01Sorun ve çözüm
Han Dijit olarak testi yazılı izin ve sizinle onayladığımız kapsam içinde yürütüyoruz. Bir saldırganın izleyeceği adımları izin verdiğiniz sınırlar içinde sırayla deniyor, bulduklarımızı iş etkisine göre sıralıyor ve ekibinizin kapatabileceği net bir düzeltme listesi çıkarıyoruz. Pentest ya da penetrasyon testi olarak da anılan bu çalışma, web uygulaması, API, mobil uygulama ve ağ için farklı yöntemler gerektirir.
02Kimler için
Sızma testi hizmeti kimler için gerekli
Aşağıdakilerden biri sizi tarif ediyorsa test planlamanın zamanıdır.
- Yeni bir sistemi ya da büyük bir sürümü canlıya almadan önce dışarıdan bir göz isteyen ekipler
- Barındırma, mimari veya ağ yapısını değiştirmiş ve yeni durumun güvenliğini görmek isteyen işletmeler
- Müşterisi, iş ortağı ya da ihale şartnamesi bağımsız güvenlik testi raporu isteyen firmalar
- Kişisel veri veya ödeme bilgisi işlediği için kontrollerini belgelemek isteyen kurumlar
03İhtiyaçlar
Bir sızma testinin ortaya çıkardığı riskler
Otomatik araçlar açıkları tek tek sayar; test ise bunların birleşince ne anlama geldiğini gösterir.
- 01
Zincirleme açıklar
Tek başına düşük görünen üç bulgu art arda kullanıldığında yönetici hesabına varabilir. Test, gerçek etkiyi bu bağlantıları kurarak ölçer.
- 02
Yetki ve erişim hataları
Bir kullanıcının başkasının verisini görebilmesi gibi hatalar gerçek hayatta en çok zarar verenlerdir ve elle denenmeden çoğunlukla fark edilmez.
- 03
Yanlış yapılandırma
Açık kalan servisler, varsayılan parolalar, eski sürümler ve terk edilmiş test ortamları saldırganın ilk baktığı yerlerdir.
- 04
Savunmanın gerçek durumu
Güvenlik duvarı, yedekleme ve izleme gibi önlemlerin sahada çalışıp çalışmadığı ancak denenerek görülür.
04Özellikler
Sızma testi kapsamı ve teslim edilen rapor
Her çalışma yazılı bir kapsam belgesiyle başlar ve aşağıdaki çıktılarla kapanır.
- 01
Bakış açısı seçimi
Kimlik bilgisi olmadan dışarıdan, sınırlı yetkili hesapla ya da kaynak koda erişimle test yapılabilir; seçim hedefe göre birlikte yapılır.
- 02
Test türüne göre kapsam
Web uygulaması, API, mobil uygulama ve ağ ayrı kalemlerdir; her birinin yöntemi farklı olduğundan teklifte tek tek yazılır.
- 03
Öncelik sıralı rapor
Yönetici özeti ile teknik bölüm ayrıdır. Her bulguda etkilenen varlık, yeniden üretme adımları, risk derecesi ve düzeltme önerisi yer alır.
- 04
Düzeltme desteği ve yeniden test
Geliştiricilerin soruları yanıtlanır, düzeltmeden sonra aynı bulgu yeniden denenir. Yeniden test kapsamı teklifte açıkça yazılır.
05Entegrasyonlar
Sızma testinin dokunduğu sistemler ve süreçler
Test yalnızca hedef sistemi değil, onunla birlikte çalışan yapıları da ilgilendirir.
- 01
Geliştirme ve dağıtım hattı
Bulgular tek kayıt olarak iş takip aracınıza aktarılabilecek biçimde yazılır; tekrar eden hatalar için CI/CD hattına eklenebilecek kontroller önerilir.
- 02
Bulut ve barındırma sağlayıcıları
Sistemleriniz bir sağlayıcıdaysa test politikası önceden okunur; gerekiyorsa sağlayıcıdan da izin istenir.
- 03
İzleme ve uyum belgeleri
WAF ve SIEM'in saldırı izlerini yakalayıp yakalamadığı raporlanır. Rapor, KVKK, PCI DSS ya da ISO/IEC 27001 çalışmalarında denetçiye sunulabilir; hangi çerçevenin size uygulandığını hukuk veya uyum danışmanınızla doğrulayın.
06Süreç
Sızma testi çalışması nasıl ilerler
Adım 01
Kapsam ve yazılı izin
Test edilecek sistemler, kapsam dışı olanlar, test saatleri ve iletişim kişileri yazılı olarak belirlenir. İmzalı yetkilendirme belgesi olmadan hiçbir sisteme dokunulmaz.
Adım 02
Keşif
Hedefin dışarıdan görünen yüzü, kullandığı teknolojiler ve giriş noktaları çıkarılır.
Adım 03
Zafiyet analizi
Bulunan giriş noktalarındaki olası zayıflıklar araçlarla ve elle yapılan incelemeyle belirlenir, şüpheli her madde doğrulanır.
Adım 04
Kontrollü istismar
Doğrulanan açıklar, veriye zarar vermeden ve kapsam sınırları içinde kullanılarak gerçek etkileri gösterilir.
Adım 05
Raporlama
Bulgular risk derecesine göre sıralanır; yönetici özeti ve teknik ayrıntı ayrı bölümlerde sunulur.
Adım 06
Düzeltme desteği ve doğrulama testi
Bulgular ekibinizle gözden geçirilir. Düzeltmeler tamamlandığında aynı denemeler yeniden çalıştırılır ve sonuç rapora işlenir.
07Teknoloji
Sızma testinde izlenen yöntem ve çerçeveler
Çalışmalar PTES aşamalarını ve NIST SP 800-115 teknik test rehberini temel alır. Web ve API tarafında OWASP Top 10 ile OWASP ASVS, mobil uygulamalarda OWASP MASVS kontrol listesi olarak kullanılır.
Devamını okuDaha az göster
Önem derecesi CVSS ile puanlanır, ancak açığın ortamınızda ne kadar kolay kullanılabildiği ve hangi veriye ulaştırdığı da derecelendirmeye girer. Her bulgu bir CWE sınıfıyla ilişkilendirilir; geliştiriciler aynı hata türünü başka yerlerde de arayabilir.
Han Dijit yazılım geliştirme tarafından gelir; 6 yıllık tecrübesi ve 50+ projesiyle uygulamaların nasıl kurulduğunu bilir ve düzeltmeleri geliştiricinin uygulayabileceği düzeyde yazar.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Sızma testi hakkında sık sorulan sorular
Hangi sızma testi türünden başlamalıyım?
Önce en çok kullanıcıya ya da veriye açılan sistemi seçmek mantıklıdır; çoğu işletme için bu internete açık web uygulaması veya API olur. İlk görüşmede varlıklarınızı dinleyip bir öncelik sırası öneririz.
Sızma testi için neden yazılı izin gerekir?
İzinsiz bir sisteme erişim denemesi, amacı test olsa bile bilişim suçu kapsamında değerlendirilebilir. Bu yüzden imzalı yetkilendirme belgesi ve onaylı kapsam listesi olmadan başlamayız. Hukuki ayrıntılar için hukuk danışmanınıza başvurun.
Sızma testi fiyatları neye göre belirlenir?
Sistem sayısı ve karmaşıklığı, bakış açısı, kullanıcı rolü sayısı, yerinde çalışma gereği ve yeniden test planı fiyatı belirler. Önce kapsamı yazılı netleştirir, teklifi ona göre hazırlarız.
Sızma testi firması seçerken nelere bakılmalı?
Yazılı kapsam ve izin belgesi, bulguların nasıl doğrulandığı, verilerinizin nasıl korunduğu ve yeniden testin teklife dahil olup olmadığı sorulmalıdır. Yalnızca araç çıktısı veren hizmet ile elle doğrulayan hizmet aynı değildir.
Test sırasında sistemlerim durur mu?
Yoğun yük ve yıkıcı denemeler yapılmaz, ancak canlı ortamda küçük bir risk her zaman vardır. Bu yüzden test saatlerini, iletişim kişilerini ve acil durdurma kurallarını baştan yazılı belirleriz; mümkünse canlıya yakın bir test ortamı kullanılır.
10İlgili hizmetler