Etik ve yasal sınır
- Yetkisiz erişimin TCK ve 7545 sayılı Kanun karşısındaki yerini, kapsam belgesini, sorumlu ifşa sürecini ve ödül programı kurallarını öğren.
- Kapsam belgesi neyi test edebileceğini yazar, kapsam dışı hedef izinsiz hedeftir.
- Açık bulduğunda izleyeceğin yol sorumlu ifşadır; sınırı somut kurallarla çizeceksin.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +45 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Teknik beceri seni yasal kılmaz. Aynı komut bir sunucuda iş, başka sunucuda suçtur. Farkı yaratan tek şey izindir.
İzin yazılıysa iş, sözlüyse risktir. İzni veren kişinin yetkisi de önemlidir. Sistemin sahibi olmayan biri sana izin veremez.
Sözleşmeyi imzalayan ad ile hedefin sahibi aynı olmalıdır. Sözlü onaya güvenme, çünkü işler karışınca kimse o konuşmayı hatırlamaz. Elinde imzalı bir sayfa olsun. Bu derste yasal çizgiyi, kapsam belgesini, sorumlu ifşayı ve ödül programlarının kurallarını adım adım göreceksin.
Türk hukukunda çizgi
Türk Ceza Kanunu bilişim suçlarını 243 ile 246. maddeler arasında toplar. Madde 243, bir bilişim sistemine hukuka aykırı olarak giren ya da orada kalmaya devam eden kişiyi cezalandırır. Ceza bir yıla kadar hapis ya da adli para cezasıdır.
Eşik çok düşüktür: sadece girmek yeterlidir, veri almaya gerek yoktur. Giriş yüzünden sistemdeki veriler yok olur ya da değişirse ceza altı aydan iki yıla kadar hapse çıkar. Maddenin dördüncü fıkrası, sisteme hiç girmeden veri akışını teknik araçlarla hukuka aykırı biçimde izlemeyi de suç sayar. İzinsiz bir ağda trafik dinlemek buraya girer.
Madde 244 bir adım ileri gider. Sistemin işleyişini engellemek ya da bozmak bir yıldan beş yıla kadar hapisle cezalandırılır.
Verileri bozmak, yok etmek, değiştirmek, erişilmez kılmak, sisteme veri yerleştirmek ya da başka yere göndermek de aynı maddededir. Bunun cezası altı aydan üç yıla kadar hapistir. Hizmeti aksatan izinsiz bir test kolayca buraya düşer.
Sistem bir bankaya ya da kamu kurumuna aitse ceza yarı oranında artar. Kişisel veriyi hukuka aykırı ele geçirmek ya da yaymak ayrıca 136. maddede iki yıldan dört yıla kadar hapis gerektirir. Madde 245/A ise yalnız bu suçları işlemek için yapılmış cihaz ve programları üretmeyi, satmayı ve bulundurmayı cezalandırır.
Başka iki kanun da tabloya girer. 5651 sayılı Kanun, yer ve erişim sağlayıcılara trafik bilgisini saklama yükümlülüğü getirir. Trafik bilgisi IP adresi, kaynak ve hedef port, hizmetin başlama ve bitiş zamanı ve aktarılan veri miktarı gibi kayıtlardır.
Süre yönetmelikle belirlenir ve iki yılı aşmaz. Yani izinsiz bir denemenin izi, senin hiç görmediğin sunucularda da kalır. 12 Mart 2025'te kabul edilip 19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu yeni bir katman ekler.
Kanun, bilişim sistemleriyle hizmet sunan ya da veri işleyenlerin, tespit ettikleri zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı'na bildirmesini ister. Sızıntıda ortaya çıkmış kişisel ya da kritik kurumsal verileri izinsiz paylaşmayı ya da satmayı da ayrıca suç sayar.
Derinleş:7545 sayılı Kanun'un ceza hükümleri
7545 sayılı Kanun'un 16. maddesi cezai hükümleri toplar. Bir siber güvenlik öğrencisini en çok ilgilendiren fıkralar şunlardır.
İkinci fıkra, kanunun istediği onay, yetki ya da izni almadan faaliyet yürütmeyi iki yıldan dört yıla kadar hapisle cezalandırır. Yetkilendirmeye tabi bir siber güvenlik işini onaysız yapmak bu kapsamda değerlendirilebilir.
Dördüncü fıkra sızıntı verisine bakar. Sızıntıyla ortaya çıkmış kişisel ya da kritik kamu hizmetine ait verileri izinsiz yaymak ya da satışa çıkarmak üç yıldan beş yıla kadar hapis gerektirir. Beşinci fıkra, olmayan bir sızıntıyı varmış gibi göstererek panik yaratmayı ya da kişileri hedef göstermeyi iki yıldan beş yıla kadar hapisle cezalandırır.
Altıncı fıkra, ülkenin siber uzaydaki gücünü oluşturan unsurlara yönelik saldırıya sekiz yıldan on iki yıla kadar hapis öngörür. Kanunun 7. maddesi ayrıca kamu kurumlarında ve kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerinin Başkanlıkça yetkilendirilmiş uzman ve şirketlerden alınmasını ister. Sızıntı verisini bir sohbet grubunda paylaşmak bu yüzden basit bir merak işi değildir.
Etkinlik 1 / 6
Her eylemi ilgili Türk Ceza Kanunu maddesiyle eşle.
Kapsam belgesi: testin haritası
İzin neden bu kadar belirleyici? 243. maddedeki anahtar ifade hukuka aykırı olarak ifadesidir.
TCK'nın 26. maddesi, kişinin üzerinde mutlak surette tasarruf edebileceği bir hakkına ilişkin olarak açıkladığı rıza çerçevesinde işlenen fiile ceza verilmeyeceğini söyler. Sistem sahibinin yazılı rızası, testi hukuka uygun zemine oturtan temel belgedir. Ama rıza yalnız kendi çerçevesi içinde geçerlidir.
O çerçeveyi kapsam belgesi çizer. Belgede yazmayan her hedef, saat ve teknik rızanın dışında kalır. Sahibi olmayan birinin verdiği onay ise baştan geçersizdir.
Kapsam belgesi testin haritasıdır. Angajman kuralları (Rules of Engagement, RoE) adıyla da geçer. Hangi alan adları, hangi IP aralıkları ve hangi saatler test edilir, hepsi burada yazar. Yasak teknikleri de sıralar.
NIST'in SP 800-115 rehberi bu belge için bir şablon verir ve içinde neler olması gerektiğini sayar. Hedef satırını dikkatle oku.
Orada yalnız adlar yazıyorsa kapsam o adlardan ibarettir. Ana alan adının listede olması, altındaki bütün adları kapsama sokmaz. Aşağıdaki özeti satır satır oku.
KAPSAM BELGESİ (özet) --------------------- Yetkilendiren: BT Direktörü, sistem sahibi adına (imzalı, 24.09.2026) Hedefler : www.hedef.example, api.hedef.example, 203.0.113.0/24 Kapsam dışı : odeme.hedef.example, tüm iş ortağı alan adları İzinli : web testi, kimlik doğrulama testi, kaynak kod incelemesi Yasak : hizmet reddi, sosyal mühendislik, gerçek müşteri verisi indirme Pencere : 01-10 Ekim 2026, 22:00-06:00 Veri kuralı : kanıt maskelenir, test bitince 30 gün içinde silinir Durdurma : üretimde yavaşlama görülürse test hemen durur İletişim : [email protected], acil hat +90 ...
Saat penceresi çoğu kişinin atladığı satırdır. Gece istenen bir testi gündüz koşmak üretimi durdurabilir. IP aralıkları da net olmalı, çünkü bulut sistemlerde adres değişir. Dün kurumun olan bir adres bugün başka bir müşteriye geçmiş olabilir.
Veri kuralı, eline geçen bilgiyle ne yapacağını yazar: maskeleme, saklama süresi, silme. Durdurma satırı, hangi durumda testi kendiliğinden keseceğini söyler. İletişim satırı bir acil durum hattı verir. Testte bir şeyi düşürürsen hemen ararsın; sessiz kalmak güveni bitirir.
Yetkilendiren satırı en kritik satırdır. İmzayı atan kişi sistemin gerçek sahibi adına konuşabilmeli. Bir ekip lideri, kendi yönetmediği sunucu için onay veremez.
Hedef bir bulut hizmetinde duruyorsa, bulut sağlayıcısının test politikası da geçerlidir. Kapsamda bir iş ortağının sistemi varsa, o ortağın ayrı yazılı onayı gerekir. Sık yapılan hata sözlü izne güvenmektir.
Toplantıda söylenen şuna da bakıver cümlesi kapsam değildir. Ek hedefi belgeye yazdır, imzalat, ancak ondan sonra dokun. O ana kadar yeni hedefe tek bir doğrulama isteği bile gönderme.
Etkinlik 2 / 6
Kapsam belgesinde yazmayan bir alt alan adında açık buldun. Ne yaparsın?
Sorumlu ifşa ve security.txt
Açık bulduğunda izleyeceğin yol sorumlu ifşadır. Güncel adı koordineli açıklamadır (Coordinated Vulnerability Disclosure, CVD). Önce açığı sahibine özel olarak bildirirsin. Sahibe düzeltme için makul bir süre tanırsın.
Düzeltme çıktıktan sonra ayrıntıyı kurumla birlikte ya da anlaşılan tarihte açıklarsın. Sorumlu ifşa bir nezaket değil, koruma kalkanıdır. Kayıtlı bir bildirim niyetini belgeler.
Peki kime bildireceksin? Birçok site bu sorunun cevabını tek bir dosyada verir.
$ curl -s https://hedef.example/.well-known/security.txt Contact: mailto:[email protected] Expires: 2027-06-30T23:59:59Z Encryption: https://hedef.example/pgp-anahtari.txt Policy: https://hedef.example/acik-bildirimi Preferred-Languages: tr, en Canonical: https://hedef.example/.well-known/security.txt
Dosyanın biçimini RFC 9116 tanımlar. Dosya /.well-known/ yolunda ve HTTPS üzerinden sunulur. Contact alanı zorunludur ve bildirimi nereye yollayacağını söyler. Expires alanı da zorunludur; tarihi geçmiş bir dosyadaki bilgiye güvenme.
Encryption alanı, bildirimi şifrelemen için bir açık anahtarın yerini verir. Policy alanı kurumun açık bildirimi kurallarını gösterir.
Preferred-Languages hangi dilde yazman gerektiğini, Canonical ise dosyanın asıl adresini söyler. Dosya yoksa sitenin güvenlik ya da iletişim sayfasına bak. Orada da iz yoksa ulusal siber olay müdahale ekiplerinden aracılık iste.
Süreyi baştan söylersin. Yaygın uygulamalar sana bir ölçü verir. CISA, yanıt vermeyen ya da makul bir düzeltme takvimi kurmayan üreticide, açığı ilk temas denemesinden 45 gün sonra açıklayabileceğini yazar. Google'ın Project Zero ekibi üreticiye 90 gün tanır.
Yama bu süre içinde çıkarsa ayrıntıyı yamadan 30 gün sonra yayımlar. Böylece kullanıcılar güncellemeye vakit bulur. Sen de bildiriminde süreyi yaz ve kurumun cevaplarını tarihleriyle kaydet. Kurum ek süre isterse ve gerekçesi makulse, süreyi uzatmak da sorumlu ifşanın parçasıdır.
Derinleş:Açıklama sürelerinin ayrıntısı
Project Zero'nun politikası 90+30 diye anılır. Üretici 90 gün içinde yama çıkarırsa ayrıntı yamadan 30 gün sonra yayımlanır.
Yama 47. günde çıktıysa açıklama 77. güne düşer.
Yama hiç çıkmazsa ayrıntı 90. günün sonunda açılır. Üretici yamanın yakında çıkacağını gösterip isterse 14 günlük bir ek süre tanınabilir. Açık o sırada gerçek saldırılarda kullanılıyorsa süre 7 güne iner, ek süre de 3 güne düşer.
Kullanıcılar zaten risk altındadır ve savunanların bilgiye hemen ihtiyacı vardır. Ekip 2025 ortasında bir deneme de başlattı: bildirimden yaklaşık bir hafta sonra yalnız üreticiyi, ürünü ve bildirim tarihini açıklıyor. Teknik ayrıntı yine süre dolana kadar gizli kalıyor.
CISA'nın 45 günü ise yanıt alınamayan durumda açıklamadan önce beklenen en kısa süredir. İki yaklaşımın amacı aynıdır: sessizliği ödüllendirmemek ve üreticiyi harekete geçirmek. Bağımsız bir araştırmacı için bu süreler bir örnektir, bağlayıcı bir kural değildir.
Etkinlik 3 / 6
Sorumlu ifşa sürecinde doğru davranışlar hangileridir?
Etkinlik 4 / 6
Bulduğun açık için sahibine yollayacağın ilk bildirim mesajını yaz.
Kanıt: en az veri ilkesi
Raporda kanıt en az olmalıdır. Bir kullanıcının kimliğini doğrulayan tek ekran görüntüsü yeter. Bin kaydı indirmek zafiyeti kanıtlamaz, yalnız zararı büyütür.
Mümkünse kanıtı kendi test hesaplarınla üret. İki test hesabı açıp birinin verisine ötekiyle ulaşmak, gerçek bir müşteriye dokunmadan yetki açığını gösterir. Kişisel veriyi ekran görüntüsünde maskele, çünkü rapor elden ele dolaşır ve sızabilir.
Hukuka aykırı ele geçirilen kişisel veri 136. maddenin konusudur. Fazladan indirdiğin her kayıt bu riski büyütür.
En pahalı hata, kapsam dışı bir hedefi kanıt için sömürmektir. Test sırasında odeme.hedef.example adresinde bir açık gördüğünü düşün. Kapsam belgesi bu adresi açıkça dışarıda bırakır. Belgenin sınırı, saati ve yasak teknikleri kanıt toplarken de geçerlidir.
Açığı kanıtlamak için tek bir istek bile atarsan yetkisiz erişim sınırına girersin. Doğru yol üç adımdır: dur, gördüğünü dokunmadan not al, yazılı olarak bildir. Kurum isterse kapsamı genişletir ve sana yeni bir imzalı onay verir. O onay gelene kadar bu hedef senin için yoktur.
Etkinlik 5 / 6
Testin sınırlarını, saatlerini ve yasak tekniklerini yazan belgeye ____ belgesi denir.
Ödül programları ve güvenli liman
Ödül programları da aynı mantıkla işler. İki tür program görürsün. Açık bildirim programı (Vulnerability Disclosure Program, VDP) bildirimi kabul eder ama para ödemez.
Hata ödülü programı (bug bounty) ise geçerli bulguya ödül verir. İkisinde de program sayfası kapsamı, yasak testleri ve ödül aralığını yazar.
Otomatik tarayıcıyı yasaklayan program çoktur. Bu satırı atlamak seni kapsam dışına iter, çünkü yasak bir teknik kapsamdaki hedefte bile izinsizdir. Ödeme ve gizlilik şartlarını da oku. Aynı bulguyu iki programa yollamak çoğu kuralda kopya sayılır.
Güvenli liman (safe harbor) maddesi, kurallara uyan iyi niyetli araştırmacıya karşı kurumun yasal işlem başlatmayacağını taahhüt eder. Disclose adlı açık kaynak girişim, kurumların kullanabileceği hazır güvenli liman metinleri yayımlar. Madde varsa yasal korumanı büyütür. Ama bir sınırı var: güvenli liman kurumun kendi taahhüdüdür ve yalnız kapsam içindeki, kurallara uygun testi kapsar.
Kapsam dışına çıktığın an koruma biter. Program sayfasında böyle bir madde yoksa teste başlamadan yazılı onay iste. Program sayfasını test günü ekran görüntüsüyle sakla, çünkü kurallar sonradan değişebilir.
Etkinlik 6 / 6
Doğru mu, yanlış mı?
Bir ödül programına katılmak, şirketin tüm sistemlerini test etme yetkisi verir.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.