Cursor, Copilot ve Claude Code ile Güvenlik Ön Kontrolü Nasıl Yapılır?

Bu araçlar ne yapıyor?

Bu araçları, proje klasöründe araştırma yapabilen yapay zekâ yardımcıları gibi düşünebilirsin. Dosyaları okuyabilir, ilgili kodları arayabilir ve izin verilen araçlarla ek kontroller yapabilirler.

Güvenlik ön kontrolünde istediğimiz şey, uygulamayı tanımaları ve şüpheli noktaları kanıtlarıyla raporlamalarıdır. Araçların dosya değiştirebilmesi, inceleme sırasında bunu yapmaları gerektiği anlamına gelmez.

Hangisini seçmelisin?

İlk kez böyle bir araç kullanıyorsan görsel editör üzerinden ilerlemek daha rahat gelebilir. Zaten kullandığın bir araç varsa sırf bu inceleme için diğerine geçmen şart değil.

Bu rehber; kaynak koda erişebilen geliştiriciler, proje sorumluları ve incelemeyi teknik destekle değerlendirecek kişiler için uygundur. Yalnızca site adresi olan veya otomatik bir güvenlik garantisi bekleyen kişiler için yeterli bir yöntem değildir.

Aracı açmadan önce projeni hazırla

1. Ayrı bir çalışma kopyası oluştur. Dosyaları canlı site klasöründe değiştirmek yerine, inceleme için ayrı bir kopya üzerinde çalış. Sürüm kontrolü kullanıyorsan mevcut durumu kaydet.
2. Gizli bilgileri ayıkla. Parolaları, erişim anahtarlarını ve gerçek kişisel verileri paylaşılacak kopyadan çıkar. Yapılandırma dosyalarının yapısını koruyup hassas değerleri açıkça işaretlenmiş temsili değerlerle değiştirebilirsin.
3. Doğru klasörü seç. Araca bütün bilgisayarını değil, incelenecek projenin klasörünü aç. İlgisiz projeleri ve veri yedeklerini çalışma alanına ekleme.
4. Ortam bilgilerini not et. Bildiğin teknoloji, sürüm, barındırma ortamı ve erişim yetkilerini hazırla. Bilmediğin alanları tahmin etme.
5. Paylaşım koşullarını kontrol et. Kodun sana ait olması veya paylaşma yetkinin bulunması gerekir. Aracın veri işleme koşullarını ve varsa kurumunun kurallarını incele.

Hazırlığın sonunda şu soruya cevap verebilmelisin: “Araca tam olarak hangi projeyi ve hangi sınırlar içinde inceletiyorum?”

Cursor ile güvenlik ön kontrolü

Cursor, proje dosyalarını editörde açıp Agent üzerinden inceleme yürütmene olanak tanır.

1. Cursor’ı kur ve hesabınla giriş yap. Kurulum ve kullanım koşulları için resmî belgeleri kullan.
2. İncelenecek proje klasörünü aç. Klasör açma seçeneğiyle hazırladığın çalışma kopyasını seç. Dosya ağacında doğru projenin göründüğünü kontrol et.
3. Agent sohbetini aç. Dosyalar üzerinde araştırma yapabilen Agent modunu seç. Bu modun dosya düzenleme ve terminal kullanma yetenekleri bulunduğunu unutma.
4. Ön inceleme komutunu paylaş. İlk yazıdaki tam komutu sohbete yapıştır. Araç önce teknoloji, ortam ve kapsam sorularını sormalı.
5. Soruları cevapla ve kapsamı kontrol et. Yalnızca kaynak kod incelemesiyle başlayacağını belirt. Ortam özetinde yanlış bilgi varsa düzelt.
6. İşlem isteklerini değerlendir. Dosya değişikliği, kurulum veya uygulama başlatma isteklerini otomatik kabul etme. İlk rapor için neden gerekli olduklarını sor.

Cursor Agent’ın dosya arama, düzenleme ve terminal yetenekleri hakkında ayrıntıları Agent belgelerinde bulabilirsin.

VS Code ve GitHub Copilot ile güvenlik ön kontrolü

VS Code kullanıyorsan Copilot üzerinden proje içinde inceleme yapabilirsin. Agent özelliğine erişim, hesabına ve kurum ayarlarına bağlı olabilir.

1. VS Code’da Copilot erişimini hazırla. Gerekli Copilot eklentilerini ve hesap girişini resmî yönergelerle tamamla.
2. Projenin çalışma kopyasını aç. Doğru klasörü seç. Editör çalışma alanına güvenip güvenmediğini sorarsa yalnızca kaynağını bildiğin dosyalar için karar ver.
3. Copilot Chat’i aç ve Agent modunu seç. Agent seçeneği görünmüyorsa sürümünü, hesap erişimini ve kurum ayarlarını kontrol et.
4. Tam ön inceleme komutunu gönder. İlk yazıdaki komutu paylaş ve soruları cevapla. İlk aşamada dosya değişikliği istemediğini açıkça belirt.
5. Önerilen işlemleri takip et. Agent dosya değişiklikleri ve terminal komutları önerebilir. İncelemenin kapsamını aşan işlemleri kabul etmeden önce açıklama iste.
6. Raporu kapsamıyla birlikte al. Hangi alanların incelendiğini ve hangi kontrollerin yapılmadığını rapora eklemesini iste.

Agent modunun çalışma biçimini GitHub belgelerinde inceleyebilirsin.

Claude Code ile güvenlik ön kontrolü

Claude Code’u terminal üzerinden kullanırken çalışma klasörünün doğru olması özellikle önemlidir. Araç incelemeye buradan başlayacaktır.

1. Resmî kurulum adımlarını izle. İşletim sistemine uygun kurulum ve hesap girişini Claude Code belgelerinden tamamla.
2. Terminali proje klasöründe aç. Hazırladığın çalışma kopyasının bulunduğu klasörde olduğundan emin ol.
3. Claude Code oturumunu başlat. Kurulum tamamlandıktan sonra terminalde claude komutuyla oturumu aç.
4. Ön inceleme komutunu paylaş. İlk yazıdaki tam komutu yapıştır. Teknoloji ve sunucu ortamıyla ilgili soruları cevapla.
5. İzinleri kontrollü kullan. İnceleme için tüm işlem izinlerini sınırsız açman gerekmez. Dosya değişikliği ve komut çalıştırma taleplerini kapsamlarına göre değerlendir.
6. İncelemenin sınırlarını raporlat. Erişilemeyen dosyaları, yapılmayan testleri ve doğrulama gerektiren bulguları açıkça belirtmesini iste.

WAMP, Docker veya başka bir kurulum gerekiyor mu?

Cevap, ne yapmak istediğine bağlı. Kodun okunması ile uygulamanın çalıştırılması farklı ihtiyaçlardır.

WAMP belirli bir yerel geliştirme ortamı sağlar; her teknoloji için kullanılmaz. Docker ise projede uygun bir yapılandırma varsa çalışma ortamını kurmaya yardımcı olabilir. İkisi de bu ön incelemenin zorunlu şartı değildir.

Araç, eksik kurulumlara yardımcı olabilir. Ancak bilgisayarında kodun bulunması, gerekli çalışma ortamının da hazır olduğu anlamına gelmez.

Örnek akış: Klasörden rapora

Kaynak kodu elinde olan bir proje sorumlusu olduğunu düşün. Uygulama çalışıyor, ancak bilgisayarında test ortamı henüz kurulu değil.

1. Projenin hassas bilgilerden arındırılmış kopyasını hazırlarsın.
2. Seçtiğin araçta bu klasörü açarsın.
3. Ön inceleme komutunu paylaşır, ortam sorularını cevaplarsın.
4. Çalışmayı kaynak kod incelemesiyle sınırlandırırsın.
5. Bulguları ve çalıştırılamayan kontrolleri ayrı listelerde alırsın.
6. Raporu geliştiricinle veya uygulama güvenliği uzmanıyla değerlendirirsin.

Böylece test ortamı kurmadan ilk araştırmayı yapmış olursun. Çalıştırılmayan kontroller tamamlanmış sayılmaz; sonraki incelemenin konusu olur.

Bu, kullanım biçimini açıklayan temsili bir senaryodur; gerçek bir güvenlik testi sonucu değildir.

Araç takılırsa ne yapabilirsin?

Dosyaları göremiyorsa

Doğru proje klasörünün açık olduğunu ve aracın dosyalara erişebildiğini kontrol et. Proje içeriğinin bir kısmı dışlanmış olabilir. Araçtan erişebildiği ve erişemediği alanları belirtmesini iste.

Sürekli kurulum istiyorsa

İlk aşamanın yalnızca kaynak kod incelemesi olduğunu hatırlat. Bir komutun gerekli olup olmadığını açıklamasını iste. Okuyarak incelenebilen alanlarla başlayabilir.

Projeyi tek seferde bitirdiğini söylüyorsa

Özellikle büyük projelerde hangi alanları gerçekten incelediğini sor. “Tamamını kontrol ettim” cümlesi, ayrıntılı kapsam kaydı olmadan yeterli değildir.

Kanıtsız bir rapor veriyorsa

Dosya konumlarını, ilgili kod parçalarını ve belirsizlikleri eklemesini iste. Bunun için şu kısa takip mesajını kullanabilirsin:

Üç yaygın yanlış anlama

• “Projeyi açtım, bütün dosyaları mutlaka incelemiştir.” Dosyalara erişim ile dosyaların gerçekten incelenmesi aynı şey değildir. Kapsam kaydı iste.
• “Agent kullanıyorum, tüm izinleri açmalıyım.” İnceleme için gerekli erişimlerle başlayabilirsin. Ek işlemler ihtiyaçlarına göre değerlendirilmelidir.
• “Üç araç aynı şeyi söylerse açık kesinleşmiştir.” Araçların aynı sonuca ulaşması yararlı bir işaret olabilir, ancak teknik doğrulamanın yerine geçmez.

Sık sorulan beş soru