Selam Ekip - E22 - Application Security & Information Security

Merhaba arkadaşlar, bugün Selam Ekip Podcast'ta 22.

bölüm konuğumuz Trendyol Security ekibi.

Sibel ve Kürşat hoş geldiniz.

Merhabalar. Hoş bulduk, merhabalar.

Birazcık kendinizi tanıtır mısınız?

Ben başlayayım o zaman. Sibel ben, Kadir Has Üniversitesi Enformasyon Teknolojileri bölümünden mezun oldum.

Daha sonra Telko'da kısacık bir iç kontrol deneyimi sonrasında yine bilgi güvenliği alanında devam ettim.

5 senedir Trendyol'dayım.

Güvenlik ekibindeyim.

Son 2 senedir de Core InfoSec tarafında çalışıyorum.

İlk başladığımda 3 kişilik bir ekiptik.

Şimdi 60'lara çıktık.

Büyümeye de devam ediyoruz.

Bizi dinleyen ve iş fırsatlarını değerlendirmek isteyenler olursa diye onlar ilanlarımıza tekrar göz atabilirler.

Bu arada. Küşat sana paslayayım.

Selamlar ben de Küşat.

Yaklaşık 7-8 yıldır uygulama güvenliği alanında çalışıyorum.

Bundan önce savunma sanayi ve danışmanlık sektörlerinde faaliyet gösterdim.

Yaklaşık 2 yıldır da hatta 2 yıl geçkin bir süredir de Trendyol'da uygulama güvenliği ekibindeyim.

Peki Trendyol'da güvenlik deyince ne anlamamız gerekiyor?

Bununla alakalı böyle çalışan ekipler kimler?

Trendyol'la güvenlik dediğimizde 724 sürekli bilgisayarın başında olmaya çalışan, sürekli altyapıyı izleyen, altyapı haricinde productları,

incidentlarını kontrol eden herhangi bir security incidentı var mı?

Yok mu? Veya işte olursa nerelerde olur diye düşünen bir ekip hayal edebilirsin aslında.

Teşekkürler. Peki siz security ekibi olarak aslında security ekibi değil de siz application security ve information security olarak hangi ekiplere daha yakın çalışıyorsunuz

Trendyol içerisinde? Şöyle aslında şirkette çalışmadığımız ekip yok diyebiliriz.

Özellikle bizim tarafta InfoSec tarafında.

Belki InfoSec'den daha detaylı bahsetmek gerekirse bu noktada biz domain içinde domainler gibi çalışıyoruz.

Yani InfoSec ama altında dört ayrı domain var.

İşin Security and Risk Management tarafı, Asset Security, Data Protection tarafı, Architecture ve özellikle IAN taraflarında bütün şirketle çalışıyoruz.

Belki oraya daha spesifik cevabı Kürşat verebilir Application Security tarafında diye düşünüyorum.

Biz de uygulama güvenliği ekibi olarak aslında alt başlıklarımız olan işte Product Security, DevSecOps, Container Security, test, analiz ve zafiyet yönetim süreçlerinde yer alıyoruz.

Product Security dediğimiz alan aslında ekiplerle partner şıklık kurup onların produkları ile alakalı riskleri beraber değerlendirilmiş bir alan.

DevSecOps dediğimiz CLCD pipeline süreçlerini iyileştirdiğimiz bir alan.

Container Security dediğimiz uygulamalarımızın çalıştığı konteynerların güvenliğinden bahsediyoruz aslında.

Geri kalanında da bunların hepsinin testini, analizini, zafiyetlerin yönetimini, iş yullandırmalarını yaptığımız büyük bir alan diyebilirim aslında.

Ekip yapınızdan bahsedebilir misiniz?

Bu soruyu diğer aslında ekiplere sorduğumuzda hep kaç tane backend developer var, kaç tane developer in test var, product var şeklinde soruyorduk.

Ama sanırım sizin ekipte böyle bir yapı yok.

Onun dışında işte kaç kişisiniz?

Bu kişiler aslında nasıl konumlanıyor?

Herkesin görevi aynı mı?

Biraz bunlardan bahsedebilir misiniz?

Bizde aslında 6 ayrı ekip var gibi düşünebilirsiniz.

6 ayrı security ekibi var.

Bunlardan ilki security operations ekibi.

Bu ekip daha çok endpoint security, network security ve genel olarak security ekiplerinin infrastructure şeklinde security design noktasında çalışıyor.

Onun dışında Offensive Security ekibi var.

Offsec tarafı da penetrasyon testleri, zafiyet yönetimi ve bir içen atak simülasyon tarafında çalışıyor.

Infosec'den bahsettim ama tekrar bir domeni olarak anlatmak gerekebilir.

Securitarianist Management tarafı var.

Asset Security ve Data Protection tarafı var.

Daha çok DLP gibi MDM, DEM gibi ürünleri kontrol ettiğimiz.

Security Architecture ekibi var.

Ve son olarak da IAM ekibi var.

Burada Identity and Access Management tarafına bakıyoruz.

Application Security ekibi var.

Kürşat bahsetti orada da Product Security, DevOps tarafı, DevSecOps tarafı daha doğrusu, Container Security tarafı ve test ve analizlerini yaptıkları ve zafiyetleri yönettikleri

bir alan diyebiliriz.

Blue Team ekibi var. Blue Team ekibi de Incident Response, Log Monitoring, Threat Intelligence ve Threat Hunting yapıyor.

Bully Team'in altında bir de SOS ekibimiz var.

SOS ekibi de 724 security sınırlarını kontrol ediyor.

Bunun dışında Research and Development yapan aslında development altyapılı bir ekip var içeride.

Biz bütün ürünleri satın almak yerine bir takım niş ürünlerle ilgili içeride geliştirmeler de yapıyoruz diye özetleyebilirim.

İki ekipte kaç kişi var totalde?

Biz 60 kişilik bir güvenlik ekibiyiz.

Çoğunluk şu an SOS ekibinde diyebiliyorum ama giderek büyüyoruz.

Bir kez daha yenilemek gerekirse de başvurularınızı bekliyoruz diyebiliriz herkese.

Peki diyelim ben bu başvuruyu yaptım, görüştüm, kabul edildim.

Geldiğimde beni nasıl onboard ediyorsunuz?

Fırat öncelikle işe alım yapıldıktan sonra ilk haftanda İK'nın bir onboarding süreci var.

O devam ederken kendi ekibinin de bir onboarding süreci.

Burada sana aslında hangi tool'ları kullandığımızı, hangi teknolojilerle çalıştığımızı, hangi ekiplerle daha fazla ilişkilerimizin olduğunu anlatılan bir onboarding süreci

aslında. Sonrasında bu onboarding sürecini tamamlama aşamasında da diğer ekip arkadaşlarınla aynı işlerde peer olarak çalışıyorsun.

En azından işte işlerin nasıl ilerlediğini.

nasıl başlandığını, nasıl devam ettiğini ve nasıl sonlandığını görmüş oluyorsun bu tarafta.

Bununla beraber hem IK'nın hem de bu teknik anlamda onboarding süreciyle beraber yapılmasıyla da çok hızlı bir şekilde trend yola onboard olmanı sağlıyoruz aslında.

Sen de takdir edersin ki işte daha önce pandemiden önce herkes şirkete geldiğinde diyebilirim.

Daha hızlı onboard oluyorduk.

Ama pandemi sürecinden sonra remote süreçte Bu süreler biraz daha uzamaya başladı.

Biz de bunları nasıl kısaltırız diye aslında düşündüğümüz onboarding stratejilerimiz var.

Onları devam ettiriyoruz ve geliştiriyoruz.

Kürşat'a ek olarak birkaç bir şey ben de söyleyebilirim belki.

%100 aynı süreçler bizim için de geçerli.

Sadece özellikle yeni başlayan bir çalışanda politika prosedürlerin biliniyor olması.

Güvenlik tarafında ve genel olarak network topolojisi o güvenlik ürün topolojisi çok kıymetli bizim için.

Bunların en başta anlaşılır olması.

Son olarak da artık onboarding süreçlerinin sonuna doğru da genel olarak her ekibin spesifik hedeflerinden bahsediyor olmamız.

Onların o hedefleri giriyor olması bizim için önemli diye özetleyebilirim.

Trendyol'da kullandığınız güvenlik çözümleri nelerdir?

Biz uygulama güvenliği tarafında kullandığımız bazı güvenlik çözümlerinden bahsedeyim bizim.

Bunlardan bir tanesi aslında ikiye ayırabiliriz.

Enterprise ve Open Source olarak.

Enterprise tarafında kullandığımız işte SAS dediğimiz aslında Static Kinecode analizi araçlarımız var.

SCA dediğimiz Dependency Security tarafında kullandığımız araçlar var.

Örnek verecek olursam Container Secure tarafında kullandığımız Open Source Enterprise araçlar var.

Bazı servisleri de bağlıyoruz aslında burada.

Bildiğiniz üzere bir Backpoint'in sürecimiz var Trendyol'un.

Şu anda private gidiyor ama Haziran'da bunu public olarak açmayı düşünüyoruz.

Bunlarla beraber servis entegrasyonları yaptığımız bazı kısımlar oluyor.

IAC dediğimizde Infrastructure Security dediğimiz bir taraf.

Orada da aslında... Cloud tarafında veya bir yapılandırma dosyalarının zafiyetlerini veya eksiklerini bulduğumuz gibi araçlarımız var.

Aslında open source'lardan da bahsedebilirim burada.

Semgrap'in config'ini kullanıyoruz, checkov'u kullanıyoruz, checkmax'in kiks aracını kullanıyoruz.

SAS tarafı dediğimiz, sadık kaynak odanız tarafında yine bandit, find, security box, security code scan.

Gitlix gibi tool'lar kullanıyoruz.

SCA tarafında yani DependSecure tarafında DependCheck kullanıyoruz, Lensi kullanıyoruz.

Ve bazı Enterprise tool'lar kullanıyoruz diyebilirim aslında.

Çok geniş bir yelpaze var burada.

Şu an aklıma gelenleri söyleyebilirim.

Her zaman istediğimiz, kendimizi geliştirmek istediğimiz işlere iş yerine vakit ayıramadığımız da olabiliyor.

Yapmak istediğimiz şeyle iş yerindeki yaptığımız şeyler örtüşmeyebiliyor.

Bu durumda ekip içerisinde kişisel gelişim adına vakit ayırabiliyor musunuz?

Bir kere çok yalan çalışıyoruz ve ekip giderek büyüyor.

Bu noktada hem iletişimi arttırmak hem de ilgi alanı konularımıza aktarmak için bu konu aslında epey önemli bizim tarafta.

Biz ekipçe bunlar için breakfasten lönler düzenliyoruz.

Burada siber güvenlikte kullanılan teknolojileri, prensipleri ve metodolojileri tüm security iç ekiplerinin random bir şekilde anlattığı bir sesyon yapıyoruz.

Burada hem ekipler arası birbirinin prensiplerine aşina olması durumu oluyor.

Hem de güncel siber güvenlik gelişmelerini öğrenmesini hedefliyoruz ekibin.

Launch and Learner var.

Burada da kritik security bridge ve leak olaylarını anlatıyoruz.

Ve yaşanan olayları...

olayların bir değerlendirmesini yapıyoruz aslında.

İçeride sahip olduğumuz savunma yöntemleri, prosedürleriyle de karşılaştırarak gelişim sağlamayı hedefliyoruz diyebiliriz.

Yine tüm Security ekibinin yaptığı Security Town Hall'lerimiz var.

Burada iki kapsamda yine ilerliyoruz.

Bir tanesi Security ekiplerinin kendi ekiplerini ve metriklerini paylaştığı toplantılar.

Bir de Security ekibinin roadmap'inde olan Ve Trendo'da fark yaratan çalışmalar ve araçların dahil olduğu kapsamları konuşuyoruz.

Bunlar dışında bir de InfoSec, AppSec ve az önce bahsettiğim o altı ayrı ekibin kendi içinde yaptığı çalışmalar olabiliyor.

Biz mesela CSSP tarafında, CSSP Certified Information System Security Professional olarak geçiyor.

Bu domeyin ve alt kırılımlarıyla ilgili bir takvim belirleyip her hafta perşembe günleri bununla ilgili sunumlar yapıyoruz.

Hatta o kadar çok sunum biriktik ki bunları bu sunumları videomda yayınlamak gibi bir hedefimiz de var diyebilirim.

Bu şekilde. Güvenlikle alakalı konular sorun olduğunda şirkette en üst öncelik haline geliyor genelde.

Siz peki bunları nasıl monitör ediyorsunuz?

Sorun olduğunda nasıl haberiniz oluyor?

Şöyle cevap verebiliriz aslında.

Hemen hemen her ekibin takip ettiği bazı kanallar var.

Sosyal medya kanalları olabilir, haber kanalları olabilir veya zafiyetlerle alakalı zafiyet bildiriminin yapıldığı kanallar olabilir.

Bunları hemen hemen hepimiz takip ediyoruz ama burada bizim aslında bir şeyimiz var.

Sadece bununla ilgilenen bir ekibimiz var aslında.

Blue Team ekibi.

Blue Team'in ekibinin altında az önce Sibel'in de bahsettiği gibi Threat Intelligence ekibi var.

Buradaki kaynaklardan beslendiğimiz konular oluyor.

Mesela yeni bir zafiyet çıktığında, yeni bir 0D çıktığında sistemlerimizde otomatik olarak taramalarını başlatıyoruz.

Bize bir bildirim geliyor. Daha çok işte prot ortamlardaki zafiyetlerimizi hızlıca kapatmaya çalışıyoruz.

Developerlarla iletişime geçip.

Bu şekilde ilerliyoruz aslında burada.

Bir de aslında geçen zamanda bir çalışma yaptık.

Kullandığımız güvenlik çözümleriyle alakalı bazı rullar yazdık.

Bazı istihbarat kanallarına.

O istihbarat kanallarından da besleniyoruz.

Kullandığımız teknolojilerle alakalı herhangi bir zafiyet çıktığında az önce dediğim gibi hemen bunlar nerelerde var?

Hangi versiyonlar etkileniyor?

Bunların hemen teknik analizini yapıp taramaları döndürdüğümüz hızlı bir süreç var aslında burada.

O yüzden incident oluşmadan önce İstihbarat kanallarından biz bu veriyi alabiliyoruz, incident oluşacağına dair.

Ona göre de hareket edebiliyoruz, aksiyonlarımızı alabiliyoruz.

Geçtiğimiz yıl Trendyol'da ders aldığınız bir güvenlik olayı var mı?

Yani bu soru çok kolay bir soru bizim için.

Çünkü neredeyse 2021'in sonunda sadece bu konu konuşuldu diyebilirim.

O da tahmin edersiniz ki Log4j'i.

Bu güvenlik açığı çok az görülebilecek bir sıklıkta 10.0'la.

Alınabilecek en yüksek kritiklik skorunu aldı biliyorsunuz.

Minicik bunun sebebinden belki bahsetmek gerekebilir o bilgi açısından.

Öncelikle bu güvenlik açığının kötüye kullanılabilmesi için saldırının ağ üzerinden gerçekleştirilebilmesi, saldırının basit olması, o sistemde bir kullanıcı oluşturmaya gerek bulunmaması gerekiyordu.

Ve müşteri ya da çalışan gibi bir kullanıcı etkileşimi de.

olmaması gerekiyor.

Bu yüzden uzun süredir ve neredeyse her etkinlikte de konuştuğumuz bir hale geldi.

O kadar detayda kullanılan bir yazılım parçacıydı ki belki farkında olmadığımız birçok farklı yazılım içinde de Log4j'i görmek mümkündü.

Biz özellikle Log4j'nin bir kuruluşta nerede kullanıldığı veya kullanılıp kullanılmadığını net olmadığını düşünüyorduk.

Bu yüzden de Bizim için en kritik konu bağımlılık yönetimi oldu.

Lock4G'yi ele aldığımızda.

Aslında bu güvenlik ekipleri için en kritik ve zor görevlerden biri.

Hatta biri olmaya devam ediyor.

Burada yeni güvenlik açıklarına zamanında yanıt vermek için sistemlerinizde kullanılan tüm bağımlılıkları veya bağımlılıklar hakkında güncel bilgilere ihtiyacımız oluyor.

Biz önceden uygulama ve container tarafında Kütüphanelere bağımlılıkları göremiyorduk ama artık görmeye başladık diyebiliriz.

Bu da bizim en çok konuştuğumuz Log4j güvenlik olayıyla ilgili aldığımız derslerden bir tanesiydi.

Bildiğim kadarıyla sizin tarafta hem yazılım projeleri oluyor hem de third party tool'ları kullanarak yaptığınız projeler var.

Burada yaptığınız projeleri canlıya alırken dikkate aldığınız konular neler oluyor?

Oradaki süreci biraz anlatabilir misiniz?

Bu bizim Secure tarafında developerların geliştirdiği süreçler mi yoksa Trendyol'da bir proje canlıya çıkarkenki süreçleri mi?

Sizin ekiplerde geliştirdiğiniz hem yazılım projeler olabilir ya da az önce dediğim gibi belki third party tool'ları kullanarak yaptığınız bir donanım entegrasyonu

vesaire gibi projeler de olabilir.

Genelleme yapacak olursak şöyle ilerliyoruz.

Ekiplerle bir araya geliyoruz.

Mesela örnek veriyorum bir developer ekibi yeni bir feature geliştirdi.

Öncelikle bunun infosec tarafından bize gelmesini istiyor.

Çünkü infosec'in de bazı standartları var.

Bize gelmeden önce o standartları tamamlaması gerekiyor ekiplerin.

Sonrasında infosec'in yönlendirmesiyle application security ve o product ekibi bir araya geliyor.

Burada listeleri değerlendiriyoruz.

Neler olabilir gibi. İşte yeni feature'da nelerin geliştirdiği, hangi code bay'e dokunduğunu.

Onları değerlendiriyoruz.

Sonraki aşamada bir pipeline sürecimiz var.

İntegrasyonu tamam mı? Bir vault sürecimiz var.

Vault dediğimiz aslında projelerin içerisinde herhangi bir secret verinin bulunmaması gerekiyor.

Bu secret veriyi de vault'a taşımasını bekliyoruz.

Ona bakıyoruz. Sonrasında bu proje yeni geliştiren veya bir servis olabilir bu.

Api to api communication varsa o zaman orada bir istiyor gibi bir çözümle.

İşte bu çok firma kullanıyor bu open source bir çözüm.

Gibi bir çözümle burada apitopi authentication'ın nasıl yapıldığını veya yapıldı mı, yapılmadı mı onu kontrolünü yapıyoruz.

Sonraki aşamada pipeline'den çıkan bazı sonuçlar oluyor.

İşte codebase tarafında, dinamik tarafta, dinamik tarafta dediğim aslında UI veya işte bir server adresi tarafında.

Bunları değerlendiriyoruz.

Tabii ki burada Araçlara tamamen güvenmiyoruz.

Son aşamada da bir manuel testlerimiz oluyor.

Yani bazı araçlar biliyorsunuz ki işte IDOR gibi.

IDOR dediğimiz zafiyet aslında işte örnek vereceğim şu anda.

Sepet ID'si var.

Sepet ID'si değiştirerek başka sepetlere ulaşabiliyor muyuz gibi testleri yapıyoruz aslında.

Burada bazı bunlarla alakalı metodolojilerimiz de var.

Hazırladığımız checklistlerimiz var. Bunları tamamladıktan sonra eğer kritik bir zafiyet ve high bir zafiyet varsa projenin canlıya çıkmasında bir sorun görüyorsak tekrar dönüp şunu söylüyoruz.

İşte buralarda bir zafiyet var bunları düzeltin.

Tekrar gidiyor, tekrar triyaja giriyor bizim tarafta.

Bu zafiyetler kapatıldığında sonrasında canlıya çıkabiliyoruz.

2022'nin aslında bir kısmını da bitirdik ama bir kısmını da başlamış olmalısınız ama sizin bu yıl için odaklandığınız güvenlik konuları neler?

Şöyle Fırat, önce infosak için belki biraz bahsetmem daha doğru olabilir.

Bizim özellikle international tarafın büyümesiyle birlikte GDPR'ın beklediği teknik gereksinimler noktasında, encryption gibi konularda özellikle

yoğunluklarımız var. Onun dışında IAM yani bu kimlik ve erişim yönetimi konuları, Kezbi gibi yine cloud taraftaki data leakage konuları, genel cloud security konuları, Ve

işte bu secure access management konuları bizim için böyle hot topic konulardan bir tanesi ve uzun süre öyle olmaya da devam edecek.

Genel security olarak konuşmanın başından beri söylediğimiz gibi aslında container security tarafı çok kritik.

Yine threat hunting, threat intelligence, breach and attack simülasyon tarafları, güvenlik ürünü geliştirmeleri ve genel olarak bu secure development kit noktaları bizim için çok

kritik. Ama 2022 roadmap'ta genel olarak bunlardan bahsetsek de içeride kullanılan teknolojiler noktasında çok ciddi bir security yatırımı yapmamız gerektiği için özellikle

işte data mesh gibi, open stack gibi üzerinde uygulanacak security requirement'larını belirlemek ve bunları standartize etmek bizim için her zaman kritik olan konulardan bir tanesi.

O yüzden özellikle bunlardan da bahsetmek gerekebilir.

Peki siz de sanırım retro yapıyorsunuzdur kendi içinizde ve son olması şart değil.

Son zamanlarda yaptığınız retrolardan gerçekten kendinize çok güzel bir aksiyon çıkarttık dediğiniz bir olay var mı?

Burası şöyle aslında Gizem.

Öncelikle biz konuyu küçük ekiplerde daha çok birebirlerde çözdüğümüz için yani kalıcı ya da büyük sorun olmadan çözdüğümüz için retroda beklenmedik bir konu çok olmuyor.

Bu arada bu bazen iyi bazen kötü ama biz de genelde bu beklenmedik bir konu olmaması durumunu iyiye yoruyoruz diyebilirim.

Son Retro'da da daha çok şeydi.

Kendi aramızda daha çok toplantılar düzenleyelim konusu çıkmıştı.

Bunun sebebi şu. Biz 3 kişiyken 60 kişiye çok dikkatli geldik aslında.

Yani şöyle bizim için çok zor olmadı ama Orada en başından beri bu sürecin içerisinde yer alan insanlar için çok daha kolaydı ama yeni dahil olan ekip arkadaşlarımız için

oryantasyon ve diğer ekiplerin neler yaptığını bilme ihtiyacı daha da arttı.

O yüzden kendi aramızda toplantılar düzenleyelim gibi bir sonuç çıkmıştı.

Onun dışında bu COVID risklerini...

azalttıktan sonra daha çok ekip içi etkinlik yapalım gibi bir konu gündeme gelmişti.

Burada da şey dedik, riskler devam ederse bu riskli durum, biz online etkinlikler de yapabiliriz diye bir öneri geldi.

Ama genel olarak konular şey, iletişim konuları, iletişimi daha iyi nasıl arttırabiliriz?

Özellikle diğer ekiplerle çalışma noktasında bizim önceliğimizde olan konuları onların da Önceliklerine nasıl aldırabiliriz konuları bizim için en hot topic retro konularıydı.

Ekip içerisinde liderler dışında ekip kendi arasında da birebir toplantılar yapıyor mu?

Bu konuya iki türlü cevap verebiliriz aslında.

Ekip liderleri, ekibindeki çalıştığı arkadaşlar zaten herhalde bir one to one yapıyor.

O one to one'larda sürekli şunu söyleniyor aslında benim bildiğim veya bizim tarafta olan şu.

Arkadaşınızda gördüğünüz devam etmesi gereken alanlar varsa bunları sürekli bir araya gelerek veya işte bir konu olur, o konuyla alakalı çalışmasını beklediğiniz veya feedback vermek gerekiyorsa hemen bir

one to one düzenleyip ona o geri bildirimi vereyim ki o da işte sorun büyümeden buradaki problemi görüp ona göre hareket etsin gibi konuları aslında biz sürekli

ekiplerle, ekiplerimizle paylaşıyoruz.

Burada aslında biz standartımızı oluşturduk.

Onu da bahsetmek istiyorum. Biriyle bantuman yapmadan önce bir Excel hazırlıyoruz aslında.

O Excel'de sormak istediğimiz soruları soruyoruz.

Onların da mesela soracağımız kişiyi etiketliyoruz.

Sonrasında da ona işte yazılı olarak da olabilir veya işte bir Zoom'la veya işte telefonla da.

Ya ben böyle bantuman yapmak istiyorum ama sormak istediğim soruları da Excel'de hazırladım.

Bu konuyla alakalı senin de sormak istediğin bir konu varsa.

Oraya yazarsan ben de bunu cevaplayayım.

Önce yazılı olarak bunu bir yazalım.

Bir araya geldiğimizde de neden bu sorulara bu cevaplara verdiğimizi onları konuşuruz ve daha hızlı çözüme gideriz gibi bir standartımızı

oluşturduk diyebilirim aslında burada.

Bu da şeyi çok sağlıyor.

Hem zamanı verimli kullanıyoruz hem de yazılı iletişimde insanla karşısındakine söyleyemediği şeyleri çok rahat bir şekilde yazabiliyor.

Zaten biz açık iletişim kullanıyoruz, herhangi bir sorun olmuyor ama bazı konularda olabilir diye öncelikle yazılı iletişim, sonrasında da bunu nasılını nedenini konuştuğumuz bir Zoom toplantısıyla

sonlandırıyoruz.

İyi sınıflar gerçekten de çok ciddi bir öğrenme kaynağı hepimiz için.

Canlı sistemi patlatıp böyle güzel bir öğrenim kazandığınız en son ne zaman oldu?

Aslında üzerinden çok zaman geçti Fırat.

Uzun zaman oldu. BBF dönemiydi.

Black Friday döneminde. O zamanlar tabii yine hands-on çalıştığımız, herkesin her şeye baktığı bir dönem.

Muhtemelen yedi kişi falanız yani.

Çok hatırlamıyorum ama.

İsim vermeyeceğim tabii.

Ekipten bir arkadaşım.

Internal yönettiğimiz bir DDoS ürününde.

Bir skriple Blacklist'te tehdit unsuru.

IP bloklarını ekliyordu.

Bu işlemi yaparken yanlışlıkla tüm sistem ekiplerinin kullandığı internal VLAN'ı da bilekliste eklemişti.

Müşteri tarafında herhangi bir sıkıntı yoktu ama içeriden hiç kimse sistemlere bağlanamadı bir süre.

Sonra biz network'tan arkadaşlar data center'a gitmeye çalışırken biz firewall üzerinde bulduğumuz bir vektorla işi çözüp data center'a gitmekten kurtarmıştık durumu.

Çok teşekkürler arkadaşlar katıldığınız için.

Yani aslında ben de security anlamında bilmediğim çok şey öğrenmiş oldum.

Ki zaten bilmediğim şeyleri ara ara gelip kanallarda söylüyorsunuz ve özelden de yazıyorsunuz.

O yüzden de çok teşekkür ederim.

Teşekkürler Fırat bizi çağırdığınız için.

Arkadaşlar geldiğiniz için çok teşekkür ederiz tekrar.

Ağzınıza sağlık.

Biz teşekkür ederiz davet ettiğiniz için.

Teşekkürler. Tamam görüşmek üzere.

Ben bir türlü giremediğim için oldu.

Aslında şey siz hep kendi merak ettiğiniz soruları sordunuz.

Bizim de Trendyol'da security ekibi olarak diğer ekipler tarafında nasıl göründüğümüzü merak ettiğimiz sorular olabiliyor.

O yüzden Trendyol'daki security sizin için ne ifade ediyor?

Bizimle paylaşmak ister misiniz?

Yani mis gibi yazılım geliştiriyoruz.

İşte feature'ı geliştiriyoruz.

Sonra biri geliyor diyor ki İşte burada güvenlik açığı var.

Yani bakıyoruz gerçekten de var.

Çok teşekkür ediyorum size.

Yani emeklerinizin karşılığı ödenmez.

O zaman güvenli günler dileyerek.

Yani böyle biraz şey sanki memnun değilmiş gibi söyledim.

Memnun değilmiş gibi oldu aynen abi ya.

Yürelikten alörtler gelmeye başlayınca.

Zorunlulara bir cevap verdin abi böyle.

Gerçekten bu arada benim daha önce çalıştığım yerlerle kıyaslayınca güvenliğe bayağı önem veriyor.

Diğer çalıştığım yerlerde genelde proje biter.

Bittikten sonra bir güvenlik testine sokulur.

Oradaki banklar çözülür.

Ondan sonra tekrar güvenlik testi vesaire herhangi bir şey olmazdı.

Aslında biz geliştirmeye, yeni şeyler, fütçeler eklemeye devam ediyoruz bir yandan da.

Burada hiç bitmeyen bir süreç aslında o.

O yüzden... Beni övme, bana para ver.

Security olmazsa ne olur böyle azıldırımı bir sözü var ya.

Yarın buradan üzülerek gidersiniz haberiniz olsun.

Onu biliyor musunuz, bilmiyorsunuz, bilmediniz.

Şunu atayım ben. Biliyorum ya.

Fenerbahçe kongresinde olmadın mı?

Aynen abi. Fenerbahçe değilim.

Fenerbahçe'li değilim ama Fenerbahçe'nin iç şakantlarını seviyorum.

Bir de şey var Aziz Başkan'ın.

Ne kadar güzel hayatınız varmış sizin ya.

Bizim hayatımız stresli diyor.

Orada da sekürtten bahsediyor aslında.

Yani o zaman şey diyebilir miyiz?

Sayenizde daha stresli bir hayata doğru ilerliyoruz.

Teşekkürler. Övün abi bizi, biraz övün.