Guardian360
Ücretsiz denemeyi başlatınİş ortağı olun
← Tüm yazılar

Opinion

Yellow Teaming: Moda Sözcük mü, Kırılma Noktası mı?

Yazan Jan Martijn Broekhof ·

“Yellow Team” terimini, yakın zamanda Dark Reading’de yapay zeka ve güvenlik üzerine bir yazı okuyana kadar hiç duymamıştım. İkinci paragrafın sonunda biraz rahatsız edici bir şeyin farkına vardım: Guardian360 yıllardır sessizce bunlardan biri ve ben dahil hiç kimse ona bu adı vermeye zahmet etmedi.

Uzun süre bu pek önemli olmadı. Red ve Blue takımlarının kullandığı araçları inşa etmek, meta iş olarak görülüyordu: gerekli, gösterişsiz, nadiren bir konferans konuşmasının konusu. Dram saldırganlara düştü. Cephe tutmanın takdirini savunucular topladı. Her ikisinin de altındaki platformları inşa edenlere ise bütçede bir satır düştü. Yapay zeka bu hesabı değiştiriyor ve nedenini, ayrıca bunun Guardian360’ın iş ortaklarıyla nasıl çalıştığı açısından ne anlama geldiğini anlamakta fayda var.

Red, Blue ve Yellow takımları tam olarak nedir ve DevSecOps nereye oturur?

Siber güvenlikteki renk sözlüğü, çoğu kişinin sandığından daha eskidir. Red Team, saldırıları simüle eden kişileri ifade eder: sızma testi uzmanları, etik hackerlar, kötü niyetli biri girmeden önce içeri girmek için para alan kişiler. Blue Team ise savunucuları ifade eder: bu saldırıları tespit eden, bunlara yanıt veren ve bunlardan sonra toparlanan analistler ve mühendisler. Yellow Team her ikisinin de altında yer alır. Red ve Blue’nun üzerinde ve onunla birlikte fiilen çalıştığı sistemleri, uygulamaları ve araçları tasarlayan, inşa eden ve bakımını yapan gruptur.

Bu ayrım ilk kez 2017’de Black Hat’te önerildi; o dönemde, tanıdık kırmızıya karşı mavi çerçevesinin ötesinde güvenlik çalışmalarındaki farklı işlevleri haritalamak için bir renk çemberi tanıtıldı; nitekim Retest Security’deki güvenlik araştırmacıları da o zamandan beri framework’ün kendi tarihçesinde bunu belgelemiştir. Sarı, inşa edenler olarak tanımlandı: sistemleri sonradan saldıran ya da savunan kişiler yerine, güvenli sistemlerden en baştan sorumlu olan mimarlar, geliştiriciler ve mühendisler.

DevSecOps, o çemberde ayrı bir renk değildir. Yellow takımlarının işlerini yapmak için kullandığı uygulamadır: güvenliği geliştirme hattının kendisine dokuyarak, güvenlik açıklarının daha sonra Red tarafından keşfedilmesi ya da sonradan Blue tarafından temizlenmesi yerine, oluştukları anda yakalanmasını sağlar. DevSecOps yöntemdir. Yellow Team ise onu uygulayan insan grubudur.

Yalnızca yeni bir boya katmanıyla DevSecOps mu?

Haklı bir şüpheci beni burada durdururdu. Eğer Yellow Team sadece DevSecOps yapan kişilerse, gerçekten ne değişti? Kuruluşların on yıldır güvenli geliştirme mühendisleri var. Onlara “sarı” demek işi yeni kılmaz.

Bu şüphecilik dürüst bir yanıtı hak ediyor ve dürüst yanıt şu: tek başına ele alındığında bu etiket gerçekten de yeni şişede eski şarap olurdu. Bu anı farklı kılan şey isim değil, Yellow takımlarından artık ne için inşa etmelerinin istendiğinin ölçeğidir. Claude Mythos ve GPT-5.5 gibi öncü yapay zeka modelleri, yazılım güvenlik açıklarını neredeyse her insan takımından daha hızlı bulup birbirine zincirleyebiliyor ve kuruluşlar bu yeteneği kaotik bir yöne değil, faydalı bir yöne nasıl yönlendireceklerini daha yeni yeni çözmeye başlıyor. Bu yönlendirmenin, anlaşılan o ki, Yellow Team işi olduğu ortaya çıkıyor ve bu, güvenli kod incelemesi kontrol listeleri yazmaya hiç benzemiyor.

Yapay zeka, inşa edenler için denklemi neden yeni değiştirdi

Dark Reading’in haberine göre, Cisco, Microsoft, Cloudflare ve Netskope gibi şirketlerdeki mühendisler artık zamanlarını “harness” inşa etmeye harcıyor: bir yapay zeka modelinin tam olarak neye izinli olduğunu, hangi yetkilere sahip olduğunu ve güvenlik açıklarını ararken hangi korkuluklara uyması gerektiğini tanımlayan yazılım yapıları. Bir “harness” kısıtlayıcı gibi görünür, ama tam tersidir. Bunlar olmadan Red takımları, yanlış pozitifler ve iş bağlamından yoksun bulgularla boğulur; bunlarla birlikte aynı yapay zeka modeli hem saldırı simülasyonu hem de savunma için gerçekten kullanışlı hale gelir.

Netskope’un CISO’su James Robinson tam da bu örüntüyü anlatıyor: model, dahili bir uç noktayı kimliği doğrulanmamış olarak işaretledi, teknik olarak doğru, ama o uç noktanın en baştan web üzerinden zaten hiç erişilebilir olmadığını gözden kaçırdı. Ham yapay zeka çıktısından, bir insan analistin güveneceği bir şeye ulaşmak, bir komut istemi değil, özel bir mühendislik çabası gerektirdi.

Bunun yansıması, Blue ve Yellow’un daha önce hiç olmadığı kadar birbirine yaklaştırılmasıdır. Zscaler’dan Levi Bolourie’nin ifade ettiği gibi, analiz için yapay zeka kullanmayan blue takımları, yapay zeka destekli red teaming’in artık ürettiği sinyallerin devasa hacmi altında boğulma riski taşıyor ve iki disiplin bunun sonucunda çok daha sıkı biçimde bütünleşmek zorunda kalacak. Yellow takımları artık Red ve Blue’nun arkasında sessizce duran bir destek işlevi değil. Her iki takımın da ayak uydurabilmesinin nedeni tam da onlar.

Bir “system of record”tan bir “system of action”a

Bütün bunların altında ikinci bir kayma daha var ve bu, güvenliğin çok ötesine geçiyor. Yirmi yıl boyunca çoğu kurumsal yazılım, bugün insanların “system of record” (kayıt sistemi) dediği şeydi: ne olduğunu saklayan bir yer. CRM’iniz bir müşterinin aradığını kaydeder. Tarama platformunuz bir güvenlik açığının var olduğunu kaydeder. Faydalı, gerekli ve tümüyle edilgen.

Bir “system of action” (eylem sistemi) ise farklı bir şey yapar. Yalnızca ne olduğunu saklamak yerine, bu bilgiyi bundan sonra ne olması gerektiğine karar vermek için ve giderek artan biçimde bunu yapmak için kullanır. Grammarly’nin işyeri verimliliği üzerine kendi araştırması, profesyonellerin %77’sinin işlemek zorunda oldukları devasa bilgi hacmi karşısında bunaldığını ve %83’ünün bildikleri şeye göre fiilen harekete geçecek araçlardan yoksun olduğunu söylediğini ortaya koydu. Veriye sahip olmakla onunla faydalı bir şey yapmak arasındaki tam da bu boşluğu, bir “system of action” kapatmayı amaçlar.

Bunu, geleneksel bir deniz feneri ile kendi ışık huzmesini yönlendirebilen bir deniz feneri arasındaki fark gibi düşünmeyi seviyorum. Geleneksel bir deniz feneri saf bir “system of record”tur: sabit, bilinen bir konumu işaretler ve ışığı okumak, mesafeyi değerlendirmek ve rotayı seçmek geminin kaptanına kalmıştır. Önündeki gemiye göre kendini ayarlamaz. Şimdi, yaklaşan bir gemiyi izleyebilen ve tam da o gemiyi, tam da o anda, kendisine en yakın tehlike konusunda uyarmak için huzmesini etkin biçimde yönlendirebilen bir deniz feneri hayal edin. Kaptan gemiyi hâlâ kendisi sürüyor. Ama deniz feneri artık durağan bir işaret olmaktan çıkıp, o gemiyi güvende tutmada etkin bir katılımcı olmaya başladı.

Eskiden iş ortaklarına bir harita verirdik. Artık rotayı göstermek istiyoruz.

Daha ileri gitmeden önce konumlandırmaya dair kısa bir not: Guardian360 bağımsız bir yazılım sağlayıcısıdır. Lighthouse platformunu geliştiriyoruz: sürekli tarama, uyumluluk önerileri, varlık envanteri, iş ve teknik risk puanlaması. Bir Security Operations Centre işletmiyoruz, elle sızma testi ya da olay müdahalesi yapmıyoruz ve doğrudan müşterilere satış yapmıyoruz. Bu iş, iş ortaklarımıza aittir ve her zaman da öyle olmuştur.

Yıllarca iş ortaklarına verdiğimiz şey, esasen bir haritaydı. Lighthouse, riskin nerede olduğunu, neyin dikkat gerektirdiğini ve kabaca ne kadar acil olduğunu gösteriyordu. Bu bilgiden belirli bir müşteri ortamına giden en iyi rotayı bulmak ise tümüyle iş ortağına bırakılıyordu. Haritanın kendisi inşa edilmesi zor olan kısımken bu doğru modeldi. Yapay zekanın yalnızca haritayı değil, gerçekten faydalı bir sonraki adımı da üretmeye yardımcı olabildiği şu dönemde bu daha karmaşık bir model.

Önümüzdeki aylarda Lighthouse’un haritadan navigasyona doğru daha da ilerlemesini istiyoruz: iş ortaklarına yalnızca riskin nerede durduğunu göstermek değil, koşullar değiştikçe onunla başa çıkmak için en iyi rotayı defalarca önermek. Bir “system of action” inşa etmek bizim için pratikte tam olarak bunu ifade ediyor.

Bu konuda dürüst olmakta fayda var, çünkü bunu okuyan her iş ortağı için apaçık bir soru doğuruyor: platform rotayı önermeye başlarsa, sürücüye ne kalır? Yanıtımız şu: iş ortağı arabanın kontrolünü elinde tutar. İş ortaklarını işin dışında bırakmak için araç geliştirmiyoruz; işin insan muhakemesi gerektirmeyen kısımlarını onların elinden almak için geliştiriyoruz; böylece gerçekten bir insanı gerektiren muhakeme kararları, daha az değil, daha fazla dikkat alır. İş ortakları, esasen, yarının Blue Team’i oluyor: karar veren, harekete geçen ve sonuçtan sorumluluk üstlenen kişiler; nihayet ışıkları açık tutmaktan fazlasını yapması istenen bir Yellow Team tarafından desteklenerek.

Peki, siz sessizce hangi takım oldunuz?

Guardian360, bu terim var olmadan çok önce bir Yellow Team’di ve bunu okuyan kuruluşların hatırı sayılır bir bölümünün, kendi operasyonlarının en az bir parçası için aynı şeyi söyleyebileceğinden şüpheleniyorum. Üzerinde durmaya değer soru, Yellow Teaming’in gerçek bir kategori mi yoksa yalnızca bir yeniden markalama mı olduğu değil. Soru şu: takımlarınızdan hangisi bu işi yıllardır arka planda, adı konmadan ve hak ettiği takdiri görmeden yapıyor ve bu anın gerçekten gerektirdiği araçları, ve dikkati, onlara vermeye hazır mısınız?

Sources