Dış Ağ (External) Sızma Testi
İnternete açık firewall, web sunucu, e-posta, VPN ve DNS uç noktalarınızın dışarıdan taranması ve yetkisiz erişim açıklarının belirlenmesi.
Siber Güvenlik Denetimi
TSE & ISO 27001 Standartlarında Sızma Testi
Siber güvenlik, yalnızca savunma donanımları kurmaktan ibaret değildir. Sisteminizin saldırılara karşı ne kadar dayanıklı olduğunu anlamanın en güvenilir yolu, yetkili uzmanlar tarafından gerçekleştirilen kontrollü sızma testleridir (Penetration Testing).
Maysa Yazılım olarak OWASP, NIST metodolojileri ve TSE / ISO 27001 Bilgi Güvenliği Yönetim Sistemi standartlarına tam uyumlu profesyonel sızma testi hizmeti sunuyoruz.
Neler Kazanırsınız?
- Sıfır Gün Açıkları: Bilinen ve bilinmeyen tüm güvenlik zaafiyetlerinin tespiti.
- Teknik Çözüm Raporu: Yazılımcılarınızın hemen uygulayabileceği kod ve yapılandırma reçeteleri.
- Yönetici Risk Özeti: Üst yönetime sunulabilir grafiksel risk skor kartı.
- Ücretsiz Doğrulama (Re-Test): Açıklar kapatıldıktan sonra ücretsiz teyit testi.
Test Kapsamı
Gerçekleştirdiğimiz Sızma Testi Katmanları
İç Ağ (Internal) Sızma Testi
Ofis içi misafir ağı veya ele geçirilen bir çalışan bilgisayarı üzerinden ana veritabanlarına, Active Directory ve dosya sunucularına sıçrama analizleri.
Web & API Uygulama Güvenliği
SQL Injection, XSS, CSRF, yetkilendirme bypass ve API veri sızıntısı açıklarının OWASP Top 10 kriterlerine göre derinlemesine incelenmesi.
KAPSAM SEÇİMİ
Hangi test türü sizin için gerekli?
"Sızma testi yaptıralım" talebi tek bir işi tarif etmez. Kapsam, korumak istediğiniz varlığa göre belirlenir ve fiyatı da süreyi de kapsam belirler.
| Test türü | Neyi sınar | Tipik tetikleyici |
|---|---|---|
| Dış ağ (external) | İnternete açık IP, sunucu, VPN ve posta servisleri | Yeni sunucu yayını, müşteri denetimi |
| İç ağ (internal) | Ağa girmiş bir saldırganın veya çalışanın nereye ulaşabildiği | Ofis ve üretim ağının ayrılmamış olması |
| Web uygulaması | Oturum yönetimi, yetki atlatma, enjeksiyon açıkları | B2B portal, bayi paneli, müşteri girişi |
| API | Kimlik doğrulama, yetkilendirme ve veri sızdırma uç noktaları | Mobil uygulama veya entegrasyon servisi |
| Kablosuz ağ | Misafir ağı izolasyonu, sahte erişim noktası, şifreleme | Hotspot kurulumu, üretim sahasında Wi-Fi |
| Sosyal mühendislik | Oltalama e-postasına ve telefonla yönlendirmeye verilen tepki | Farkındalık eğitimi öncesi ölçüm |
Kara kutu, gri kutu, beyaz kutu farkı nedir?
Bu üç yaklaşım, test ekibine ne kadar bilgi verildiğini tarif eder ve sonucu doğrudan etkiler:
- Kara kutu: hiçbir bilgi verilmez. Dışarıdan bir saldırganın görüşünü taklit eder. Gerçekçidir ama sürenin önemli bölümü keşfe gider ve derin katmanlara ulaşılamayabilir.
- Gri kutu: sınırlı bilgi ve düşük yetkili bir hesap verilir. Çoğu kurum için en verimli seçenek: süre keşfe değil, açığın kendisine harcanır.
- Beyaz kutu: mimari, kaynak kod ve yetkili hesap paylaşılır. En kapsamlı bulgu setini verir; uyum denetimleri öncesinde tercih edilir.
YÖNTEM
Test süreci nasıl işler?
1. Kapsam ve yetkilendirme
Hangi IP blokları, hangi uygulamalar ve hangi saat aralığı test edilecek; hangi işlemler (servis kesintisi doğurabilecek testler gibi) kapsam dışı. Bu adım yazılı yetkilendirme ile kapanır — izinsiz test yapılmaz.
2. Keşif ve haritalama
Açık servisler, sürümler, alan adları ve dışa dönük yüzey çıkarılır. Amaç, saldırganın göreceği resmi görmektir.
3. Zafiyet analizi ve doğrulama
Otomatik tarama bulguları elle doğrulanır. Doğrulanmamış bulgu rapora girmez; yanlış pozitifi rapora koymak müşterinin vaktini harcar.
4. Sömürü (exploitation)
Zafiyetin gerçekten kullanılabildiği, kapsam ve izin sınırları içinde kanıtlanır. Kanıt üretilirken üretim verisi değiştirilmez.
5. Yatay ve dikey ilerleme
Bir noktadan içeri girildiğinde nereye kadar gidilebildiği ölçülür: başka sistemlere geçiş, yetki yükseltme, kritik veriye erişim. En değerli bulgular genellikle bu aşamada çıkar.
6. Raporlama
Rapor iki katmanlıdır ve iki farklı okuyucuya yazılır:
- Yönetici özeti: teknik terim olmadan risk tablosu ve öncelik sırası. Bütçe kararını veren kişi bunu okur.
- Teknik bölüm: her bulgu için yeniden üretim adımları, kanıt, etkilenen sistem, önem derecesi ve somut düzeltme önerisi. Sistem yöneticisi bunu okur.
7. Yeniden test
Düzeltmeler uygulandıktan sonra ilgili bulgular tekrar sınanır. Kapanmayan bir bulgu, kapandı sanılan bir bulgudan daha az tehlikelidir.
SIK KARIŞTIRILAN
Sızma testi ile zafiyet taraması aynı şey değildir
| Zafiyet taraması | Sızma testi | |
|---|---|---|
| Yöntem | Otomatik araç | Araç + uzman değerlendirmesi |
| Çıktı | Olası zafiyet listesi | Doğrulanmış, sömürülebilirliği kanıtlanmış bulgular |
| Yanlış pozitif | Yüksek | Elle doğrulandığı için düşük |
| Zincirleme açık | Göremez | Tek tek zararsız üç açığın birleşince nereye götürdüğünü gösterir |
| Sıklık | Sürekli / haftalık olabilir | Periyodik; büyük değişiklik sonrası tekrarlanır |
Dürüst bir sınır: test, o günün fotoğrafıdır
Sızma testi yapıldığı tarihteki durumu ölçer. Ertesi hafta yayınlanan yeni bir açık, eklenen bir sunucu veya değişen bir kural resmi değiştirir. Bu yüzden testi tek seferlik bir belge olarak değil, düzenli tekrarlanan bir ölçüm olarak planlamak gerekir. Aradaki dönemde güvenlik duvarı ve ağ izolasyonu ile veri sızıntısı önleme katmanları savunmayı ayakta tutar.
HİZMET BÖLGESİ
Sızma testi hizmeti verdiğimiz bölgeler
Çayırova / Kocaeli merkezli çalışıyoruz. Sanayi havzasındaki tesislere yerinde keşif ve saha desteği veriyoruz. İç ağ testlerinde tesiste bulunur, dış ağ ve uygulama testlerini uzaktan yürütürüz.
Sanayi bölgeleri
- TOSB Otomotiv Tedarik İhtisas OSB
- GOSB Gebze Organize Sanayi Bölgesi
- TAYSAD
- Dilovası İMES
Şehir ve ilçeler
- Gebze
- Çayırova
- Kocaeli
- İstanbul Anadolu Yakası
- Marmara Bölgesi
- Türkiye
Listede olmayan bir bölgeden yazıyorsanız da bize ulaşın; projenin kapsamına göre uzaktan veya yerinde çalışma seçeneklerini birlikte değerlendirelim.
SIK SORULANLAR
Sıkça Sorulan Sorular
Sızma testi kapsamı, süresi ve raporlaması hakkında en sık sorulanlar.
Sızma Testi (Pentest) nedir ve şirketler için neden hayati önem taşır?
Sızma testi; şirketinizin sunucularını, ağ cihazlarını ve web uygulamalarını kötü niyetli bir saldırganın gözüyle test ederek güvenlik açıklarını saldırganlardan önce tespit etme işlemidir. Hizmet detayları için Sızma Testi (Pentest) sayfamızı ve TSE Onaylı Sızma Testi Standartları rehberimizi ziyaret edin.
Sızma testi çeşitleri nelerdir (Black Box, White Box, Gray Box)?
Black Box: Saldırganın şirket hakkında hiçbir ön bilgiye sahip olmadığı dış testtir. White Box: Tam sistem ve kod erişimiyle yapılan kapsamlı iç testtir. Gray Box: Standart kullanıcı yetkileriyle sistem içinden yapılan denetimdir.
TSE ve ISO 27001 Bilgi Güvenliği Yönetim Sistemi için sızma testi zorunlu mudur?
Evet. ISO 27001 standardı ve KVKK teknik tedbirler kılavuzu uyarınca kurumların yılda en az bir kez bağımsız uzmanlar tarafından sızma testi yaptırması ve zaafiyetleri kapatması zorunludur. Denetim süreci için ISO 27001 Bilgi Güvenliği Denetimi makalemize bakın.
Sızma testi sırasında şirketimizin canlı sistemlerinde kesinti veya veri kaybı yaşanır mı?
Hayır. Testler iş saatleri dışında veya kontrollü güvenlik parametreleriyle yürütülür; sistemlerinize ve canlı verilerinize hiçbir zarar verilmez.
Sızma testi tamamlandıktan sonra nasıl bir rapor teslim edilir?
Yönetici Özeti (C-Level için risk puanlaması) ve Teknik Zaafiyet Raporu (IT ekibi için çözüm adımları, CVSS skorları ve kanıt ekran görüntüleri) olmak üzere iki kapsamlı rapor sunulur.
Testte tespit edilen güvenlik açıkları nasıl kapatılır (Doğrulama Testi)?
Raporun tesliminin ardından IT ekibinize çözüm danışmanlığı verilir. Açıklar kapatıldıktan sonra ücretsiz olarak Doğrulama (Retest) testi yapılır ve sistemin güvenli olduğu onaylanır.
TEKNİK KAYNAKLAR & KILAVUZLAR
Siber Güvenlik & Zafiyet Analizi Rehberleri
Kurumsal ağ güvenliği, sızma testi metodolojileri, ISO 27001 gereksinimleri ve zafiyet kapatma kılavuzlarımız.
Felaket Kurtarma 3 dk okuma
3-2-1-1-0 Yedekleme Kuralı: Sıfır Veri Kaybı Mimarisi
Modern siber tehditlere karşı 3-2-1-1-0 yedekleme kuralı: Değiştirilemez depolama, air-gap koruması ve otomatik hata doğrulamasıyla tam veri güvenliği.
Siber Güvenlik 3 dk okuma
Ağ Segmentasyonu (VLAN) ile Kurumsal Güvenlik ve İzolasyon
Kurumsal ağlarda VLAN segmentasyonu nedir? Misafir, muhasebe, kamera ve fabrika ağlarını izole etme, siber yayılımı durdurma rehberini keşfedin. İnceleyin.
Mevzuat ve Denetim 3 dk okuma
AB NIS 2 Direktifi: Kritik İmalat ve Tedarik Zinciri Güvenliği
Avrupa Birliği NIS 2 direktifi nedir? İmalat sanayi, enerji, sağlık ve lojistik tedarik zincirinde siber güvenlik yükümlülükleri ve cezalar rehberi. İnceleyin.
Siber Güvenlik 3 dk okuma
B2B Şirketler İçin Tehdit Avcılığı ve Zaafiyet Yönetimi
B2B işletmeler için proaktif tehdit avcılığı (Threat Hunting) ve zaafiyet yönetimi: CVE takibi, zafiyet tarama araçları ve siber savunma rehberi. İnceleyin.
Şirketinizin siber güvenlik açıklarını hemen tespit edelim
İhtiyacınızı dinleyelim, kapsamı ve bütçeyi netleştirelim. İlk görüşme ücretsizdir.