AWS Güvenlik Aracı ile Kişisel Projelerinizi Nasıl Güvenceye Alabilirsiniz?

Yeni bir uygulama yayınladıktan sonra güvenlik kontrolleri genellikle askıya alınır. Oysa AWS Security Agent, geliştirme sürecinin her aşamasında otomatik güvenlik denetimleri sunan yenilikçi bir araç olarak öne çıkıyor. Peki, bu araç gerçek bir projede ne kadar etkili? Kendi gerçekleştirdiğim deneyimi ve edindiğim sonuçları sizlerle paylaşıyorum.

AWS Security Agent Nedir ve Nasıl Çalışır?

AWS Security Agent, üç temel güvenlik denetimini tek bir platformda birleştiren AI destekli bir hizmettir:

• Tasarım İncelemesi (Design Review): Uygulama mimarisi, gereksinimler ve tasarım belgelerini AWS güvenlik en iyi uygulamalarına göre analiz eder. Ayrıca, kurum içi uyumluluk politikalarını doğal dilde tanımlayarak özel kurallar eklemenize olanak tanır.
• Kod Denetimi (Code Review): GitHub ile entegre çalışır ve pull request’lere güvenlik odaklı yorumlar ekleyerek geliştiricilere anında geri bildirim sağlar.
• Penetrasyon Testi (Penetration Test): Çalışan uygulamalara karşı statik ve dinamik saldırılar gerçekleştirir. Tespit edilen güvenlik açıkları için otomatik düzeltme pull request’leri oluşturabilir.

Bu üç özellik, "Agent Space" adı verilen tek bir arayüz altında yönetilir. Hizmetin penetrasyon testi özelliği Mart 2026’da genel kullanıma sunulmuş olup, tasarım ve kod denetimi özellikleri halen önizleme aşamasındadır.

Not: Nisan 2026 itibarıyla tasarım ve kod denetimi özellikleri preview modundadır. Güncel durum için AWS belgelerine başvurmanız önerilir.

Deneyimlediğim Proje: Gerçek Zamanlı Quiz Uygulaması

Test için, OWASP Juice Shop gibi özel olarak hazırlanmış zafiyetli uygulamalar yerine, gerçek bir yan projeyi seçtim: Kahoot! tarzında çalışan, katılımcıların 6 haneli kodlarla katıldığı ve sonuçları WebSocket üzerinden alan bir quiz uygulaması.

Projenin mimarisi şu bileşenlerden oluşuyordu:

• Önyüz: CloudFront + S3
• API: API Gateway (REST + WebSocket)
• Arka uç: Lambda (Python)
• Veritabanı: DynamoDB
• Kimlik Doğrulama: Cognito (yöneticiler için), 6 haneli geçici kodlar (katılımcılar için)

Toplamda yaklaşık 3.500 satır kod ve 22 API endpoint’i bulunan bu uygulama, yalnız çalışan bir geliştirici için gerçekçi bir güvenlik testi hedefiydi.

Tasarım İncelemesi: Belgelerinizi AI ile Güvenlik Açısından Değerlendirin

Tasarım incelemesi için AWS Security Agent’a dört farklı Markdown belgesi yükledim:

• architecture.md: Sistem mimarisi
• requirements.md: İşlevsel gereksinimler
• security-design.md: Güvenlik tasarımı
• sequence-diagram.md: Kimlik doğrulama ve veri akışları

Aracın en etkileyici özelliklerinden biri, yüklenen tüm belgeleri birbirleriyle ilişkilendirerek analiz etmesiydi. Bu sayede, belgeler arasında geçiş yapan güvenlik açıkları tespit edilebiliyor.

Özel Kurallar ile Kurumsal Uyumluluk Politikalarını Entegre Edin

AWS’in standart güvenlik kurallarının yanı sıra, kurum içi politikaları doğal dilde tanımlayarak sisteme ekleyebiliyorsunuz. Örneğin, ben aşağıdaki iki kuralı Japonca olarak ekledim:

• Veri saklama süresinin en az 365 gün olması
• Verilerin yalnızca belirli bir coğrafi bölgede depolanması

Bu kurallar, beklendiği gibi doğru şekilde uygulandı ve tasarım belgelerindeki uyumsuzlukları tespit etti.

AI’nın Öngörülemeyen Gücü: Tekrar Eden Kontrollerin Önemi

İlk tasarım incelemesinde herhangi bir güvenlik açığı bulunmadı. Ancak, özel kuralları ekledikten sonra ikinci bir inceleme yaptım ve ilginç bir durumla karşılaştım: Özel kuralların yanı sıra, "Gizli Bilgilerin Korunması En İyi Uygulamaları" başlıklı üçüncü bir bulgu ortaya çıktı. Bu bulgu, ilk incelemede gözden kaçmıştı.

Bu durum, AI tabanlı sistemlerin olasılıksal doğasının bir sonucu. Tek bir inceleme sonucuna güvenmek yerine, kritik belgeler üzerinde birden fazla kontrol yapmak önem taşıyor. Tıpkı insan güvenlik denetçilerinin birden fazla geçiş yapması gibi.

Kod Denetimi: Pull Request’lere Güvenlik Odaklı Yorumlar

Kod denetimi için AWS Security Agent’ı GitHub hesabıma bağlamam gerekti. Burada dikkat edilmesi gereken önemli bir kısıtlama bulunuyor: Tek bir AWS hesabı yalnızca bir GitHub hesabıyla entegre edilebiliyor. Çoklu AWS Organizasyonu ortamlarında, kod denetimi entegrasyonunu hangi hesapta yapacağınıza önceden karar vermelisiniz.

Bağlantı kurulduktan sonra, aws-security-agent[bot] adlı bot, pull request’lere otomatik olarak güvenlik odaklı yorumlar eklemeye başladı. Örneğin, aşağıdaki gibi geri bildirimler alındı:

• Kullanılan kütüphanelerin güncel olmayan sürümlerinin bulunması
• Hassas bilgilerin log’larda yer alması riski
• Kimlik doğrulama akışındaki potansiyel zafiyetler

Bu otomatik geri bildirimler, geliştiricilerin güvenlik açıklarını erkenden tespit etmelerine ve çözümlemelerine yardımcı oluyor. Süreç, sürekli entegrasyon ve dağıtım (CI/CD) pipeline’larına kolayca entegre edilebiliyor.

Penetrasyon Testi: Çalışan Uygulamaya Saldırı

Penetrasyon testi özelliği, AWS Security Agent’ın en yenilikçi bileşenlerinden biri. Hizmet, hem statik kod analizi (SAST) hem de dinamik saldırı testi (DAST) gerçekleştirerek çalışan uygulamanın güvenlik açıklarını tespit ediyor. Ayrıca, tespit edilen zafiyetler için otomatik düzeltme pull request’leri oluşturabiliyor.

Test sırasında, quiz uygulamamın aşağıdaki güvenlik açıklarına karşı korumalı olup olmadığı incelendi:

• Enjeksiyon saldırıları (örneğin, SQL enjeksiyonu)
• Kimlik doğrulama zafiyetleri
• Veri doğrulama eksiklikleri
• API güvenlik açıkları

Sonuçlar, uygulamamın çoğu saldırıya karşı dayanıklı olduğunu gösterdi. Ancak, dinamik test sırasında WebSocket bağlantısında hafif bir güvenlik riski tespit edildi. Bu risk, basit bir konfigürasyon değişikliğiyle giderilebildi.

Sonuç: AWS Security Agent Gerçekten İşe Yarıyor mu?

AWS Security Agent’ı kişisel projemde uygulama deneyimimden çıkarılan temel sonuçlar şunlar:

• Tasarım incelemesi, mimari belgelerinizdeki güvenlik açıklarını erken aşamada tespit etmek için oldukça etkili. Özellikle özel kurallar ekleyerek kurumsal politikaları doğrudan uygulayabiliyorsunuz.
• Kod denetimi, geliştirme sürecine entegre edilerek güvenlik açıklarının erkenden yakalanmasını sağlıyor. Pull request’lere otomatik yorumlar eklemek, geliştirici ekibinizin güvenlik farkındalığını artırıyor.
• Penetrasyon testi, çalışan uygulamaların gerçek saldırılara karşı ne kadar dayanıklı olduğunu ölçmek için değerli bir araç. AI destekli otomatik düzeltme önerileri, güvenlik açıklarını hızlıca kapatmanıza yardımcı oluyor.

Ancak, AI tabanlı sistemlerin olasılıksal doğası nedeniyle, tek bir kontrolün yeterli olmadığını unutmamak gerekiyor. Kritik projelerde birden fazla inceleme yapmak ve sonuçları insan denetçilerle doğrulamak önem taşıyor.

AWS Security Agent, güvenlik kontrollerini otomatikleştirerek geliştiricilerin ve güvenlik ekiplerinin iş yükünü önemli ölçüde azaltıyor. Gelecekte, AI’nin daha da gelişmesiyle birlikte, bu tür araçların güvenlik süreçlerinde daha merkezi bir rol oynaması kaçınılmaz görünüyor. Kendi projenizde bu aracı denemeyi düşünüyorsanız, AWS belgelerini inceleyerek başlayabilirsiniz.