Sızma Testi (Pentest) Hizmeti

Sızma testi (pentest), yetkili bir güvenlik ekibinin, önceden yazılı olarak belirlenmiş kapsam ve kurallar çerçevesinde, gerçek bir saldırganın kullanacağı teknikleri uygulayarak sistemlerinizdeki güvenlik açıklarını bulması, bu açıkların gerçekten istismar edilip edilemeyeceğini kanıtlaması ve sonuçları çözüm önerileriyle raporlamasıdır. Otomatik bir taramadan farkı, bulguların bir insan tarafından doğrulanması, birbirine zincirlenerek gerçek etkinin gösterilmesi ve iş mantığı hatalarının da aranmasıdır. Racoun’un teknoloji birimi Pedante Bilişim, sızma testlerini Racurity markasıyla, uzman çözüm ortaklarımızın deneyimini tek muhatap üzerinden sunarak yürütür.

Kimler için?

Sızma testi yalnızca bankalar ya da büyük holdingler için değildir. İnternete açık bir uygulaması, müşteri verisi tuttuğu bir sistemi veya birden fazla lokasyona yayılmış bir ağı olan her kurum, ne kadar korunduğunu varsayım yerine kanıtla bilmek ister. Özellikle şu durumlarda test talebiyle sık karşılaşıyoruz:

Yeni bir web uygulaması, müşteri portalı, e-ticaret sitesi veya mobil uygulama yayına alınmadan önce
Büyük bir altyapı değişikliği, bulut geçişi ya da yeni bir şube ağı devreye girdikten sonra
ISO/IEC 27001, KVKK veya BDDK/SPK gibi düzenleyici beklentiler kapsamında periyodik güvenlik doğrulaması gerektiğinde
Kurumsal müşterileri tedarikçi güvenlik anketlerinde test raporu istediğinde
Bir güvenlik olayının ardından benzer bir zafiyetin başka yerde kalıp kalmadığını görmek istendiğinde

Neden önemli? Test edilmeyen sistemin riskleri

Saldırganlar sizin varsaydığınız güvenlik seviyesine göre değil, gerçekte var olan açıklara göre hareket eder. Unutulmuş bir test sunucusu, varsayılan şifresi değiştirilmemiş bir yönetim paneli, yetki kontrolü eksik bir API ucu ya da iç ağda yayılmayı kolaylaştıran eski bir protokol, tek başına küçük görünse de birleştiğinde ciddi bir veri ihlaline dönüşebilir. Bu tür zincirler çoğu zaman yalnızca bir insanın düşünerek yaptığı test sırasında ortaya çıkar. Sızma testi; açıkları istismar edilmeden önce görmenizi, bütçenizi en kritik risklere yönlendirmenizi ve yönetime, denetçiye ya da müşterinize somut bir güvenlik kanıtı sunmanızı sağlar.

Test türleri ve kapsam

Web uygulama ve API sızma testi

Kurumsal site, müşteri paneli, e-ticaret altyapısı ve REST/GraphQL API’ler OWASP Top 10 ve OWASP ASVS gibi kabul görmüş çerçeveler referans alınarak test edilir. Enjeksiyon açıkları, kimlik doğrulama ve oturum yönetimi zayıflıkları, yetki atlatma (IDOR), hatalı yapılandırmalar, dosya yükleme açıkları ve iş mantığı hataları, örneğin bir indirim kodunun tekrar tekrar kullanılabilmesi, aranır.

Mobil uygulama sızma testi

iOS ve Android uygulamalarında OWASP MASVS yaklaşımıyla cihazda güvensiz veri saklama, sertifika sabitleme (certificate pinning) eksikliği, uygulama içine gömülü anahtarlar, tersine mühendisliğe karşı koruma ve uygulamanın konuştuğu arka uç API’lerin güvenliği incelenir.

Dış ağ sızma testi

İnternetten görünen IP adresleri, alan adları, VPN geçitleri, e-posta sunucuları ve uzaktan erişim servisleri, dışarıdaki bir saldırganın bakış açısıyla keşfedilir ve test edilir. Amaç, kurum dışından iç ağa veya hassas veriye ulaşılabilecek bir yol olup olmadığını görmektir.

İç ağ sızma testi

Kötü amaçlı yazılım bulaşmış bir çalışan bilgisayarı veya ağa fiziksel olarak bağlanmış bir ziyaretçi senaryosuyla, iç ağda yetki yükseltme ve yanal hareket imkânları araştırılır. Active Directory yapılandırması, parola politikaları, paylaşılan klasörler, segmentasyonun gerçekten çalışıp çalışmadığı ve kritik sunuculara ulaşma yolları değerlendirilir. Bu test, ağ altyapısındaki VLAN ve güvenlik duvarı kurallarının pratikte ne kadar etkili olduğunu da gösterir.

Kablosuz ağ ve sosyal mühendislik testleri

Talep edilirse kurumsal ve misafir Wi-Fi ağlarının ayrımı, kimlik doğrulama yöntemleri ve sahte erişim noktası senaryoları test edilir. Kontrollü oltalama (phishing) simülasyonları ise teknik önlemlerin yanında çalışan farkındalığını ölçer; bu çalışma e-posta güvenliği önlemleriyle birlikte ele alındığında daha anlamlı sonuç verir.

Black box, grey box, white box: hangisi size uygun?

Black box testte ekibe hedef dışında bilgi verilmez; dışarıdaki bir saldırganın gerçekçi görünümünü verir ama sınırlı sürede yüzeyin bir kısmı keşfe harcanır. Grey box testte ekibe örneğin standart bir kullanıcı hesabı ve temel mimari bilgisi verilir; oturum açmış bir müşterinin veya içerideki birinin neler yapabileceği görülür ve çoğu kurum için en verimli dengedir. White box testte kaynak kod, mimari dokümanlar ve yönetici erişimleri paylaşılır; derinlik en yüksektir ve özellikle kritik uygulamalarda tercih edilir. Kapsam görüşmesinde hedefinize göre doğru yaklaşımı birlikte belirliyoruz.

Süreç: üretimi etkilemeden test

Kapsam ve kurallar: Test edilecek IP adresleri, alan adları ve uygulamalar, hariç tutulacak sistemler, test yaklaşımı, iletişim kişileri ve acil durdurma prosedürü yazılı olarak netleştirilir; yetkilendirme belgesi imzalanır.
Zamanlama: Kritik sistemlerde testler yoğun saatlerin dışına planlanır, hizmet kesintisi yaratabilecek testler önceden onaya bağlanır. Gerekirse önce test ortamında çalışılır.
Keşif ve tarama: Hedef yüzeyi haritalanır, servisler ve sürümler belirlenir; otomatik araç çıktıları elle doğrulanır.
İstismar ve doğrulama: Bulguların gerçekten kullanılabilir olup olmadığı kontrollü biçimde kanıtlanır; veriye zarar vermeyen yöntemler seçilir.
Raporlama: Yönetici özeti, CVSS gibi standart puanlamalarla desteklenen risk derecelendirmesi, adım adım tekrar üretim bilgisi ve her bulgu için somut çözüm önerisi içeren rapor sunulur; sonuçlar teknik ekibinizle birlikte toplantıda değerlendirilir.
Tekrar test: Açıklar kapatıldıktan sonra ilgili bulgular yeniden test edilir ve durumları raporda güncellenir.

Sızma testi ile zafiyet taraması arasındaki fark

Güvenlik açığı taraması, bilinen zafiyet imzalarını otomatik araçlarla geniş bir yüzeyde arar; hızlıdır, sık tekrarlanabilir ve sürekli hijyen için idealdir. Ancak yanlış pozitifler içerir ve iş mantığı hatalarını göremez. Sızma testi ise daha dar ama çok daha derin bir çalışmadır; bulguları doğrular, zincirler ve gerçek etkiyi gösterir. Sağlıklı bir programda ikisi birbirinin yerine değil, birlikte kullanılır: düzenli tarama ile yeni açıklar hızla yakalanır, periyodik sızma testiyle savunmanın gerçekten işe yarayıp yaramadığı ölçülür.

Racurity ile farkı

Bir rapor teslim edip çekilmek yerine bulguların kapanmasına kadar yanınızdayız. Pedante Bilişim çatısı altında ağ, sunucu, bulut ve yazılım ekipleri aynı yerde çalıştığı için rapordaki önerileri uygulamaya da destek verebiliyoruz: güvenlik duvarı kuralı düzeltmesi, uygulama kodunda giriş doğrulaması, kimlik ve erişim yönetimi ya da uç nokta güvenliği iyileştirmesi aynı muhatapla ilerler. Test sırasında görülen saldırı izlerinin izleme sisteminize düşüp düşmediğini kontrol ederek SIEM ve SOC tarafındaki tespit boşluklarını da raporlayabiliyoruz. Web sitelerini ve mobil uygulamaları kendi altyapımızda geliştiren bir ekip olduğumuz için geliştirme süreçlerine güvenlik testini yerleştirmenin pratik yollarını da biliyoruz.

Sık yapılan hatalar

Otomatik tarama raporunu sızma testi sanmak: Araç çıktısı tek başına gerçek riski göstermez.
Kapsamı fazla daraltmak: Yalnızca ana siteyi test edip API’yi, yönetim panelini veya test sunucusunu dışarıda bırakmak en zayıf halkayı görmezden gelmek demektir.
Raporu rafa kaldırmak: Bulgular sahiplendirilmez ve takvimlenmezse aynı açıklar bir sonraki testte yeniden çıkar.
Tekrar test yapmamak: Düzeltmenin gerçekten işe yaradığı doğrulanmadan açık kapanmış sayılmamalıdır.
Yılda bir test yeterli sanmak: Büyük değişikliklerden sonra ve yeni sürümlerde ek test planlamak gerekir.

İlgili hizmetler

Sızma testi, daha geniş bir güvenlik programının ölçüm aracıdır. Tüm katmanları görmek için siber güvenlik hizmetleri sayfamıza, web uygulamalarınızı sürekli korumak için web sitesi güvenliği ve WAF hizmetimize, standart gereklilikleri için ISO 27001 danışmanlığı ve KVKK uyum danışmanlığı sayfalarımıza göz atabilirsiniz. Tüm bilişim hizmetlerimizin özeti siber güvenlik başlığında yer alıyor. Test kapsamını birlikte netleştirmek için ücretsiz bir ön görüşme planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

Sızma testi sistemlerimizi çökertir mi?

Testler kapsam ve zamanlama netleştirilerek, üretimi etkilemeyecek şekilde planlanır. Hizmet kesintisi riski taşıyan testler ancak sizin onayınızla ve uygun bir zaman diliminde yapılır; gerekirse önce test ortamında çalışılır. Acil durumlar için bir durdurma prosedürü baştan tanımlanır.

Black box mı grey box mı tercih etmeliyiz?

Gerçekçi bir dış saldırgan görünümü istiyorsanız black box, sınırlı sürede en fazla bulguyu ve oturum açmış kullanıcı risklerini görmek istiyorsanız grey box daha verimlidir. Kritik uygulamalarda kaynak koduna erişimli white box test en derin sonucu verir.

Test ne kadar sürer?

Süre; test edilecek uygulama, IP adresi ve kullanıcı rolü sayısına ve seçilen yaklaşıma göre değişir. Kapsam görüşmesinden sonra size net bir çalışma planı ve takvim sunuyoruz.

Raporda neler yer alır?

Yönetim için anlaşılır bir özet, her bulgu için risk derecesi, etkilenen sistem, bulgunun nasıl tekrar üretileceği, kanıtlar ve somut çözüm önerisi yer alır. Rapor, teknik ekibinizle yapılan bir değerlendirme toplantısıyla birlikte teslim edilir.

Açıkları kapattıktan sonra ne oluyor?

Düzeltmeler tamamlandığında ilgili bulguları tekrar test ediyoruz ve raporda durumlarını güncelliyoruz. İsterseniz düzeltmelerin uygulanmasında ağ, sunucu ve yazılım ekiplerimizle de destek veriyoruz.

Sızma testi KVKK veya ISO 27001 için zorunlu mu?

Mevzuat ve standartlar genellikle teknik tedbirlerin uygulanmasını ve etkinliğinin düzenli olarak değerlendirilmesini bekler; sızma testi bu değerlendirmenin yaygın ve güçlü bir yoludur. Kurumunuz için zorunluluk düzeyini sektörel düzenlemelere göre hukuk ve uyum danışmanlarınızla birlikte değerlendirmenizi öneriyoruz; biz uyum sürecinizi teknik tarafta destekliyoruz.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.