Merhaba,
Hacker nedir?
Öğrenme yollarına geç ↓İçerik ücretsiz. Önce hazır örnekleri tarayıcıda izle; başlamak için bir lab kurman gerekmez. AD’de hesaplardan, Web’de bir isteğin yolculuğundan başla. Her dersten sonra kısa pratikle anladığını sına.
Hacker kelimesi bugün çoğu insanın zihninde kötü bir imgeyle birlikte geliyor. Kapüşonlu bir adam, karanlık bir oda, ekranda akan yeşil yazılar, birilerinin sistemine izinsiz girmeye çalışan biri. Oysa bu kelimenin doğduğu kültür bundan çok farklıydı.
1950'lerin sonu ve 1960'larda MIT çevresinde “hack” denildiğinde kastedilen şey bir sisteme zarar vermek değildi. Daha çok bir problemi alışılmadık, yaratıcı ve zekice bir şekilde çözmekti. Bir şeyi sana öğretildiği biçimde kullanmakla yetinmeyip onun nasıl çalıştığını gerçekten anlamak, sınırlarını görmek ve daha iyi hale getirecek bir yol bulmaktı.
Bugün geriye dönüp baktığımda hackerlığın özündeki “iyilik” fikrini de burada görüyorum. Bu romantik anlamda dünyayı kurtarmak değildi; merakını bir şeyi anlamak, geliştirmek, paylaşmak ve daha iyi yapmak için kullanmaktı.
Bence hackerlığın en saf hali hâlâ bu.
Bir sisteme baktığında yalnızca “bunu nasıl kullanırım?” diye sormamak. “Bu neden böyle çalışıyor?”, “Neye güveniyor?”, “Buradaki varsayım ne?”, “Bu varsayım yanlış olursa ne olur?” diye sormak.
Hackerı diğer insanlardan ayıran şey çoğu zaman bildiği komutlar değil, bu soruları sormayı bırakamamasıdır.
Yıllar içinde sektör büyüdü, araçlar çoğaldı ve güvenlik profesyonel bir meslek haline geldi. Bu iyi bir şeydi. Ama beraberinde başka bir problem de geldi.
İnsanlar bazen sistemleri öğrenmek yerine araçları öğrenmeye başladı. Bir scanner'ın bulduğu sonuca bakıp arkasındaki mekanizmayı anlamadan ilerlemek, bir payload'ı ezberleyip neden çalıştığını bilmemek, bir tekniğin adını bilip sistemde hangi varsayımı kırdığını açıklayamamak giderek normalleşti.
Şimdi yapay zekâ ile bunun çok daha büyük bir versiyonunun başındayız.
Yapay zekâ çağında ne yapacağız?
Bugün birkaç saniye içinde kod yazdırabiliyoruz, hata mesajlarını açıklatabiliyoruz, saldırı fikirleri üretebiliyoruz, bilmediğimiz bir teknolojinin özetini alabiliyoruz, hatta ihtiyacımız olan araçları kendimiz yazdırabiliyoruz.
Bunun kötü olduğunu düşünmüyorum. Tam tersine, bizim yıllar önce sahip olmadığımız kadar güçlü bir imkân bu. Yapay zekâ ile mücadele etmek gerektiğine de inanmıyorum.
Ama onun yarattığı kolaylıkla mücadele etmemiz gerekiyor.
Çünkü bir şeyi yapmanın maliyeti azaldıkça, onu anlamadan yapmanın cazibesi artıyor.
Active Directory'yi gerçekten anlamadan bir attack path takip edebilirsin. Web'in nasıl çalıştığını bilmeden hazır payload'lar deneyebilirsin. Mobil uygulamanın lifecycle'ını anlamadan bir Frida script'i çalıştırabilirsin. Bir LLM sisteminin mimarisini anlamadan prompt injection testleri yapabilirsin.
Üstelik bazen başarılı da olursun.
Ama sonuç almakla anlamak aynı şey değildir.
Bu fark ilk başta önemsiz görünebilir. Uzun vadede ise bu meslekte seni ayıran şey tam olarak budur.
Çünkü bir gün karşına hazır cevabı olmayan bir problem çıkacak. Google'da bulamayacaksın. Bir blog yazısında olmayacak. Scanner söylemeyecek. AI sana hazır çözüm veremeyecek.
Önünde yalnızca davranışlarını gözlemleyebildiğin bir sistem olacak ve senin o sistemi okuyabilmen gerekecek.
İşte bu yüzden Hacker.Directory'yi kurdum.
Buradaki amaç sana yüzlerce araç öğretmek değil. Her saldırının komutunu ezberletmek de değil. Bunları zaten başka binlerce kaynak yapıyor.
Burada yapmak istediğim şey, hacklemeye çalıştığın şeyi önce gerçekten anlamanı sağlamak.
Active Directory çalışıyorsan yalnızca attack path'leri değil, identity'yi, trust'ı, Kerberos'u ve bir domain'in neden o şekilde çalıştığını anlamalısın.
Web çalışıyorsan yalnızca vulnerability isimlerini değil, HTTP'yi, browser'ı, state'i, session'ı, origin'i ve verinin sistem içerisinde nasıl hareket ettiğini anlamalısın.
Mobil, cloud, AI, LLM ya da bundan on yıl sonra adını bugün bilmediğimiz başka bir teknoloji üzerinde çalışıyor olman fark etmez.
Teknolojiler değişir; sistemlerin güven ilişkileri, varsayımları, sınırları ve hataları kalır.
Bu yüzden burada mümkün olduğunca temelden başlayacağız. Ama akademik bir ansiklopedi yapmak için değil.
Bir sistemi practitioner seviyesinde gerçekten anlayabilecek kadar derine ineceğiz.
Sonrasında istersen saldır, istersen savun, istersen üzerine yeni bir şey inşa et.
Çünkü temeli anladığında araç değişse de kaybolmazsın.
Yapay zekâyı da kullanacağız. Hem de sonuna kadar.
Kod yazdıracağız, araştıracağız, sorular soracağız, hipotezlerimizi test edeceğiz ve onu bir kaldıraç olarak kullanacağız.
Yapay zekâ bizim yerimize düşünebilir. Analiz yapabilir, seçenekler üretebilir, bağlantılar kurabilir ve bizim saatlerimizi alacak işleri çok daha hızlı yapabilir.
Ama bizim yerimize anlayamaz.
Çünkü anlamak yalnızca bir cevap üretmek değildir. O cevabın hangi varsayımlara dayandığını görebilmek, neyin eksik olduğunu fark edebilmek, teknik olarak doğru görünen bir şeyin gerçek sistemde neden yanlış olabileceğini anlayabilmektir.
İşte bu yüzden temeller, yapay zekâ çağında daha az değil, daha önemli hale geliyor.
Çünkü önümüzdeki yıllarda cevap üretmek giderek ucuzlayacak.
Gerçek anlayış ise tam tersine daha değerli hale gelecek.
Benim bu meslekte öğrendiğim en önemli şeylerden biri şu oldu: Bir sistemi gerçekten iyi kırmayı öğrendiğinde, bir süre sonra onu nasıl daha iyi savunacağını da öğreniyorsun.
Nerede hata yapılacağını, hangi kontrolün neden yetersiz kalacağını, hangi güven ilişkisinin ileride problem çıkaracağını daha erken görmeye başlıyorsun.
Defense in depth o noktadan sonra bir sunum terimi olmaktan çıkıyor; neden gerekli olduğunu gerçekten anlıyorsun.
Hackerlığın özü benim için hiçbir zaman zarar vermek olmadı.
Anlamak, sorgulamak, merak etmek ve öğrendiğin şeyi bir şeyleri daha iyi hale getirmek için kullanmaktı.
O yüzden araçları kullan. Yapay zekâyı kullan. Otomasyon yap. Daha hızlı öğren. Daha hızlı üret.
Ama kolaylaştığı için anlamaktan vazgeçme.
Çünkü önümüzdeki yıllarda cevap bulmak gittikçe kolaylaşacak.
Asıl değer, hangi soruyu sorman gerektiğini bilmekte olacak.
Bir sistem sana nasıl çalıştığını söylediğinde biraz daha derine bak.
Neye güvendiğini bul.
Neyi doğru kabul ettiğini sorgula.
Ve arada bir, herkesin doğru kabul ettiği şey için şu soruyu sormayı unutma:
Ya öyle değilse?
Ben hackerlığı böyle öğrendim.
Hacker.Directory'yi de bunun unutulmaması için kurdum.
— hacker.directory