Saldırı Yüzeyi (Attack Surface)
Bir sisteme saldırmak için kullanılabilecek tüm giriş noktalarının toplamı.
Saldırı yüzeyi↗ (attack surface), bir saldırganın bir sisteme veya kuruma girmek ya da ona zarar vermek için kullanabileceği tüm olası giriş noktalarının toplamıdır. İnternete açık her hizmet, her cihaz, her kullanıcı hesabı, her uygulama ve her API bu yüzeyin bir parçasıdır; yüzey ne kadar genişse, korunması gereken o kadar çok "kapı" var demektir.
Saldırı yüzeyi genellikle üç boyutta düşünülür: dijital (açık portlar, web uygulamaları, bulut hizmetleri, kod), fiziksel (cihazlar, sunucu odaları, USB girişleri) ve insan (oltalamaya veya sosyal mühendisliğe açık çalışanlar). Çoğu kurumda bu yüzey, fark edilmeden zamanla büyür: unutulmuş test sunucuları, kullanılmayan hesaplar, eski entegrasyonlar.
Güvenliğin temel hedeflerinden biri saldırı yüzeyini olabildiğince küçük tutmaktır. Kullanılmayan hesapları kapatmak, gereksiz hizmet ve portları devre dışı bırakmak, gereksiz yazılımları kaldırmak ve açıkta duran varlıkları düzenli olarak envantere alıp gözden geçirmek, saldırganlara bırakılan kapı sayısını doğrudan azaltır.
Bu terimin geçtiği rehberler
Aktif Siber Savunma: Tehdidi Ölçekte Etkisizleştirmek
Pasif beklemek yerine, yaygın tehditleri otomatik ve ölçekli biçimde engellemek. Koruyucu DNS, sahte site kaldırma ve e-posta sahteciliğini önlemeden oluşan bir savunma yaklaşımı.
Endüstriyel Kontrol Sistemleri (OT/ICS) Güvenliği
Fabrikalar, santraller ve altyapılar fiziksel dünyayı kontrol eder; burada bir saldırı dijital değil, fiziksel sonuçlar doğurur. OT/ICS güvenliğinin BT’den farkları ve temel savunma ilkeleri.
Yapay Zekâ ve Büyük Dil Modeli (LLM) Uygulama Güvenliği
LLM tabanlı uygulamalar yeni bir saldırı yüzeyi getirir: istem enjeksiyonu, güvensiz çıktı işleme ve aşırı yetki. Geliştiriciler ve güvenlik uzmanları için savunma ilkeleri.
Uygulama Güvenliği ve OWASP Top 10
Web uygulamalarındaki en yaygın açıklar ve savunmaları: enjeksiyon, bozuk erişim kontrolü, kimlik doğrulama hataları ve güvenli geliştirme hattına (SAST/DAST) entegrasyon.
Yapay Zeka Ajanlarına En Az Yetki: Güvenli Otomasyon
Araç kullanan yapay zeka ajanları güçlüdür ama yetkileri kadar risklidir. En az yetki, kapsam sınırlama ve insan onayıyla güvenli otomasyon.