Bu hafta bakım planının başına NetScaler incelemesini koymak gerekiyor: CISA, iki açık için dünya çapında aktif istismarı doğruluyor. Ajan altyapısında ise Cloudflare çalışma ortamlarının yaşam döngüsünü uygulama koduna taşıdığını duyuruyor; Tailscale, Muse entegrasyonunu ayrı bir ağ düğümü olarak tarif ediyor. Bu duyuruları aynı değişiklik takvimine koymamak lazım. İlki olay müdahalesi gerektirebilecek bir güvenlik işi, diğerleri kontrollü deneme konusu. 25 Eylül–4 Ekim seçkisindeki beş başlığı, kullanılan sistemlerde gerektirdikleri değişikliklere göre değerlendirdim. Yeni bir ürünü denemek, açık durumdaki güvenlik işinin önüne geçmemeli. Üretim erişimi olan ekiplerde önce şüpheli geçmişin incelenmesini, ardından yeni otomasyonun yetkilerinin dar bir test ortamında sınanmasını tercih ederim.
NetScaler: yama ile olay incelemesini birlikte planlayın
CISA'nın 2 Ekim'de güncellediği uyarı, NetScaler ADC ve Gateway'i etkileyen CVE-2026-88771 ile CVE-2026-88772'nin ayrı ayrı uzaktan kod çalıştırmaya izin verebildiğini ve KEV kataloğuna alındığını belirtiyor. Aynı uyarı, mümkünse yamadan önce ihlal göstergelerinin incelenmesini, şüpheli durumda adli kanıtın korunmasını ve tespit için SIGMA kaynağının kullanılmasını öneriyor; gerekçesi, güncellemenin inceleme görünürlüğünü azaltabilmesi.
İnternete açık cihazı bulunan ekipte değişiklik kaydı ile olay kaydını birlikte açardım. Cihazın mevcut durumunu ve uzaktaki loglarını koruma işi, maruziyeti azaltmayı belirsiz süre erteleyen bir gerekçeye dönüşmemeli. Bir kişi üreticiye göre uygun güncellemeyi hazırlarken diğeri şüpheli yönetim erişimlerini ve dış bağlantıları inceleyebilir. Bakım penceresinin sonunda yalnız sürüm çıktısını değil, incelemenin sonucunu da görmek isterim.
Bir ayrıntı ayrıca takip edilmeli: Kanada Siber Güvenlik Merkezi'nin 3 Ekim güncellemesine göre, SAML kimlik doğrulaması kullanan kurulumlar için ayrı bir sorun söz konusu ve bu iki CVE'nin yamaları onu gidermiyor. Citrix'in ilgili SAML sayfasına doğrudan erişemedim; bu nedenle kapsamı Kanada kurumunun aktarımıyla sınırlı tutuyor, kesin bir güvenli sürüm eşiği vermiyorum. SAML kullanan ekipler üretici desteğinden kendi yapılandırmalarını kapsayan teyit almalı. Aynı kurumun yama sonrası kalıcılık uyarısı nedeniyle, güncellenmiş cihazı tek başına temiz kabul etmeyin.
Cloudflare Containers: snapshot kadar yenileme politikası da önemli
Cloudflare'ın 30 Eylül duyurusuna göre, yeni durable_object zamanlama politikasıyla imaj ve kaynak tipi çalışma anında seçilebiliyor; dosya sistemi snapshot'ları da genel betada. Şirket, ComputeSDK ölçümünü aktararak başlangıç medyanının 4,049 saniyeden 648 milisaniyeye indiğini söylüyor; bu sayılar duyurudaki belirli teste ait, burada yapılmış bir performans ölçümü değil.
Kodlama ajanı veya değerlendirme ortamı işleten ekip için asıl fayda, aynı çalışma dizinini her görevde yeniden hazırlamak zorunda kalmamak olabilir. Denemede önce kendi deponuzu kullanın: bağımlılık kurulumu dahil ilk yararlı komuta kadar geçen süreyi ölçün. Sadece boş ortamın açılma süresini karşılaştırmak, kullanıcıya dönen beklemeyi göstermeyebilir. Snapshot'a alınacak dizinler için sır taraması ve saklama süresi belirlemek de bu denemenin parçası olmalı.
Geçiş takvimi performans iddiasından daha somut: Cloudflare, Container ve eski Sandbox sınıflarının bakımını 31 Aralık 2026'ya kadar sürdüreceğini, ardından mevcut kurulumlar çalışsa da bu sınıfların güncelleme almayacağını bildiriyor. Şirketin tarif ettiği yeni modelde çalışan ortam, kod durdurana kadar başladığı imajı kullanabiliyor; yeni başlatmalarda hangi imajın seçileceğini uygulama belirliyor. Bu nedenle geçiş işine azami çalışma süresi ve zorunlu imaj yenileme kuralı eklemek mantıklı. Uzun ömürlü bir görev uğruna eski imajı süresiz tutmayın; snapshot'tan dönüşü de yama politikasının dışında bırakmayın.
Tailscale ve Muse: bağlantı iznini görev kapsamına indirin
Tailscale'in 30 Eylül yazısına göre, Meta'nın Muse ajanı tailnet'e telefonun ya da dizüstünün oturumunu paylaşarak değil, kendi düğümü olarak katılıyor. Şirket, olağan grants ve tags kontrollerinin bu düğüme de uygulandığını, ilk cihaz bağlantısında açık onay istendiğini ve tek seferlik veya kalıcı erişimin geri alınabildiğini aynı yazıda açıklıyor.
Özel ağdaki servisleri ajana açmayı düşünüyorsanız, ilk bağlantıyı ayrı bir test servisine verin. İzin verdiğiniz hedefe ulaşabilmesi kadar, izin vermediğiniz yönetim arayüzüne ulaşamamasını da kontrol edin. Ajanın kendi onay ekranını ağ politikasının yerine koymayın; görev için yalnız okuma gerekiyorsa servis hesabını da buna göre kısıtlayın.
Örneğin bir durum raporu görevi için tüm SSH erişimini açmak yerine, gereken çıktıyı veren sınırlı bir servis sunmayı tercih ederim. Ardından görevi bitirip erişimi kaldırın ve aynı isteği tekrar deneyin. Bu test, izin iptalinin gerçekten uygulandığını gösterecek kadar somut. Tailscale de yazısında ajan hatası ve prompt injection ihtimalini açıkça kabul ediyor; entegrasyonu bunları ortadan kaldıran bir güvenlik garantisi olarak okumamak gerekiyor.
Cloudflare Traces: WAF ile uygulama arasındaki boşluğu inceleyin
Cloudflare, 2 Ekim'de açık beta olarak duyurduğu Traces'in desteklenen güvenlik kurallarını, dönüşümleri, önbellek kararlarını ve origin işlemlerini aynı istek üzerinde gösterebildiğini söylüyor. Şirket ayrıca W3C traceparent bağlamının kabul edilip iletilebildiğini ve span'lerin uyumlu bir OTLP hedefine aktarılabildiğini belirtiyor. Buradaki “desteklenen” kaydı önemli: DDoS kuralları ve Access dahil daha geniş otomatik enstrümantasyon, duyuruda sonraki işler arasında.
Cloudflare arkasında uygulama işleten bir ekip için iyi bir ilk deneme, bilerek engellenen bir test isteğini ve başarılı eşini karşılaştırmak. Beklenen kuralın görünüp görünmediğini, origin tarafındaki iz ile aynı bağlamda birleşip birleşmediğini kontrol edin. Böylece hata ayıklama sırasında hangi verinin hâlâ ayrı loglardan aranması gerektiği anlaşılır. Ürün adından bütün istek yolunun eksiksiz görünür olduğu sonucunu çıkarmayın.
Cloudflare'a göre Trace Rules, belirli trafik için örnekleme oranını değiştirebiliyor; yeni veri alımı ve saklama fiyatlaması ise 1 Aralık 2026'da başlayacak. İlk denemeyi dar bir hostname veya test başlığıyla sınırlayın. Hassas alanları ve saklama ihtiyacını incelemeden bütün alan adında yoğun izleme açmayı önermem. Deneme sonunda, seçtiğiniz arızayı açıklamak için kaç ayrı log araması yapmak zorunda kaldığınızı karşılaştırın.
Ollama karar modelleri: önce yönlendirme, sonra yetki
Ollama'nın 29 Eylül duyurusu, 0.35 sürümünden itibaren /v1/systemone uç noktasında Jev tarzı karar modellerini desteklediğini belirtiyor. Aynı metne göre istemci, bir durum ve adlandırılmış sorular gönderip tek istekte seçenek, evet/hayır türü yanıt veya skor alabiliyor; örnek yanıt seçenek olasılıklarını da içeriyor.
Yerel AI kullanan SecOps ekibinde bunu önce alarm veya destek kaydı yönlendirmesinde denerdim. Tarihsel kayıtlardan kişisel verileri ayıklayıp küçük, elle etiketlenmiş bir test kümesi oluşturun. Modelin kararını gerçek akıştan bağımsız kaydedin; hangi sınıfları karıştırdığını ve hangi girdilerde insan incelemesine dönmesi gerektiğini görün. Yanlış bir yönlendirme ile yanlış bir hesap kapatma kararını aynı risk eşiğinde değerlendirmeyin.
Ollama, Nimble 9B için M5 Max üzerindeki Pac-Man örneğinde ortalama 91 milisaniye bildiriyor. Bunu kendi GPU'nuzun gecikmesi veya Türkçe güvenlik kayıtlarındaki doğruluk için referans hedefe çevirmeyin. Olasılık alanını da doğrudan işlem yetkisine bağlamayın. İlk aşamada insanın kararını değiştirmeyen gölge çalışma yeterli; üretimde otomatik aksiyon için ayrıca yanlış karar maliyetini ve geri alma yolunu değerlendirin.
Bu hafta neye bakmalı?
- NetScaler envanterini dış erişim ve SAML kullanımıyla eşleştirin. Şüpheli cihazlarda kanıt koruma ile acil müdahaleyi birlikte planlayın; üreticiden kurulumunuza uygun düzeltmeyi teyit edin.
- Cloudflare Containers kullanıyorsanız eski sınıf bağımlılıklarını çıkarın. Yeni imajla başlatmayı, eski snapshot'tan dönüşü ve azami görev süresini aynı test planına yazın.
- Tailnet'e katılan ajan için izinli ve yasak hedef testlerini çalıştırın. Görev sonrası erişimi iptal edip bağlantının kesildiğini doğrulayın.
- Traces denemesini dar trafikle başlatın; Ollama kararlarını önce gölge akışta ölçün. Her iki denemede de üretime geçmeden önce kabul ölçütünüzü yazılı belirleyin.
