Siber Güvenlik Derinlemesine: Güvenlik stratejisi, son trendler ve tanınması gereken kişiler üzerine özellikli makaleler.
Yapay zekanın erken kariyer öğrenme fırsatlarını sıkıştırmasıyla, capture-the-flag yarışmaları bu açığı kapatmanın bir yolu olabilir.
Ericka Chickowski, Contributing Writer, Dark Reading
Yapay zeka, güvenlik uzmanları için giriş seviyesi işleri ve öğrenme fırsatlarını yutsa da, kurumsal sistemler ve güvenlik araçlarıyla elde deneyimin değerini silemez.
Ne kadar çok özerk eylem siber güvenlik ekipleri güvenlik operasyon merkezi ve programlarının geri kalanına gömülürse gömülsün, bu işin arkasında akıllı insanların durması gerekir. Ve bu "döngüdeki insanlar" bunu yetkin şekilde yapabilmek için, en iyi şekilde zorlu okuldan öğrenilen bir yargı geliştirmelidir.
Sorun şu ki, SOC birinci kademe analistleri nesli tükenmekte olan bir tür haline gelirken ve hata ödül programları yapay zeka gönderilerinin taşması nedeniyle zorlanırken, güvenlik yeni başlayanlarının gerçek dünya deneyimi biriktirme şansları azalıyor.
Bu kariyer hattı sorununa henüz büyük bir çözüm yok, ancak bazı yanıtlar sektörün hem kaynaşma hem de beceri geliştirme için kullandığı köklü bir mekanizmada bulunabilir: güvenilir capture-the-flag (CTF) yarışmaları.
"CTF'ler tutkulu yeteneklerin iş yerindeki günlük işlerinde sahip olmayabilecekleri şekillerde büyüme ve öğrenme fırsatı sunar," diyor yazılım olarak hizmet firması Five9'da gündüzleri güvenlik mühendisi olan Jason Walker. Tutkulu bir CTF yarışmacısı olan Walker, SentinelOne tarafından desteklenen ve yürütülen Sentinels League yarışmasını kazandı ve dünya çapında binlerce yarışmacı arasından diğer iki finalisti geride bıraktı. Sokak kredisinin yanı sıra Walker çabaları için 5.000 dolarlık ödül aldı ve kendi seçeceği hayır kurumu Trans Lifeline'a adına 10.000 dolarlık bağış yapıldı.
Canlı yayınlanan etkinlik e-spor yarışmasının gösterisini ve eğlencesini sundu, ancak sektörün önümüzdeki yıllarda yetenek havuzunu nasıl tazeleyeceğine dair daha derin ipuçları barındırabilir. Walker'ın ifadesine göre CTF'ler hem yeni hem de deneyimli siber profesyonelleri daha geniş bir sorun ve teknoloji yelpazesine maruz bırakmanın en iyi yoludur.
"CTF'ler benim çok daha çok yönlü olmama yardımcı oldu," diyor. "Şirketiniz iyi çalışıyorsa ve programınız olgunlaşmışsa, her hafta yeni şeylerle yangın söndürmeyeceksiniz. Her yeni teknik ve tehdide maruz kalmayacaksınız. Güncel kalabilmek için CTF etkinlikleri ve diğer uygulamalı eğitimler yapmak gerçekten önemli bir yol."
CTF'lerin Bugünkü Durumu
CTF yarışmaları birçok farklı biçimde gelir, ancak temel olarak oyunculardan kasıtlı olarak savunmasız sistemlerin içine gömülü gizli veri parçaları olan "bayrakları" bulmalarını ister. Çoğu iki formattan birine girer: Jeopardy tarzı etkinlikler, Sentinels League'in yaptığı gibi, Web sömürüsü, adli bilişim ve kriptografi gibi kategorilerde bağımsız bulmacalar dağıtır ve her çözüm için puan verir. Saldırı-savunma etkinlikleri her takımın kendi savunmasız ağını savunmasını isterken diğerlerinin ağlarına sızmaya çalışır.
Saldırı-savunma formatı 1996'da başlayan ve hâlâ onunla en çok ilişkilendirilen etkinlik olan DEF CON'un CTF'sinde şekillendi. Bu, kök salan endüstri etkinliklerinden büyük satıcı destekli yarışmalara kadar uzanan bir CTF formatları kaynağı yarattı.
Sentinels League, SentinelOne'ın çözüm mühendislerinin 2020'den beri müşterilerin telemetri içinde gizli bayrakları avlamayı öğrenmesi için düzenlediği iç oyunlar olan ThreatOps'tan çıktı. Bu yılın şampiyonası bunu Haziran ve Ekim arasında 12 haftalık eleme ile yayılan dört oyunla geliştirdi — Endpoint, Cloud, SIEM ve AI.
2.236 katılımcının açıldığı havuz 100'den fazla ülkeden geldi ve toplam ödül havuzu 100.000 dolar için yarıştı. Daha küçük ödüller eleme ve bölgesel etkinliklerde dağıtıldı, daha büyük ödüller SentinelOne'ın yıllık OneCon etkinliğiyle birlikte düzenlenen finale saklandı.
SentinelOne'da SE operasyonları direktörü Ryan O'Grady, firma ödüllere ve bu kadar büyük bir etkinliği yürütmenin önemli lojistiğine para yatırdığını, bunun topluluğa geri verme, platformuna uzmanlık ve maruziyet oluşturma ve işe alım aracı olarak kullanılmak üzere olduğunu söylüyor.
Ödüller için ya da eğitim için motive olsunlar, etkinlik için iştah büyümeye devam ediyor. Bu yılki etkinlik, şirketin seyircileri ağırlamak için daha büyük bir balo salonu bulmasını gerektirecek kadar ilgi gördü.
Sentinels League, CTF'nin neye benzediğine dair tek bir örnek; çok daha geniş bir yarışma yelpazesi mevcut. Sahne hobici tarafını takip eden gönüllü arşiv CTFtime'da geçen yılın takvimi tek başına 200'den fazla bireysel organize etkinlik listeliyor, aktif takımlar her nüfuslu kıtadan ülkelerden geliyor.
Genellikle hacklemenin Dünya Serisi olarak adlandırılan DEF CON CTF, 2026 elemelerinden Las Vegas'taki bu Ağustos finalleri öncesinde 673 takımı geçirdi. O'Grady'nin yarıştığı kâr amacı gütmeyen bir devre olan Ulusal Siber Lig, bu yılki ilkbaharda 670 okul ve üniversiteden 7.500'den fazla öğrenciyi çekti. Kaspersky Bali'den kendi son derece popüler SAS CTF'sini çalıştırmaya devam ediyor.
New York Üniversitesi'nin CSAW ve Carnegie Mellon'un picoCTF gibi daha akademik etkinlikler öğrencilere yönelik sürümler düzenliyor. KPMG gibi daha büyük danışmanlık firmaları formatı kurumsal işe alım için kullanıyor.
Yapay Zeka CTF'leri de Öldürecek mi?
Dünya çapında düzenlenen etkinlik sayısı ve bu uğraşlara kişisel zamanlarını harcayacak binlerce katılımcının açık talebine rağmen, birçok güvenlik uzmanı yapay zekanın bu yarışmaların amacı ve saflığı için ne yapacağı konusunda endişeleniyor.
CTF organizatörleri bunun kural kitapları için ne anlama geldiğini ve bunları nasıl uygulayacaklarını derinlemesine düşünüyor. RITSEC'in 2026 kuralları, yarışmanın ruhuna aykırı olduğu gerekçesiyle zorlukları özerk olarak çözmek için yapay zekayı kullanmayı yasaklıyor. Bu arada CSAW yapay zekayı benimsedi ve bu yıl büyük dil modellerini kullanarak geçmiş CTF problemlerini çözmek için tümüyle bir parkur oluşturdu.
DEF CON CTF'nin 2026 eleme turu farkı dengeledi. Tamamen özerk yapay zeka takımlarını yasakladı ancak insan yarışmacıların bir kişinin anlamlı şekilde kontrolü elinde tutması koşuluyla yapay zeka araçlarını kullanmasına izin verdi ve her takımın kamuya açık puan tablosunda kendini No AI, Low AI veya Human-Led AI olarak etiketlemesini istedi.
2017 ile 2025 arasında yayınlanan yüzlerce Hack The Box makinesinin yakın tarihli bir çalışması, çözüm sürelerinin yılda yaklaşık yüzde 16 düştüğünü, en dik düşüşlerin 2022'den sonra gerçekleştiğini buldu. Suzu Labs'tan penetrasyon testçisi Jacob Krell'in yaptığı analizine göre en zor katmandaki zorlukların medyan çözümü 15 saatten yaklaşık beşe indi.
O tek endişeli kişi değil. IBM Research ve William & Mary Koleji'nden bu yılki akademik bir çalışma 41 katılımcıyı canlı, yerinde bir CTF'de dört özerk yapay zeka ajanına karşı karşıya getirdi. Bu ajanların genel sıralamada ikinci olduğunu ve yarışan insan takımlarının çoğunun önüne geçtiğini buldu.
Bu tür bulgular, blockchain güvenlik firması OtterSec'in CTF'leri nasıl "kurtaracağı" konusunda sesini yükseltmesi için yeterli. Bu yaz firma, yapay zeka geliştikçe anlamlı kalacak yeni formatları finanse etmek için 100.000 dolarlık "CTF'leri Kurtarma Fonu"nu başlattı.
CTF'ler Neden Her Zamankinden Daha Önemli
SentinelOne'dan O'Grady, CTF'lerin ölümü tartışmasını satın almıyor. Görüşüne göre yapay zeka sadece organizatörleri CTF'leri yeniden tasarlamaya zorluyor, böylece yapay zeka yardımı olsun ya da olmasın bir insanı yatay düşünmeye zorluyor.
Yapay zeka yaratıcı CTF'leri yakında öldürmeyebilir, ancak siber güvenliğin kariyer merdivenini kesinlikle sarsıyor. Bu süreçte CTF'leri daha da kritik hale getirebilir.
SANS Enstitüsü yaklaşık 1.000 güvenlik liderini anketledi ve belirsiz kariyer ilerlemesinin en üst düzey işe alım zorluklarından biri olduğunu, yüzde 32'si tarafından belirtildiğini, bu oranın geçen yıla göre üç kattan fazla olduğunu buldu. Organizasyonların sadece dörtte biri açıkça tanımlanmış bir kariyer yolu olduğunu söylüyor ve bir zamanlar bir sonraki savunma neslini eğiten giriş seviyesi işler azalıyor. SOC ve güvenlik analisti rolleri yapay zeka kaynaklı kesintilerin başında geliyor, yüzde 32 düştü. Tehdit istihbaratı analistleri yüzde 26 ile onu takip ediyor, olay müdahale ekipleri ise yüzde 22 ile yakın arkasında.
Hata ödül programları yapay zekanın baskısı altında bükülüyor. Yılın başında açık kaynak projesi Curl'ün bakımcıları, yapay zeka gönderilerinin büyük bir akını sonrasında programlarını kapattı. HackerOne, Nisan ayında düşük kaliteli, yapay zeka destekli raporların dalgası sonrasında İnternet Hata Ödülü programını duraklattı. Ve bu ay Google Bug Hunters da benzer sorunlar nedeniyle açık kaynak ödül programını duraklattı.
Hepsi siber kariyer ilerlemesi için darbeler, çünkü hata ödülü problemleri güvenlik profesyonellerinin becerilerini kamuya sergilemeleri ve yeni gelenlerin sektöre tutunma noktası kazanmaları için harika bir yerdi.
CTF organizatörleri yarışmalarını alakalı tutabildiği sürece, bu etkinlikler siber aralıklar gibi diğer önemli uygulamalı zorlukların yanında endüstri için beceri eğitimi resminde değerli bir bulmaca parçası olmaya devam edecek.
"Büyük dil modelleri hata ödüllerinde masayı neredeyse süpürdüğüne göre, insanların dışarı çıkıp becerilerini sergilemeleri ve isimlerini duyurmaları artık zaten zor olan şeyden daha da zor hale geldi," diyor O'Grady. "Yapay zeka bu tür CTF etkinliklerinin önemini sadece artırdı."
Contributing Writer, Dark Reading
Yaklaşık iki on yıllık deneyime sahip ödüllü bir serbest gazeteci olan Ericka Chickowski, 2009'dan beri Dark Reading için B2B siber güvenliğin her açısını ele alıyor. Kapsamı, her türlü siber güvenlik paydaşına önemli olan siber konuların tam yelpazesini kapsıyor; siber güvenlik uygulayıcıları, CISO'lar, güvenlik odaklı iş yöneticileri ve güvenlik bilincine sahip yönetim kurulu üyeleri dahil. Teknoloji trendlerinin gerçek insanları nasıl etkilediğini ve riskin kârın altına nasıl etki ettiğini açıklayarak konuların derinine inmede uzmanlaşmıştır.
Özel ilgi alanları arasında: kötü niyetli yapay zeka; yapay zeka riski ve dayanıklılık; yapay zeka ve özerk yönetişim; uygulama güvenliği; yönetişim, risk ve uyum; bulut güvenliği; ağ güvenliği; yazılım tedarik zinciri riski; siber sigorta; DevSecOps; kurumsal risk yönetimi ve CISO kariyer gelişimi yer alıyor.
Dark Reading'in yanı sıra Ericka yıllar boyunca birçok farklı BT ve iş yayını için yazdı. İmzası Baseline, Consumer Digest, Channel Insider, CIO Insight, CSOOnline.com, DevOps.com, eWeek, Entrepreneur, Forbes, InformationWeek, SC Magazine ve SecurityBoulevard dahil olmak üzere düzinelerce ticaret ve tüketici dergisinde yer aldı. Uygulama güvenliği ve tedarik zinciri riski hakkında bağımsız hikayeler düzenli olarak ReversingLabs Blog'a katkıda bulunuyor. DevOps.com için kurucu katkıda bulunan editörlerden biriydi ve dijital dönüşüm ve geliştirme en iyi uygulamalarında derin uzmanlığa sahip. Bu, yazılım riskleri ve iş dayanıklılığı hakkındaki hikayelerini bilgilendiriyor.
Ericka aynı zamanda üretken bir yönetici hayalet yazarıdır ve siber güvenlik ve BT liderlerinin fikirlerini hayata geçirmelerine yardımcı olma deneyimine sahiptir. Financial Times ve The Wall Street Journal gibi saygın yayınlar için önemli konum parçaları hazırlamalarına yardımcı oldu.
Serbest kariyerine başlamadan önce Ericka bir dizi editoryal personel rolünde görev yaptı, SC Magazine için Batı Kıyısı Bürosu Şefi dahil. Bu pozisyondan önce Seattle bölgesindeki bölgesel teknoloji ve yaşam tarzı dergilerinden oluşan bir küme için baş editörlük yaptı ve ayrıca bölgesel bir iş gazetesi için muhabirlik yaptı. Washington Üniversitesi'nden İngilizce lisans derecesine sahip. Çalışmaları Society of Professional Journalists'ten çok sayıda ödül kazandı.
