Penetrasyon testi (sızma testi), kurumunuzun ağ, sunucu, web uygulaması ve kullanıcılarına yazılı izinle, gerçek bir saldırganın yöntemleriyle yapılan kontrollü güvenlik denetimidir. Oner Business Teknolojileri olarak testlerimizi CEH ve OSCP sertifikalı etik hacker'larımızla yürütüyor, testi yalnızca bir rapor teslimi olarak görmüyoruz; bulguları risk derecesine göre önceliklendiriyor, açıkların kapatılmasına destek veriyor ve ücretsiz doğrulama testi (re-test) ile sonucu teyit ediyoruz.
Sızma Testi Nedir, Zafiyet Taramasından Farkı Ne?
Zafiyet taraması otomatik araçlarla bilinen açıkları listeler; sızma testi ise bu açıkları uzman gözüyle doğrular, birbirine zincirler ve saldırganın gerçekte nereye kadar ulaşabileceğini kanıtlar. Tarama "hangi kapılar açık olabilir?" sorusunu, sızma testi "bu kapılardan geçerek kritik veriye ulaşılabilir mi?" sorusunu yanıtlar.
Otomatik tarayıcılar eksik güncellemeleri ve yanlış yapılandırmaları hızla bulur; ancak iş mantığı hatalarını, yetki atlatmayı veya düşük riskli görünen üç bulgunun birleşince yönetici yetkisine dönüşmesini göremez. Bu nedenle olgun bir güvenlik programında düzenli tarama ile periyodik sızma testi birbirini tamamlar. Aşağıdaki tablo üç yaklaşımı karşılaştırır.
| Özellik | Zafiyet Taraması | Sızma Testi | Kırmızı Takım |
|---|---|---|---|
| Yöntem | Otomatik araç | Uzman + araç, manuel doğrulama | Uzun soluklu senaryo tabanlı saldırı |
| Amaç | Bilinen açıkları listelemek | Açıkların istismar edilebilirliğini kanıtlamak | Tespit ve müdahale kabiliyetini ölçmek |
| Derinlik | Yüzeysel, geniş | Derin, tanımlı kapsam | Hedef odaklı, gizli |
| Önerilen sıklık | Aylık veya sürekli | Yılda en az bir, büyük değişikliklerden sonra | Olgun güvenlik ekibi olan kurumlarda |
| Çıktı | Otomatik bulgu listesi | Kanıtlı, önceliklendirilmiş rapor | Senaryo raporu ve savunma değerlendirmesi |
Hangi Sızma Testi Türleri Var?
Sızma testleri hedefe göre ayrılır: internete açık sistemler için dış ağ testi, içeri sızmış bir saldırganı ya da kötü niyetli çalışanı taklit eden iç ağ testi, web ve mobil uygulama ile API testleri, kablosuz ağ testi ve çalışanların farkındalığını ölçen sosyal mühendislik testleri.
- Dış ağ sızma testi: Güvenlik duvarı, VPN, e-posta ve internete açık tüm servisler.
- İç ağ sızma testi: Active Directory, dosya sunucuları, yetki yükseltme ve yanal hareket.
- Web uygulama testi: OWASP Top 10 başta olmak üzere enjeksiyon, oturum ve yetkilendirme hataları.
- API ve mobil testler: Kimlik doğrulama, veri sızıntısı ve istemci tarafı güvenlik kontrolleri.
- Kablosuz ağ testi: Misafir ve kurumsal Wi-Fi ayrımı, şifreleme ve sahte erişim noktası riskleri.
- Sosyal mühendislik: Kontrollü oltalama (phishing) kampanyaları ile farkındalık ölçümü.
Sızma Testi Süreci Nasıl İşler?
Süreç; kapsamın ve kuralların yazılı olarak belirlenmesiyle başlar, bilgi toplama, zafiyet analizi ve kontrollü istismar aşamalarıyla devam eder. Ardından bulgular raporlanır, sonuç toplantısında iyileştirme adımları önceliklendirilir ve açıklar kapatıldıktan sonra doğrulama testiyle düzeltmelerin gerçekten etkili olduğu teyit edilir. Her aşamada irtibat kişinizle sürekli iletişimde kalınır.
- Kapsam ve yetkilendirme: Hedefler, test saatleri, kısıtlar ve irtibat kişileri yazılı hâle getirilir.
- Bilgi toplama: Açık kaynaklardan ve hedef sistemlerden saldırı yüzeyi çıkarılır.
- Zafiyet analizi: Otomatik ve manuel yöntemlerle potansiyel açıklar belirlenir.
- Kontrollü istismar: Açıkların gerçekten kullanılabilir olup olmadığı zarar vermeden kanıtlanır.
- Raporlama: Bulgular risk derecesi, kanıt ve çözüm önerisiyle belgelenir.
- Ücretsiz doğrulama testi (re-test): İyileştirmelerin ardından ilgili bulgular ek ücret alınmadan yeniden test edilir ve temiz rapor teslim edilir.
Testlerimizi CEH (Certified Ethical Hacker) ve OSCP (Offensive Security Certified Professional) sertifikalı etik hacker'larımız gerçekleştirir ve OWASP Web Güvenliği Test Rehberi (WSTG), PTES ve NIST SP 800-115 gibi kamuya açık yöntemleri referans alır. Bu, testin kişiye bağlı değil, tekrarlanabilir ve denetlenebilir bir metodolojiyle yapılmasını sağlar. İç ağ testlerinde kullanıcı bilgisayarlarından başlayarak etki alanı yöneticisi yetkisine ulaşılıp ulaşılamadığını, dış ağ testlerinde ise internete açık servislerden iç ağa geçiş yolu olup olmadığını özellikle inceliyoruz. Testler, iş saatleriniz ve kritik süreçleriniz dikkate alınarak planlanır.
Sızma Testi Raporunda Neler Bulunur?
İyi bir sızma testi raporu iki okuyucuya hitap eder. Yönetici özeti, genel risk seviyesini ve öncelikli aksiyonları teknik olmayan bir dille anlatır. Teknik bölüm ise her bulgu için risk derecesini, etkilenen sistemi, adım adım kanıtı ve uygulanabilir çözüm önerisini içerir.
Bulguları kritik, yüksek, orta, düşük ve bilgi seviyelerinde sınıflandırıyor, mümkün olduğunda CVSS puanıyla destekliyoruz. Ancak puan tek başına yeterli değildir; internete açık bir sunucudaki orta seviyeli bir açık, iç ağdaki yüksek seviyeli bir açıktan daha acil olabilir. Bu yüzden önceliklendirmeyi işletmenizin bağlamına göre yapıyoruz. Raporlar gizli belge olarak teslim edilir, test sırasında elde edilen veriler yalnızca kanıt amacıyla ve sınırlı süre saklanır.
Testten Sonra: Açıklar Nasıl Kapatılır?
Sızma testinin değeri, bulguların kapatılmasıyla ortaya çıkar. Sistem entegratörü olarak raporu teslim etmekle kalmıyor; güncelleme yönetimi, güvenlik duvarı kuralları, uç nokta koruması, parola ve yetki politikaları gibi düzeltmelerin uygulanmasında da ekibinizle birlikte çalışıyor, ardından ücretsiz doğrulama testi (re-test) yapıp temiz raporunuzu teslim ediyoruz. Böylece rapor bir çekmecede kalmaz, somut risk azaltımına dönüşür.
Sık karşılaştığımız bulgular; güncellenmemiş internete açık servisler, çok faktörlü doğrulama olmayan uzaktan erişim, aşırı yetkili kullanıcı hesapları, düz ağ yapısı ve zayıf parola politikalarıdır. Bu açıkların kapatılmasında Fortinet güvenlik duvarları ile ağ segmentasyonu, Trend Micro ile uç nokta koruması ve düzenli yama yönetimi kullanıyoruz. Fidye yazılımına karşı alınabilecek önlemleri ransomware engelleme rehberimizde ayrıntılı anlattık.
Sızma Testi Ne Sıklıkla Yaptırılmalı?
Kritik sistemler için en az yılda bir kez sızma testi yapılması genel kabul gören yaklaşımdır. Yeni bir uygulama yayına alındığında, ağ mimarisi değiştiğinde veya bir güvenlik olayı yaşandığında test tekrarlanmalıdır. Kişisel verileri koruma yükümlülüğü ve sektörel düzenlemeler de düzenli güvenlik testini gerekli kılabilir.
Sızma testi, sürekli bir güvenlik programının parçası olduğunda en yüksek faydayı sağlar. Testler arasında düzenli zafiyet taraması, log izleme ve farkındalık eğitimleriyle güvenlik seviyesini koruyoruz. Bu bütüncül yaklaşım hakkında daha fazla bilgi için siber güvenlik hizmetlerimizi inceleyebilir, kapsam görüşmesi için iletişim sayfamızdan bize ulaşabilirsiniz.
Sık Sorulan Sorular
Penetrasyon testi, diğer adıyla sızma testi, kurumun ağ, sunucu, web uygulaması ve kullanıcılarına yazılı izinle, gerçek bir saldırganın yöntemleri kullanılarak yapılan kontrollü güvenlik denetimidir. Oner Business Teknolojileri'nde testleri CEH ve OSCP sertifikalı etik hacker'larımız yürütür. Amaç, yalnızca açıkları listelemek değil, bu açıkların birleştirildiğinde nereye kadar erişim sağladığını kanıtlamaktır. Test sonunda bulgular risk derecesi, kanıtı ve uygulanabilir çözüm önerisiyle birlikte raporlanır ve sonuç toplantısında ekibinizle değerlendirilir.
Zafiyet taraması, otomatik araçlarla sistemlerdeki bilinen açıkları ve eksik güncellemeleri listeler; hızlıdır ve sık tekrarlanabilir, ancak yanlış pozitif içerebilir. Sızma testi ise bu bulguları uzman gözüyle doğrular, iş mantığı hatalarını arar ve açıkların zincirlenerek kritik verilere ulaşılıp ulaşılamadığını gösterir. İyi bir güvenlik programında düzenli tarama ve periyodik sızma testi birlikte kullanılır.
Süre, kapsamın büyüklüğüne göre değişir. Birkaç dış IP adresi ve tek bir web uygulamasını içeren bir test genellikle birkaç iş gününde tamamlanırken, iç ağ, çok sayıda uygulama ve sosyal mühendislik içeren kapsamlı projeler birkaç haftaya uzayabilir. Raporlama ve sonuç toplantısı bu sürenin sonunda yapılır. Kesin takvim, kapsam görüşmesinin ardından teklifle birlikte paylaşılır.
Test, önceden imzalanan kapsam ve kurallar çerçevesinde, üretim sistemlerini riske atmayacak şekilde yürütülür. Servis kesintisine yol açabilecek yük testleri veya yıkıcı denemeler yalnızca açık onayla ve uygun zaman diliminde yapılır. Kritik sistemler için bakım penceresi belirlenir ve test boyunca sizin tarafınızdaki bir irtibat kişisiyle sürekli iletişimde kalınır; beklenmedik bir durumda test anında durdurulur.
Maliyet; test edilecek IP adresi ve uygulama sayısına, web uygulamasındaki rol ve fonksiyon yoğunluğuna, iç ağ testinin dahil olup olmadığına ve test yaklaşımına (kara, gri veya beyaz kutu) göre belirlenir. Hazır paket fiyatı yerine, kısa bir kapsam görüşmesi sonrası ihtiyacınıza göre teklif hazırlarız. Açıklar kapatıldıktan sonra yapılan doğrulama testi (re-test) ise ücretsizdir; bu nedenle teklife ayrıca eklenmez.
Genel kabul gören yaklaşım, kritik sistemler için en az yılda bir kez sızma testi yapılmasıdır. Buna ek olarak yeni bir web uygulaması yayına alındığında, ağ mimarisi veya güvenlik duvarı büyük ölçüde değiştiğinde ya da bir güvenlik olayı yaşandığında test tekrarlanmalıdır. Kart verisi işleyen şirketler gibi bazı sektörlerde periyodik testi ilgili standartlar veya düzenlemeler de zorunlu tutabilir.
Kara kutu testte test ekibine hedef dışında bilgi verilmez; dışarıdan bir saldırganın bakış açısı taklit edilir. Gri kutu testte kullanıcı hesabı veya temel mimari bilgisi paylaşılır; bu, sınırlı sürede en fazla bulguyu elde etmek için en yaygın tercih edilen yaklaşımdır. Beyaz kutu testte ise kaynak kod, yapılandırma ve ayrıntılı dokümantasyon paylaşılarak en derin inceleme yapılır.
Oner Business Teknolojileri'nde sızma testlerini CEH ve OSCP sertifikalı etik hacker'larımız yürütür; bulguların kapatılmasında ise Fortinet ve Trend Micro sertifikalı mühendislerimiz destek verir. Rapor teslim edildikten sonra firmanıza açıkları kapatmanız için süre tanınır. Bu sürenin sonunda düzeltmelerin gerçekten etkili olup olmadığını görmek için doğrulama testi (re-test) yapılır; bu test ücretsizdir ve sonunda temiz raporunuz teslim edilir.