Sızma testi (pentest) hizmetleri

Sızma testi (pentest ya da penetrasyon testi), sistemlerinizin bir saldırganın yöntemleriyle, ancak yazılı yetkiniz ve önceden belirlenen kurallar içinde sınanmasıdır. Amaç yalnızca zafiyetleri listelemek değil; bu zafiyetlerin gerçekten istismar edilip edilemeyeceğini ve bir saldırganın kurumunuzda ne kadar ilerleyebileceğini göstermektir. Bu sayfada sızma testinin neyi ortaya koyduğunu, hangi türlerinin bulunduğunu, ne zaman gerektiğini ve çalışmalarımızın nasıl ilerlediğini bulabilirsiniz.

Sızma testi neyi gösterir?

Zafiyet taraması, kapsamdaki sistemlerde bilinen zafiyetleri ve yapılandırma hatalarını geniş ölçekte tespit eder. Sızma testi bu bulguların bir adım ötesine geçer: belirli hedefler üzerinde, bir zafiyet istismar edildiğinde nelerin ele geçirilebileceğini ve birden fazla zayıflığın zincirlenerek nereye ulaşabileceğini derinlemesine sınar. Araçlar keşfi hızlandırır; ancak iş mantığı hataları, yetkilendirme açıkları ve zincirlenebilen zafiyetler çoğunlukla uzmanın manuel çalışmasıyla ortaya çıkar.

Test hizmetlerimizde, bir saldırganın bulgulardan ne kadar ileri gidebileceğini yazılı yetki ve belirlenen kurallar çerçevesinde elle sınarız. Tarama hizmetlerimizi ve iki yaklaşımın farkını zafiyet taraması sayfasında ayrıca anlatıyoruz.

Sızma testi türleri

Sızma testi, hedefe göre farklı biçimler alır. Test hizmetlerimiz T koduyla listelenir:

• Kırmızı takım testi (T/01): Tek bir sistem yerine dış yüzey, çalışanlar ve iç ağ birlikte ele alınır; gerçekçi bir saldırı senaryosu uçtan uca canlandırılır ve güvenlik ekibinizin saldırıyı fark edip durdurabildiği noktalar raporlanır.
• Dış ağ sızma testi (T/02): İnternetten erişilebilen IP adresleriniz ve servisleriniz kontrollü istismar denemeleriyle sınanır; bulguların zincirlenerek iç ağa erişim sağlayıp sağlamadığı değerlendirilir.
• İç ağ sızma testi (T/03): Kurum içindeki bir saldırganın ya da ele geçirilmiş bir cihazın neler yapabileceği; yetki yükseltme, yatay hareket ve Active Directory kaynaklı riskler üzerinden gösterilir.
• Web uygulama sızma testi (T/04): Web uygulamalarınız ve API’leriniz, farklı yetki seviyelerindeki kullanıcı profilleriyle ve ağırlıklı olarak manuel yöntemlerle, kara kutu ya da beyaz kutu yaklaşımıyla test edilir.
• Kablosuz ağ güvenlik testi (T/05): Kurumsal ve misafir ağlarınızda şifreleme, kimlik doğrulama ve misafir ağından kurumsal ağa geçiş olup olmadığı sınanır.
• Sosyal mühendislik testi (T/06): Çalışanlarınızın oltalama e-postalarına ve telefonla bilgi alma girişimlerine karşı farkındalığı kontrollü senaryolarla ölçülür; sonuçlar bireyleri hedef almadan raporlanır.
• DDoS testi (T/07): İnternete açık servislerinizin yoğun trafik altındaki dayanıklılığı ve koruma mekanizmalarınızın etkinliği, anlaşılan bir zaman penceresinde kontrollü olarak ölçülür.
• Mobil uygulama güvenlik testi (T/08): Android ve iOS uygulamalarınız, cihazda saklanan veriler ve konuştukları arka uç API’leriyle birlikte ele alınır.
• Kaynak kod analizi (T/09): Zafiyetler, uygulama yayına çıkmadan ve çalışan sisteme dokunmadan, otomatik statik analiz ve uzman incelemesiyle bulunur.
• Web yük testi (T/10): Web uygulamalarınızın ve API’lerinizin artan kullanıcı yükü altındaki davranışı gerçekçi senaryolarla ölçülür.
• API güvenlik testi (T/11): Arayüzden bağımsız olarak yalnızca API uç noktalarınız; kimlik doğrulama, yetkilendirme ve veri açığa çıkması açısından test edilir.

DDoS testi ve web yük testi, zafiyet istismarından çok servislerinizin yük altındaki davranışını ölçer; ikisi de yalnızca yazılı yetkinizle ve sizinle anlaşılan zaman penceresinde yapılır.

Sızma testi ne zaman gerekir?

Sızma testinin zamanlaması kurumdan kuruma değişir. Aşağıdaki durumlar genellikle iyi bir başlangıç noktasıdır:

• Yeni bir uygulama, servis ya da altyapı bileşeni yayına alınmadan önce.
• Mimaride, kimlik doğrulama akışlarında ya da ağ yapısında önemli bir değişiklik yapıldığında.
• Zafiyet taraması sonuçlarının gerçekte ne kadar risk taşıdığını görmek istediğinizde.
• Bir güvenlik olayının ardından, benzer bir yolun hâlâ açık olup olmadığını anlamak istediğinizde.
• Güvenlik ekibinizin tespit ve müdahale yeteneklerini gerçekçi bir senaryoyla sınamak istediğinizde.

Hangi durumda olursanız olun, testin kapsamı ve zamanlaması sizin önceliklerinize göre şekillenir.

Bir sızma testi çalışması nasıl ilerler?

Çalışmanın kuralları testten önce yazıya geçer. Neyin test edileceğini, hangi saatlerde çalışılacağını ve hangi sistemlere dokunulmayacağını sizinle birlikte kararlaştırırız; yazılı yetkiniz olmadan tek bir istismar denemesi bile yapılmaz.

Test sırasında önceliğimiz, üretim sistemlerinizin çalışmasını korumaktır. Uygun olduğunda üretimle aynı özelliklere sahip bir test ortamında çalışırız. Kesinti riski taşıyan bir adım ancak sizin onayınızla atılır ve çalışma boyunca ekibinizle doğrudan iletişimde kalırız.

Araçların ürettiği sonuçların hiçbiri incelenmeden rapora girmez. Gerçek olmayan sonuçlar ayıklanır, kalanların bir saldırgan tarafından kullanılıp kullanılamayacağı uzman gözüyle sınanır.

Raporda her bulgu, nasıl istismar edildiğini gösteren adımlar ve örnek istek ile yanıtlarla birlikte yer alır. Bir bulgunun önemi yalnızca teknik puana bakılarak belirlenmez: CVSS temel puanının yanında, etkilenen varlığın işiniz için taşıdığı değer ve dışarıdan ne kadar erişilebilir olduğu da hesaba katılır. Web ve mobil uygulama testlerinde her bulgu, ilgili OWASP kategorisi ve CWE numarasıyla eşleştirilir.

Rapor teslim edildikten sonra düzeltmelerin sırasını teknik ekiplerinizle birlikte planlarız. Rapor formatının ve yeniden testin ayrıntılarını aşağıdaki sık sorulan sorularda bulabilirsiniz.

Fiyatlandırma nasıl belirlenir?

Sızma testinin fiyatı kapsama göre belirlenir; aynı hizmet iki kurumda çok farklı iş yükü taşıyabilir. Fiyatı etkileyen başlıca etkenler: test edilecek hedeflerin sayısı ve türü (dış ağ, iç ağ, web uygulama, mobil uygulama, kablosuz ağ), testin derinliği, ortamın karmaşıklığı (kullanıcı rolleri, entegrasyonlar) ve raporlama ile sunum beklentisi. Kapsamı ilk görüşmede birlikte belirleriz; ilk ön görüşmemiz ücretsizdir ve teklif kapsama göre hazırlanır.

Hangi testi seçmelisiniz?

Doğru test, cevabını aradığınız sorudan başlar:

• “İnternetten bize neler yapılabilir?” sorusu için dış ağ sızma testi.
• “İçeri giren biri ne kadar ilerleyebilir?” sorusu için iç ağ sızma testi.
• “Kullanıcılarımız birbirinin verisine ya da yetkisi olmayan işlemlere erişebilir mi?” sorusu için web uygulama, mobil uygulama ya da API güvenlik testi.
• “Çalışanlarımız bir oltalama girişimini fark eder mi?” sorusu için sosyal mühendislik testi.
• “Gerçek bir saldırıyı fark edip durdurabilir miyiz?” sorusu için kırmızı takım testi.

Birçok durumda tek bir test yerine bir birleşim daha anlamlı olabilir; örneğin dış ağ testinin ardından iç ağ testi yapmak ya da düzenli zafiyet taramalarını sızma testleriyle tamamlamak. Hangi testin ya da hangi birleşimin ihtiyacınıza uygun olduğunu kapsam görüşmesinde birlikte değerlendiririz.

Kapsamı birlikte belirlemek için güvenlik testi talebinizi iletin. İlk ön görüşmemiz ücretsizdir.