Hızlı cevap: Güvenlik tarayıcılarında yanlış pozitif, aracın gerçekte açık olmayan bir şeyi açık gibi raporlamasıdır ve güvenlik ekiplerinin en büyük zaman kaybıdır. En sık kaynaklar şunlardır: desen ve entropi tabanlı sır tespitinin rastgele görünen dizeleri sır sanması, imza tabanlı taramanın bağlamı görmemesi ve zamanlama tabanlı testlerin ağ gecikmesini açık sanması. Somut bir örnek: bir web sayfasındaki gömülü base64 kodlu görsel verisi, base58 karakter kümesiyle örtüştüğü için birçok tarayıcı tarafından yanlışlıkla kripto para özel anahtarı olarak işaretlenir; oysa bu yalnızca bir resim dosyasıdır. Kök çözüm, her bulguyu ham bir eşleşme olarak değil, doğrulanmış bir kanıtla raporlamaktır: bir sırın gerçek olup olmadığını biçim ve sağlama toplamı ile, bir açığın istismar edilebilir olup olmadığını kontrollü bir kanıtla teyit etmek.

Bir güvenlik raporu ne kadar çok bulgu içerirse o kadar iyi değildir; ne kadar çok gerçek ve doğrulanmış bulgu içerirse o kadar iyidir. Yanlış pozitiflerle dolu bir rapor, ekibi gerçek riskten uzaklaştırır. Bu yazı, tarayıcı yanlış pozitiflerinin neden oluştuğunu, somut bir örnekle nasıl elendiğini ve kanıt temelli yaklaşımın neden fark yarattığını anlatır.

Yanlış pozitif neden bu kadar önemli

Bir güvenlik ekibi, önüne gelen her bulguyu incelemek zorundadır. Bulguların çoğu yanlış pozitifse, ekip zamanını var olmayan sorunları elemeye harcar ve gerçek risk gürültüde kaybolur. Bu, yalnızca verimsizlik değil, güvenlik açığıdır: yorgun bir ekip, gerçek bulguyu da yanlış pozitif sanıp geçebilir. Bu yüzden bir tarama motorunun değeri, kaç bulgu ürettiğiyle değil, ürettiği bulguların ne kadarının gerçek olduğuyla ölçülür.

Yanlış pozitifin üç yaygın kaynağı

Kaynak Nasıl oluşur Örnek
Entropi ve desen Rastgele görünen dizeyi sır sanma Base64 görsel verisini anahtar sanma
İmza ve bağlam körlüğü Bağlamı görmeden imza eşleştirme Örnek ya da test verisini gerçek sanma
Zamanlama tabanlı Gecikmeyi açık sanma Ağ gecikmesini request smuggling sanma

Bu üç kaynak, otomatik taramanın doğasında vardır. Fark, aracın bu eşleşmeleri ham bir bulgu olarak mı raporladığı, yoksa doğruladıktan sonra mı sunduğudur.

Somut örnek, base64 görselinin sahte anahtar sanılması

Web sayfaları, görselleri çoğu zaman base64 kodlu metin olarak sayfanın içine gömer. Bu metin uzun, rastgele görünen ve yüksek entropili bir dizedir. Kripto para özel anahtarları da base58 adı verilen benzer bir karakter kümesiyle yazılır. İki kümenin örtüşmesi yüzünden, bir görselin base64 metninde tesadüfen özel anahtar biçimine uyan bir parça bulunur ve desen tabanlı bir tarayıcı bunu Bitcoin ya da Solana özel anahtarı olarak işaretler.

Bu bir kritik bulgu gibi görünür ama gerçekte yalnızca bir resimdir. Kanıt temelli bir motor bunu şöyle eler: önce sayfadaki base64 kodlu görsel verisini tarama dışında bırakır, sonra kalan aday dizenin gerçekten geçerli bir anahtar olup olmadığını biçim ve sağlama toplamı denetimiyle sınar. Gerçek bir Bitcoin anahtarı base58 sağlama toplamından geçer; bir görsel parçası geçmez. Böylece sahte kritik bulgu, gerçek bir anahtar kaçırılmadan elenir.

Kanıt temelli yaklaşım

Doğru yaklaşım, bir eşleşmeyi bulgu saymak değil, onu doğrulamaktır:

  • Sır ve anahtar. Biçim ve sağlama toplamı ile gerçek olup olmadığı sınanır. Görsel ve medya verisi tarama dışı bırakılır. Ayrıntı için sızan API anahtarları yazımıza bakın.
  • Web açıkları. Bir enjeksiyonun gerçekten çalıştığı, benzersiz bir kanıtla gösterilir. Ayrıntı için doğrulanmış zafiyet ve yanlış pozitifsiz test yazımıza bakın.
  • Zamanlama tabanlı. Bir gecikmenin ağdan mı yoksa gerçek bir desenkronizasyondan mı kaynaklandığı ayırt edilir.

Bu yaklaşım, yapay zekâ ajanlarının halüsinasyonu sorunuyla aynı ilkeye dayanır: sonucu doğrulanabilir kanıta bağlamak.

KAOS neden farklı raporlar

DSET'in yerel yapay zekâ güvenlik motoru KAOS, bulguyu ham eşleşme olarak değil, doğrulanmış kanıtla raporlar. Sır tespitinde base64 kodlu görsel ve medya verisini tarama dışında bırakır ve aday anahtarları sağlama toplamı ile sınar. Web açıklarında bir enjeksiyonun gerçekten etki üretip üretmediğini kontrollü biçimde teyit eder. Zamanlama tabanlı sinyalleri ağ gürültüsünden ayırır. Amaç, güvenlik ekibinin önüne uzun bir olasılık listesi değil, kısa ve gerçek bir bulgu listesi koymaktır. Böylece ekip zamanını eleme değil, giderme işine ayırır.

Sık sorulan sorular

Yanlış pozitif tamamen sıfırlanabilir mi? Pratikte sıfır yanlış pozitif garanti edilemez, ama doğrulama katmanıyla büyük ölçüde azaltılabilir. Önemli olan, aracın her eşleşmeyi bulgu saymak yerine, gerçek olduğunu kanıtladıktan sonra raporlamasıdır. Amaç sıfır değil, güvenilir bir bulgu listesidir.

Çok bulgu bulan tarayıcı daha mı iyi? Hayır. Çok bulgu, çok yanlış pozitif anlamına gelebilir. İyi bir tarayıcı, ürettiği bulguların çoğunun gerçek olduğunu kanıtlayabilendir. Kalite, sayıdan önemlidir.

Base64 görseli neden anahtar sanılıyor? Çünkü base64 metni, kripto anahtarlarının kullandığı base58 karakter kümesiyle örtüşür ve uzun, yüksek entropili bir dizedir. Desen tabanlı bir tarayıcı bağlamı görmeden bunu anahtar sanabilir. Doğru çözüm, medya verisini tarama dışı bırakmak ve sağlama toplamı ile doğrulamaktır.

Kaynaklar

Güvenlik taramalarınızı yanlış pozitif gürültüsü olmadan, yalnızca doğrulanmış bulgularla almak için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan KAOS ile kanıt temelli güvenlik testi sağlıyoruz.