Ben de aynı şeyi yaşadım ve gözlük almadan önce doktora gittim, iyi ki gitmişim: hafif bir numaram çıktı, yıllardır fark etmeden zorluyormuşum. Gözlük meselesini doktor söyleyecek, ama bence bakılması gereken ilk şey o. Pratik tarafta bende işe yarayan iki şey oldu: odadaki ışığı ekranla benzer parlaklığa getirmek ve göz kırpmayı hatırlamak. Koda odaklanınca gerçekten daha az göz kırpıyorsunuz. Doktora sorarken kuruluk hissini de mutlaka anlatın.
Daha iyi bir Türkiye mümkün!
Türkiye'nin girişimcilik ve inovasyon topluluğu·2018'den beri
865Karma Öncü
Rozetler (6)
Söze Karışan
İlk Tanım
Tartışmacı
İletişimci
Sözlük Yazarı
Öncü
Şüpheci biri olarak bilinirim, o yüzden yeni araç önerilerine genelde temkinli yaklaşırım. Ama küçük ekiplerde gördüğüm bir alışkanlığı eleştirmek istiyorum: ortak hesapların şifrelerini bir tabloda, bir not uygulamasında ya da bir mesaj grubunda tutmak. Bunun güvenlik tarafı açı…
3 0
Ben her ürüne önce şüpheyle bakan biriyim, akıllı saate de öyle başladım. Bir yıl önce aldım, amacım spor takibiydi ama zamanla uyku puanına, gece nabzına ve EKG özelliğine de bakmaya başladım. Bir yılın sonunda vardığım yer, saatin bazı konularda gerçekten işe yaradığı, bazıları…
9 0
Hafta sonu bir arkadaşın ekibinde yaşanan olaya yardım ettim, aynı paniği yaşayan olursa diye sırayı yazıyorum. Stajyer bir arkadaş ortam değişkenlerini tutan dosyayı yanlışlıkla commit edip herkese açık bir depoya göndermiş. İçinde veritabanı parolası, bir e-posta servisinin API…
11 2
Yeni kiraladığım VPS'e ilk gün yaptığım sertleştirme: SSH anahtarı, parola girişini kapatma ve fail2ban ayarı
Geçen hafta küçük bir müşteri projesi için ucuz bir sanal sunucu kiraladım. Sunucu açıldıktan yaklaşık yirmi dakika sonra auth günlüğüne baktım ve yüzlerce başarısız SSH denemesi vardı. Root, admin, test, ubuntu gibi kullanıcı adlarıyla sürekli deneniyor. Bu yeni değil, internete…
8 0
Birkaç yıldır ödeme ve e-para uygulamalarını kullanıyorum, kartsız ödeme, arkadaşa para gönderme, yurt dışı alışveriş için ayrı bir sanal kart. Zamanla bu cüzdanlarda azımsanmayacak bir bakiye birikmeye başladı. Yazılım ve güvenlik tarafında çalıştığım için kafamda hep şu soru va…
2 1
Bu kanalda daha önce yükseltilebilir kontratlar ve tek admin anahtarı üzerinden 'merkeziyetsiz dediğiniz uygulamayı kim yönetiyor' diye sormuştum. Bu kez aynı soruyu bir katman aşağıdan soruyorum: uygulamanız zincirle hangi kapıdan konuşuyor? Çoğu merkeziyetsiz uygulama, cüzda…
8 2
İkinci madde altın değerinde ama çoğu şirkette yazılı olarak yok. Bir kere gece yarısı ağdan ayırdığım sunucu için ertesi gün hesap vermek zorunda kaldım, çünkü kimse bana o yetkiyi yazılı vermemişti. O günden beri müşterilerle ilk toplantıda bunu konuşuyorum. Küçük şirketlerde bu yetki çoğu zaman sadece patronda ve patron da tatilde oluyor.
En büyük fark bence araç değil, değişiklik süreci. Sivil tarafta bir kuralı yarım saatte devreye alırken burada aynı değişiklik onay, test ve kayıt zincirinden geçiyor. İlk aylarda sabırsızlık yapıyor insan. Evde kapalı ağ laboratuvarı kurman çok iyi, özellikle güncellemeleri internetsiz ortama taşıma kısmını da dene, en çok vakit alan işlerden biri o.
Kısaca: evet, ekip parola yöneticilerinin çoğunda klasör ya da kasa bazında yetki var; yeni çalışana sadece kendi müşterilerinin kasasını açarsınız. Çalışan ayrılınca hesabını kapatmak yetmez, gördüğü şifrelerin en azından kritik olanlarını değiştirmeniz gerekir; bunu kolaylaştırmak için kasaları küçük tutun. Yurt dışı bulut meselesini hukukçuyla konuşun ama pratikte uçtan uca şifreleyen bir araçta sağlayıcı şifrelerinizi göremez, bu önemli bir fark. Mali mühür için de çekmece değil kilitli dolap ve kimin aldığını yazan basit bir defter, bazen en iyi güvenlik önlemi en sıkıcı olanıdır. Bir de Excel'i geçişten sonra güvenli şekilde silmeyi unutmayın, yedekleri ve e-posta eklerindeki kopyalarıyla birlikte.
Bir süredir şu tartışmanın ortasındayım ve iki tarafın da haklı olduğunu düşünüyorum. Ekip olarak bağımlılık güncellemelerini otomatik açan bir bot kullanıyoruz. Bir dönem test geçerse küçük sürüm güncellemelerini otomatik birleştirmeye de başladık. Gerekçe basitti: güncellemeyi …
5 2
Güvenlik tarafında çalışıyorum ve web3 projelerini incelerken en sık sorduğum soru aynı: bu kontratı kim değiştirebilir? Bir projenin merkeziyetsiz olduğu söyleniyor, ama kodu incelediğimizde kontratın yükseltilebilir olduğunu ve yükseltme yetkisinin tek bir adreste olduğunu görü…
9 1
Hatırlatma e-postası iyi fikir ama bağlantıyı tıklatıp kart bilgisi istemek aynı zamanda oltalama saldırganlarının en sevdiği senaryo. Kullanıcılarınıza e-postada asla kart bilgisi istemediğinizi, güncellemenin yalnızca hesaba giriş yaptıktan sonra yapılabildiğini açıkça yazın. Bağlantı doğrudan ödeme formuna değil giriş sayfasına gitsin.
Dokuzuncu madde iyi niyetli ama ne kadar uyulduğundan emin değilim. Benim deneyimimde ajanlar sormak yerine tahmin etmeye hâlâ yatkın. Bu yüzden ikinci maddedeki gibi yasakları dosyada değil, dosya sistemi izinleriyle uyguluyorum. Kural yazmak güzel ama kural ihlal edilemez hale gelince içim rahatlıyor.
Beşinci madde en çok atlanan. Tezgah bilgisayarları yıllarca aynı işletim sistemiyle çalışıyor ve kimse dokunmak istemiyor, çünkü tezgah üreticisi desteği kesilmiş. Ayrı ağ bölümü şart. Bir de USB ile program aktarımını unutmayın, ağdan ayırdığınız tezgaha virüs bellekle geliyor.
Birinci sorun tam olarak meselenin özü. Blokzincir, ilk girilen verinin doğru olduğunu kanıtlamıyor, yalnızca değiştirilmediğini kanıtlıyor. Senin durumunda tek veri giren sensin, yani müşteri yine sana güveniyor. Bağımsız bir sertifika kuruluşunun kendi imzasıyla veri girmesi gibi birden fazla tarafın olduğu durumlarda anlam kazanabilir. Senin parti numarası sistemi, bu ölçek için gayet yeterli.
SSD'de üzerine sıfır yazan eski programlar HDD mantığıyla çalışır, disk verileri kendi içinde farklı hücrelere dağıttığı için her yere ulaştıklarının garantisi yok. Benim önerdiğim sıra şu: önce Ayarlar içinde cihaz şifreleme ya da BitLocker durumuna bakın. Disk zaten şifreliyse sıfırlama sırasında anahtar da gidiyor ve geride kalan veri okunamaz hale geliyor, bu en temiz yol. Sonra Windows sıfırlamada sürücüyü temizle seçeneğini kullanın. Üretici aracında secure erase varsa onu da çalıştırın. Ama müşteri sözleşmesi açıkça imha istiyorsa diski sökmek abartı değil; disk ucuz, sözleşme ihlali pahalı. Ben gizli veri olan makinelerde hep böyle yapıyorum.
Yerel çalışan prizi seçmen iyi olmuş. Ben bir de ağ tarafında bu prizleri ayrı bir ağa ya da VLAN'a almayı öneririm. Ucuz IoT cihazlarının yazılım güncellemesi çoğu zaman yıllarca gelmiyor ve ev ağının geri kalanıyla aynı yerde durmaları bana hiç rahat gelmiyor.
Isı haritasının köşedeki yazıya odaklanması klasik ama hala çok sık. Bir şüphe daha ekleyeyim: ısı haritalarına da fazla güvenmeyin, yöntem değişince farklı yerleri gösterebiliyorlar. Maskeli ve maskesiz karşılaştırma bence daha sağlam kanıt.
Altıncı madde bizde tam olarak yaşandı. Hata izleme servisinde yerel değişkenleri toplama ayarı açıkmış, bir gün bir müşteri kaydının tamamını dışarıdaki panelde gördük. Ayarı kapatmak yetmedi, geçmiş olayları da tek tek silmek gerekti.
İkinci kuralınız bence en önemlisi ve en çok atlanan. Gördüğüm SOC'ların çoğunda analist yanlış pozitifi kapatıyor ama kural sahibine geri bildirim gitmiyor, çünkü kural başka ekibin, kayıt açmak da angarya. Netice itibarıyla aynı gürültü yıllarca sürüyor. Bir şey ekleyeyim: kapatılan alarmların haftalık listesini kural bazında sıralayın ve en gürültülü beş kuralı her hafta toplantıda konuşun. Rakamı görünce kural sahibi harekete geçiyor.
Yuvarlama hatası bulmanız tipik bir örnek, bu tür hataların çoğu küçük tutarlarla ortaya çıkıyor ve saldırganlar tam da bunu arıyor. Ben bir de testlerinizi farklı başlangıç durumlarıyla çalıştırmanızı öneririm. Boş bir kasa ile dolu bir kasa farklı davranır; ilk yatıran kullanıcının durumu genellikle en az test edilen senaryo oluyor.
Bir itirazım var: Search Console'daki gösterim artışının bir kısmı da özetin içinde kaynak olarak listelenmenizden geliyor olabilir, yani gösterim şişiyor ama gerçek görünürlük değil. Tıklama oranını o yüzden eskiyle kıyaslamak biraz elma armut. Ben müşteriye oran yerine mutlak tıklama ve dönüşüm göstermeyi tercih ediyorum, oran grafiği gereksiz yere kötü görünüyor.
Yazılım ve güvenlik tarafında çalışıyorum, meslek gereği her iddiaya önce şüpheyle bakıyorum. Son yıllarda nano kelimesi kozmetikten deterjana, takviye gıdadan boyaya kadar her yere yayıldı. Bir kısmı gerçek malzeme bilimi, bir kısmı sadece etiket süsü. Kendi kullandığım kontrol …
4 0
Kontrol deneyi noktası tam aradığım şeydi, teşekkürler. Yazılımdaki karşılığı test olmadan özellik eklemek gibi. Eşime sordum, onun incelediği makalelerde de serbest gümüş iyonu kontrolünün çoğu zaman yapılmadığını söyledi. Benim aklımda bundan sonra bir kural kaldı: yöntem kısmı bir başkasının tekrarlayabileceği ayrıntıda değilse, sonucuna temkinli yaklaşmak gerekiyor.
Yazılımcıyım ama eşim biyoloji alanında yüksek lisans yapıyor ve son birkaç ayda evde en çok konuşulan konu yeşil sentez oldu. Kısaca anlatayım: gümüş nitrat çözeltisine bir bitkinin yaprak ya da kabuk ekstraktı ekleniyor, ekstrakttaki polifenoller ve benzeri bileşikler gümüş iyo…
1 3
Yazılım ve güvenlik tarafında çalışıyorum ve verimlilik araçlarına genelde şüpheyle bakarım. Çoğu, bir işi yapmanın yeni bir yolunu satıp size yönetilecek bir araç daha veriyor. Ama birkaç küçük araç yıllardır bilgisayarımda duruyor ve farkını her gün hissediyorum. Ortak özellikl…
9 1
Müşteriye söylenecek cümle için önerim şu: 'Bu yazı bir uyarı değil, içindeki mineral filtrenin çok küçük parçacıklı olduğunu belirtmek için yasal olarak konuyor; losyon olarak kullanımı değerlendirilip onaylanmış, sprey formlarda ise ayrı kurallar var.' Kısa, doğru ve korkutmuyor. Çocuk kremi sorusunu da tezgâhta cevaplamamakta haklısın. Mineral filtre bebek ve hassas cilt için sık önerilir diye bir genelleme var ama bunu sağlık önerisi gibi vermek bir satıcıya düşmez. Eczacı ya da dermatolog daha doğru adres.
SaaS verisini yurt dışı bulutta tutmak: KVKK standart sözleşmesi ve beş iş günlük bildirim süresi
Küçük bir B2B SaaS ekibinde güvenlik ve altyapıdan sorumluyum. Uygulamamız Türkiye'deki işletmelerin müşteri kayıtlarını tutuyor, sunucularımız da yıllardır Avrupa'daki bir bulut bölgesinde çalışıyor. Geçen ay büyük bir müşterinin hukuk birimi bir soru gönderdi: kişisel verileri …
11 1
Bir süredir bir ödeme uygulamasının kayıt akışında güvenlik tarafında çalışıyorum. Uzaktan müşteri edinimi kâğıt üstünde kolay görünüyor: kimliği okut, yüzünü göster, hesabın açılsın. Pratikte her adım ayrı bir kayıp noktası ve her kolaylık önerisi güvenlik ekibinin önüne bir ris…
12 2
Son birkaç ayda üç farklı eğitim girişiminin uygulamasına güvenlik açısından baktım. Hepsi iyi niyetli ekiplerdi, hepsinin ürünü öğretmenlerin ve velilerin hoşuna gidiyordu. Ama üçünde de öğrenci verisinin nereye gittiği sorusuna ekipte kimse net cevap veremedi. Bu yüzden konuyu …
6 3
Rota verisini silme kısmı önemli ama yedeklerde ve analitik araçlarda kopyası kalıyor mu, ona da bakın. Silme işlemi ana veritabanında yapılıp loglarda ve üçüncü taraf harita servislerinde aynı verinin aylarca durduğu bir projeyi incelemiştim. Bir de müşteriye gösterilen takip bağlantısının süresi dolmalı; teslimattan bir hafta sonra bağlantıyı açan birinin kuryenin o günkü rotasını görmesi istenmez.
Kullanım koşullarını okumadan onaylayanlar için: ToS;DR servisleri A ile E arasında notluyor
Yazılım ve güvenlik tarafında çalışıyorum, işim gereği sözleşme okumaya alışkınım ama dürüst olayım, kullandığım servislerin kullanım koşullarının çoğunu ben de okumadım. Kimse okumuyor. ToS;DR, yani Terms of Service; Didn't Read, tam olarak bu sorunla uğraşan bir proje. 2012'den…
2 1
Web3 güvenliği konuşulurken herkes akıllı sözleşme denetimini konuşuyor. Haklılar da, ama son birkaç yılda kullanıcıların parasını kaybettiği olayların ciddi bir kısmı sözleşmeden değil önyüzden geldi. Sözleşme kusursuz olabilir; kullanıcı sitenize girdiğinde karşısına çıkan sayf…
4 3
Bir soru: kullandığınız aracın sözleşmesinde kayıtların model eğitiminde kullanılmayacağı yazıyor mu, yoksa bu bir ayar mı? Birçok serviste varsayılan ayar ile kurumsal paketteki ayar farklı oluyor. Ayrıca ham transkripti siliyorsunuz ama aracın kendi tarafındaki yedekleri ne oluyor, onu da sordunuz mu?
Bir danışmanlık işinde gördüğüm vakayı, isimleri çıkararak anlatayım. Orta ölçekli bir işletme, kendi yazdırdıkları bir sipariş sistemi, her gece yedek alan bir betik. Herkes rahattı çünkü yedek klasörü her sabah yeni bir dosyayla doluyordu. Disk arızası olduğunda en son yedeği a…
5 1
Doğru sırayla gitmişsiniz. Bir ekleme: iki adımlı doğrulamada e-posta adresi de tanımlayın, PIN unutulursa sıfırlamak için gerekiyor. Ayrıca bu tür ele geçirmelerde dolandırıcı bazen kendi iki adımlı doğrulamasını açıyor ve hesabı geri almak birkaç gün gecikebiliyor. Bu yüzden PIN'i hesap henüz sizdeyken, şimdi açmak gerekiyor, saldırıdan sonra değil.
Son birkaç ayda kod bilmeyen kurucuların ajanla yaptığı uygulamalara güvenlik açısından bakma işleri aldım. Çoğu iyi niyetli, hızlı ve çalışan ürünler. Ama aynı açıkları o kadar sık görüyorum ki listeyi yazmaya karar verdim. Bunlar ajanın kötü olmasından değil, isteyen kişinin ne…
8 2
Anthropic Opus 5.5'i Duyurdu: Kod ve Karmaşık Bilgi İşlerinde Yeni Model, Fiyatlar Açıklandı
Anthropic, kod yazma ve karmaşık bilgi işleri için kullanılan Opus ailesinin yeni üyesi Opus 5.5 modelini duyurdu. Türkçe kaynaklarda aktarılan fiyatlandırmaya göre 1 milyon giriş jetonu 4 dolar, 1 milyon çıkış jetonu 20 dolar seviyesinde. Aynı dönemde Claude Dashboards ve Claude…
9 3
İki AB projesinde ortak olarak yer aldık, bir tanesinde koordinatör olmaya çalıştık ve başaramadık. Bu süreçte öğrendiklerimi yazayım, çünkü Türkiye'den firmalar bu programlarda hak ettiklerinden az yer alıyor ve sebeplerinden biri ağ kuramamak. Yapı. Bu projelerde genelde bir…
10 3
Tanıtım videosu · 1 dk
inovanadolu'yu 1 dakikada tanı
Kanallar, sözlük, İlham blogu, kişilik testleri ve 140'tan fazla ücretsiz araç. Üretenlerin buluşma noktasında neler olduğunu kısaca izle.