CVE & Güvenlik Araştırmaları Bölüm Kuralları

---

Değerli SiberAtay Üyeleri;

SiberAtay CVE & Güvenlik Araştırmaları kategorisinin güvenlik açıklarının, CVE analizlerinin ve güvenlik araştırmalarının teknik ve düzenli bir şekilde paylaşılabildiği faydalı bir bilgi alanı olarak kalabilmesi amacıyla aşağıdaki kurallara uyulması gerekmektedir.

---

1) BÖLÜMÜN KULLANIM AMACI

CVE & Güvenlik Araştırmaları bölümü; güvenlik açıklarının incelenmesi, CVE analizleri, zafiyet araştırmaları, PoC incelemeleri ve responsible disclosure süreçleri hakkında teknik içeriklerin paylaşılması amacıyla kullanılmaktadır.

• CVE analizleri.
• Güvenlik açığı araştırmaları.
• Zafiyet analizleri.
• PoC ve exploit analizleri.
• Patch diffing çalışmaları.
• Responsible disclosure süreçleri.

---

2) CVE VE ZAFİYET ANALİZLERİ

Paylaşılan CVE ve güvenlik açığı analizlerinde teknik detayların mümkün olduğunca açık şekilde aktarılması gerekmektedir.

• CVE numarası ve etkilenen ürün belirtilmelidir.
• Etkilenen sürümler mümkün olduğunca belirtilmelidir.
• Zafiyetin türü ve etkisi açıklanmalıdır.
• Zafiyetin ortaya çıkma nedeni teknik olarak incelenmelidir.
• Varsa üretici tarafından yayınlanan güvenlik duyuruları ve güncellemeler belirtilmelidir.

---

3) POC VE EXPLOIT ANALİZLERİ

PoC veya exploit içeren çalışmalarda kodun amacı ve çalışma mantığı açıklanmalıdır.

• PoC'nin hangi zafiyeti gösterdiği belirtilmelidir.
• Kullanılan yöntem ve teknikler açıklanmalıdır.
• Kodun çalışma mantığı mümkün olduğunca ayrıntılı aktarılmalıdır.
• Test ortamı ve kullanılan sürümler belirtilmelidir.
• Gerçek sistemlere yönelik yetkisiz kullanım teşvik edilmemelidir.

---

4) PATCH DIFFING VE TEKNİK ARAŞTIRMALAR

Güvenlik güncellemelerinin incelenmesi ve zafiyetlerin teknik açıdan araştırılması kapsamında yapılan çalışmalar paylaşılabilir.

• Güncelleme öncesi ve sonrası değişiklikler incelenebilir.
• Değişen kod veya bileşenler teknik olarak analiz edilebilir.
• Zafiyetin giderilme yöntemi açıklanabilir.
• Araştırmada kullanılan araç ve yöntemler belirtilebilir.
• Bulgular mümkün olduğunca teknik kanıtlarla desteklenmelidir.

---

5) RESPONSIBLE DISCLOSURE VE ETİK ARAŞTIRMA

Güvenlik araştırmalarında responsible disclosure ilkelerine ve araştırma yapılan sistemlerin güvenliğine dikkat edilmelidir.

• Tespit edilen zafiyetlerin ilgili üretici veya sorumlu kuruluşa bildirilmesi teşvik edilir.
• Yetkisiz sistemlerde güvenlik testi yapılmamalıdır.
• Kişisel veya kurumsal veriler izinsiz şekilde paylaşılmamalıdır.
• Zafiyet araştırmaları eğitim, araştırma ve güvenlik geliştirme amacıyla yürütülmelidir.
• Araştırmanın kapsamı ve test ortamı mümkün olduğunca belirtilmelidir.

---

6) KONU AÇMADAN ÖNCE ARAMA YAPINIZ

Aynı CVE, zafiyet veya araştırma hakkında daha önce konu açılmış olup olmadığını kontrol ediniz.

• Aynı konu için tekrar konu açılmamalıdır.
• Mevcut konular üzerinden yeni bulgular ve güncellemeler paylaşılabilir.
• Farklı bir teknik analiz veya yeni araştırma sonucu mevcut konuya katkı sağlanabilir.
• Gereksiz konu tekrarları yönetim tarafından birleştirilebilir, kilitlenebilir veya kaldırılabilir.

---

7) KONU KALİTESİ VE TEKNİK DETAY

Güvenlik araştırması konuları mümkün olduğunca teknik, açıklayıcı ve doğrulanabilir şekilde hazırlanmalıdır.

• CVE veya zafiyet bilgileri belirtilmelidir.
• Etkilenen ürün ve sürümler açıklanmalıdır.
• Kullanılan araçlar ve yöntemler belirtilmelidir.
• Kod, komut ve teknik çıktılar eklenebilir.
• Test ortamı ve uygulanan yöntem açıklanmalıdır.
• Faydalı kaynaklar ve üretici duyuruları eklenebilir.

---

8) GÜVENLİK, KÖTÜYE KULLANIM VE VERİ GİZLİLİĞİ

• Gerçek sistemlere yönelik yetkisiz saldırılar teşvik edilemez.
• Yetkisiz erişim, veri hırsızlığı veya sistemlere zarar verme amacı taşıyan içeriklere izin verilmez.
• Araştırma sırasında elde edilen kişisel, kurumsal veya gizli veriler paylaşılmamalıdır.
• PoC ve exploit içerikleri mümkün olduğunca kontrollü ve izole test ortamlarında ele alınmalıdır.
• Güvenlik araştırmalarının kötüye kullanımı teşvik eden şekilde sunulmasına izin verilmez.

---

9) REKLAM VE TİCARİ İÇERİKLER

• İzinsiz reklam ve tanıtım içerikleri yasaktır.
• Güvenlik ürünü, hizmeti veya danışmanlık faaliyetlerinin spam şeklinde tanıtılmasına izin verilmez.
• Konuyla ilgisiz ticari yönlendirmeler ve bağlantılar yasaktır.
• CVE, güvenlik araştırmaları veya teknik çalışmalarla doğrudan ilgili ürün ve hizmet tanıtımları yönetim değerlendirmesine tabi olabilir.

---

10) TEŞEKKÜR MESAJLARI VE HORTLATMA

Konu sahiplerine yönelik;

• Eline sağlık.
• Teşekkürler.
• Faydalı paylaşım.
• Güzel konu.

gibi kısa teşekkür mesajlarının yazılması serbesttir.

Eski konuların yeniden gündeme getirilmesinde genel hortlatma süresi 2 ay olarak kabul edilir.

Ancak konunun güncelliği, teknik önemi ve mevcut şartlara göre moderatör veya yönetim inisiyatifi belirleyici olabilir.

---

ÖNEMLİ

Yukarıdaki kapsam dışında kalan, CVE & Güvenlik Araştırmaları bölümüyle ilgisi bulunmayan, spam niteliği taşıyan veya SiberAtay genel forum kurallarına aykırı içeriklere izin verilmez.

Bölüm düzeninin korunması ve kullanıcı güvenliğinin sağlanması adına yönetim ekibi, kurallara aykırı gördüğü içeriklere gerekli müdahaleyi yapma hakkını saklı tutar.

SiberAtay'ın kaliteli ve teknik bir bilgi paylaşım platformu olarak gelişebilmesi için tüm üyelerimizin bölüm kurallarına özen göstermesini rica ederiz.