Sızma Testi ve Zafiyet Analizi
Sistemlerinizi saldırganın yöntemleriyle deniyoruz. Elinize gelen şey bir uyarı listesi değil; hangi açığın gerçekten istismar edilebildiğini kanıtıyla gösteren bir rapor.
Teklif alınBulgu, kanıtıyla birlikte raporlanır.
Her satır gerçek bir bulgu örneğidir; ad ve ayrıntılar temsilidir.
Kimlik doğrulaması atlanabiliyor
Yetkisiz kullanıcı başka kaydı görüntüleyebiliyor
Dosya yükleme alanı tür denetimi yapmıyor
Oturum çerezi güvenli işaretlenmemiş
Sürüm bilgisi dışarıya sızıyor
Nasıl test ediyoruz?
Kapsam ve izin
Neyin test edileceği, ne zaman ve hangi sınırlarla — hepsi başlamadan önce yazılı olarak kararlaştırılır.
Keşif
Dışarıdan görünen yüzeyiniz çıkarılır: hangi servisler açık, hangi alan adları unutulmuş, neler internete bakıyor.
İstismar denemesi
Bulunan zayıflık gerçekten kullanılabiliyor mu, denenir. Teorik uyarıyla kanıtlanmış bulgu ayrılır.
Yetki yükseltme
İçeri girildiğinde nereye kadar gidilebildiği denenir; bir kullanıcının nereye erişebildiği görülür.
Önceliklendirilmiş rapor
Bulgular etkisine göre sıralanır. Önce neyin kapatılması gerektiği tartışma konusu olmaz.
Doğrulama testi
Düzeltmeler yapıldıktan sonra aynı bulgular yeniden denenir; kapandığı doğrulanmadan iş bitmiş sayılmaz.
Elinize ne geçiyor
Bulgu raporu
Her bulgu etkisine göre sıralanmış; nasıl tekrar edileceği ve nasıl kapatılacağı yazılı.
Kanıt kayıtları
İstismar edilebilen açıklar için adım adım kanıt; teorik uyarıyla doğrulanmış bulgu ayrılır.
Yönetim özeti
Teknik rapora ek olarak, karar verecek kişinin okuyabileceği kısa bir durum özeti.
Doğrulama testi
Düzeltmeler yapıldıktan sonra aynı bulgular yeniden denenir; kapandığı doğrulanır.
Testi düzenli hale getiren yükümlülükler
7545 sayılı Siber Güvenlik Kanunu
19 Mart 2025'te yürürlüğe girdi ve denetime tabi bir yükümlülük rejimi kurdu. Kurumların güvenlik durumunu belgeleyebilmesi, denetim anında elde güncel bir rapor bulunması anlamına geliyor.
ISO/IEC 27001 ve sektörel denetimler
Bilgi güvenliği yönetim sistemi kuran veya sektörel denetime tabi olan kurumlardan, güvenlik testlerinin düzenli aralıklarla tekrarlandığının kanıtı isteniyor. Kamu kurumları için ilgili rehber bu testlerin en az yılda bir yapılmasını öngörüyor.
Doğrulama testi olmadan iş bitmez
Kapatıldığı bildirilen bulguların yeniden test edildiğinde kabaca üçte biri eksik yamalanmış çıkıyor. Bu yüzden doğrulama testi teslimin ayrı bir kalemi, iyi niyetli bir eklenti değil.
Test, kapsamı ve süresi yazılı olarak kararlaştırılan bir çalışmadır. Kapsam dışı hiçbir sisteme dokunulmaz; izin metni imzalanmadan hiçbir deneme başlamaz.
Buradaki başlıklar bilgilendirme amaçlıdır. Kurumunuz için bağlayıcı olan yükümlülükler tabi olduğunuz mevzuata ve faaliyet alanınıza göre değişir.
Sık sorulanlar
Sızma testi ile zafiyet taraması arasındaki fark nedir?
PCI DSS v4.x standardında bu ikisi ayrı ve bağımsız yükümlülük olarak tanımlanır: 11.3 maddesi otomatik taramayı, 11.4 maddesi ise sızma testini kapsar. Otomatik tarama bilinen zayıflıkları listeler; sızma testi ise bulunan zafiyetleri gerçekten istismar ederek zincirler ve tarayıcıların yakalayamadığı mantık ile erişim kontrolü hatalarını ortaya çıkarır.
Sızma testi yaptırmak ne sıklıkla ve hangi mevzuata göre gerekir?
ISO/IEC 27001 kuran veya kart verisi işleyen kurumlarda düzenli test, denetimde istenen bir kanıttır; yaygın uygulama en az yılda bir kapsamlı test ve önemli sistem değişikliklerinden sonra ek testtir. Kamu kurumlarında ayrıca Dijital Dönüşüm Ofisi'nin Bilgi ve İletişim Güvenliği Rehberi yıllık sızma testi öngörür ve 7545 sayılı Siber Güvenlik Kanunu (19 Mart 2025) denetime tabi bir yükümlülük rejimi kurmuştur.
Sızma testi için yazılı izin veya sözleşme gerekli mi?
Evet; testin hangi sistemleri, hangi yöntemlerle ve hangi saatlerde kapsayacağı önceden yazılı olarak belirlenir, bu adım PTES metodolojisinin ilk aşaması olan ön etkileşimlere karşılık gelir. Yazılı yetkilendirme aynı zamanda hukuki bir sınır çizer, çünkü sızma testi ile yetkisiz erişim arasındaki fark büyük ölçüde bu izne dayanır.
Sızma testinde bulunan açıklar kapatıldıktan sonra tekrar test yapılır mı?
Evet, doğrulama testi bulgunun gerçekten kapatıldığını yeniden test ederek teyit eder; sektör deneyimine göre düzeltildi denen bulguların kabaca üçte biri aynı yöntemle yeniden test edildiğinde eksik yamalanmış çıkabiliyor.
Sistemleriniz en son ne zaman test edildi?
Hangi sistemlerin test edilmesini istediğinizi anlatın; kapsamı, yöntemi ve takvimi yazılı olarak çıkaralım.