Sızma Testi Hizmetleri

Sızma Testi Nedir?

Sızma testi, ya da yaygın adıyla pentest, bilgi sistemlerinizin gerçek bir saldırgan tarafından nasıl istismar edilebileceğini görmek için yapılan kontrollü bir güvenlik değerlendirmesidir. Güvenlik duvarı kurmak, antivirüs yüklemek ve şifre politikası belirlemek önemli adımlardır; ancak bu önlemlerin gerçekten işe yarayıp yaramadığını anlamanın en somut yolu, onları denemektir. Sızma testi tam olarak bunu yapar: varsayımları değil, gerçek durumu ortaya koyar.

Testin amacı sistemlerinize zarar vermek değil, zarar verebilecek açıkları sizden önce bulmaktır. Bu nedenle her çalışma yazılı izinle, kapsamı ve sınırları önceden belirlenerek yürütülür.

Kimler Sızma Testi Yaptırmalı?

• Müşteri verisi, kişisel veri veya ödeme bilgisi işleyen işletmeler
• İnternete açık web uygulaması, müşteri portalı veya uzaktan erişim sistemi bulunan firmalar
• Tedarikçi denetimlerinde veya müşteri sözleşmelerinde güvenlik testi şartıyla karşılaşan üreticiler
• Altyapısında büyük bir değişiklik yapmış, yeni sistemler devreye almış kurumlar
• Daha önce bir güvenlik olayı yaşamış ve tekrarını önlemek isteyen işletmeler

Hangi Alanlar Test Edilebilir?

Dış ağ testi

İnternetten görünen IP adresleriniz, açık servisleriniz, VPN ve uzak masaüstü erişimleriniz incelenir. Dışarıdan bakan biri için hangi kapıların açık olduğunu ve bunların ne kadar sağlam olduğunu gösterir.

İç ağ testi

Ofis ağına bağlanmış bir cihazın ya da ele geçirilmiş bir kullanıcı bilgisayarının neye erişebileceği değerlendirilir. Zayıf parolalar, güncellenmemiş sistemler, gereğinden geniş paylaşım yetkileri ve ağ ayrımının eksikliği bu testte sıkça ortaya çıkar.

Web uygulaması testi

Kurumsal siteniz, müşteri paneliniz veya şirket içi web uygulamalarınız; yetkilendirme hataları, veri sızıntısı, enjeksiyon açıkları ve oturum yönetimi zayıflıkları açısından incelenir.

Kablosuz ağ testi

Wi-Fi şifreleme yönteminiz, misafir ağının şirket ağından ayrılıp ayrılmadığı ve sahte erişim noktası risklerine karşı durumunuz kontrol edilir.

Çalışma Süreci

1. Keşif ve kapsam: Hangi sistemlerin, hangi zaman aralığında ve hangi yöntemlerle test edileceğini birlikte belirler, yazılı izin metnini hazırlarız.
2. Teklif: Kapsama göre iş planını ve teslim edilecek raporun içeriğini netleştiririz.
3. Uygulama: Otomatik tarama araçlarını manuel doğrulama ile birlikte kullanırız. Üretimi etkileyebilecek adımlar öncesinde sizinle iletişime geçeriz.
4. Raporlama ve destek: Bulguları önem derecesine göre sıralayıp düzeltme önerileriyle birlikte sunar, isterseniz düzeltmeleri uygulamanıza ve tekrar testine destek oluruz.

Rapor Neleri İçerir?

İyi bir sızma testi raporu yalnızca teknik ekip için değil, yönetim için de anlaşılır olmalıdır. Raporumuzda kısa bir yönetici özeti, her bulgunun ne anlama geldiği, nasıl tespit edildiği, işletmeniz için olası etkisi ve somut düzeltme adımları yer alır. Bulguları kritik, yüksek, orta ve düşük olarak sınıflandırarak önce hangi açığın kapatılması gerektiğini netleştiririz.

Tarama ile Sızma Testi Arasındaki Fark

Otomatik zafiyet tarayıcıları kısa sürede uzun bir liste üretir; ancak bu listedeki maddelerin bir kısmı gerçekte istismar edilemez, bazı ciddi açıklar ise hiç görünmez. Sızma testinde bulgular elle doğrulanır ve birden fazla küçük zayıflığın bir araya gelerek nasıl büyük bir riske dönüşebileceği gösterilir. Örneğin tek başına önemsiz görünen bir bilgi sızıntısı, zayıf bir parola politikasıyla birleştiğinde yönetici hesabının ele geçirilmesine kadar gidebilir.

Yerel Ekiple Çalışmanın Faydası

İç ağ ve kablosuz ağ testleri çoğu zaman sahada yapılmayı gerektirir. Kocaeli ve İstanbul Anadolu yakasındaki işletmeler için testi yerinde yürütebiliyor, bulgular sonrasında düzeltme aşamasında da aynı ekiple çalışmaya devam edebiliyoruz. Raporu teslim edip ortadan kaybolan bir yapı yerine, açıkların gerçekten kapandığını birlikte görmeyi önemsiyoruz.

Ne Sıklıkla Yapılmalı?

Güvenlik bir anlık fotoğraf değildir. Yeni bir sistem devreye alındığında, internete açık bir servis eklendiğinde veya önemli bir yapılandırma değişikliği yapıldığında testi tekrarlamak gerekir. Büyük değişiklik olmayan yapılarda yılda en az bir kez değerlendirme yapılması genel olarak tavsiye edilir.

Testler arasındaki dönemde de güvenliği canlı tutmak mümkündür. Güncelleme takibi, kullanıcı hesaplarının periyodik gözden geçirilmesi ve çalışanlara yönelik kısa oltalama farkındalığı çalışmaları, bir sonraki testte çok daha az bulguyla karşılaşmanızı sağlar. Raporumuzda yalnızca açıkları değil, bu tür kalıcı iyileştirme önerilerini de ayrı bir başlık altında topluyoruz. Böylece test, tek seferlik bir kontrol olmaktan çıkıp güvenlik seviyenizi zaman içinde yükselten bir araca dönüşür.

Kapsam Görüşmesi Talep Edin

Sistemlerinizin dışarıdan ve içeriden nasıl göründüğünü merak ediyorsanız bir kapsam görüşmesi planlayalım. İhtiyacınıza uygun test türünü ve çalışma planını birlikte belirleyelim.