Test Dağıtımları ve Laboratuvarlar

Önceki ders doğrulama denemelerini risk sınıfı, kanıt gücü ve olumsuz sonucun anlamıyla ölçtü. Bütün bu ölçüler bir yerde öğrenilmiş olmalıdır; doğrulama sırasında ilk kez denenen bir adım hem hedefe hem de değerlendirmenin kendisine risk yükler. Alıştırmanın yeri gerçek bir kurum ağı değildir. Başkasının sistemine yazılı izin olmadan yöneltilen bir deneme, öğrenme amacıyla yapılmış olsa da yetkisiz erişimdir ve yasal sonuç doğurur.

Bu ders yasal alıştırma ortamlarını kapsam cinsinden ölçer ve sorduğu şey ne öğrettikleri değil, ne öğretmedikleridir. Konunun altı dersinden çıkan beceri kalemleri listelenir, her ortam türünün kapsadığı kalem sayılır ve hiçbirinin kapsamadığı kalemler ayrı yazılır.

Kapsam Bir Küme Farkıdır

Dört ortam türü ele alınır. Kendi kurduğun yalıtık laboratuvar kendi donanımın üzerinde kurulan, dış ağa çıkmayan bir ortamdır: topolojiyi sen kurarsın, dolayısıyla nereden yakalama yapılacağını da sen seçersin. Hazır açıklı imaj kümesi önceden hazırlanmış hedeflerden oluşur; kurulum ucuzdur, topoloji verilidir. Senaryo tabanlı alıştırma ortamı bir sağlayıcının işlettiği, kapsamı ve kuralları önceden tanımlanmış bir ortamdır; kullanım koşulu bir sözleşmedir ve okunması alıştırmanın parçasıdır. Güvenlik odaklı test dağıtımı bir araç kümesidir; kurulum süresini kısaltır.

Beşinci satır ölçünün referansıdır: yetkilendirilmiş gerçek değerlendirme. Tanım gereği bütün kalemleri kapsar, kurulum istemez ve yazılı sözleşme ile tanımlı kapsam ister.

• AA42. Beceri listesi, ortam türleri ve kapsam kümeleri modeldir; gerçek bir platform, dağıtım ya da sağlayıcı adı yazılmaz.
• AA43. Beceri kalemleri bu konunun altı dersinden çıkarıldı; surec kaynaklı dört kalem hiçbir derste ölçülmedi ve listeye sınır olarak konuldu.
• AA44. Bir ortamın bir beceriyi kapsaması, o becerinin orada sonucuyla birlikte çalışılabildiği anlamına gelir; aracı çalıştırabilmek yeterli değildir.
• AA45. Kurulum süreleri ortam türü başına elle yazıldı.
• AA46. Laboratuvarların birleşimi üç alıştırma türünü kapsar; gerçek değerlendirme birleşime katılmaz, karşılaştırma tarafıdır.
• AA47. Laboratuvarda üretilen gerçek kayıt ve taşınan gerçek risk sıfırdır.

// lab/kapsam.mjs — yasal alistirma ortamlarinin KAPSAM modelidir. Hicbir platform,
// dagitim ya da urun adi yazilmaz; ortamlar turuyle anilir.
// Beceri listesi bu konunun alti dersinden cikarildi; 'surec' kaynakli olanlar
// hicbir derste olculmedi ve buraya sinir olarak konuldu.
export const BECERI = `
  b01 yakalama-noktasi-secimi      01
  b02 alan-sinifi-ayirma           01
  b03 cozumleyici-etiketi-dogrulama 02
  b04 meta-veri-cikarim-siniri     02
  b05 dogrulama-plani-kurma        03
  b06 istek-risk-sinifi-atama      03
  b07 kapsam-denetimi-kosturma     03
  b08 sanal-alan-hazirligi         04
  b09 gizlenen-davranis-okuma      04
  b10 cogunluk-esigi-secimi        05
  b11 gizlilik-sinifi-karari       05
  b12 dogrulama-secenegi-secimi    06
  b13 olumsuz-sonuc-yorumu         06
  b14 hedef-kimligi-dogrulama      06
  b15 kapsam-pazarligi             surec
  b16 musteri-iletisimi            surec
  b17 uretim-etkisi-tasima         surec
  b18 bulgu-raporlama              surec
`.trim().split('\n').map((r) => {
  const [ad, is, kaynak] = r.trim().split(/\s+/);
  return { ad, is, kaynak };
});

// Ortam turu: hangi becerileri kapsiyor, kurulum kac saat, yasal kosulu ne.
// 'guvenlik-odakli-test-dagitimi' bir arac kumesidir, bir alistirma ortami degildir:
// kurulum suresini kisaltir, tek basina hicbir beceriyi kapsamaz.
export const ORTAM = {
  'kendi-kurdugun-yalitik-lab': { kurulumSaat: 24, yasal: 'kendi-donanimin',
    kapsar: ['b01', 'b02', 'b03', 'b04', 'b05', 'b06', 'b08', 'b09', 'b12', 'b13'] },
  'hazir-acikli-imaj-kumesi': { kurulumSaat: 3, yasal: 'kendi-donanimin',
    kapsar: ['b03', 'b04', 'b05', 'b06', 'b12', 'b13'] },
  'senaryo-tabanli-alistirma-ortami': { kurulumSaat: 0, yasal: 'saglayici-kullanim-kosulu',
    kapsar: ['b03', 'b04', 'b05', 'b06', 'b07', 'b09', 'b10', 'b12', 'b13', 'b14'] },
  'guvenlik-odakli-test-dagitimi': { kurulumSaat: 1, yasal: 'kendi-donanimin', kapsar: [] },
  'yetkilendirilmis-gercek-degerlendirme': { kurulumSaat: 0, yasal: 'yazili-sozlesme-ve-kapsam',
    kapsar: BECERI.map((b) => b.ad) },
};

export const LABORATUVAR = Object.keys(ORTAM).filter((o) => o !== 'yetkilendirilmis-gercek-degerlendirme');

export function birlesim(ortamlar) {
  const k = new Set();
  for (const o of ortamlar) for (const b of ORTAM[o].kapsar) k.add(b);
  return k;
}

export function dersBasina(kapsanan) {
  const m = new Map();
  for (const b of BECERI) {
    if (!m.has(b.kaynak)) m.set(b.kaynak, { toplam: 0, kapsanan: 0 });
    const s = m.get(b.kaynak);
    s.toplam += 1;
    if (kapsanan.has(b.ad)) s.kapsanan += 1;
  }
  return m;
}

On Sekiz Beceri, Dört Ortam

// lab/olc.mjs — dort ortam turu ve gercek degerlendirme, on sekiz beceri uzerinde.
import { BECERI, ORTAM, LABORATUVAR, birlesim, dersBasina } from './kapsam.mjs';

const y = (g, ...s) => console.log(s.map((v, i) =>
  (g[i] < 0 ? String(v).padEnd(-g[i]) : String(v).padStart(g[i]))).join('').trimEnd());

console.log(`${BECERI.length} beceri kalemi, ${Object.keys(ORTAM).length} ortam turu; ` +
  `beceriler bu konunun alti dersinden ve surecten cikarildi`);

const A = [-38, 10, 11, 28];
console.log('\n1. ortam basina kapsam');
y(A, 'ortam', 'kapsanan', 'kurulum s', 'yasal kosul');
for (const [o, v] of Object.entries(ORTAM))
  y(A, o, `${v.kapsar.length}/${BECERI.length}`, v.kurulumSaat, v.yasal);

const lab = birlesim(LABORATUVAR);
const acik = BECERI.filter((b) => !lab.has(b.ad));

const B = [-10, 9, 11, 12];
console.log('\n2. kaynak ders basina kapsam (uc laboratuvar turunun birlesimi)');
y(B, 'kaynak', 'beceri', 'kapsanan', 'kapsanmaz');
for (const [k, s] of dersBasina(lab)) y(B, k, s.toplam, s.kapsanan, s.toplam - s.kapsanan);

const C = [-8, -32, 8, 15];
console.log('\n3. hicbir laboratuvarda kapsanmayan beceri');
y(C, 'kalem', 'beceri', 'kaynak', 'nerede var');
for (const b of acik) y(C, b.ad, b.is, b.kaynak, 'yalniz gercek');

console.log('\n4. laboratuvar ile gercek degerlendirme farki');
console.log(`  uc laboratuvar turunun birlesimi   ${lab.size} / ${BECERI.length}`);
console.log(`  fark                               ${acik.length} kalem`);
console.log(`  en genis tek laboratuvar turu      ` +
  `${Math.max(...LABORATUVAR.map((o) => ORTAM[o].kapsar.length))} / ${BECERI.length}`);
console.log(`  test dagitiminin tek basina kapsami ${ORTAM['guvenlik-odakli-test-dagitimi'].kapsar.length}`);
console.log(`  toplam kurulum suresi (uc lab)     ` +
  `${LABORATUVAR.reduce((t, o) => t + ORTAM[o].kurulumSaat, 0)} saat`);

console.log('\n5. iz ve sonuc');
console.log(`  laboratuvarda uretilen gercek kayit   0`);
console.log(`  laboratuvarda tasinan gercek risk     0`);
console.log(`  gercek degerlendirmede yetki kosulu   ` +
  `${ORTAM['yetkilendirilmis-gercek-degerlendirme'].yasal}`);
console.log(`  kapsanmayan ${acik.length} kalemin kaynagi: ` +
  `${[...new Set(acik.map((b) => b.kaynak))].join(', ')}`);

18 beceri kalemi, 5 ortam turu; beceriler bu konunun alti dersinden ve surecten cikarildi

1. ortam basina kapsam
ortam                                   kapsanan  kurulum s                 yasal kosul
kendi-kurdugun-yalitik-lab                 10/18         24             kendi-donanimin
hazir-acikli-imaj-kumesi                    6/18          3             kendi-donanimin
senaryo-tabanli-alistirma-ortami           10/18          0   saglayici-kullanim-kosulu
guvenlik-odakli-test-dagitimi               0/18          1             kendi-donanimin
yetkilendirilmis-gercek-degerlendirme      18/18          0   yazili-sozlesme-ve-kapsam

2. kaynak ders basina kapsam (uc laboratuvar turunun birlesimi)
kaynak       beceri   kapsanan   kapsanmaz
01                2          2           0
02                2          2           0
03                3          3           0
04                2          2           0
05                2          1           1
06                3          3           0
surec             4          0           4

3. hicbir laboratuvarda kapsanmayan beceri
kalem   beceri                            kaynak     nerede var
b11     gizlilik-sinifi-karari                05  yalniz gercek
b15     kapsam-pazarligi                   surec  yalniz gercek
b16     musteri-iletisimi                  surec  yalniz gercek
b17     uretim-etkisi-tasima               surec  yalniz gercek
b18     bulgu-raporlama                    surec  yalniz gercek

4. laboratuvar ile gercek degerlendirme farki
  uc laboratuvar turunun birlesimi   13 / 18
  fark                               5 kalem
  en genis tek laboratuvar turu      10 / 18
  test dagitiminin tek basina kapsami 0
  toplam kurulum suresi (uc lab)     28 saat

5. iz ve sonuc
  laboratuvarda uretilen gercek kayit   0
  laboratuvarda tasinan gercek risk     0
  gercek degerlendirmede yetki kosulu   yazili-sozlesme-ve-kapsam
  kapsanmayan 5 kalemin kaynagi: 05, surec

Dağıtım Bir Ortam Değildir

Birinci tablonun en açık satırı dördüncüsüdür: güvenlik odaklı bir test dağıtımı on sekiz beceri kaleminin sıfırını kapsar. Bu bir eksiklik değil, bir tanım sorunudur. Dağıtım bir araç kümesidir; araçları kurmanın süresini bir saate indirir ve orada durur. Araçları kurmuş olmak bir beceri değildir; beceri, aracın ürettiği adayı kanıttan ayırabilmektir ve bunun için bir hedef, bir kapsam ve bir sonuç gerekir.

Kalan üç satır kurulum ile kapsam arasında beklenmedik bir ilişki gösteriyor. Yirmi dört saatlik kurulum isteyen kendi laboratuvarın 10 kalem kapsıyor; sıfır kurulum isteyen senaryo tabanlı ortam da 10 kalem kapsıyor. Ama kapsadıkları kalemler aynı değildir. Kendi laboratuvarında topolojiyi sen kurduğun için yakalama noktası seçimi ve alan sınıfı ayırma çalışılabilir; hazır bir senaryoda topoloji verilidir ve o iki kalem düşer. Buna karşılık senaryo bir kapsam tanımı taşıdığı için kapsam denetimi koşturma, hedef kimliği doğrulama ve çoğunluk eşiği seçimi çalışılabilir; kendi laboratuvarında kapsam kavramı yoktur, çünkü her şey senindir.

İkisi birlikte kullanıldığında birleşim 13 kaleme çıkıyor. Hazır açıklı imaj kümesi birleşime yeni bir kalem eklemiyor; katkısı kapsam değil, üç saatlik kurulumla tekrar sayısını artırmaktır. Yirmi sekiz saatlik toplam kurulum bu üç ortamın bedelidir ve tek seferliktir.

Kapsam sayısının bir beceriyi ölçmediğini burada söylemek gerekir. Tablo bir kalemin çalışılabildiğini söyler, ne kadar iyi çalışıldığını söylemez. Doğrulama planı kurmak üç ortamda da kapsanan bir kalemdir; bir plan kurmuş olmakla yirmi plan kurup hangilerinin kısaldığını görmüş olmak aynı şey değildir. Hazır imaj kümesinin katkısı tam olarak buradadır: kapsam sütununa hiçbir şey eklemez, tekrar sayısını ucuzlatır. Kapsam bir ön koşuldur, yeterlilik değildir.

İkinci tablo becerileri kaynak derse göre topluyor ve teknik tarafın neredeyse tamamının laboratuvarda çalışılabildiğini gösteriyor: altı dersin beşinde kapsanmayan kalem yoktur. Tek istisna beşinci derstir ve orada da kapsanmayan kalem teknik değildir. Bu dağılım, laboratuvarın sınırının araç yeteneğiyle ilgili olmadığını doğruluyor.

Laboratuvarın Öğretemediği Beş Kalem

Üçüncü tablo bu dersin sonucudur. Beş kalem hiçbir laboratuvarda kapsanmıyor ve dördü doğrudan süreç kaynaklıdır: kapsam pazarlığı, müşteri iletişimi, üretim etkisi taşıma, bulgu raporlama. Beşincisi teknik bir dersten gelir ve tam da bu yüzden dikkat çeker: gizlilik sınıfı kararı.

Bir laboratuvarda abone verisi yoktur. Bir dosyayı dışarıya göndermemeye karar vermek orada bedelsiz bir tercihtir; kararı zorlaştıran şey, gönderirsen ne olacağıdır ve laboratuvarda hiçbir şey olmaz. Aynı yapı öteki dört kalemde de görülür. Kapsam pazarlığı, karşı tarafta bir kurum olduğunda anlamlıdır. Üretim etkisi taşımak, gerçekten duran bir hizmet olduğunda öğrenilir. Bulgu raporlamak, raporu okuyan birinin bütçesi kaydığında öğrenilir.

Beşinci blok bunu tek satırda veriyor: laboratuvarda üretilen gerçek kayıt sıfır, taşınan gerçek risk sıfır. Laboratuvarın öğretemediği şey, laboratuvar olmasının nedenidir. Sıfır risk alıştırmayı yasal ve tekrarlanabilir yapar; aynı sıfır, sonucu olan kararları listenin dışında bırakır.

Buradan çıkan pratik sonuç, ortam seçimiyle ilgili değildir. Üç laboratuvar türünün hepsi kullanılsa bile beş kalem açık kalır ve bu kalemler bir sonraki ortamdan değil, bir süreçten gelir. Yetkilendirilmiş gerçek değerlendirme satırının kapsamı 18’dir, ama koşulu yazılı sözleşme ve tanımlı kapsamdır; o koşul olmadan aynı işi yapmak alıştırma değil, suçtur.

Laboratuvarın Tek Başına Verdiği Şey

Fark listesi tek yönlü okunmamalıdır. Laboratuvarın gerçek değerlendirmede bulunmayan bir üstünlüğü vardır ve bu konunun ölçü ekseniyle doğrudan ilgilidir: laboratuvarda gerçek durum bilinir.

Bu konunun bütün modellerinde bir gercek alanı vardı — kalemin açık olup olmadığı, kötü olup olmadığı. Model o alanı yalnız sonucu hesaplayabilmek için taşıyordu; gerçek bir değerlendirmede öyle bir alan yoktur. Bir aday kanıtlanmadığında, açığın var olup da gösterilemediği mi yoksa hiç var olmadığı mı bilinemez. Laboratuvarda hedefin durumu önceden bilinir; dolayısıyla kendi yanlış pozitif ve yanlış negatif oranını ölçmek mümkündür.

Bu, ölçülebilir tek alıştırma biçimidir. On hedefin kaçında doğru karar verildiği, kaç adayın gereksiz doğrulandığı, hangi adımın kaç kez atlandığı laboratuvarda sayılabilir; gerçek bir değerlendirmede ancak yıllar sonra, bir olay geriye doğru okunduğunda anlaşılır. Kapsam tablosunun 13 kalemlik bölümü bu yüzden “daha az” değil, “ölçülebilir” biçimde çalışılan bölümdür.

Buradan bir kullanım kuralı çıkar. Laboratuvarın işi bir tekniği görmek değil, o teknikte kendi hata oranını öğrenmektir. Aynı hedef kümesinde iki kez çalışıp ikisinde de aynı kararı vermek bir şey öğretmez; hedef kümesini değiştirip karar dağılımını karşılaştırmak öğretir.

Yasal Sınır ve Kullanım Koşulu

Üç laboratuvar türünün yasal koşulu aynı değildir. Kendi donanımında kurduğun bir ortamda sınır kendi donanımının sınırıdır; dışarı çıkan tek bir bağlantı bile bu sınırı aşar ve yalıtımın kurulmasının nedeni budur. Senaryo tabanlı bir ortamda sınırı sağlayıcının kullanım koşulu çizer: hangi hedeflere dokunulabileceği, hangi tekniklerin yasak olduğu ve bulunan bir açığın nasıl bildirileceği orada yazılıdır. O metni okumak, alıştırmanın kendisinin bir parçasıdır — çünkü gerçek bir değerlendirmede karşılığı katılım kurallarıdır ve okunmaması aynı sonucu doğurur.

Kendi kurduğun laboratuvarda yalıtımın kurulmaması yalnız bir yasal sorun değildir; ölçümü de bozar. Dördüncü derste bir ortam ipucunun hiçbir yapılandırmada gizlenemediği görülmüştü, çünkü gizlemek incelenen kalemin gerçek bir hedefe ulaşmasını gerektiriyordu. Alıştırma ortamında aynı sınır aynı biçimde durur: bir kalemin dışarıya çıkmasına izin vermek, hem yalıtımı hem de yasal zemini aynı anda kaldırır. Laboratuvarın dış bağlantısının denetimli olması, alıştırmanın kendisinin bir parçasıdır ve gerçek bir değerlendirmede kapsam belgesinin karşılığıdır.

Bu, konunun yedi dersini tek bir çizgide toplar. Araçlar aday üretti, doğrulama adımları o adayların bir bölümünü kanıta çevirdi, her adım savunmada bir iz bıraktı ve her aşamada bir kapsam sınırı kaç kalemi listenin dışında tuttuğunu yazdı. Kapsam sınırı yedi derste de aynı biçimde davrandı: bir aracın yeteneğini değil, o yeteneği kullanma iznini ölçtü.

Özet

• On sekiz beceri kaleminin üç laboratuvar türünün birleşiminde 13’ü kapsanır; hiçbir tek tür 10’u geçmez ve fark beş kalemdir.
• Güvenlik odaklı bir test dağıtımı tek başına sıfır beceri kapsar: bir araç kümesi kurulum süresini kısaltır, alıştırma ortamı yerine geçmez.
• Kendi kurduğun laboratuvar ile senaryo tabanlı ortam aynı sayıda kalem kapsar ama farklı kalemleri: birincisi topolojiyi, ikincisi kapsam tanımını verir.
• Kapsanmayan beş kalemin dördü süreçten, biri gizlilik kararından gelir; hepsinin ortak yanı sonucu olan bir karar gerektirmesidir.
• Laboratuvarda gerçek kayıt ve gerçek risk sıfırdır; bu sıfır alıştırmayı yasal ve tekrarlanabilir yapar ve aynı sıfır beş kalemi listenin dışında bırakır.
• Yasal sınır ortam türüne göre değişir: kendi donanımının sınırı ya da sağlayıcının kullanım koşulu. Kullanım koşulunu okumak, gerçek değerlendirmedeki katılım kurallarının karşılığıdır.

Sonraki Adım

Bu konu yedi araç sınıfının ne ürettiğini ve neyi kanıtlayamadığını saydı. Paket yakalama iddiaları üç sınıfa ayırdı, protokol çözümleyici şifreli akışta meta veriye düştü, vekil araç doğrulamayı istek sayısı ve risk sınıfı cinsinden ölçtü, sanal alan gizlenen davranışı saydı, itibar servisi çoğunluk kararının sınırını gösterdi, istismar çerçevesi neyi kanıtlamadığını yazdı ve bu ders bütün bunların nerede öğrenilebileceğini kapsam cinsinden ölçtü.

Her derste aynı sütun eksik kaldı. Kapsam sınırı defalarca devreye girdi — kapsam dışı hedefe giden istek sıfır tutuldu, iki akış çözümlenmeden bırakıldı, on kalem hiç sorulmadı, iki hedefe hiç dokunulmadı — ama o sınırı kimin, hangi yetkiyle ve hangi belgeyle çizdiği hiç yazılmadı. Ölçülen her izin, her uyarının ve her kanıtın hangi biçimde raporlanacağı da yazılmadı.

Sonraki konu Test Süreci bu boşluğu doldurur: katılım kurallarının ölçülebilir kalemlere çevrilmesi, kara, gri ve beyaz kutu değerlendirmelerinin farkı, yanlış pozitifin elenmesi, bulgunun iş etkisiyle ifade edilmesi, yeniden üretim adımlarının yazımı ve sorumlu açıklamanın süresi.