SNOIRE platform kullanım rehberi

İlk güvenlik görünümünü dört adımda oluştur.

1. 1
   Microsoft hesabınla giriş yap.

   “Platformu aç” ile Microsoft Entra ID oturumu başlatılır. Hesabın bir SNOIRE tenant'ında yönetici olarak yetkilendirilmiş olmalı.

2. 2
   Genel Bakış'taki Başlangıç Rehberi'ni kontrol et.

   GitHub, Azure, AWS, GCP ve bildirim bağlantılarının hangilerinin hazır olduğunu burada görürsün.

3. 3
   Kaynak kodunu bağla.

   Bugünkü self-service yol GitHub App ile seçili repoları bağlamaktır. GitHub dışı Verified Runner henüz ürünleşmemiş prototiptir.

4. 4
   İlk “Tara” işlemini başlat.

   Sonuç geldiğinde repo bir projeye dönüşür; skor, açık bulgular, trend ve rapor ekranları dolmaya başlar.

Paneldeki her ekran ne işe yarar?

Aşağıdaki tablo sol menüdeki tüm ekranları kapsar. Tarama ekranları hem sonuçları gösterir hem de sağ üstte güvenli, bağlama uygun başlatma aksiyonunu sunar.

GitHub reposunu bağla ve ilk taramayı başlat.

1. 1
   Entegrasyonlar → GitHub Bağlantısı'nı aç.

   “GitHub'a Bağlan” ile SNOIRE GitHub App kurulumuna git. Kişisel token paylaşılmaz.

2. 2
   Yalnız taranacak repoları seç.

   Install sırasında “All repositories” yerine mümkünse seçili repo kapsamını kullan. Erişimi GitHub ayarlarından her zaman kaldırabilirsin.

3. 3
   Panele dönüp “Bağlantıyı Algıla”ya bas.

   Sonradan repo ekleyip çıkardığında “Repoları Yönet” → GitHub Save → “Bağlantıyı Algıla” sırasını tekrarla.

4. 4
   Projeler'de repo satırındaki “Tara”yı seç.

   Merkezi orkestratör seçili repoyu tarar; müşteri reposuna workflow dosyası yazmaz. Sonucu İşlemler ekranından izle.

5. 5
   Tarama bitince projeyi aç.

   Skor, bulgu sayıları, commit, son koşular ve kullanılabilen proje aksiyonları görünür.

Verified SNOIRE Runner henüz kullanıma açık değil.

Repoda local, GitLab, Jenkins ve private/on-prem kaynaklar için araştırılmış bir CLI/Docker prototipi bulunur. Ancak yayınlanmış container image'ı, desteklenen kurulum paketi, runner kimliği, imzalı release zinciri veya doğrulanmış müşteri onboarding'i yoktur.

Geliştirme ancak gerçek GitLab/Jenkins veya on-prem pilot talebi, threat model, imzalı artifact/SBOM/provenance, sonuç güven seviyesi, replay-safe metering ve izole pilot kapıları tamamlanınca başlar.

SNOIRE hangi katmanları test eder?

Çalışan uygulamaya test göndermeden önce kapsamı doğrula.

Azure, AWS veya GCP'yi salt-okunur bağla.

Rehberli kurulum düğmeleri ortam yapılandırması hazırsa görünür; değilse panel aynı kimlikleri elle girmen için alan gösterir. Uzun ömürlü cloud access key yerine federated/read-only kimlik tercih edilir.

Bulut güvencesi taslağı ve salt-okunur değerlendirme planı

1. 1
   Bulut Güvencesi → Genel Bakış'ı aç.

   Azure ve Microsoft 365 ayrı sağlayıcı kartlarıdır. AWS veya Google Cloud eklendiğinde aynı genel bakış altında ayrı çalışma alanı açılır; bugün bu iki sağlayıcı için bulut güvencesi ekranı yoktur.

2. 2
   Azure veya Microsoft 365 çalışma alanını açıp “Bağlantı taslağı oluştur”u seç.

   Bu işlem yalnız SNOIRE içinde, kuruluşuna bağlı bir taslak kaydı oluşturur. Başarı makbuzundaki SNOIRE taslak referansı bu kaydı takip eder; sağlayıcı kimliği değildir. Bulut kimliği, erişim anahtarı, parola veya başka bir gizli bilgi istemez ve saklamaz.

3. 3
   Kapsamı ve değerlendirme profilini tanımla.

   Tam genişlikteki kimlik kartına Azure için Microsoft Entra Tenant ID + Subscription ID'yi; Microsoft 365 için Directory (tenant) ID'yi gir. Temel profil seçili alanların zorunlu kontrollerini; Kapsamlı profil Temel + daha geniş salt-okunur kontrolleri planlar. Değerler yalnız o istek sırasında işlenir; kalıcı kayda girdiğin kimlik değil, yalnız geri çevrilemez kapsam referansları ve plan özeti girer.

4. 4
   Salt-okunur erişimi incele.

   Plan özetini, kapsam referansını, istenen izin listesini ve istemediğin yazma veya içerik yetkisinin bulunmadığını kontrol et. Planın hazır olması bulut bağlantısının kurulduğu veya testin geçtiği anlamına gelmez.

5. 5
   Bağlantı ve koşu kapısını kontrol et.

   Azure bağlantısı doğrulanmadıysa canlı adımlar kilitli kalır. Microsoft 365'te izin inceleme ekranı yönetici onayı kapısını önceden gösterir: kapı kapalıysa kuruluş kimliği alanı ve buton devre dışıdır, hiçbir yönetici rolü etkinleştirilmez. Kapı açıksa planda kullanılan Directory (tenant) ID aynı kartta yeniden girilir; geçerli bir kimlik girilmeden buton açılmaz. Sunucu girilen kimliği kilitli planla eşleştirdikten sonra tek onay aksiyonu Microsoft oturum penceresini doğrudan açar.

6. 6
   Sonuç ve kapsamı incele.

   Gözlenen, geçen, başarısız, belirsiz ve test edilmeyen kontroller ile rapor ve kanıt dışa aktarımı yalnız SNOIRE tarafında yetkili bir koşu tamamlandıktan sonra açılır. Koşu olmaması “0 risk” değildir.

Microsoft 365 yönlendirmeli ön kontrol

1. 1
   Kapsam planını hazırla.

   Microsoft 365 Tenant ID'sini, değerlendirme profilini ve yetki verdiğin hedef alanları seç. Plan özeti oluşmadan canlı adıma geçilmez.

2. 2
   Üç salt-okunur izni incele.

   İlk ön kontrol yalnız Organization.Read.All, Policy.Read.All ve RoleManagement.Read.Directory izinlerini ister; posta, dosya, Teams içeriği veya herhangi bir yazma izni istemez.

3. 3
   Microsoft yönetici onayını ayrı pencerede tamamla.

   Onay kapısı açıksa planda kullandığın aynı Directory (tenant) ID'yi görünür doğrulama kartına yeniden gir. Kimlik plandan geri okunmaz, tarayıcıda saklanmaz ve kanıt kaydına yazılmaz; sunucu girdiğin kimliği kilitli planla birebir eşleştirmeden buton etkinleşmez. İşlemin SNOIRE tarafındaki sahibi oturum açtığın hesaptır; Microsoft penceresinde onayı veren hesap farklı olabilir fakat hedef kuruluşa ait ve onay anında yetkisi etkin bir yönetici olmalıdır. Hedef kuruluşu ve istenen izinleri Microsoft ekranında yeniden kontrol et. SNOIRE, 10 dakikalık bekleme kaydını yalnız o kuruluş ve plan için tutar; sayfa yenilense de korunur. Tercih edilen rol Privileged Role Administrator'dır; Global Administrator zorunlu değildir.

4. 4
   Sunucu makbuzunu ve test yetkisini doğrula.

   Microsoft'tan dönen sonuç plan ve kuruluş referansıyla birebir eşleşirse sihirbaz otomatik ilerler. Başarılı dönüş penceresi kendini kapatmayı dener; tarayıcı engellerse SNOIRE'a dönüş bağlantısı görünür kalır. Bu makbuz okuma erişiminin gerçekten çalıştığını kanıtlamaz ve kısa ömürlüdür. Süresi dolarsa Ön kontrolü tekrar dene 1–3. adımları koruyup 4. adımda Microsoft yönetici onayını yenilemeni ister. Kullanıcı yalnız bunun yetkili test kuruluşu olduğunu ayrıca teyit eder; tarayıcıdaki bir onay kutusu yönetici onayının yerine geçmez.

5. 5
   Ön kontrolü başlat ve durumu izle.

   20 dakikalık güvenli işlem sırası, değerlendirme servisine yalnız sabit kuruluş bilgisi, oturum açma politikası ve rol tanımı okuma kontrollerini taşır. Canlı panel Onay yanıtı, Güvenli işlem sırası, 3 bağlantı kontrolü ve Kanıt kaydı aşamalarını sunucudaki gerçek duruma göre; son kontrol saati ve otomatik sorgu geri sayımıyla gösterir. Değerlendirme servisi sıradaki işi dakikada bir alır; Kuyrukta henüz başarı değildir ve yapay yüzde gösterilmez. Kuyrukta veya Çalışıyor kaydı iptal edilebilir. Ön kontrolü tekrar dene mevcut planı koruyarak yeni bir çalışma penceresi açar; Yeni değerlendirme başlat SNOIRE akışını 1. adıma döndürür. İki durumda da eski koşu ve işlem kaydı korunur; SNOIRE'daki sıfırlama Microsoft tarafında verilen erişimi veya yönetici onayını iptal etmez. Çalışan istekte iptal yeni kanıt kabulünü durdurur; önceden gönderilmiş salt-okunur istek tamamlanabilir. Erişim anahtarları ve Microsoft'tan dönen ham yanıtlar tarayıcıya veya rapora gelmez. Sonuç paneli üç canlı bağlantı kontrolünü geniş katalogdan ayrı gösterir: Ön uçuş x/3 geçen bağlantı kontrolünü; Katalog y/24 gözlemlenen ve test edilmeyen kontrolleri bildirir. Test edilmeyen kontrol güvenli veya geçmiş sayılmaz. Microsoft sabit okuma sorgusunu reddederse bu, SNOIRE tarafındaki bir bağlantı hatası olarak gösterilir; kullanıcıdan yeniden onay istenmez.

6. 6
   Kanıtı sonuçlandır ve erişimi kaldır.

   3/3 sonucu yalnız en dar salt-okunur erişimin çalıştığını doğrular; tam bir Microsoft 365 Pentest'i değildir. Pilot bitince Microsoft Entra → Enterprise applications alanından SNOIRE erişimini kaldır.

Salt-okunur değerlendirme koşusunu nasıl oku?

Değerlendirme koşuları seçilen kontrol sayısını; gözlenen, geçen, başarısız, belirsiz ve test edilmeyen kontrolleri ayrı gösterir. Sağlayıcıdan alınamayan gözlem otomatik olarak not-tested kalır; güvenli sayılmaz. Başarısız yapılandırma kontrolü detected bulgudur, canlı exploit kanıtı değildir. Kanıt bütünlüğü rozeti saklanan kanıt kaydının özetiyle yeniden doğrulandığını gösterir; dijital imza veya akreditasyon iddiası değildir.

Sağlayıcı çalışma alanındaki “Raporlar ve dışa aktarma” kartı ilk yetkili koşudan sonra yazdırılabilir HTML raporu, kanıt JSON'u ve sonuç CSV'si üretir. Çıktı yalnız seçilen sağlayıcının koşularını içerir; erişim anahtarı, parola ve Microsoft ya da Azure'dan dönen ham yanıt içermez.

Canlı test edeceğin domaini doğrula.

1. 1
   Doğrulama → Doğrulanmış Hedefler'e git.

   “Doğrulama Başlat” alanına tam HTTPS adresini yaz. Örnek: https://staging.example.com

2. 2
   Dosya veya DNS yönteminden birini uygula.

   Token yalnız senin tenant ve hedef hostname'in için üretilir.

3. 3
   DNS yayılımını beklerken sayfayı kapatabilirsin.

   Bekleyen hostname tenant'a bağlı saklanır; uygulamayı yeniden açınca TXT/dosya talimatı kaybolmaz. Çok sayıda hedef kompakt satırlarda kalır, talimat yalnız ilgili satır açıldığında görünür.

4. 4
   “Doğrula” düğmesine bas.

   Başarılı olursa hedef listeye eklenir. Aynı doğrulanmış hostlar DAST, Pentest ve Stres Testi ekranlarında kompakt özet olarak görünür; canlı koşu anında sahiplik ve exact host/path kapsamı yeniden kontrol edilir.

Bir bulguyu sayıdan karara dönüştür.

1. 1
   Projeler'den en riskli ürünü aç.

   Skor, kritik sayısı, kaynak/canlı/bulut/yük özetleri ve son commit burada birleşir.

2. 2
   Bulgular'da filtrele.

   Tip, severity, proje ve metin aramasıyla listeyi daralt; satıra tıklayıp tool, konum, CWE/detay ve mevcut kanıtı gör.

3. 3
   Önce kritik sınıfları doğrula.

   Sır sızıntısı, kritik bağımlılık ve yüksek runtime/kod/bulut bulguları en yüksek skorlama etkisine sahiptir.

4. 4
   Koşu ve commit kimliğini karşılaştır.

   Eski sonuçla yeni artifact'ı karıştırma; Koşu Geçmişi zaman, tür, commit ve özet verir.

Sonucu geliştirici, yönetici ve denetçi dilinde incele.

Bulgu doğruluğu iyileştirmesi: Tarayıcı eşleşmesi doğrulanmış açıklık değildir. Yeni Semgrep/Gitleaks kayıtları motor/sürüm, kural ve satır aralığını korur; yapısal kaynak kesitinden literal ve yorum içerikleri çıkarılır. Yalnız dar analizin güvenli kullanımını belirlediği eşleşmeler gerekçeli olarak elenir; belirsizler kalır. Eski kayıtlar değiştirilmez. Gerçek sır ifşası doğrulanmadan kesin yenileme talimatı verilmez.

Geliştirici PDF genişletmesi (13 Eylül 2026 yayını): Rapor → proje seç → PDF İndir. Özet tablo yerine güncel bulgu kaynağının tüm sayfaları alınır; manifest, kayıt sayısı ve kaynak özetleri eşleşmezse rapor indirilmez. PDF; bulgu dizini, kiracı/proje, araç, dosya/konum, repo/commit/koşu, gözlem zamanı, kayıtlı kanıt kesiti, önerilen işlem ve yeniden test adımlarını içerir. Ham tarayıcı çıktısı değildir: veri alımı koşu başına 2.000 bulgu, kanıt kesiti 120 karakter ile sınırlıdır; dışa aktarma sınırı 10.000 bulgu / 90 saniyedir. Gizli anahtar değerleri çıkarılır; paylaşmadan önce kalan hassas içeriği inceleyin. PDF imzalı sertifika değildir, otomatik düzeltme yapmaz ve harici yapay zekâya gönderilmez.

PDF gizlilik düzeltmesi (13 Eylül 2026 yayını): Secret alias ve gitleaks bulguları ile tanınmayan kategorilerin ham başlığı ve kanıtı çıkarılır. Kayıtlı konum ve kaynak kimlikleri korunur; kaynak bulgu ve digest değiştirilmez. Bu filtre kusursuz DLP değildir; dış paylaşım öncesi insan incelemesi gerekir.

Önce bütün fazı tara, sonra bulguyu kanıtla.

Pentest başlat, bulgu seçtirmez: bağlı repo ve sahipliği doğrulanmış exact hedef için toplu kampanya açar. Faz‑1; kaynak/supply-chain motorları ile pasif ZAP, Nuclei ve testssl'i çalıştırır. Faz‑2 kapısı açıksa aynı pakete aktif ZAP full eklenir. Her ingest, kalıcı bulgu kimliğiyle yeni, devam eden ve kapanan sonuçları karşılaştırır.

State-changing Faz‑2 doğrulaması kampanyada körlemesine çalışmaz. Yalnız aşağıdaki bulgu doğrulama kuyruğunda exact read/mutate/compensate planı, iki ayrı onay, kota, kill-switch ve geri-alma kontrolüyle yürütülebilir.

Bulgu çekmecesindeki “Faz 2 planı” seçildiğinde çekmece kapanır, güvenlik kapısı en üst etkileşim katmanında açılır ve klavye odağı onay düğmesine taşınır.

1. 1
   Yeni zafiyetleri ara.

   “Pentest başlat”a bas; bağlı repoyu, doğrulanmış hedefi ve açık olan fazı seç. İki kapsam/etki onayından sonra İşlemler ekranında toplu kampanyayı takip et.

2. 2
   Bulgu doğrulama kuyruğunu incele.

   Yeni tarama tamamlandığında uygun llm-review yetki/kimlik adayından “Aç & Pentest”i, ardından “Pentest çalıştır (Seviye‑1)”i seç.

3. 3
   Tam hedef URL'yi gir.

   Yalnız doğruladığın hostname üzerindeki gerçek endpoint'i kullan; host ve path kapsama kilitlenir.

4. 4
   Kimlik iletimini ve angajman kapsamını onayla.

   Standart hedef için bearer; Authorization header'ını ezen Azure SWA gibi hedef için sabit snoire-header seç. Exact host/path, Seviye‑1, 1 × GET, en fazla 10 dakika ve production ortamı gösterilir.

5. 5
   Gerekirse düşük-yetkili test token'ını gir.

   Yönetici token'ı kullanma. Token yalnız seçilen Authorization: Bearer veya X-Snoire-Test-Token header'ında hedefe gider; kalıcı tabloya, loga, rapora veya kanıt kaydına yazılmaz.

6. 6
   Verdict ve audit kaydını kontrol et.

   Sonuç bulguya bağlanır; Pentest geçmişi İşlemler ekranında görünür.

Değerler platform varsayılanlarıdır ve ortam politikasıyla değişebilir. Günlük sayaç UTC gün sınırında yenilenir; kota kontrol edilemezse hedefe istek gönderilmez.

SNOIRE bulur ve kanıtlar; müşteri düzeltir.

Sır sızıntısında yalnız dosyadan silmek yetmez: anahtarı iptal et, rotate et, geçmiş ve log etkisini değerlendir. Her düzeltmeden sonra aynı commit/artifact üzerinde yeniden tarama ve deploy öncesi regresyon cross-check yap.

Başlattığın işi uçtan uca takip et.

İşlemler ekranı önce tenant geçmişini gösterir; GitHub'daki canlı koşu ve PR durumları ekranı bloke etmeden arka planda güncellenir. “Geçmiş hazır” uyarısı varken satırlar kullanılabilir, canlı rozetler henüz kesinleşmemiş olabilir.

Bağlantıları güvenli biçimde yönet.

Birden fazla tenant yöneten super-admin önce “Yönetilen Kiracı” seçicisinden işlem hedefini belirlemelidir. Ayar ve tarama anahtarı işlemi yalnız seçili tenant'a uygulanır.

Platformun kendi sağlığını ayrı yüzeyden izle.

Ops Center müşteri dashboard'ı değildir; SNOIRE operasyon ekibinin Azure kaynak sağlığı, telemetry, p95 performans, hata oranı, baz çizgi ve alarm hazırlığını izlediği ayrı deployment sınırıdır.

1. 1
   Ops Center staging adresini aç.

   Staging Ops Center ↗ yalnız atanmış OpsReader veya daha yüksek app role ile açılır.

2. 2
   Komuta Merkezi'ni kontrol et.

   Azure kaynak durumunu, son 24 saat request/hata/p95 serisini ve yeterli örnek varsa performansın normal olup olmadığını gösterir.

3. 3
   Alarmlar ekranında canlı/planlanan ayrımına bak.

   E-posta ve Teams teslimatı dış alıcıları doğrulanmadan alarm “Planlanan” kalır; sahte “aktif” gösterilmez.

Her veri ve aksiyon tenant sınırında kalır.

• Dashboard oturumu Microsoft Entra ID ile açılır; yetkisiz hesap yönetici verisine erişemez.
• Projeler, koşular, bulgular, aksiyonlar, doğrulanmış domainler, webhook'lar ve tarama anahtarları tenant-scoped tutulur.
• Super-admin tüm tenant'ları görebilir; repo sahipliğini atlayamaz ve ayar değiştirirken explicit tenant seçer.
• Canlı test yetkisi yalnız sahiplik değildir: hedef, exact kapsam, zaman, kimlik ve etki profili ayrıca onaylanır.
• Paylaşımlı altyapı ve üçüncü taraf bağımlılıkları otomatik olarak test kapsamına girmez.

En sık karşılaşılan durumlar.