01Sorun ve çözüm
Sosyal mühendislik testi, bu boşlukları gerçek bir saldırganın izleyeceği yolla ama yazılı izin ve önceden onaylanmış senaryolarla sınar. Telefon, yüz yüze ziyaret, e-posta ve mesajlaşma kanallarını kurumunuzun yapısına göre seçiyor, her denemenin hangi adımda durdurulduğunu ya da durdurulamadığını kayıt altına alıyoruz.
Devamını okuDaha az göster
Raporun odağı kişiler değil süreçlerdir: hangi prosedür eksikti, hangi doğrulama adımı atlandı, çalışan şüphelendiğinde kime haber verecekti. Sonuç, suçlanacak bir isim listesi yerine düzeltilecek bir süreç listesi olur.
02Kimler için
Sosyal mühendislik testi kimler için anlamlı
Teknik önlemleri belli bir düzeye gelmiş kurumlarda zayıf halka çoğunlukla insan ve prosedürdür.
- Parola sıfırlama ve hesap açma taleplerini telefonla karşılayan yardım masası bulunan şirketler
- Tedarikçi ödemelerinde e-posta ile gelen banka bilgisi değişikliklerini işleyen finans ekipleri
- Ziyaretçi kabul eden, birden fazla girişi ya da paylaşılan ofis alanı olan binalarda çalışan kurumlar
- Daha önce oltalama simülasyonu yapmış ve diğer kanallardaki direnci de görmek isteyen güvenlik ekipleri
- Bilgi güvenliği yönetim sistemi kapsamında insan kaynaklı riskleri ölçmesi beklenen işletmeler
03İhtiyaçlar
Sosyal mühendislik testi hangi süreçleri sınar
Senaryolar, kurumunuzda yetki ya da erişim veren her temas noktası için ayrı ayrı tasarlanır.
- 01
Telefonla kimlik taklidi
Yardım masası, santral ve bilgi işlem destek hattı; yönetici, tedarikçi ya da yeni çalışan kılığındaki aramalara karşı sınanır. Arayanın kimliğinin hangi bilgiyle doğrulandığı ve bu bilginin dışarıdan ne kadar kolay öğrenilebildiği incelenir.
- 02
Fiziksel erişim
Kartlı geçişte arkadan takip, ziyaretçi kaydı, refakatsiz dolaşım, kilitlenmemiş ekranlar ve açıkta bırakılan belgeler kontrollü biçimde denenir. Sunucu odası ve arşiv gibi alanlar ayrıca ele alınır.
- 03
Ödeme ve onay akışları
Tedarikçi hesap değişikliği ya da acil ödeme talebi senaryosuyla, talebin ikinci bir kanaldan teyit edilip edilmediği ölçülür. Hiçbir aşamada gerçek bir ödeme yapılmaz; test talebin işleme alındığı noktada durdurulur.
- 04
Taşınabilir medya
Ortak alanlara bırakılan, yalnızca takıldığını bildiren zararsız bir işaret dosyası içeren USB bellekler, cihaz kullanım politikasının uygulamadaki karşılığını gösterir.
04Özellikler
Testin hazırlığı ve raporu
İyi bir senaryo, kurum hakkında dışarıdan ne kadar bilgi toplanabildiğiyle başlar.
- 01
Açık kaynak keşfi
Kurumsal web sitesi, iş ilanları, profesyonel ağlardaki çalışan profilleri ve basın haberlerinden organizasyon yapısı, kullanılan sistemler ve hitap biçimleri çıkarılır. Bu keşif tek başına da bir bulgudur.
- 02
Onaylı senaryo kitabı
Her senaryonun kanalı, hedef birimi, kullanılacak hikâyesi ve durdurma noktası yönetiminizin yazılı onayına sunulur. Onaylanmayan hiçbir yöntem denenmez.
- 03
Yetki belgesi ve acil iletişim
Fiziksel testlerde testi yapan kişi, yetkili yöneticinin imzaladığı bir izin yazısı ve ulaşılabilir bir irtibat numarası taşır; yakalanma durumunda test kimseyi zor durumda bırakmadan sona erer.
- 04
Süreç odaklı bulgular
Bulgular birim ve süreç düzeyinde raporlanır; her biri için önerilen doğrulama adımı, prosedür değişikliği ve farkındalık mesajı yazılır.
05Entegrasyonlar
Senaryoların dokunduğu sistemler ve prosedürler
Test, insan davranışını olduğu kadar o davranışı destekleyen araçları da gösterir.
- 01
Yardım masası ve talep sistemi
Parola sıfırlama ve yetki taleplerinin hangi kayıtla açıldığı, arayan kişinin nasıl doğrulandığı ve talebin kayıt sistemine nasıl düştüğü incelenir.
- 02
Geçiş kontrol ve ziyaretçi yönetimi
Kartlı geçiş kayıtları, ziyaretçi kartları ve kamera konumları, fiziksel denemelerin sonuçlarıyla birlikte değerlendirilir.
- 03
E-posta güvenliği
Kimlik taklidi içeren e-postaların ulaşıp ulaşmadığı, SPF, DKIM ve DMARC kayıtlarının yapılandırması ve dış e-posta uyarı etiketleri kontrol edilir.
- 04
Olay bildirim kanalı
Şüphelenen çalışanın bildirimi nereye yaptığı ve bu bildirimin güvenlik ekibine ne kadar hızlı ulaştığı ölçülür; kanal yoksa kurulması önerilir.
06Süreç
Sosyal mühendislik testi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Sosyal mühendislik testi firması seçerken dikkat edilecek etik sınırlar
Senaryolar çalışanların özel hayatına, ailesine, sağlık durumuna ya da kişisel sosyal medya hesaplarına dayanmaz; korku ve tehdit içeren hikâyeler kullanılmaz. Hedef seçimi rol ve süreç üzerinden yapılır. Çalışan verisi bu test için işlendiğinden, KVKK kapsamındaki aydınlatma yükümlülüğünüzü insan kaynakları ve hukuk birimlerinizle önceden netleştirmenizi öneririz.
Devamını okuDaha az göster
Telefon görüşmeleri kaydedilecekse bunun hukuki dayanağı test öncesinde belirlenir; aksi hâlde görüşmeler yalnızca notla belgelenir. Toplanan kanıtlar, fotoğraflar ve notlar şifreli saklanır, raporda çalışan isimleri yer almaz ve proje sonunda ham veriler silinir. Test sonrasında çalışanlara yönelik kısa bir bilgilendirme yapılması, deneyimi bir cezaya değil öğrenmeye dönüştürür.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Sosyal mühendislik testi hakkında sık sorulan sorular
Daha önce oltalama simülasyonu yaptırdık; bu test neyi ekler?
Oltalama simülasyonu e-posta kanalındaki tepkiyi ölçer. Sosyal mühendislik testi ise telefon, yüz yüze ziyaret ve onay süreçlerini de kapsar; saldırganın e-posta dışındaki yollarla nereye kadar ilerleyebildiğini gösterir.
Sosyal mühendislik testi fiyatları neye göre belirlenir?
Seçilen kanallar, senaryo sayısı, fiziksel test yapılacak lokasyonlar, açık kaynak keşfinin derinliği ve test sonrası çalışan bilgilendirmesi istenip istenmediği teklifi belirler.
Çalışanların isimleri raporda geçer mi?
Hayır. Bulgular birim ve süreç düzeyinde verilir. Amaç kişileri cezalandırmak değil, onları yanıltan prosedür boşluğunu kapatmaktır.
Testi kimler bilmeli?
Genellikle üst yönetimden bir yetkili, güvenlik sorumlusu ve fiziksel testler için bina güvenliğinden bir irtibat kişisi bilir. Hedef birimlere önceden haber verilmez; aksi hâlde sonuçlar gerçeği yansıtmaz.
Fiziksel giriş denemesinde güvenlik görevlisi bizi durdurursa ne olur?
Bu, olumlu bir sonuçtur ve raporda öyle yer alır. Testi yapan kişi izin yazısını gösterir, irtibat kişisi aranır ve deneme sakin biçimde sona erer.
Sosyal mühendislik testi hizmeti sonrasında eğitim de veriyor musunuz?
Danışmanlık kapsamında, bulgulara dayanan kısa farkındalık oturumları ve güncellenmiş doğrulama prosedürleri hazırlayabiliyoruz. Genel bir sunum yerine kurumunuzda gerçekten işe yarayan senaryolar anlatılır.
10İlgili hizmetler