İçeriğe atla
Trust ProCloud & Application Security Trust Pro

Trust Pro Cloud & Application Security

Geliştirmeden canlı ortama yazılımın güvenliği

Trust Pro Cloud & Application Security; yazılımın geliştirilmesinden canlı ortamda çalışmasına kadar güvenliğini yöneten platformdur. Bulut duruşu, uygulama güvenliği testleri (SAST, DAST, SCA), API, container ve Kubernetes, CI/CD, yazılım tedarik zinciri, iş yükü ve altyapı kodu (IaC) güvenliğini birlikte ele alır; sorunları yalnızca tespit etmekle kalmaz, geliştirici ekiplerin iş akışı içinde risk önceliği ve güvenli düzeltme önerisi sunar.

“Koddan buluta, buluttan kanıtlı güvene.” Keşfedilen varlık, tespit edilen risk, önerilen düzeltme ve üretimde doğrulanan sonuç aynı güvenlik grafında ve aynı denetim izinde buluşur.
Temel ilke
7
yetenek alanı
40
modül
360
alt yetenek
36
AI motoru
24
uçtan uca akış
24
genişletme paketi

Yönetici özeti

Cloud & App Security tek bakışta

Kurumun bulut ve uygulama saldırı yüzeyi artık tek bir güvenlik ekibinin kontrol edebileceği durağan bir envanter değildir. Yeni bir API, yeni bir IaC değişikliği, yeni bir container imajı, yeni bir servis hesabı veya bilinmeyen üçüncü taraf SDK birkaç dakika içinde üretim riskini değiştirebilir. Cloud & Application Security Trust Pro, bu parçalı gerçekliği koddan buluta ve çalışma zamanına uzanan kanıta dayalı tek güvenlik kontrol düzlemine dönüştürmek üzere tasarlanmıştır.

Platformun iddiası yalnızca daha fazla tarama yapmak değildir. “Hangi zafiyet var?” sorusunu “Hangi uygulama etkileniyor, hangi veri risk altında, bu bulgu gerçekten kullanılabilir mi, kim düzeltecek ve düzeldiği nasıl kanıtlanacak?” sorularıyla birlikte yanıtlamaktır. Böylece çoklu bulut güvenliği, DevSecOps ve API koruması iş akışları arasında devamlılık kurulur.

Neden Cloud & App Security?

  1. 01Tek güvenlik grafıBulut hesabı, repo, pipeline, container, API, kimlik, veri ve iş sahibi ortak kimlik ilişkisiyle tutulur.
  2. 02Shift-left + shield-rightPR aşamasındaki güvenlik kapıları, deployment policy ve runtime tespitleri birlikte çalışır.
  3. 03Doğrulanmış risk kapanışıKritik bulgu, yalnızca ticket kapandığında değil, gerçek ortamda retest ile doğrulandığında çözülür.
  4. 04AI ile verimlilikKanıtlı açıklama, risk önceliklendirme ve güvenli düzeltme taslakları; onay gerektiren kritik eylemlerden ayrılır.
  5. 05Kurumda kalabilen veriSaaS, private cloud ve desteklenen on-premise/air-gapped senaryolar; tenant ve veri egemenliği politikaları.
  6. 06Kurumsal entegrasyonMevcut SIEM/XDR/ITSM ürünlerinin yerine geçmek yerine çift yönlü veri ve iş akışı bütünlüğü.

Önce / sonra

Parçalı araçlardan tek, kanıtlı kontrol düzlemine

Bugünkü parçalı yapıTrust Pro Cloud & Application Security ile
CVE taraması çok, öncelik belirsizÇalışan servis + açık ağ + hassas veri + kimlik bağlamından doğrulanabilir öncelik.
Kod, image ve cloud ayrı ekiplerdeCommit→build→digest→deployment→API→data ilişkisi tek graf üzerinde.
Bulgu kapandı ama üretimde açıkProd doğrulaması zorunlu; düzeltilmedi statüsü açık kalır.
Güvenlik istisnası e-posta zincirindeSüreli, sahibi belli, kanıtlı ve otomatik yeniden incelemeli muafiyet.
AI asistan kaynaksız öneriyorKaynak bağlantılı öneri, tenant erişim sınırı ve insan onayı.

Yetenek haritası

7 alan, 40 modül, 360 alt yetenek

Her modül somut alt yetenekleri, yapay zekânın rolü ve ölçülebilir kabul ilkesiyle tanımlanır. Bir alan seçin, modüle tıklayın ya da tüm yeteneklerde arayın.

Rapordaki modül bölümü

7 alan · 40 modül · 360 alt yetenek

01 · Bulut Duruşu & Maruziyet

  • MODÜL 0140Bulut Duruşu & Maruziyet

    Çoklu Bulut Varlık Keşfi ve Envanter

    Kurumun bulut ayak izini hesap/abonelik/proje bağlamında tek, güncel varlık grafiğinde toplar.

    AI destekliKabul ilkesi tanımlı
    1. 01Hesap keşfiAWS Organizations, Azure Management Groups ve GCP Organizations hiyerarşisinden hesap/abonelik/proje envanteri çıkarır.
    2. 02Kaynak normalizasyonuVM, disk, bucket, veritabanı, kimlik, network ve KMS kaynaklarını sağlayıcı bağımsız tiplere dönüştürür.
    3. 03Etkili kapsamAPI izinleri ve kısmi bağlantılar nedeniyle görünmeyen bölgeleri açıkça “kapsam dışı” işaretler.
    4. 04Sahiplik eşleştirmeEtiket, CMDB, IaC repository ve servis kataloğundan servis sahibi, ortam ve kritiklik ilişkisi kurar.
    5. 05Değişiklik akışıKaynak yaratma, silme ve yetki değişimlerini event tabanlı izler; gecikmiş envanter farklarını raporlar.
    6. 06Sahipsiz varlıkOwner etiketi, son kullanım veya kurumsal bağlamı eksik kaynakları aksiyon kuyruğuna taşır.
    7. 07Yaşam döngüsüKaynak ilk görülme, son görülme, üretim/development ve devreden çıkarma anlarını sürümlendirir.
    8. 08Varlık grafiğiUygulama→workload→kimlik→veri deposu→ağ ilişkisinin köken kanıtını saklar.
    9. 09Envanter API'siKaynak kimliği, tenant, bölge, sağlayıcı, son kontrol zamanı ve veri tazeliğini dış sistemlere sunar.

    Yapay zekâ bu modülde ne yapar?

    Sahipsiz ve beklenmedik kaynak kümelerini bağlamdan ayırarak keşif eksiklerini önceliklendirir.

    Kazanım

    Bulut envanterinin sahiplendirilmesi, unutulmuş kaynaklardan doğan risk ve kontrol boşluğunu görünür kılar.

    Kabul ilkesi

    Tüm kayıtların kaynak API kimliğiyle eşleştiği, erişim kesintisinde son başarılı taramanın gösterildiği doğrulanır.

MODÜL 0140Bulut Duruşu & Maruziyet

Çoklu Bulut Varlık Keşfi ve Envanter

Kurumun bulut ayak izini hesap/abonelik/proje bağlamında tek, güncel varlık grafiğinde toplar.

AI destekliKabul ilkesi tanımlı
  1. 01Hesap keşfiAWS Organizations, Azure Management Groups ve GCP Organizations hiyerarşisinden hesap/abonelik/proje envanteri çıkarır.
  2. 02Kaynak normalizasyonuVM, disk, bucket, veritabanı, kimlik, network ve KMS kaynaklarını sağlayıcı bağımsız tiplere dönüştürür.
  3. 03Etkili kapsamAPI izinleri ve kısmi bağlantılar nedeniyle görünmeyen bölgeleri açıkça “kapsam dışı” işaretler.
  4. 04Sahiplik eşleştirmeEtiket, CMDB, IaC repository ve servis kataloğundan servis sahibi, ortam ve kritiklik ilişkisi kurar.
  5. 05Değişiklik akışıKaynak yaratma, silme ve yetki değişimlerini event tabanlı izler; gecikmiş envanter farklarını raporlar.
  6. 06Sahipsiz varlıkOwner etiketi, son kullanım veya kurumsal bağlamı eksik kaynakları aksiyon kuyruğuna taşır.
  7. 07Yaşam döngüsüKaynak ilk görülme, son görülme, üretim/development ve devreden çıkarma anlarını sürümlendirir.
  8. 08Varlık grafiğiUygulama→workload→kimlik→veri deposu→ağ ilişkisinin köken kanıtını saklar.
  9. 09Envanter API'siKaynak kimliği, tenant, bölge, sağlayıcı, son kontrol zamanı ve veri tazeliğini dış sistemlere sunar.

Yapay zekâ bu modülde ne yapar?

Sahipsiz ve beklenmedik kaynak kümelerini bağlamdan ayırarak keşif eksiklerini önceliklendirir.

Kazanım

Bulut envanterinin sahiplendirilmesi, unutulmuş kaynaklardan doğan risk ve kontrol boşluğunu görünür kılar.

Kabul ilkesi

Tüm kayıtların kaynak API kimliğiyle eşleştiği, erişim kesintisinde son başarılı taramanın gösterildiği doğrulanır.

Referans mimari

Kontrol düzlemi, güven sınırları ve dağıtım

Önerilen mimari iki operasyon düzlemini açıkça ayırır: kontrol düzlemi varlık, kimlik, politika, bulgu, kanıt ve onay yönetir; veri düzlemi yetkili bulut API’lerinden, CI/CD ve runtime sensörlerinden telemetri toplar. Güvenlik aksiyonu uygulayan her connector ayrı, kısıtlı ve izlenebilir yetkiyle çalışır.

Mimari kararlar

  • Connector modeliVarsayılan salt okunur API; yazma/müdahale yetkisi ayrı scope, onay ve customer-owned credential ile.
  • Güvenlik grafıCanonical asset_id + provider_id + observed_at + source confidence; geç bağlantı veya duplikasyon izlenir.
  • Olay taşımaİdempotent ingest, partitioning, retry, DLQ ve event_id dedup; tek kopya varsayımı kurulmaz.
  • Policy engineSürümlenmiş deterministik kurallar; deny/allow/audit; overrides süreli ve yetkiye bağlı.
  • Raporlanabilir kanıtHer bulgu immutable event, policy_version, evidence_ref, owner ve retest kaydıyla kapanır.
  • AI güvenlik sınırıRAG retrieval için tenant/role ACL, PII maskeleme, tool allowlist ve işlem bazlı onay.

Dağıtım seçenekleri

  • SaaSHızlı onboarding, otomatik güncellemeTenant ve data residency kanıtı, erişim günlükleri
  • Private cloudMüşteriye özel veri ağı, entegrasyon kontrolüİzolasyon, operasyon sorumluluk matrisi
  • On-premiseVeri içeride, kurumsal altyapı entegrasyonuSürüm/agent upgrade, local queue ve backup planı
  • Air-gappedOffline policy ve feed importİmzalı paket aktarımı, güncelleme gecikmesi ve yerel model

Yapay zekâ katmanı

36 AI motoru: karar desteği verir, yetki kararı vermez

AI katmanı tek bir sohbet botundan ibaret değildir. Klasik kurallar, güvenlik grafı, istatistiksel/ML sinyalleri ve gerektiğinde dil modeli ile görev odaklı analizlerden oluşur. Sonuçlar kaynak kanıtı, güven seviyesi ve insan onayıyla sunulmalıdır.

  • 01Cloud Asset ResolverBulut kaynak ve CMDB kayıtlarıTekil asset_id / conflict report
  • 02Ownership InferenceTag, repo, deployer, ticketSahip önerisi + confidence
  • 03Cloud Misconfiguration ClusterCSPM bulguları ve benzerlikTekrar eden root cause grubu
  • 04IAM Least Privilege AdvisorPolicy, role trust, kullanımDaraltma önerisi + etki
  • 05Cross-Account Risk ExplorerTrust graph ve ağ erişimiOlası privilege path
  • 06Data Sensitivity ClassifierMetadata/izinli örnek veriHassasiyet etiketi
  • 07Attack Path RankerGraph/CVE/identity/dataKanıtlı risk sıralaması
  • 08Remediation Impact EstimatorBulgu+CI/CD+servis topolojisiDüzeltme etki notu
  • 09IaC Fix SuggestionPolicy + IaC diffPR taslağı
  • 10Container Exploitability RankerSBOM + runtime contextÖncelik skoru
  • 11Kubernetes Drift AnalyzerCluster snapshotsKonfig sapma özeti
  • 12Runtime Behavior ModelProcess/network eventsŞüpheli olay kümesi

Model kalite ve güvenlik kabul ölçütleri

  • Kaynak doğruluğuAI iddiasına evidence_ref olmadan otomatik “doğrulandı” statüsü verilmez.
  • Yetki ve veri güvenliğiTenant/role filtresi retrieval öncesi uygulanır; masked prompts ve no secret echo.
  • Model değişiklikPrompt/model/retrieval sürüm ayrımı, benchmark ve regresyon testi.
  • Aksiyon sınırıRead-only asistan varsayılan; write/containment ayrı politika ve onaya bağlı.
  • Adversarial evalPrompt injection, tool misuse, data leak ve yanlış remediation örnekleriyle negatif test.
  • Maliyet/gecikmeToken, p95 cevap süresi, cache hit ve işlemsel maliyet izlenir.

Uçtan uca iş akışları

24 kontrollü akış, tetikleyiciden kanıtlı kapanışa

Her akış yetki, ön koşul, eylem ve sonuç kanıtı adımlarıyla tanımlıdır; yüksek etkili işlemler onaya ve geri alma planına bağlanır.

Akış 01 / 24

Yeni bulut hesabı sisteme eklenir

  1. 01Connector least privilege + scope check
  2. 02Asset discover
  3. 03Baseline CSPM/CIEM
  4. 04Owner assignment
  5. 05Dashboard

Kapanış koşulu Aktör, kayıtlı kanıt, yetki ve tekrar doğrulama olmadan otomatik kapanış yapılmaz.

Tehdit modeli

7 tehdit senaryosu, her biri için savunma kontrolü

Senaryolar savunma odaklıdır: hangi kanıtın aranacağını ve hangi kontrolün doğrulanacağını tanımlar.

  • T01Cloud kontrol düzlemi

    Örnek riskAşırı IAM/role, log kapatma, public storage

    Temel önlemCIEM, CSPM, immutable audit, MFA, policy guardrails

  • T02Runtime / K8s

    Örnek riskPrivilege escalation, container escape, lateral move

    Temel önlemPod security, runtime sensor, network segmentation

  • T03Code / pipeline

    Örnek riskDependency compromise, malicious PR, secret exposure

    Temel önlemSAST, SCA, ephemeral runner, attestation ve release gate

  • T04API / web

    Örnek riskBOLA, auth bypass, bot abuse, injection

    Temel önlemAPI schema/auth test, rate policy, WAAP ve code fix

  • T05Veri / kimlik

    Örnek riskBulk exfiltration, overbroad KMS, stale machine token

    Temel önlemDSPM, DLP, JIT identity ve key rotation

  • T06Güvenlik platformu

    Örnek riskYanlış otomatik aksiyon, tenant sızıntısı, delil bozulması

    Temel önlemDual approval, negative tests, encrypted evidence chain

  • T07AI copilot

    Örnek riskPrompt injection ile gizli veri veya tool misuse

    Temel önlemSource ACL, trusted tool checks, no implicit write permissions

Kimler için

Hedef kurumlar ve platformu kullanan roller

Segment

  • Finans / fintechÇoklu cloud, kritik API, ödeme ve veri güvenliğiÖnerilen başlangıç kapsamı: CIEM + API Authz + CI/CD / release kontrolü
  • SaaS / teknoloji şirketiHızlı release, DevSecOps, müşteri izolasyonuÖnerilen başlangıç kapsamı: SAST/SCA + cloud graph + admission policy
  • Perakende / e-ticaretCheckout, bot, tüketici verisi ve kampanya sürekliliğiÖnerilen başlangıç kapsamı: API/WAAP + secrets + CSPM
  • Sağlık / eğitimHassas kişisel veri, uygulama ve erişim kontrolleriÖnerilen başlangıç kapsamı: DSPM + app security + audit evidence
  • Holding / kurumsal grupÇok şirketli hesaplar, sahiplik, merkezi politikaÖnerilen başlangıç kapsamı: Asset discovery + risk graph + merkezi governance
  • MSSP / MSPÇok müşterili görünürlük ve operasyon otomasyonuÖnerilen başlangıç kapsamı: Multi-tenant console + alert/ticket orchestration

Roller

  • CISO / Güvenlik DirektörüRisk iştahı, kritik maruziyet, muafiyet, yatırım ve yönetim kurulu raporları.
  • Cloud Security ArchitectCSPM, CIEM, IAM, platform mimarisi, policy-as-code ve hesap güven sınırları.
  • AppSec Lead / Product SecuritySAST/DAST/SCA, ASVS gereksinimleri, zafiyet yaşam döngüsü ve ürün kabulü.
  • DevSecOps EngineerPipeline, SBOM, attestation, admission policy ve sürüm kalite kapıları.
  • Platform/SRE EngineerKubernetes/runtime koruma, yanlış alarm yönetimi ve hizmet sürekliliği.
  • Developer / Tech LeadPR bulguları, düzeltme önerileri, kod ve API risklerinin kapatılması.
  • SOC / Incident ResponderCloud audit olayları, soruşturma, güvenli izolasyon ve kanıt zinciri.
  • Denetçi / KVKK YetkilisiKanıt, politika sürümleri, sorumluluk matrisi ve veri erişimi.

Ekosistem

24 genişletme paketi, 20 entegrasyon alanı

Genişletmeler ayrı ticari ürünlerin zorunlu olarak çoğalmasını değil, Trust Pro kontrol düzleminin farklı kurumsal mimarilere, regülasyon beklentilerine ve iş süreçlerine uyarlanmasını ifade eder.

  • P01Banking & FintechÖdeme API güvenliği, PCI kontrolleri, IAM, üçüncü taraf işlem zinciri, hassas veri erişimi.
  • P02SaaS & Multi-TenantTenant isolation testleri, deployment provenance, müşteri bölgesi ve release gates.
  • P03Retail & E-CommerceBot, checkout API, kampanya suistimali, ödeme ve müşteri veri akışları.
  • P04Health & Life SciencesHassas veri erişimi, medikal uygulama SDLC ve değişiklik onayı kanıtı.
  • P05TelecommunicationsBüyük hacimli API, partner entegrasyonu ve edge exposure yönetimi.
  • P06Manufacturing / OTOT sistemine komut göndermeyen pasif güvenlik entegrasyonu ve sanayi ağ segmentleri.
  • P07Defense / Air-Gappedİnternetsiz feed taşıma, offline policy paketleri ve kontrollü model servisleme.
  • P08Public SectorKurumlar arası ayrıştırma, audit portalı, veri egemenliği ve özel bulut.
  • P09MSSP Multi-CustomerMüşteri başı policy, delegasyon, rapor, fatura ve ticket queue.
  • P10Large HoldingÇok şirketli asset graph, merkezi governance ve yerel güvenlik ekipleri.
  • P11Cloud-Native StartupsKendi kendine onboarding, repository-first ve geliştirici odaklı ücretleme.
  • P12Hybrid Data CenterOn-prem Kubernetes, VM, SAN/storage, klasik ağ, bulut graph birleşimi.
  • P13Secure Platform EngineeringGolden image, service template, OPA ve GitOps uyum paketleri.
  • P14Zero-Trust WorkloadWorkload identity, mTLS, segmentasyon ve service-to-service auth.
  • P15API-first EnterpriseOpenAPI zorunluluğu, auth test matrisi, rate policy ve partner API kapıları.
  • P16Mobile-Heavy EnterpriseMobile package scanning, release signing, SDK risk ve API abuse.
  • P17Critical Data EstateDSPM, KMS, egress guard ve kayıtlı veri işleme kanıtları.
  • P18Software Vendor AssuranceSBOM, VEX, SLSA provenance ve ürün güvenlik bakım sözleşmesi.
  • P19Secure AI Application StackLLM API, model-serving cloud host posture ve AI Security Trust Pro entegrasyonu.
  • P20Low-latency EdgeWAF gözlem kipi, API rate ve runtime agent performans sınırları.
  • P21Post-Merger Cloud ConsolidationYeni hesap keşfi, legacy IAM, yanlış policy ve shadow API haritalama.
  • P22DevSecOps TransformationSSDF assessment, pipeline politika şablonları ve developer training.
  • P23Cloud Cost & SecurityRisk azaltımı ile kullanılmayan kaynak ve kaynak taşıma kararlarının birlikteliği.
  • P24Executive Risk AssuranceYönetici risk matrisi, evidence pack, üçüncü taraf ve board-level raporlama.

Entegrasyon ekosistemi

Bağlantılar mevcut güvenlik yatırımlarının yerine geçmek için değil, onlarla çift yönlü çalışmak için tasarlanır. Entegrasyon desteği sözleşmeye, API erişimine ve kurumun altyapısına bağlıdır; listelenen üçüncü taraf ürünlerle hazır sertifikalı entegrasyon bulunduğu iddia edilmez.

  • Cloud CSPsAWSAzureGoogle CloudOCI
  • Cloud IdentityAWS IAMEntra IDGoogle IAM
  • KubernetesEKSAKSGKEOpenShiftvanilla K8s
  • IaCTerraformPulumiCloudFormationBicepHelm
  • GitGitHub EnterpriseGitLabBitbucketAzure Repos
  • CI/CDGitHub ActionsGitLab CIJenkinsAzure Pipelines
  • ArtifactECRACRArtifact RegistryHarborNexus
  • KMS/SecretsHashiCorp VaultAWS KMSAzure Key VaultGCP KMS
  • Network edgeCloudflareAkamaiAWS WAFAzure Front Door
  • API gatewayApigeeKongAWS API GatewayAzure APIM
  • RuntimeFalco / eBPF pipelines / EDR/XDR telemetry
  • LoggingCloudTrailCloud Audit LogsAzure Monitor
  • SIEMMicrosoft SentinelSplunkElasticChronicle
  • ITSMServiceNowJira Service ManagementAzure DevOps
  • ChatOpsMicrosoft TeamsSlacke-posta
  • GRCControl registerauditor portalevidence export
  • SBOMCycloneDXSPDXVEX
  • ProvenanceSLSA/in-toto attestationsSigstore/Cosign
  • Threat feedsNVDCISA KEVEPSSvendor advisories
  • StorageS3-compatible evidence storePostgreSQL/object store

Ölçüm sözlüğü

72 KPI ile ölçülebilir güvenlik ve dayanıklılık

Her gösterge kaynak, sahip, zaman penceresi ve kapsamla tanımlanır; hedef değerler kurulumda kurumun ortamına göre doğrulanır.

  • Varlık görünürlüğü8
    • Cloud asset coverage
    • Owner completeness
    • Scan freshness
    • Shadow API count

    +4 gösterge

  • CSPM ve cloud posture8
    • Critical misconfig density
    • Drift recurrence
    • CSPM fix verification
    • Exception expiry

    +4 gösterge

  • IAM ve veri8
    • Excess privilege
    • Long-lived credentials
    • Cross-account risk paths
    • Machine identity owner

    +4 gösterge

  • Secure SDLC8
    • SAST true positive
    • SAST coverage
    • DAST coverage
    • Security gate pass

    +4 gösterge

  • Supply chain8
    • SBOM completeness
    • Attestation coverage
    • Signed artifact deployment
    • Critical deployed CVEs

    +4 gösterge

  • API ve WAAP8
    • API inventory completeness
    • BOLA regression pass
    • Schema drift
    • WAF false positive

    +4 gösterge

  • Runtime ve response8
    • Runtime detections confirmed
    • MTTD cloud
    • MTTR cloud
    • Isolation rollback success

    +4 gösterge

  • Giderim ve risk8
    • Critical exposure backlog
    • Fix SLA compliance
    • Retest success
    • Attack path reduction

    +4 gösterge

  • Platform & AI8
    • Tenant isolation test pass
    • AI evidence citation rate
    • AI action approval
    • Policy decision p95

    +4 gösterge

Merak edilenler

Sıkça sorulan sorular

Klasik güvenlik tarayıcılarından farkı nedir?

Temel farklılaşma, bulguları yalnızca listelemek yerine geliştirici ekiplerin iş akışı içinde risk önceliği belirlemek ve güvenli düzeltme önerisi sunmaktır. Ekip neyi neden önce düzelteceğini görür; güvenlik geliştirme sürecinin dışında ayrı bir rapor olarak kalmaz.

Cloud & App Security kurumunuzda nasıl konumlanır?

30 dakikalık ön görüşmede ihtiyacı netleştirelim; doğru yolsa kendi verinizle pilot planlayalım.