Sızma Testi (Penetrasyon Testi) Nedir? Türleri, Süreci ve Fiyatı Belirleyen Etkenler

Sızma testi, yetkili bir güvenlik uzmanının, kurumun sistemlerine gerçek bir saldırganın kullanacağı yöntemlerle, önceden yazılı olarak belirlenmiş sınırlar içinde saldırmasıdır. Penetrasyon testi ya da kısaca pentest olarak da bilinen bu çalışmanın amacı, açıkların yalnızca listelenmesi değil, gerçekten istismar edilip edilemeyeceğinin ve saldırganın ağda ne kadar ilerleyebileceğinin gösterilmesidir.

Bu rehber pentest türlerini, testin hangi aşamalardan geçtiğini, iyi bir raporda neler bulunması gerektiğini ve sızma testi fiyatlarını belirleyen kapsam etkenlerini anlatır. BT yöneticileri ve bilgi güvenliği sorumluları için amaç, teklif istemeden önce kapsamı doğru tanımlayabilmektir.

Sızma testi nedir ve neden yapılır?

Bu çalışma, kurumun saldırıya ne kadar dayanıklı olduğunu kontrollü bir saldırıyla ölçer. Otomatik araçların bulduğu bir açık kâğıt üzerinde yüksek riskli görünebilir ama ortamda istismar edilemeyebilir; tersine, düşük önemde görünen birkaç zayıflık birleştirildiğinde etki alanı yöneticisi yetkisine kadar ulaşılabilir. Testi değerli kılan, bu zinciri kanıtlarıyla göstermesidir.

Kurumların penetrasyon testi yaptırmasının başlıca nedenleri şunlardır:

• Gerçek riski görmek: Hangi açığın veri sızıntısına veya sistem ele geçirilmesine yol açabileceğini kanıtla ortaya koymak.
• Değişiklik sonrası doğrulama: Yeni bir uygulama, altyapı taşıması veya büyük güncelleme sonrasında güvenlik seviyesini kontrol etmek.
• Uyum ve denetim: Müşteri sözleşmeleri, sektör düzenlemeleri veya bilgi güvenliği yönetim sistemi denetimleri için kanıt üretmek.
• Önceliklendirme: Sınırlı güvenlik bütçesinin en kritik açıklara harcanmasını sağlamak.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün güvenlik testi rehberi de penetrasyon testini, saldırganların güvenlik önlemlerini nasıl aşabileceğini anlamak için kullanılan bir doğrulama tekniği olarak tanımlar (NIST SP 800-115).

Sızma testi ile zafiyet taraması arasındaki fark

Zafiyet taraması bilinen açıkları otomatik araçlarla listeler; pentest ise bu açıkların bir uzman tarafından istismar edilip edilemeyeceğini doğrular. İki çalışma birbirinin yerine geçmez, birbirini tamamlar.

Sürekli görünürlük için zafiyet taraması, derinlemesine doğrulama için pentest birlikte planlanır. Taramanın düzenli yapıldığı bir ortamda pentest, bilinen açıklarla vakit kaybetmeden daha karmaşık saldırı yollarına odaklanabilir.

Sızma testi türleri

Testler, saldırganın nereden başlayacağına ve hangi varlığın hedef alınacağına göre türlere ayrılır. Kapsam bu türlerden bir veya birkaçının seçilmesiyle belirlenir.

• Dış ağ testi: İnternete açık IP adresleri, güvenlik duvarı, VPN ve e-posta sunucuları dışarıdan test edilir.
• İç ağ testi: Ağa bağlanmış bir saldırganın ya da ele geçirilmiş bir çalışan bilgisayarının ne kadar ilerleyebileceği ölçülür.
• Web uygulaması testi: Kimlik doğrulama, yetkilendirme, oturum yönetimi ve girdi doğrulama açıkları incelenir.
• Active Directory testi: Etki alanı yapılandırması, parola politikaları ve yetki yükseltme yolları test edilir.
• API güvenlik testi: Mobil ve web uygulamalarının arka uç servislerindeki yetki ve veri erişimi kontrolleri incelenir.
• Kablosuz ağ testi: Kurumsal kablosuz ağların şifreleme ve ayrıştırma ayarları kontrol edilir.

Testin bilgi düzeyine göre de ayrım yapılır. Kara kutu testte uzmana yalnızca hedef adresler verilir; gri kutu testte kısıtlı bir kullanıcı hesabı tanımlanır; beyaz kutu testte mimari ve kaynak kod bilgisi paylaşılır. Gri kutu yaklaşım, sınırlı sürede en fazla bulguyu üretmesi nedeniyle kurumsal projelerde sık tercih edilir. Web uygulamaları için kapsamlı bir test listesi OWASP Web Security Testing Guide içinde yayımlanır.

Sızma testi nasıl yapılır? 7 aşamalı süreç

Test, kapsamın yazılı olarak belirlenmesiyle başlar ve raporlama ile biter. Yaygın kabul gören Penetration Testing Execution Standard (PTES) süreci yedi bölümde tanımlar (PTES):

1. Ön görüşme ve kapsam: Hedefler, test zamanı, izin verilen teknikler, iletişim kişileri ve acil durdurma koşulları yazılı hale getirilir.
2. Bilgi toplama: Hedef sistemler, açık servisler ve kamuya açık bilgiler derlenir.
3. Tehdit modelleme: Kurum için en değerli varlıklar ve olası saldırgan profilleri belirlenir.
4. Zafiyet analizi: Araçlarla ve elle bulunan zayıflıklar doğrulanır.
5. İstismar: Doğrulanan açıklar kontrollü biçimde kullanılarak erişim elde edilmeye çalışılır.
6. İstismar sonrası: Elde edilen erişimle ne kadar ilerlenebileceği, hangi verilere ulaşılabileceği ölçülür.
7. Raporlama: Bulgular, kanıtlar, risk seviyeleri ve iyileştirme önerileri raporlanır.

Test sırasında üretim sistemlerinin etkilenmemesi için hizmet kesintisi yaratabilecek teknikler önceden konuşulur. Kritik sistemlerde bu tür denemeler bakım penceresinde veya test ortamında yapılır.

İyi bir sızma testi raporunda neler bulunur?

Rapor, testin asıl çıktısıdır ve iki farklı okuyucuya hitap etmelidir: yönetim için kısa bir risk özeti, teknik ekip için tekrarlanabilir bulgu ayrıntısı. Yalnızca araç çıktısından oluşan bir rapor, kurumun neyi önce düzeltmesi gerektiğini göstermez.

• Yönetici özeti: Genel risk seviyesi ve en kritik üç beş bulgu, iş etkisiyle birlikte.
• Bulgu ayrıntısı: Etkilenen sistem, açığın tanımı, istismar adımları ve ekran görüntüsü gibi kanıtlar.
• Risk sınıflandırması: Kritik, yüksek, orta ve düşük gibi tutarlı bir ölçek.
• İyileştirme önerileri: Her bulgu için uygulanabilir düzeltme adımı.
• Kapsam ve yöntem: Neyin test edildiği, neyin kapsam dışında kaldığı ve kullanılan metodoloji.

Düzeltmeler tamamlandıktan sonra kritik bulguların kapatıldığını doğrulayan bir tekrar testi planlanması, raporun gerçekten sonuç üretip üretmediğini gösterir.

Sızma testi fiyatları neye göre belirlenir?

Sızma testi fiyatları, testin kapsamına ve gereken uzman gün sayısına göre belirlenir. Bu yüzden sabit bir liste fiyatı yerine, kapsam netleştikten sonra verilen yazılı teklif doğru sonuç verir. Fiyatı etkileyen başlıca etkenler şunlardır:

• Hedef sayısı: Dış IP adresi, sunucu, web uygulaması ve API sayısı.
• Uygulama karmaşıklığı: Rol sayısı, iş akışları, ödeme veya dosya yükleme gibi yüksek riskli işlevler.
• Test türleri: Yalnızca dış ağ mı, yoksa iç ağ, Active Directory ve kablosuz ağ da mı dahil?
• Bilgi düzeyi: Kara, gri veya beyaz kutu yaklaşımı.
• Zaman kısıtları: Mesai dışı test, bakım penceresi gerekliliği veya kısa teslim süresi.
• Tekrar testi: Düzeltmelerin doğrulanmasının teklife dahil olup olmadığı.

Teklifleri karşılaştırırken yalnızca toplam tutara bakılmamalıdır. Aynı kapsam için verilen iki teklifte uzman gün sayısı, manuel test oranı, rapor içeriği ve tekrar testi dahil olup olmadığı karşılaştırılmalıdır. Çok düşük bir teklif çoğu zaman yalnızca otomatik taramayı içerir.

Genel uygulama ve doğru yaklaşım

Pek çok kurumda penetrasyon testi yılda bir kez, denetim takvimine bağlı olarak yapılır ve rapor dosyaya kaldırılır. Bulgular takip edilmediğinde aynı açıklar bir sonraki yılın raporunda tekrar görünür.

Sızma testinde sık yapılan hatalar ve doğru yöntem

Hataların çoğu test öncesindeki hazırlıkta yapılır. Kapsamı belirsiz bir test, ya kritik sistemleri dışarıda bırakır ya da üretim ortamında beklenmedik kesintilere yol açar.

• Yazılı izin olmadan test başlatmak: Test edilecek sistemler, tarih aralığı ve teknikler yetkili kişilerce imzalanmalıdır.
• Bulut ve barındırma sağlayıcısını bilgilendirmemek: Sağlayıcının test politikası kontrol edilmeli, gerekirse önceden bildirim yapılmalıdır.
• İletişim kişisi belirlememek: Kritik bir bulgu veya kesinti anında ulaşılacak kişi test başlamadan tanımlanmalıdır.
• Bulguları önceliklendirmemek: Kritik ve yüksek bulgular için sorumlu ve hedef tarih belirlenmelidir.

Testte ortaya çıkan açıkların istismar edilmesini sürekli izlemek için SOC hizmeti ve merkezi log yönetimi tamamlayıcı katman olarak planlanabilir.

Türkiye’de sızma testi, KVKK ve veri gizliliği

Test sırasında uzmanlar kişisel verilere erişebilir; bu nedenle test sözleşmesinde gizlilik, verinin saklanmaması ve test sonrası erişimlerin kaldırılması açıkça yazılmalıdır. KVKK kapsamında veri sorumlusunun alması gereken teknik tedbirler arasında güvenlik ve penetrasyon testleri de sayılır; kurumların kendi yükümlülüklerini bir hukuk danışmanıyla değerlendirmesi önerilir. Bu bilgiler hukuki danışmanlık yerine geçmez.

Teknik tedbirlerin ön değerlendirmesi için KVKK teknik tedbirler kontrol listesi kullanılabilir. MAV Cloud ekibi test kapsamını, erişim bilgilerini ve bulgu raporlarını gizli veri olarak ele alır.

MAV Cloud sızma testi: kapsam, metodoloji ve standartlar

MAV Cloud penetrasyon testi hizmeti dış ağ, iç ağ, web uygulaması, Active Directory, API ve kablosuz ağ testlerini kapsar. Testler OWASP, MITRE ATT&CK, PTES ve NIST metodolojilerine uygun yürütülür; çıktı olarak risk seviyesine göre sınıflandırılmış bulgular ve her bulgu için iyileştirme önerisi içeren teknik rapor teslim edilir.

• Bilgi güvenliği: ISO/IEC 27001 belgeli bilgi güvenliği yönetim sistemi.
• Gizlilik: ISO/IEC 27701 belgeli gizlilik bilgi yönetim sistemi.
• Saldırgan davranışı modeli: Bulgular, MITRE ATT&CK tekniklerine eşlenerek anlatılabilir.

Hizmetin kapsamı ve teklif süreci penetrasyon testi sayfasında ayrıntılı olarak yer alır.

Sıkça Sorulan Sorular

Sızma testi nedir?

Sızma testi, yetkili bir güvenlik uzmanının kurumun sistemlerine gerçek saldırgan yöntemleriyle, yazılı olarak belirlenmiş sınırlar içinde saldırmasıdır. Amaç, açıkların gerçekten istismar edilip edilemeyeceğini ve saldırganın ne kadar ilerleyebileceğini göstermektir.

Sızma testi ile penetrasyon testi aynı şey midir?

Evet. Sızma testi, penetrasyon testinin Türkçe karşılığıdır; kısaca pentest olarak da anılır.

Sızma testi fiyatları neye göre belirlenir?

Fiyat; hedef sayısı, uygulamaların karmaşıklığı, seçilen test türleri, kara veya gri kutu yaklaşımı, zaman kısıtları ve tekrar testinin dahil olup olmadığına göre belirlenir. Bu yüzden kapsam netleştikten sonra yazılı teklif alınması önerilir.

Sızma testi ne kadar sürer?

Süre kapsama göre değişir. Tek bir web uygulaması birkaç gün sürebilirken, dış ağ, iç ağ ve Active Directory testlerini birlikte içeren bir proje daha uzun sürer; rapor hazırlığı da bu süreye eklenir.

Sızma testi ne sıklıkla yapılmalı?

Genel yaklaşım en az yılda bir kez ve büyük değişikliklerden sonra test yapılmasıdır. Yeni bir uygulamanın yayına alınması, altyapı taşıması veya ağ mimarisindeki önemli değişiklikler yeni bir test için uygun zamanlardır.

Sızma testi sistemlere zarar verir mi?

Kontrollü ve kapsamı yazılı olarak belirlenmiş bir testte risk en aza indirilir. Kesinti yaratabilecek teknikler önceden konuşulur, kritik sistemlerde bakım penceresi veya test ortamı kullanılır ve acil durdurma koşulları tanımlanır.

Sızma testi ile zafiyet taraması arasındaki fark nedir?

Zafiyet taraması bilinen açıkları otomatik araçlarla düzenli olarak listeler. Sızma testi ise bir uzmanın bu açıkların istismar edilip edilemeyeceğini ve etkisini manuel olarak doğrulamasıdır.

Sızma testi raporunda neler olmalı?

Rapor; yönetici özeti, etkilenen sistemler, istismar adımları ve kanıtlar, tutarlı bir risk sınıflandırması, her bulgu için iyileştirme önerisi ve test kapsamı ile metodolojiyi içermelidir.

Pentesti ilk kez araştıran okur için türler ve süreç bölümü iyi bir başlangıçtır. Teklifleri karşılaştıran ekipler fiyat etkenleri listesini kapsam kontrolü olarak kullanabilir. Teste hazır kurumlar hedef listesini paylaşarak MAV Cloud ekibinden yazılı teklif alabilir.