--- title: 'Test Dağıtımları ve Laboratuvarlar' source: 'https://academia.sh/tr/kurslar/sizma-testi/test-dagitimlari-ve-laboratuvarlar' course: 'Güvenlik Araçları ve Sızma Testi' language: tr updated: '2026-08-17T18:08:40+00:00' license: 'CC BY-SA 4.0' --- # Test Dağıtımları ve Laboratuvarlar Yasal alıştırma ortamlarının kapsam cinsinden ölçülmesi: konunun altı dersinden çıkan 18 beceri kaleminin üç laboratuvar türünün birleşiminde 13'ünün kapsanması, hiçbir tek türün 10'u geçmemesi, güvenlik odaklı bir test dağıtımının tek başına sıfır beceri kapsaması ve kapsanmayan beş kalemin gerçek kayıt ile gerçek riskin bulunmamasından kaynaklanması. Önceki ders doğrulama denemelerini risk sınıfı, kanıt gücü ve olumsuz sonucun anlamıyla ölçtü. Bütün bu ölçüler bir yerde öğrenilmiş olmalıdır; doğrulama sırasında ilk kez denenen bir adım hem hedefe hem de değerlendirmenin kendisine risk yükler. Alıştırmanın yeri gerçek bir kurum ağı değildir. Başkasının sistemine yazılı izin olmadan yöneltilen bir deneme, öğrenme amacıyla yapılmış olsa da yetkisiz erişimdir ve yasal sonuç doğurur. Bu ders yasal alıştırma ortamlarını **kapsam** cinsinden ölçer ve sorduğu şey ne öğrettikleri değil, **ne öğretmedikleridir**. Konunun altı dersinden çıkan beceri kalemleri listelenir, her ortam türünün kapsadığı kalem sayılır ve hiçbirinin kapsamadığı kalemler ayrı yazılır. ## Kapsam Bir Küme Farkıdır Dört ortam türü ele alınır. **Kendi kurduğun yalıtık laboratuvar** kendi donanımın üzerinde kurulan, dış ağa çıkmayan bir ortamdır: topolojiyi sen kurarsın, dolayısıyla nereden yakalama yapılacağını da sen seçersin. **Hazır açıklı imaj kümesi** önceden hazırlanmış hedeflerden oluşur; kurulum ucuzdur, topoloji verilidir. **Senaryo tabanlı alıştırma ortamı** bir sağlayıcının işlettiği, kapsamı ve kuralları önceden tanımlanmış bir ortamdır; kullanım koşulu bir sözleşmedir ve okunması alıştırmanın parçasıdır. **Güvenlik odaklı test dağıtımı** bir araç kümesidir; kurulum süresini kısaltır. Beşinci satır ölçünün referansıdır: **yetkilendirilmiş gerçek değerlendirme**. Tanım gereği bütün kalemleri kapsar, kurulum istemez ve yazılı sözleşme ile tanımlı kapsam ister. - **AA42.** Beceri listesi, ortam türleri ve kapsam kümeleri **modeldir**; gerçek bir platform, dağıtım ya da sağlayıcı adı yazılmaz. - **AA43.** Beceri kalemleri bu konunun altı dersinden çıkarıldı; `surec` kaynaklı dört kalem hiçbir derste ölçülmedi ve listeye sınır olarak konuldu. - **AA44.** Bir ortamın bir beceriyi kapsaması, o becerinin orada **sonucuyla birlikte** çalışılabildiği anlamına gelir; aracı çalıştırabilmek yeterli değildir. - **AA45.** Kurulum süreleri ortam türü başına elle yazıldı. - **AA46.** Laboratuvarların birleşimi üç alıştırma türünü kapsar; gerçek değerlendirme birleşime katılmaz, karşılaştırma tarafıdır. - **AA47.** Laboratuvarda üretilen gerçek kayıt ve taşınan gerçek risk sıfırdır. ```js // lab/kapsam.mjs — yasal alistirma ortamlarinin KAPSAM modelidir. Hicbir platform, // dagitim ya da urun adi yazilmaz; ortamlar turuyle anilir. // Beceri listesi bu konunun alti dersinden cikarildi; 'surec' kaynakli olanlar // hicbir derste olculmedi ve buraya sinir olarak konuldu. export const BECERI = ` b01 yakalama-noktasi-secimi 01 b02 alan-sinifi-ayirma 01 b03 cozumleyici-etiketi-dogrulama 02 b04 meta-veri-cikarim-siniri 02 b05 dogrulama-plani-kurma 03 b06 istek-risk-sinifi-atama 03 b07 kapsam-denetimi-kosturma 03 b08 sanal-alan-hazirligi 04 b09 gizlenen-davranis-okuma 04 b10 cogunluk-esigi-secimi 05 b11 gizlilik-sinifi-karari 05 b12 dogrulama-secenegi-secimi 06 b13 olumsuz-sonuc-yorumu 06 b14 hedef-kimligi-dogrulama 06 b15 kapsam-pazarligi surec b16 musteri-iletisimi surec b17 uretim-etkisi-tasima surec b18 bulgu-raporlama surec `.trim().split('\n').map((r) => { const [ad, is, kaynak] = r.trim().split(/\s+/); return { ad, is, kaynak }; }); // Ortam turu: hangi becerileri kapsiyor, kurulum kac saat, yasal kosulu ne. // 'guvenlik-odakli-test-dagitimi' bir arac kumesidir, bir alistirma ortami degildir: // kurulum suresini kisaltir, tek basina hicbir beceriyi kapsamaz. export const ORTAM = { 'kendi-kurdugun-yalitik-lab': { kurulumSaat: 24, yasal: 'kendi-donanimin', kapsar: ['b01', 'b02', 'b03', 'b04', 'b05', 'b06', 'b08', 'b09', 'b12', 'b13'] }, 'hazir-acikli-imaj-kumesi': { kurulumSaat: 3, yasal: 'kendi-donanimin', kapsar: ['b03', 'b04', 'b05', 'b06', 'b12', 'b13'] }, 'senaryo-tabanli-alistirma-ortami': { kurulumSaat: 0, yasal: 'saglayici-kullanim-kosulu', kapsar: ['b03', 'b04', 'b05', 'b06', 'b07', 'b09', 'b10', 'b12', 'b13', 'b14'] }, 'guvenlik-odakli-test-dagitimi': { kurulumSaat: 1, yasal: 'kendi-donanimin', kapsar: [] }, 'yetkilendirilmis-gercek-degerlendirme': { kurulumSaat: 0, yasal: 'yazili-sozlesme-ve-kapsam', kapsar: BECERI.map((b) => b.ad) }, }; export const LABORATUVAR = Object.keys(ORTAM).filter((o) => o !== 'yetkilendirilmis-gercek-degerlendirme'); export function birlesim(ortamlar) { const k = new Set(); for (const o of ortamlar) for (const b of ORTAM[o].kapsar) k.add(b); return k; } export function dersBasina(kapsanan) { const m = new Map(); for (const b of BECERI) { if (!m.has(b.kaynak)) m.set(b.kaynak, { toplam: 0, kapsanan: 0 }); const s = m.get(b.kaynak); s.toplam += 1; if (kapsanan.has(b.ad)) s.kapsanan += 1; } return m; } ``` ## On Sekiz Beceri, Dört Ortam ```js // lab/olc.mjs — dort ortam turu ve gercek degerlendirme, on sekiz beceri uzerinde. import { BECERI, ORTAM, LABORATUVAR, birlesim, dersBasina } from './kapsam.mjs'; const y = (g, ...s) => console.log(s.map((v, i) => (g[i] < 0 ? String(v).padEnd(-g[i]) : String(v).padStart(g[i]))).join('').trimEnd()); console.log(`${BECERI.length} beceri kalemi, ${Object.keys(ORTAM).length} ortam turu; ` + `beceriler bu konunun alti dersinden ve surecten cikarildi`); const A = [-38, 10, 11, 28]; console.log('\n1. ortam basina kapsam'); y(A, 'ortam', 'kapsanan', 'kurulum s', 'yasal kosul'); for (const [o, v] of Object.entries(ORTAM)) y(A, o, `${v.kapsar.length}/${BECERI.length}`, v.kurulumSaat, v.yasal); const lab = birlesim(LABORATUVAR); const acik = BECERI.filter((b) => !lab.has(b.ad)); const B = [-10, 9, 11, 12]; console.log('\n2. kaynak ders basina kapsam (uc laboratuvar turunun birlesimi)'); y(B, 'kaynak', 'beceri', 'kapsanan', 'kapsanmaz'); for (const [k, s] of dersBasina(lab)) y(B, k, s.toplam, s.kapsanan, s.toplam - s.kapsanan); const C = [-8, -32, 8, 15]; console.log('\n3. hicbir laboratuvarda kapsanmayan beceri'); y(C, 'kalem', 'beceri', 'kaynak', 'nerede var'); for (const b of acik) y(C, b.ad, b.is, b.kaynak, 'yalniz gercek'); console.log('\n4. laboratuvar ile gercek degerlendirme farki'); console.log(` uc laboratuvar turunun birlesimi ${lab.size} / ${BECERI.length}`); console.log(` fark ${acik.length} kalem`); console.log(` en genis tek laboratuvar turu ` + `${Math.max(...LABORATUVAR.map((o) => ORTAM[o].kapsar.length))} / ${BECERI.length}`); console.log(` test dagitiminin tek basina kapsami ${ORTAM['guvenlik-odakli-test-dagitimi'].kapsar.length}`); console.log(` toplam kurulum suresi (uc lab) ` + `${LABORATUVAR.reduce((t, o) => t + ORTAM[o].kurulumSaat, 0)} saat`); console.log('\n5. iz ve sonuc'); console.log(` laboratuvarda uretilen gercek kayit 0`); console.log(` laboratuvarda tasinan gercek risk 0`); console.log(` gercek degerlendirmede yetki kosulu ` + `${ORTAM['yetkilendirilmis-gercek-degerlendirme'].yasal}`); console.log(` kapsanmayan ${acik.length} kalemin kaynagi: ` + `${[...new Set(acik.map((b) => b.kaynak))].join(', ')}`); ``` ``` 18 beceri kalemi, 5 ortam turu; beceriler bu konunun alti dersinden ve surecten cikarildi 1. ortam basina kapsam ortam kapsanan kurulum s yasal kosul kendi-kurdugun-yalitik-lab 10/18 24 kendi-donanimin hazir-acikli-imaj-kumesi 6/18 3 kendi-donanimin senaryo-tabanli-alistirma-ortami 10/18 0 saglayici-kullanim-kosulu guvenlik-odakli-test-dagitimi 0/18 1 kendi-donanimin yetkilendirilmis-gercek-degerlendirme 18/18 0 yazili-sozlesme-ve-kapsam 2. kaynak ders basina kapsam (uc laboratuvar turunun birlesimi) kaynak beceri kapsanan kapsanmaz 01 2 2 0 02 2 2 0 03 3 3 0 04 2 2 0 05 2 1 1 06 3 3 0 surec 4 0 4 3. hicbir laboratuvarda kapsanmayan beceri kalem beceri kaynak nerede var b11 gizlilik-sinifi-karari 05 yalniz gercek b15 kapsam-pazarligi surec yalniz gercek b16 musteri-iletisimi surec yalniz gercek b17 uretim-etkisi-tasima surec yalniz gercek b18 bulgu-raporlama surec yalniz gercek 4. laboratuvar ile gercek degerlendirme farki uc laboratuvar turunun birlesimi 13 / 18 fark 5 kalem en genis tek laboratuvar turu 10 / 18 test dagitiminin tek basina kapsami 0 toplam kurulum suresi (uc lab) 28 saat 5. iz ve sonuc laboratuvarda uretilen gercek kayit 0 laboratuvarda tasinan gercek risk 0 gercek degerlendirmede yetki kosulu yazili-sozlesme-ve-kapsam kapsanmayan 5 kalemin kaynagi: 05, surec ``` ## Dağıtım Bir Ortam Değildir Birinci tablonun en açık satırı dördüncüsüdür: güvenlik odaklı bir test dağıtımı on sekiz beceri kaleminin **sıfırını** kapsar. Bu bir eksiklik değil, bir tanım sorunudur. Dağıtım bir araç kümesidir; araçları kurmanın süresini bir saate indirir ve orada durur. Araçları kurmuş olmak bir beceri değildir; beceri, aracın ürettiği adayı kanıttan ayırabilmektir ve bunun için bir hedef, bir kapsam ve bir sonuç gerekir. Kalan üç satır kurulum ile kapsam arasında beklenmedik bir ilişki gösteriyor. Yirmi dört saatlik kurulum isteyen kendi laboratuvarın 10 kalem kapsıyor; sıfır kurulum isteyen senaryo tabanlı ortam da 10 kalem kapsıyor. Ama kapsadıkları kalemler aynı değildir. Kendi laboratuvarında topolojiyi sen kurduğun için **yakalama noktası seçimi** ve **alan sınıfı ayırma** çalışılabilir; hazır bir senaryoda topoloji verilidir ve o iki kalem düşer. Buna karşılık senaryo bir kapsam tanımı taşıdığı için **kapsam denetimi koşturma**, **hedef kimliği doğrulama** ve **çoğunluk eşiği seçimi** çalışılabilir; kendi laboratuvarında kapsam kavramı yoktur, çünkü her şey senindir. İkisi birlikte kullanıldığında birleşim 13 kaleme çıkıyor. Hazır açıklı imaj kümesi birleşime yeni bir kalem eklemiyor; katkısı kapsam değil, üç saatlik kurulumla tekrar sayısını artırmaktır. Yirmi sekiz saatlik toplam kurulum bu üç ortamın bedelidir ve tek seferliktir. Kapsam sayısının bir beceriyi ölçmediğini burada söylemek gerekir. Tablo bir kalemin çalışılabildiğini söyler, ne kadar iyi çalışıldığını söylemez. Doğrulama planı kurmak üç ortamda da kapsanan bir kalemdir; bir plan kurmuş olmakla yirmi plan kurup hangilerinin kısaldığını görmüş olmak aynı şey değildir. Hazır imaj kümesinin katkısı tam olarak buradadır: kapsam sütununa hiçbir şey eklemez, tekrar sayısını ucuzlatır. Kapsam bir ön koşuldur, yeterlilik değildir. İkinci tablo becerileri kaynak derse göre topluyor ve teknik tarafın neredeyse tamamının laboratuvarda çalışılabildiğini gösteriyor: altı dersin beşinde kapsanmayan kalem yoktur. Tek istisna beşinci derstir ve orada da kapsanmayan kalem teknik değildir. Bu dağılım, laboratuvarın sınırının araç yeteneğiyle ilgili olmadığını doğruluyor. ## Laboratuvarın Öğretemediği Beş Kalem Üçüncü tablo bu dersin sonucudur. Beş kalem hiçbir laboratuvarda kapsanmıyor ve dördü doğrudan süreç kaynaklıdır: kapsam pazarlığı, müşteri iletişimi, üretim etkisi taşıma, bulgu raporlama. Beşincisi teknik bir dersten gelir ve tam da bu yüzden dikkat çeker: **gizlilik sınıfı kararı**. Bir laboratuvarda abone verisi yoktur. Bir dosyayı dışarıya göndermemeye karar vermek orada bedelsiz bir tercihtir; kararı zorlaştıran şey, gönderirsen ne olacağıdır ve laboratuvarda hiçbir şey olmaz. Aynı yapı öteki dört kalemde de görülür. Kapsam pazarlığı, karşı tarafta bir kurum olduğunda anlamlıdır. Üretim etkisi taşımak, gerçekten duran bir hizmet olduğunda öğrenilir. Bulgu raporlamak, raporu okuyan birinin bütçesi kaydığında öğrenilir. Beşinci blok bunu tek satırda veriyor: laboratuvarda üretilen gerçek kayıt sıfır, taşınan gerçek risk sıfır. **Laboratuvarın öğretemediği şey, laboratuvar olmasının nedenidir.** Sıfır risk alıştırmayı yasal ve tekrarlanabilir yapar; aynı sıfır, sonucu olan kararları listenin dışında bırakır. Buradan çıkan pratik sonuç, ortam seçimiyle ilgili değildir. Üç laboratuvar türünün hepsi kullanılsa bile beş kalem açık kalır ve bu kalemler bir sonraki ortamdan değil, bir **süreçten** gelir. Yetkilendirilmiş gerçek değerlendirme satırının kapsamı 18'dir, ama koşulu yazılı sözleşme ve tanımlı kapsamdır; o koşul olmadan aynı işi yapmak alıştırma değil, suçtur. ## Laboratuvarın Tek Başına Verdiği Şey Fark listesi tek yönlü okunmamalıdır. Laboratuvarın gerçek değerlendirmede bulunmayan bir üstünlüğü vardır ve bu konunun ölçü ekseniyle doğrudan ilgilidir: laboratuvarda **gerçek durum bilinir**. Bu konunun bütün modellerinde bir `gercek` alanı vardı — kalemin açık olup olmadığı, kötü olup olmadığı. Model o alanı yalnız sonucu hesaplayabilmek için taşıyordu; gerçek bir değerlendirmede öyle bir alan yoktur. Bir aday kanıtlanmadığında, açığın var olup da gösterilemediği mi yoksa hiç var olmadığı mı bilinemez. Laboratuvarda hedefin durumu önceden bilinir; dolayısıyla kendi yanlış pozitif ve yanlış negatif oranını **ölçmek** mümkündür. Bu, ölçülebilir tek alıştırma biçimidir. On hedefin kaçında doğru karar verildiği, kaç adayın gereksiz doğrulandığı, hangi adımın kaç kez atlandığı laboratuvarda sayılabilir; gerçek bir değerlendirmede ancak yıllar sonra, bir olay geriye doğru okunduğunda anlaşılır. Kapsam tablosunun 13 kalemlik bölümü bu yüzden "daha az" değil, "ölçülebilir" biçimde çalışılan bölümdür. Buradan bir kullanım kuralı çıkar. Laboratuvarın işi bir tekniği görmek değil, o teknikte kendi hata oranını öğrenmektir. Aynı hedef kümesinde iki kez çalışıp ikisinde de aynı kararı vermek bir şey öğretmez; hedef kümesini değiştirip karar dağılımını karşılaştırmak öğretir. ## Yasal Sınır ve Kullanım Koşulu Üç laboratuvar türünün yasal koşulu aynı değildir. Kendi donanımında kurduğun bir ortamda sınır kendi donanımının sınırıdır; dışarı çıkan tek bir bağlantı bile bu sınırı aşar ve yalıtımın kurulmasının nedeni budur. Senaryo tabanlı bir ortamda sınırı sağlayıcının kullanım koşulu çizer: hangi hedeflere dokunulabileceği, hangi tekniklerin yasak olduğu ve bulunan bir açığın nasıl bildirileceği orada yazılıdır. O metni okumak, alıştırmanın kendisinin bir parçasıdır — çünkü gerçek bir değerlendirmede karşılığı katılım kurallarıdır ve okunmaması aynı sonucu doğurur. Kendi kurduğun laboratuvarda yalıtımın kurulmaması yalnız bir yasal sorun değildir; ölçümü de bozar. Dördüncü derste bir ortam ipucunun hiçbir yapılandırmada gizlenemediği görülmüştü, çünkü gizlemek incelenen kalemin gerçek bir hedefe ulaşmasını gerektiriyordu. Alıştırma ortamında aynı sınır aynı biçimde durur: bir kalemin dışarıya çıkmasına izin vermek, hem yalıtımı hem de yasal zemini aynı anda kaldırır. Laboratuvarın dış bağlantısının denetimli olması, alıştırmanın kendisinin bir parçasıdır ve gerçek bir değerlendirmede kapsam belgesinin karşılığıdır. Bu, konunun yedi dersini tek bir çizgide toplar. Araçlar aday üretti, doğrulama adımları o adayların bir bölümünü kanıta çevirdi, her adım savunmada bir iz bıraktı ve her aşamada bir kapsam sınırı kaç kalemi listenin dışında tuttuğunu yazdı. Kapsam sınırı yedi derste de aynı biçimde davrandı: bir aracın yeteneğini değil, o yeteneği kullanma **iznini** ölçtü. ## Özet - On sekiz beceri kaleminin üç laboratuvar türünün birleşiminde 13'ü kapsanır; hiçbir tek tür 10'u geçmez ve fark beş kalemdir. - Güvenlik odaklı bir test dağıtımı tek başına sıfır beceri kapsar: bir araç kümesi kurulum süresini kısaltır, alıştırma ortamı yerine geçmez. - Kendi kurduğun laboratuvar ile senaryo tabanlı ortam aynı sayıda kalem kapsar ama farklı kalemleri: birincisi topolojiyi, ikincisi kapsam tanımını verir. - Kapsanmayan beş kalemin dördü süreçten, biri gizlilik kararından gelir; hepsinin ortak yanı sonucu olan bir karar gerektirmesidir. - Laboratuvarda gerçek kayıt ve gerçek risk sıfırdır; bu sıfır alıştırmayı yasal ve tekrarlanabilir yapar ve aynı sıfır beş kalemi listenin dışında bırakır. - Yasal sınır ortam türüne göre değişir: kendi donanımının sınırı ya da sağlayıcının kullanım koşulu. Kullanım koşulunu okumak, gerçek değerlendirmedeki katılım kurallarının karşılığıdır. ## Sonraki Adım Bu konu yedi araç sınıfının ne ürettiğini ve neyi kanıtlayamadığını saydı. Paket yakalama iddiaları üç sınıfa ayırdı, protokol çözümleyici şifreli akışta meta veriye düştü, vekil araç doğrulamayı istek sayısı ve risk sınıfı cinsinden ölçtü, sanal alan gizlenen davranışı saydı, itibar servisi çoğunluk kararının sınırını gösterdi, istismar çerçevesi neyi kanıtlamadığını yazdı ve bu ders bütün bunların nerede öğrenilebileceğini kapsam cinsinden ölçtü. Her derste aynı sütun eksik kaldı. Kapsam sınırı defalarca devreye girdi — kapsam dışı hedefe giden istek sıfır tutuldu, iki akış çözümlenmeden bırakıldı, on kalem hiç sorulmadı, iki hedefe hiç dokunulmadı — ama o sınırı **kimin, hangi yetkiyle ve hangi belgeyle** çizdiği hiç yazılmadı. Ölçülen her izin, her uyarının ve her kanıtın hangi biçimde raporlanacağı da yazılmadı. Sonraki konu **Test Süreci** bu boşluğu doldurur: katılım kurallarının ölçülebilir kalemlere çevrilmesi, kara, gri ve beyaz kutu değerlendirmelerinin farkı, yanlış pozitifin elenmesi, bulgunun iş etkisiyle ifade edilmesi, yeniden üretim adımlarının yazımı ve sorumlu açıklamanın süresi.