Kavram kanıtı, bir zafiyetin teorik olmadığını, gerçekten sömürülebilir olduğunu göstermek için hazırlanan asgari örnektir. Amaç zarar vermek değil, kusurun varlığını kanıtlamaktır. Bu nedenle kod genellikle sınırlı ve zararsız bir etki üretir; bir hesap makinesi açmak ya da bir dosya oluşturmak gibi. Tam işlevli bir saldırı aracı değildir. Bu ayrım, hem etik hem hukuki açıdan önemlidir.

Kavram kanıtları güvenlik ekosisteminin işleyişinde önemli bir rol oynar. Üreticiye bildirilen bir zafiyetin ciddiye alınması, çoğu zaman çalışan bir örnek sunulmasına bağlıdır. Ayrıca savunma ekipleri tespit kurallarını bu örnekler üzerinden geliştirir. Bu nedenle varlıkları yalnızca risk değil, aynı zamanda değer üretir. Denge, yayımlama zamanlamasıyla kurulur.

Kavram Kanıtı Nedir?

Kavram kanıtı, bir zafiyetin gerçekten sömürülebilir olduğunu göstermek amacıyla hazırlanan, sınırlı etki üreten asgari örnek koddur.

Kavram kanıtı ile tam istismar arasındaki fark, güvenilirlik ve işlevsellik düzeyidir. Kavram kanıtı belirli bir sürümde ve belirli koşullarda çalışır; hata yönetimi ve kaçınma yeteneği içermez. Tam istismar ise farklı ortamlarda güvenilir biçimde çalışacak şekilde geliştirilir. Bu fark, saldırıda kullanılabilirlik açısından belirleyicidir. Yine de kavram kanıtı, tam istismara giden yolu kısaltır.

Güvenlikte Nasıl Kullanılır?

Sızma testlerinde kavram kanıtı, bulgunun gerçekliğini kanıtlamak için kullanılır. Rapora eklenen bir ekran görüntüsü ya da istek örneği, bulgunun tartışılmasını engeller. Bu kanıt olmadan bazı bulgular teorik olarak değerlendirilip ertelenebilir. Bu nedenle kanıt sunumu raporlamanın standart parçasıdır. Sunum biçimi kapsamla sınırlı tutulur.

Savunma tarafında ise kavram kanıtları tespit kuralı geliştirmede kullanılır. Kodun ürettiği davranış izlenerek hangi kayıtların oluştuğu belirlenir ve kural buna göre yazılır. Bu çalışma izole bir laboratuvar ortamında yürütülür. Üretim ortamında çalıştırılması kabul edilemez. Laboratuvar kurulumu bu nedenle bir yatırım gerektirir.

Üçüncü kullanım alanı, yamanın etkinliğinin doğrulanmasıdır. Yama uygulandıktan sonra kavram kanıtının artık çalışmadığının görülmesi, düzeltmenin gerçekten işe yaradığını gösterir. Bu doğrulama, dağıtım raporlarına güvenmekten daha kesindir. Kritik yamalarda uygulanması önerilir. Doğrulama sonucu kayda geçirilir.

• Zafiyetin gerçekliğinin üreticiye kanıtlanması
• Sızma testi bulgularının desteklenmesi
• Tespit kuralı geliştirme ve doğrulama
• Yama etkinliğinin sınanması
• Eğitim ve farkındalık çalışmalarında gösterim

Yayımlama Etiği

Kavram kanıtlarının kamuya açılma zamanlaması sürekli tartışılan bir konudur. Erken yayımlama, yama uygulayamamış kurumları riske atar. Geç yayımlama ise savunma ekiplerinin hazırlanmasını geciktirir. Yaygın uygulama, yamanın yayımlanmasından belirli bir süre sonra açıklamadır. Bu süre, kurumların yama uygulamasına imkân tanır.

Bazı durumlarda zafiyet zaten aktif olarak sömürülüyor olabilir. Bu durumda gizlilik savunmaya değil saldırgana hizmet eder. Bu nedenle aktif sömürü varlığında bilgi paylaşımı hızlandırılır. Karar, etki değerlendirmesine dayanır. Katı bir kural yerine duruma özel değerlendirme yapılır.

Kurumların da kendi iç politikalarını belirlemesi gerekir. Test ekiplerinin geliştirdiği kavram kanıtlarının nasıl saklanacağı ve kimlerle paylaşılacağı yazılı olmalıdır. Bu kodların korunmasız bir depoda tutulması ciddi bir risk oluşturur. Erişim kısıtlanmalı ve kayıt tutulmalıdır. Politika, sözleşmelerde de yer alır.

Kurumsal Hazırlıkta Rolü

Yeni bir kritik zafiyet duyurulduğunda kavram kanıtının varlığı, aciliyeti belirleyen en önemli girdilerden biridir. Kod kamuya açıksa yama süresi saatlerle planlanmalıdır. Kod yoksa görece daha planlı bir süreç izlenebilir. Bu değerlendirmenin hızlı yapılabilmesi için kaynakların önceden belirlenmesi gerekir. İzleme süreci tanımlı olmalıdır.

Kavram kanıtının incelenmesi, hangi koşullarda çalıştığını da gösterir. Belirli bir yapılandırma ya da eklenti gerektiriyorsa, kurumun etkilenip etkilenmediği netleşir. Bu analiz, gereksiz acil müdahaleleri önler. Ayrıca telafi edici kontrol seçimini yönlendirir. Analiz için teknik yetkinlik gerekir.

Bu yetkinliğin içeride bulunmadığı durumlarda dış destek alınabilir. Önemli olan, kararın tahminle değil analizle verilmesidir. Her duyuruda panik hâlinde acil müdahale başlatmak sürdürülebilir değildir. Süzme mekanizması, ekibin gerçek risklere odaklanmasını sağlar. Siber tehdit istihbaratı bu süzmeyi destekler.

Hukuki Boyut

Kavram kanıtı geliştirme ve paylaşma, bulunulan ülkenin mevzuatına göre değerlendirilmesi gereken bir konudur. İzinsiz bir sistem üzerinde test yapmak, kod zararsız olsa bile hukuki sonuç doğurabilir. Bu nedenle tüm çalışmalar yazılı izinle ve tanımlı kapsamda yürütülmelidir. Kapsam belgesi, testin sınırlarını açıkça belirtir. Sözlü izin yeterli değildir.

Kurum içi çalışmalarda da yetkilendirme yazılı olmalıdır. Test ekibinin hangi sistemlerde, hangi zaman aralığında ve hangi tekniklerle çalışabileceği tanımlanır. Bu belge, hem ekibi hem kurumu korur. Ayrıca olası bir kesinti durumunda sorumluluk netleşir. Hazırlık aşamasının vazgeçilmez parçasıdır.

Kapsamın Sınırlandırılması

İyi bir kavram kanıtı, gerekenden fazlasını yapmaz. Zafiyetin varlığını gösteren en küçük etki tercih edilir; veri okuma yerine bir işaret dosyası oluşturmak gibi. Bu sınırlama, hem etik hem hukuki açıdan koruma sağlar. Ayrıca hedef sistemin zarar görmesini önler. Sızma testlerinde bu ilke sözleşmeyle desteklenir.

Üretim ortamlarında çalıştırılan kanıtlarda ek dikkat gerekir. Hizmet kesintisine yol açabilecek kodlar önceden bildirilmeli ve uygun zaman aralığında çalıştırılmalıdır. Bazı zafiyetlerin doğrulanması kesinti riski taşır; bu durumda doğrulama yapılmayabilir. Karar, müşteriyle birlikte verilir. Riskin kabulü yazılı olmalıdır.

Veri içeren sistemlerde ise gerçek veriye erişilmemesi esastır. Zafiyetin varlığı, tek bir kayıt sayısı ya da yapısal bilgi üzerinden gösterilebilir. Gerçek kişisel verinin görüntülenmesi ya da kopyalanması kabul edilemez. KVKK kapsamındaki yükümlülükler test ekipleri için de geçerlidir. Sözleşme bu sınırı açıkça belirtmelidir.

Kanıtın Raporda Sunumu

Rapora eklenen kanıtın anlaşılır ve tekrarlanabilir olması gerekir. Adım adım nasıl üretildiği yazılmalı, ekran görüntüsü ya da istek örneği eklenmelidir. Bu ayrıntı, düzeltmeyi yapacak ekibin sorunu anlamasını sağlar. Ayrıca düzeltme sonrası doğrulamayı da mümkün kılar. Belirsiz kanıtlar tartışma üretir.

Kanıtın hassas bilgi içermemesi de önemlidir. Ekran görüntülerinde gerçek kullanıcı verileri, kimlik bilgileri ya da anahtarlar bulunmamalıdır. Bu bilgiler maskelenmelidir. Rapor birden çok kişiyle paylaşılacağı için bu önlem gereklidir. Maskeleme, raporun dağıtımını da güvenli kılar.

Raporun saklanması ve dağıtımı da kontrollü olmalıdır. Bulunan zafiyetleri ve kanıtlarını içeren bir belge, saldırgan için değerli bir kaynaktır. Şifreli paylaşım ve erişim kısıtlaması standart uygulama olmalıdır. Saklama süresi de belirlenmelidir. Sızma testi raporlaması bu kuralları içerir.

Doğrulama Sonrası Süreç

Kavram kanıtı üretildikten sonra süreç düzeltmeyle devam eder. Kanıt, düzeltmenin önceliklendirilmesinde kullanılır ve etki değerlendirmesine girdi olur. Düzeltme uygulandıktan sonra aynı kanıtla yeniden test yapılır. Bu kapanış adımı çoğu zaman atlanır. Atlanınca düzeltmenin etkinliği bilinmez.

Yeniden test sonucunun da kayda geçirilmesi gerekir. Bulgunun kapandığı, kısmen kapandığı ya da hâlâ açık olduğu net biçimde yazılır. Kısmen kapanan bulgular ayrı bir kategori olarak izlenir. Bu ayrım, gerçek durumun görünmesini sağlar. Toplu kapatmalar yanıltıcı olur.

Privia Security olarak tüm test çalışmalarını yazılı kapsam ve izin çerçevesinde yürütüyor, doğrulanmış bulguları düzenli zafiyet tarama hizmeti kapsamında kanıtlarıyla birlikte sunuyoruz.