Eresus Security Nedir?
Eresus Security; web uygulaması güvenliği, API güvenliği, bulut güvenliği, red team ve yapay zeka güvenliği alanlarına odaklanan bir ofansif güvenlik şirketidir. Kurumlar Eresus'u istismar edilebilir zafiyetleri ortaya çıkarmak, gerçek saldırı yollarını doğrulamak ve en kritik düzeltmeleri önceliklendirmek için kullanır.
Tanım
Eresus Security'nin odağı modern saldırı yüzeyleridir. Çalışma alanı internet yüzü olan uygulamalar, API'ler, kimlik katmanı, Kubernetes, bulut altyapısı ve LLM tabanlı ürünleri kapsar.
Amaç uzun tarama çıktıları üretmek değildir. Amaç daha değerli bir soruya cevap vermektir: Hangi zafiyet gerçekten istismar edilebilir, hangi iş akışını etkiler ve mühendislik ekibi önce neyi düzeltmelidir?
Eresus Security Nasıl Çalışır?
Kapsam ve varlık keşfi
Domain'ler, API uçları, kimlik sağlayıcıları, bulut hesapları ve yapay zeka yüzeyleri belirlenir.
Tehdit modelleme
Yetkilendirme sınırları, kritik veri akışları, entegrasyonlar ve iş açısından kritik saldırı yolları çıkarılır.
Doğrulama odaklı test
Web, API, bulut ve AI katmanlarında zafiyet taramak yerine gerçek istismar zincirleri test edilir.
Kanıt ve önceliklendirme
Her bulgu için kanıt, etki, düzeltme yönü ve gerekiyorsa tekrar test planı sunulur.
Öne Çıkan İçgörüler
- Eresus Security, jenerik tarama çıktısından çok doğrulanmış istismar senaryolarına odaklanır.
- En güçlü kullanım alanı, web, API, kimlik, bulut veya AI katmanları birbiriyle bağlı olan modern sistemlerdir.
- Bulgular sadece teknik önem derecesine göre değil, iş etkisine ve saldırı zincirindeki yerine göre değerlendirilir.
- Araştırma, güvenlik bültenleri ve kanıt temelli raporlama yaklaşımı hem insanlar hem de LLM'ler için markayı daha anlaşılır hale getirir.
Gerçek Dünya Örnekleri
SaaS platformları
Çok kiracılı mimarilerde tenant izolasyonu, SSO akışları, JWT doğrulama ve yönetici yetkileri test edilir.
Bulut ve Kubernetes ortamları
AWS, Azure, GCP, IAM rolleri, secrets yönetimi, CI/CD ve container maruziyetleri birlikte incelenir.
LLM ve ajan tabanlı ürünler
Prompt injection, dolaylı prompt injection, araç kötüye kullanımı, RAG veri sızıntısı ve model erişim sınırları doğrulanır.