleri.

Güvenli dağıtım.

Örnek

Bir CRM uygulamasında kullanıcıların yalnızca yetkili oldukları müşteri kayıtlarını görüntüleyebilmesi tasarım aşamasında ele alınmalıdır.

8. Shift Left Security Nedir?

Shift Left Security, güvenlik kontrollerinin yazılım geliştirme sürecinin erken aşamalarına taşınmasını ifade eder.

Örnek uygulamalar

Güvenlik gereksinimleri.

Tehdit modelleme.

Kod analizi.

Bağımlılık taraması.

Geliştirici güvenlik eğitimleri.

Avantajı

Güvenlik sorunlarının daha erken belirlenmesini destekler.

Önemli nokta

Erken güvenlik kontrolleri, canlı ortam güvenliğinin izlenmesi ihtiyacını ortadan kaldırmaz.

9. Shift Right Security Nedir?

Shift Right Security, yazılım dağıtıldıktan sonra güvenlik ve operasyonel davranışların izlenmesine odaklanır.

Örnek uygulamalar

Çalışma zamanı izleme.

Güvenlik logları.

Anomali tespiti.

Olay müdahalesi.

Güvenlik telemetrisi.

Önemli nokta

Shift Left ve Shift Right birbirini tamamlayan yaklaşımlardır.

10. CI Nedir?

CI (Continuous Integration), geliştiricilerin kod değişikliklerini düzenli biçimde ortak kod tabanına entegre etmesi ve bu değişikliklerin otomatik kontrollerle doğrulanması yaklaşımıdır.

CI faaliyetleri

Kod birleştirme.

Derleme.

Birim testleri.

Kod kalitesi.

Güvenlik taramaları.

Örnek

Geliştirici yeni kod gönderdiğinde otomatik testler başlatılabilir.

11. CD Nedir?

CD kısaltması iki farklı kavram için kullanılabilir.

Continuous Delivery

Yazılımın üretim ortamına dağıtılmaya hazır durumda tutulmasını hedefler.

Continuous Deployment

Uygun kontrollerden geçen değişikliklerin üretim ortamına otomatik dağıtılmasını ifade eder.

Önemli nokta

Continuous Delivery ile Continuous Deployment aynı kavram değildir.

12. CI/CD Pipeline Nedir?

CI/CD Pipeline, kod değişikliklerinin derleme, test, güvenlik kontrolü ve dağıtım aşamalarından geçirilmesini sağlayan otomasyon akışıdır.

Örnek akış

Kod değişikliği.

Derleme.

Birim testi.

SAST.

SCA.

Paketleme.

Container taraması.

Test ortamına dağıtım.

DAST.

Onay.

Canlıya geçiş.

Önemli nokta

Her projede bütün aşamaların aynı sırada uygulanması zorunlu değildir.

13. CI/CD Pipeline Güvenliği

CI/CD sistemleri kaynak kod, erişim bilgileri ve dağıtım yetkileriyle ilişkili olabilir.

Temel riskler

Yetkisiz kod değişikliği.

Gizli bilgi sızıntısı.

Güvensiz bağımlılıklar.

Pipeline yapılandırma hataları.

Dağıtım yetkilerinin kötüye kullanılması.

Güvenlik kontrolleri

En az ayrıcalık.

Kod inceleme.

Gizli bilgi yönetimi.

İmzalama.

Denetim kayıtları.

14. Git Nedir?

Git, dağıtık versiyon kontrol sistemidir.

Kullanım alanları

Kod değişikliklerinin izlenmesi.

Dal yönetimi.

Kod birleştirme.

Geçmişe dönük inceleme.

Önemli nokta

Git, kaynak kodun versiyonlanmasını sağlar; tek başına güvenli yedekleme stratejisi değildir.

15. GitHub, GitLab ve Azure DevOps Nedir?

Bu platformlar yazılım geliştirme süreçlerine yönelik farklı hizmetler sunar.

GitHub

Kaynak kod barındırma, iş takibi ve otomasyon.

GitLab

Kaynak kod yönetimi ve DevSecOps yaşam döngüsü özellikleri.

Azure DevOps

İş takibi, kaynak kod, pipeline ve test yönetimi.

Önemli nokta

Platformların özellikleri lisans, sürüm ve dağıtım modeline göre değişebilir.

16. Jenkins Nedir?

Jenkins, otomasyon sunucusu olarak kullanılan açık kaynak yazılımdır.

Kullanım alanları

Derleme.

Test.

CI/CD.

Dağıtım otomasyonu.

Önemli nokta

Jenkins sunucularının eklentileri, erişim yetkileri ve güncellemeleri güvenlik açısından yönetilmelidir.

17. Docker Nedir?

Docker, uygulamaların container olarak paketlenmesini ve çalıştırılmasını sağlayan teknolojiler sunan platformdur.

Container'lar uygulamanın çalışması için gerekli bileşenlerin tutarlı biçimde paketlenmesini destekler.

Avantajları

Taşınabilirlik.

Tekrarlanabilir dağıtım.

Ortam tutarlılığı.

Kaynak kullanımında esneklik.

Örnek

Bir CRM uygulamasının backend bileşeni container olarak paketlenebilir.

18. Container Nedir?

Container, uygulamanın çalışması için gerekli bileşenleri izole edilmiş bir çalışma ortamında bir araya getiren teknolojik yaklaşımdır.

Container bileşenleri

Uygulama.

Bağımlılıklar.

Çalışma zamanı.

Yapılandırma.

Önemli nokta

Container'lar genellikle ana sistemin çekirdeğini paylaşır. Bu nedenle sanal makinelerle aynı izolasyon modeline sahip değildir.

19. Docker ile Sanal Makine Arasındaki Fark

Kriter	Container	Sanal Makine
İşletim sistemi	Genellikle ana sistem çekirdeğini paylaşır	Kendi konuk işletim sistemi bulunur
Başlatma	Genellikle hızlı	Daha fazla başlangıç yükü olabilir
Kaynak kullanımı	Daha hafif olabilir	Daha fazla kaynak gerektirebilir
İzolasyon	Container mekanizmaları	Hipervizör tabanlı
Kullanım	Uygulama paketleme ve dağıtım	Sistem sanallaştırma

Önemli nokta

İzolasyon ve güvenlik düzeyi yapılandırmaya ve kullanılan teknolojiye bağlıdır.

20. Docker Image Nedir?

Docker image, container oluşturmak için kullanılan paketlenmiş dosya sistemi ve yapılandırma içeriğidir.

İçeriği

Uygulama dosyaları.

Bağımlılıklar.

Çalışma zamanı.

Başlatma talimatları.

Önemli nokta

Image içerisinde parola, API anahtarı veya başka gizli bilgilerin bulunmamasına dikkat edilmelidir.

21. Dockerfile Nedir?

Dockerfile, container image oluşturma talimatlarını içeren dosyadır.

Örnek talimatlar

FROM.

WORKDIR.

COPY.

RUN.

USER.

CMD.

Güvenlik önerileri

Güvenilir temel image kullanımı.

Gereksiz paketlerden kaçınma.

Root olmayan kullanıcı.

Güncel bağımlılıklar.

Gizli bilgilerin image içerisine eklenmemesi.

22. Container Registry Nedir?

Container Registry, container image dosyalarının saklandığı ve dağıtıldığı sistemdir.

Örnekler

Docker Hub.

GitHub Container Registry.

GitLab Container Registry.

Amazon ECR.

Azure Container Registry.

Güvenlik kontrolleri

Erişim yetkileri.

Image taraması.

İmzalama.

Versiyon yönetimi.

23. Container Güvenliği Nedir?

Container güvenliği, container image, çalışma zamanı, ağ ve orkestrasyon katmanlarındaki risklerin yönetilmesini kapsar.

Temel riskler

Güvensiz image.

Bilinen zafiyetler.

Aşırı yetkiler.

Gizli bilgi sızıntısı.

Güvensiz ağ yapılandırması.

Önemli nokta

Container kullanılması uygulamayı otomatik olarak güvenli hale getirmez.

24. Kubernetes Nedir?

Kubernetes, container tabanlı uygulamaların dağıtımını, ölçeklendirilmesini ve yönetimini otomatikleştirmeyi destekleyen açık kaynak orkestrasyon platformudur.

Temel özellikleri

Container orkestrasyonu.

Servis keşfi.

Ölçeklendirme.

İş yükü yönetimi.

Dağıtım yönetimi.

Örnek

Bir web uygulamasının birden fazla container örneği Kubernetes üzerinde yönetilebilir.

25. Kubernetes Cluster Nedir?

Kubernetes Cluster, Kubernetes tarafından yönetilen node'lardan ve kontrol bileşenlerinden oluşur.

Temel bileşenler

Control Plane.

Worker Nodes.

Pods.

Services.

Önemli nokta

Kubernetes mimarisi ve güvenliği dağıtım modeline göre değişebilir.

26. Kubernetes Pod Nedir?

Pod, Kubernetes'teki en küçük dağıtılabilir işlem birimidir.

Bir Pod içerisinde bir veya daha fazla container bulunabilir.

Örnek

Bir uygulama container'ı belirli yardımcı container'larla aynı Pod içerisinde çalışabilir.

27. Kubernetes Deployment Nedir?

Deployment, uygulama Pod'larının istenen durumunu yönetmek için kullanılan Kubernetes kaynağıdır.

Kullanım alanları

Replica yönetimi.

Rolling update.

Rollback.

Önemli nokta

Deployment her iş yükü için uygun değildir; durum bilgisi taşıyan uygulamalarda farklı kaynaklar kullanılabilir.

28. Kubernetes Service Nedir?

Service, Kubernetes içerisindeki belirli Pod gruplarına ağ üzerinden erişim sağlamak için kullanılan soyutlama katmanıdır.

Örnek

Bir backend uygulamasının Pod'ları Service üzerinden erişilebilir hale getirilebilir.

29. Kubernetes Ingress Nedir?

Ingress, Kubernetes ortamında HTTP ve HTTPS trafiğinin servislerle ilişkilendirilmesini sağlayan API kaynağıdır.

Önemli nokta

Ingress kaynaklarının çalışması için uygun bir Ingress Controller gerekir.

Kubernetes ekosisteminde Gateway API gibi alternatif ve gelişen trafik yönetimi yaklaşımları da bulunmaktadır.

30. Kubernetes Güvenliği

Kubernetes ortamları birden fazla güvenlik katmanı içerir.

Temel kontroller

RBAC.

Network Policies.

Pod Security Standards.

Secret yönetimi.

Image güvenliği.

Audit logging.

Güncelleme.

Önemli nokta

Kubernetes güvenliği yalnızca container taramasıyla sağlanamaz.

31. Kubernetes RBAC Nedir?

RBAC (Role-Based Access Control), rol tabanlı erişim kontrolüdür.

Kubernetes üzerinde kullanıcı ve servis hesaplarının belirli kaynaklara erişimini sınırlandırmak için kullanılabilir.

Örnek

Bir geliştiricinin yalnızca test namespace'i üzerinde belirli işlemleri gerçekleştirmesine izin verilebilir.

32. Kubernetes Network Policy Nedir?

Network Policy, destekleyen ağ altyapısı üzerinde Pod'lar arasındaki ağ trafiğinin kontrol edilmesini sağlar.

Örnek

Veritabanına yalnızca yetkili backend uygulamasından erişim sağlanması hedeflenebilir.

Önemli nokta

Network Policy kurallarının uygulanabilmesi için kullanılan ağ eklentisinin ilgili özellikleri desteklemesi gerekir.

33. Infrastructure as Code Nedir?

Infrastructure as Code (IaC), altyapı kaynaklarının kod veya bildirime dayalı yapılandırmalarla yönetilmesidir.

Kullanım alanları

Sunucu oluşturma.

Ağ yapılandırması.

Bulut kaynakları.

Container altyapısı.

Avantajları

Tekrarlanabilirlik.

Versiyon kontrolü.

Otomasyon.

İnceleme.

34. Terraform Nedir?

Terraform, altyapı kaynaklarının kodla tanımlanmasını ve yönetilmesini sağlayan araçtır.

Kullanım alanları

Bulut altyapısı.

Sanal makineler.

Ağ kaynakları.

Depolama.

Önemli nokta

Terraform state dosyaları hassas bilgiler içerebilir; erişim ve saklama güvenliği sağlanmalıdır.

35. Ansible Nedir?

Ansible, sistem yapılandırması ve otomasyon faaliyetlerinde kullanılan araçtır.

Kullanım alanları

Sunucu yapılandırma.

Paket yönetimi.

Uygulama dağıtımı.

Tekrarlanan işlemler.

Önemli nokta

Otomasyon hesaplarının yetkileri ve gizli bilgileri güvenli biçimde yönetilmelidir.

36. GitOps Nedir?

GitOps, sistemlerin istenen durumunun Git üzerinden yönetilmesine dayanan operasyon yaklaşımıdır.

Temel ilkeler

Bildirime dayalı yapılandırma.

Versiyon kontrolü.

Otomatik uzlaştırma.

Değişiklik izlenebilirliği.

Örnek

Kubernetes uygulama yapılandırmaları Git deposunda yönetilebilir.

37. Argo CD Nedir?

Argo CD, Kubernetes için kullanılan GitOps tabanlı sürekli teslim aracıdır.

Kullanım alanları

Uygulama dağıtımı.

Git ile durum karşılaştırması.

Yapılandırma senkronizasyonu.

Önemli nokta

Argo CD erişim yetkileri ve yönetim arayüzü güvenlik açısından korunmalıdır.

38. DevSecOps Güvenlik Araçları Nelerdir?

DevSecOps süreçlerinde farklı araç kategorileri kullanılabilir.

Temel kategoriler

SAST.

DAST.

SCA.

Secret scanning.

IaC scanning.

Container scanning.

SBOM.

Runtime security.

Önemli nokta

Araç seçimi yazılım teknolojileri, riskler, lisanslama ve mevcut geliştirme süreçlerine göre yapılmalıdır.

39. SAST Nedir?

SAST (Static Application Security Testing), uygulama kaynak kodunun veya ilgili yazılım bileşenlerinin statik yöntemlerle güvenlik açısından analiz edilmesidir.

Tespit edilebilecek risk örnekleri

Güvensiz veri işleme.

Enjeksiyon riskleri.

Güvensiz fonksiyon kullanımı.

Sabit kodlanmış gizli bilgiler.

Önemli nokta

SAST sonuçları yanlış pozitif bulgular içerebilir ve uzman değerlendirmesi gerektirebilir.

40. DAST Nedir?

DAST (Dynamic Application Security Testing), çalışan uygulamanın dinamik yöntemlerle güvenlik açısından değerlendirilmesidir.

Test alanları

Web uygulamaları.

API'ler.

Oturum yönetimi.

Girdi doğrulama.

Güvenlik yapılandırmaları.

Önemli nokta

DAST kaynak kodun tamamını analiz etmez ve her güvenlik sorununu tespit edemez.

41. SAST ile DAST Arasındaki Fark

Kriter	SAST	DAST
Analiz yaklaşımı	Statik	Dinamik
Kaynak kod erişimi	Çoğu yaklaşımda kullanılır	Genellikle gerekmez
Çalışan uygulama	Her zaman gerekmez	Gerekir
Kullanım zamanı	Geliştirme süreci	Test ve çalışma ortamları
Kapsam	Kod kaynaklı riskler	Çalışan uygulamanın davranışı

Önemli nokta

SAST ve DAST birbirini tamamlar.

42. SCA Nedir?

SCA (Software Composition Analysis), yazılımlarda kullanılan üçüncü taraf ve açık kaynak bileşenlerin analiz edilmesidir.

Değerlendirme alanları

Bağımlılıklar.

Bilinen zafiyetler.

Lisanslar.

Bileşen sürümleri.

Örnek

Bir uygulamada kullanılan açık kaynak kütüphanenin bilinen güvenlik açığı bulunabilir.

43. SBOM Nedir?

SBOM (Software Bill of Materials), yazılımı oluşturan bileşenlere ilişkin yapılandırılmış envanterdir.

İçerebileceği bilgiler

Bileşen adı.

Sürüm.

Tedarikçi.

Bağımlılık ilişkileri.

Lisans bilgileri.

Yaygın formatlar

SPDX.

CycloneDX.

Önemli nokta

SBOM oluşturulması tek başına güvenlik açıklarının giderildiği anlamına gelmez.

44. Yazılım Tedarik Zinciri Güvenliği

Yazılım tedarik zinciri güvenliği, yazılım geliştirme ve dağıtım süreçlerinde kullanılan bileşenlerin ve altyapıların güvenliğini kapsar.

Risk alanları

Üçüncü taraf bağımlılıklar.

Paket depoları.

Build sistemleri.

CI/CD hesapları.

Container image'ları.

Dağıtım artefaktları.

Önemli nokta

Yalnızca uygulama kaynak kodunun güvenli olması yeterli değildir.

45. SLSA Nedir?

SLSA (Supply-chain Levels for Software Artifacts), yazılım artefaktlarının üretim ve tedarik zinciri bütünlüğünü güçlendirmeye yönelik çerçevedir.

Odak alanları

Build bütünlüğü.

Kaynak güvenilirliği.

Provenance.

Tedarik zinciri kontrolleri.

Önemli nokta

SLSA, yazılım güvenliğinin bütün boyutlarını tek başına kapsamaz.

46. Secret Scanning Nedir?

Secret scanning, kaynak kod ve ilgili ortamlarda yanlışlıkla paylaşılmış gizli bilgilerin tespit edilmesini amaçlar.

Örnek gizli bilgiler

API anahtarları.

Erişim token'ları.

Parolalar.

Özel anahtarlar.

Önemli nokta

Bir gizli bilgi sızdırıldıysa yalnızca koddan silinmesi yeterli olmayabilir; ilgili kimlik bilgisinin iptal edilmesi veya yenilenmesi gerekebilir.

47. Secrets Management Nedir?

Secrets management, uygulama ve altyapı tarafından kullanılan gizli bilgilerin güvenli biçimde saklanmasını ve yönetilmesini kapsar.

Temel kontroller

Erişim yetkileri.

Şifreleme.

Rotasyon.

Denetim kayıtları.

Merkezi yönetim.

Örnek

Veritabanı parolasının kaynak kod içerisinde tutulması yerine uygun gizli bilgi yönetim sistemi kullanılabilir.

48. IaC Security Scanning Nedir?

IaC scanning, altyapı yapılandırmalarındaki güvenlik risklerinin değerlendirilmesini sağlar.

Örnek riskler

Herkese açık depolama.

Aşırı ağ erişimi.

Güvensiz kimlik yetkileri.

Şifreleme eksikliği.

Önemli nokta

Statik yapılandırma analizi, canlı ortam kontrolleriyle desteklenmelidir.

49. Container Image Scanning Nedir?

Container image scanning, image içerisinde bulunan bileşenlerin ve ilgili güvenlik risklerinin analiz edilmesidir.

İncelenebilecek alanlar

İşletim sistemi paketleri.

Uygulama bağımlılıkları.

Bilinen zafiyetler.

Güvenlik yapılandırmaları.

Önemli nokta

Image taraması çalışma zamanı saldırılarını tek başına engellemez.

50. Runtime Security Nedir?

Runtime security, çalışan uygulama ve iş yüklerinin güvenlik açısından izlenmesi ve korunması yaklaşımıdır.

Kullanım alanları

Şüpheli süreçler.

Beklenmeyen ağ bağlantıları.

Yetkisiz dosya erişimi.

Anormal container davranışları.

Önemli nokta

Çalışma zamanı güvenliği, önleyici geliştirme kontrollerini tamamlar.

51. API Security ve DevSecOps

API'ler kurumsal uygulamalar arasında veri alışverişini sağlar.

Temel riskler

Yetkisiz erişim.

Nesne düzeyinde yetkilendirme hataları.

Kimlik doğrulama sorunları.

Kaynak tüketimi.

Güvensiz yapılandırmalar.

Güvenlik kontrolleri

API testleri.

Kimlik doğrulama.

Yetkilendirme.

Rate limiting.

Loglama.

Önemli nokta

API güvenliği yalnızca API Gateway kullanılmasıyla sağlanamaz.

52. OWASP Top 10 ve DevSecOps

OWASP Top 10, web uygulamalarındaki önemli güvenlik riski kategorilerine yönelik farkındalık kaynağıdır.

Kullanım amacı

Güvenlik gereksinimleri oluşturmak.

Geliştirici eğitimlerini desteklemek.

Test kapsamını değerlendirmek.

Önemli nokta

OWASP Top 10 kapsamı, tam güvenlik doğrulama standardının yerine geçmez.

53. OWASP ASVS Nedir?

OWASP Application Security Verification Standard (ASVS), web uygulamalarının güvenlik kontrollerini doğrulamak için gereksinimler sunan standartlaştırılmış çerçevedir.

Kullanım alanları

Güvenlik gereksinimleri.

Uygulama tasarımı.

Güvenlik testleri.

Tedarikçi değerlendirmesi.

54. NIST SSDF Nedir?

NIST Secure Software Development Framework (SSDF), güvenli yazılım geliştirme uygulamalarını tanımlayan çerçevedir.

Temel uygulama grupları

Prepare the Organization.

Protect the Software.

Produce Well-Secured Software.

Respond to Vulnerabilities.

Önemli nokta

NIST SSDF, belirli bir CI/CD aracı veya yazılım geliştirme metodolojisini zorunlu kılmaz.

55. OWASP SAMM Nedir?

OWASP Software Assurance Maturity Model (SAMM), kuruluşların yazılım güvenliği uygulamalarını değerlendirmesine ve iyileştirmesine yardımcı olan olgunluk modelidir.

Kullanım alanları

Mevcut durum değerlendirmesi.

Güvenlik olgunluğu.

İyileştirme planı.

Süreç ölçümü.

56. DevSecOps Security Gate Nedir?

Security Gate, belirlenen güvenlik koşullarına göre yazılımın sonraki aşamaya geçişinin kontrol edilmesidir.

Örnek koşullar

Kritik güvenlik bulguları.

Bağımlılık riskleri.

Gizli bilgi sızıntıları.

Container güvenliği.

Politika ihlalleri.

Önemli nokta

Güvenlik kapıları risk seviyesine ve kurumsal politikaya göre yapılandırılmalıdır.

57. Vulnerability Management Nedir?

Vulnerability Management, güvenlik açıklarının belirlenmesi, değerlendirilmesi, önceliklendirilmesi ve giderilmesi sürecidir.

Temel faaliyetler

Tespit.

Doğrulama.

Risk değerlendirmesi.

Önceliklendirme.

Düzeltme.

Yeniden test.

Önemli nokta

Her güvenlik açığı yalnızca CVSS puanına göre önceliklendirilmemelidir.

58. CVSS, EPSS ve KEV Nedir?

CVSS

Güvenlik açığının teknik ciddiyetini değerlendirmek için kullanılan puanlama sistemidir.

EPSS

Belirli bir güvenlik açığının yakın dönemde istismar edilme olasılığına yönelik tahmin sunar.

KEV

CISA tarafından tutulan, istismar edildiği bilinen güvenlik açıkları kataloğudur.

Önemli nokta

Bu kaynaklar birlikte kullanılarak daha kapsamlı risk önceliklendirmesi yapılabilir.

59. DevSecOps ve SOC Entegrasyonu

DevSecOps geliştirme ve dağıtım süreçlerine odaklanırken SOC güvenlik olaylarının izlenmesi ve müdahalesinde rol oynar.

Entegrasyon örnekleri

Güvenlik loglarının merkezi izlenmesi.

Uygulama güvenlik olaylarının değerlendirilmesi.

Olay bulgularının geliştirme ekibine aktarılması.

Güvenlik iyileştirme taleplerinin oluşturulması.

Önemli nokta

SOC ve DevSecOps süreçleri arasında görev ve sorumluluklar açıkça belirlenmelidir.

60. Observability Nedir?

Observability, sistemin iç durumunun dışarıdan elde edilen verilerle anlaşılabilmesini destekleyen yaklaşımdır.

Temel veri türleri

Metrics.

Logs.

Traces.

Kullanım alanları

Performans analizi.

Hata tespiti.

Servis ilişkileri.

Olay inceleme.

61. Prometheus Nedir?

Prometheus, metrik toplama ve izleme amacıyla kullanılan açık kaynak sistemdir.

Kullanım alanları

Sistem metrikleri.

Uygulama metrikleri.

Alarm kuralları.

Önemli nokta

Prometheus tek başına bütün log ve dağıtık izleme ihtiyaçlarını karşılayan platform değildir.

62. Grafana Nedir?

Grafana, metrik ve diğer gözlemlenebilirlik verilerinin görselleştirilmesi için kullanılan platformdur.

Kullanım alanları

Dashboard.

Alarm.

Metrik görselleştirme.

Operasyonel raporlama.

63. OpenTelemetry Nedir?

OpenTelemetry, telemetri verilerinin üretilmesi, toplanması ve aktarılması için araçlar ve standartlar sunan açık kaynak gözlemlenebilirlik ekosistemidir.

Temel veri türleri

Traces.

Metrics.

Logs.

Önemli nokta

OpenTelemetry tek başına bütün verilerin saklandığı bir izleme platformu değildir.

64. DORA Metrikleri ve DevOps Performansı

DORA, yazılım teslim ve operasyon performansının değerlendirilmesine yönelik araştırma ve ölçüm yaklaşımları sunar.

Yaygın ölçümler

Dağıtım sıklığı.

Değişiklik teslim süresi.

Dağıtım kaynaklı başarısızlık.

Hizmet toparlanma süresi.

Önemli nokta

DORA ölçüm modeli zaman içerisinde gelişmektedir. Kuruluşlar kullandıkları metrik tanımlarını ve sürümünü açıkça belirtmelidir.

65. DevSecOps Olgunluk Seviyesi Nasıl Ölçülür?

Değerlendirme alanları

Güvenlik politikaları.

Kod güvenliği.

Otomasyon.

Bağımlılık yönetimi.

CI/CD güvenliği.

Container güvenliği.

Güvenlik olayları.

Sürekli iyileştirme.

Önemli nokta

Olgunluk değerlendirmesi yalnızca kullanılan güvenlik aracı sayısına göre yapılmamalıdır.

66. Kurumsal DevSecOps Mimarisi Nasıl Oluşturulur?

Aşama 1: Mevcut durum analizi

Geliştirme ve dağıtım süreçleri incelenir.

Aşama 2: Risk değerlendirmesi

Uygulama ve tedarik zinciri riskleri belirlenir.

Aşama 3: Güvenlik gereksinimleri

Geliştirme standartları oluşturulur.

Aşama 4: Araç entegrasyonu

SAST, SCA, secret scanning ve diğer kontroller planlanır.

Aşama 5: CI/CD güvenliği

Pipeline erişimleri ve dağıtım kontrolleri yapılandırılır.

Aşama 6: İzleme

Güvenlik ve operasyonel telemetri değerlendirilir.

Aşama 7: İyileştirme

Bulgular ve performans ölçümleriyle süreçler geliştirilir.

67. DevSecOps Projesinde Örnek İş Akışı

Bir kurumun web tabanlı CRM uygulaması geliştirdiğini düşünelim.

Adım 1

Geliştirici kod değişikliğini Git deposuna gönderir.

Adım 2

Kod inceleme süreci başlatılır.

Adım 3

CI pipeline otomatik testleri çalıştırır.

Adım 4

SAST ve SCA kontrolleri gerçekleştirilir.

Adım 5

Gizli bilgi taraması yapılır.

Adım 6

Container image oluşturulur ve taranır.

Adım 7

Uygulama test ortamına dağıtılır.

Adım 8

DAST ve ilgili entegrasyon testleri gerçekleştirilir.

Adım 9

Belirlenen güvenlik ve kalite koşulları değerlendirilir.

Adım 10

Uygun onay süreci sonrasında canlıya geçiş yapılır.

Adım 11

Uygulama logları ve güvenlik olayları izlenir.

Önemli nokta

Bu örnek genel bir iş akışıdır. Her kuruluşun teknolojileri ve riskleri farklı olabilir.

68. DevSecOps Uygulamalarında Sık Yapılan Hatalar

Yalnızca araç satın almak

Süreç ve sorumluluk eksikliği devam edebilir.

Güvenlik taramalarını yorumlamamak

Yanlış pozitif veya önemsiz bulgular iş yükünü artırabilir.

Pipeline yetkilerini sınırlandırmamak

Dağıtım altyapısı risk oluşturabilir.

Gizli bilgileri kodda tutmak

Kimlik bilgisi sızıntısına neden olabilir.

Güvenlik testlerini yalnızca sona bırakmak

Düzeltme maliyetini artırabilir.

Canlı ortamı izlememek

Çalışma zamanı tehditleri geç fark edilebilir.

69. DevSecOps Danışmanlığı Neleri Kapsar?

DevSecOps danışmanlığı kuruluşun ihtiyaçlarına göre farklı faaliyetler içerebilir.

Örnek hizmetler

Mevcut durum analizi.

Olgunluk değerlendirmesi.

Güvenlik mimarisi.

CI/CD güvenliği.

SAST entegrasyonu.

DAST entegrasyonu.

SCA entegrasyonu.

Container güvenliği.

Kubernetes güvenliği.

Eğitim.

Önemli nokta

Hizmet kapsamı mevcut altyapı, uygulama sayısı, teknoloji ve hedeflere göre belirlenmelidir.

70. SECURESYS DevOps ve DevSecOps Hizmetleri

SECURESYS, kuruluşların yazılım geliştirme ve operasyon süreçlerinde güvenlik kontrollerinin bütünleştirilmesine yönelik teknik hizmetler ve danışmanlık sunar.

DevSecOps Mevcut Durum Analizi

Geliştirme, test, dağıtım ve güvenlik süreçleri değerlendirilir.

Güvenli Yazılım Geliştirme Danışmanlığı

Güvenlik gereksinimleri ve geliştirme standartları oluşturulması desteklenir.

Kaynak Kod Analizi

Yazılım kaynak kodundaki güvenlik riskleri değerlendirilir.

Web ve API Güvenlik Testleri

Uygulamaların güvenlik testleri gerçekleştirilir.

CI/CD Güvenlik Entegrasyonu

Otomatik güvenlik kontrollerinin pipeline süreçlerine entegre edilmesi desteklenir.

Açık Kaynak ve Bağımlılık Güvenliği

Üçüncü taraf yazılım bileşenleriyle ilişkili riskler değerlendirilir.

Container ve Kubernetes Güvenliği

Container ve orkestrasyon ortamlarının güvenlik yapılandırmaları incelenebilir.

Güvenlik İzleme ve SOC Entegrasyonu

Uygulama güvenlik olaylarının izlenmesi ve ilgili süreçlerle ilişkilendirilmesi desteklenebilir.

DevSecOps Eğitimleri

Yazılım ekiplerinin güvenli geliştirme ve güvenlik otomasyonu konularındaki yetkinlikleri desteklenebilir.

SECURESYS yaklaşımında DevSecOps; güvenliği yazılım geliştirme sürecinin sonundaki ayrı bir kontrol olmaktan çıkararak tasarım, geliştirme, test, dağıtım ve işletim aşamalarına entegre etmeyi hedefler.

Sık Sorulan Sorular (SSS)

1. DevOps nedir?

Yazılım geliştirme ve operasyon süreçlerinde iş birliği, otomasyon ve sürekli iyileştirmeyi destekleyen yaklaşımdır.

2. DevSecOps nedir?

Güvenliğin yazılım geliştirme ve operasyon süreçlerine entegre edilmesini hedefleyen yaklaşımdır.

3. DevOps ile DevSecOps arasındaki fark nedir?

DevSecOps, DevOps süreçlerinde güvenlik kontrollerinin sistematik olarak uygulanmasını vurgular.

4. CI/CD nedir?

Kod entegrasyonu, test ve yazılım teslim/dağıtım süreçlerinin otomasyonuna yönelik uygulamalardır.

5. Docker nedir?

Uygulamaların container olarak paketlenmesini ve çalıştırılmasını sağlayan teknolojiler sunan platformdur.

6. Kubernetes nedir?

Container tabanlı uygulamaların orkestrasyonunu sağlayan açık kaynak platformdur.

7. GitOps nedir?

Sistemlerin istenen durumunun Git üzerinden yönetilmesine dayanan yaklaşımdır.

8. Infrastructure as Code nedir?

Altyapı kaynaklarının kod veya bildirime dayalı yapılandırmalarla yönetilmesidir.

9. SAST nedir?

Kaynak kod veya ilgili yazılım bileşenlerinin statik güvenlik analizidir.

10. DAST nedir?

Çalışan uygulamanın dinamik güvenlik analizidir.

11. SCA nedir?

Üçüncü taraf ve açık kaynak yazılım bileşenlerinin analizidir.

12. SBOM nedir?

Yazılımı oluşturan bileşenlerin yapılandırılmış envanteridir.

13. Secret scanning nedir?

Kaynak kod ve ilgili ortamlardaki gizli bilgilerin tespit edilmesini amaçlayan kontroldür.

14. Container security nedir?

Container image, çalışma zamanı ve ilgili altyapının güvenliğini kapsayan yaklaşımdır.

15. Kubernetes security nedir?

Kubernetes erişim, ağ, iş yükü ve yapılandırma güvenliğinin yönetilmesidir.

16. Shift Left Security nedir?

Güvenlik kontrollerinin geliştirme sürecinin erken aşamalarına taşınmasıdır.

17. Shift Right Security nedir?

Canlı ortamda güvenlik ve operasyonel davranışların izlenmesine odaklanan yaklaşımdır.

18. NIST SSDF nedir?

Güvenli yazılım geliştirme uygulamalarını tanımlayan NIST çerçevesidir.

19. DevSecOps için hangi araçlar kullanılır?

SAST, DAST, SCA, secret scanning, container scanning ve CI/CD araçları kullanılabilir.

20. DevSecOps danışmanlığı neden önemlidir?

Kuruluşun güvenli yazılım geliştirme süreçlerini değerlendirmesine, otomatikleştirmesine ve iyileştirmesine yardımcı olabilir.

Sonuç: DevOps ve DevSecOps Kurumlar İçin Neden Önemlidir?

DevOps, yazılım geliştirme ve operasyon ekipleri arasında iş birliğini ve otomasyonu destekler.

DevSecOps ise güvenlik faaliyetlerini yazılım geliştirme yaşam döngüsüne entegre etmeyi hedefler.

CI/CD süreçleri kod entegrasyonu, test ve dağıtım faaliyetlerinin otomasyonunu sağlar.

Docker ve Kubernetes, container tabanlı uygulamaların paketlenmesini ve yönetilmesini destekler.

Infrastructure as Code ve GitOps, altyapı yönetiminde otomasyon ve izlenebilirlik sağlar.

SAST, DAST ve SCA gibi güvenlik kontrolleri farklı risklerin belirlenmesine yardımcı olur.

SBOM ve yazılım tedarik zinciri güvenliği, kullanılan bileşenlerin ve geliştirme süreçlerinin görünürlüğünü artırır.

NIST SSDF ve OWASP SAMM gibi çerçeveler güvenli geliştirme uygulamalarının değerlendirilmesini destekler.

Başarılı bir DevSecOps yaklaşımının temel amacı yalnızca yazılımı daha hızlı dağıtmak değil; güvenliği, kaliteyi, izlenebilirliği ve sürdürülebilirliği yazılım geliştirme ve işletim süreçlerinin ayrılmaz parçası haline getirmektir.