TSE onaylı sızma testi (pentest) nedir? Beyaz, siyah ve gri kutu test yöntemleri, denetim raporlama standartları ve siber güvenlik hazırlık rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Sızma Testi (Penetration Testing / Pentest), bir kurumun dış dünyaya açık IP adreslerinin, iç yerel ağının, sunucularının, web/mobil uygulamalarının ve çalışanlarının siber güvenlik farkındalığının, gerçek bir siber saldırganın kullandığı yöntemlerle kontrollü olarak test edilmesi ve güvenlik açıklarının kötü niyetli kişilerden önce tespit edilip kapatılması sürecidir. Türkiye’de ISO 27001, KVKK, BDDK, SPK, EPDK, Savunma Sanayii (EYDEP) ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi (DDO) denetimlerinde sunulan sızma testi raporlarının hukuki ve teknik geçerlilik taşıması için testlerin TSE (Türk Standardları Enstitüsü) standartlarına ve uluslararası metodolojilere (OWASP, OSSTMM, PTES) uygun olarak gerçekleştirilmesi ve raporlanması zorunludur.
Otomatik Zafiyet Taraması (Vulnerability Scan) ile Gerçek Sızma Testi Arasındaki Fark
Kurumsal denetimlerde en sık karşılaşılan hata, sadece otomatik bir tarama yazılımını (Nessus, OpenVAS, Acunetix vb.) çalıştırıp çıktısını PDF olarak almanın “Sızma Testi” sanılmasıdır. Oysa otomatik zafiyet taraması ile uzman odaklı sızma testi arasında derin bir mühendislik farkı vardır:
- Zafiyet Taraması (Vulnerability Assessment): Otomatik araçlarla sistemdeki bilinen eksik yamaların ve açık portların listelenmesidir. Çok sayıda hatalı pozitif (False Positive) içerir ve iki zararsız görünen açığın birleştirilerek (Chaining) sistemi nasıl devirebileceğini göremez.
- Gerçek Sızma Testi (Penetration Test): Kıdemli siber güvenlik uzmanının (Ethical Hacker) otomatik tarama bulgularını manuel olarak doğrulaması, iş mantığı hatalarını (Business Logic Flaws) keşfetmesi ve sisteme zarar vermeden kontrollü istismar (Exploitation) yaparak “Bu açıktan girildiğinde ERP veritabanındaki tüm müşteri kayıtlarına erişilebilmektedir” kanıtını (PoC) ortaya koymasıdır.
Sızma Testi Metodolojileri: Siyah, Gri ve Beyaz Kutu Yaklaşımları
TSE ve uluslararası siber güvenlik standartlarında testin kapsamına ve saldırı simülasyonunun amacına göre üç ana metodoloji uygulanır:
| Test Metodolojisi | Test Ekibine Verilen Ön Bilgi | Simüle Edilen Gerçek Dünya Tehdidi | Avantajı ve Kapsam Derinliği |
|---|---|---|---|
| Siyah Kutu (Black Box) | Yalnızca kurumun adı veya dış IP / alan adı (Domain) verilir; iç yapı hakkında sıfır bilgi paylaşılır | İnternet üzerinden kurumu hedef alan dış siber korsanlar ve APT grupları | Dış güvenlik duvarı, WAF ve açık portların gerçek saldırı altındaki direncini ölçer |
| Gri Kutu (Gray Box) | Standart yetkili bir personel kullanıcı hesabı, VPN erişimi ve temel VLAN şeması verilir | Şirket ağına sızmış bir zararlı yazılım, kötü niyetli çalışan veya taşeron personel | Yetki yükseltme (Privilege Escalation), yanal hareket ve Active Directory güvenliğini ölçer |
| Beyaz Kutu (White Box) | Tam sistem mimarisi, sunucu yapılandırmaları, yönetici erişimleri ve yazılım kaynak kodları açılır | İç ve dış tüm katmanları kapsayan tam kapsamlı siber güvenlik denetimi | Gizli kalmış mimari zafiyetleri ve kaynak kod hatalarını %100 görünürlükle ortaya çıkarır |
Kurumsal Sızma Testinin 5 Ana Teknik Kapsamı
Kapsamlı bir kurumsal pentest çalışması yalnızca tek bir noktayı değil, şirketin tüm dijital saldırı yüzeyini (Attack Surface) beş ayrı fazda inceler:
- Dış Ağ (External Network) Sızma Testi: Şirketin statik IP adresleri, Güvenlik Duvarı (Firewall) kuralları, açık VPN/RDP portları, DNS ve e-posta sunucuları internet üzerinden test edilir.
- İç Ağ (Internal Network) ve Active Directory Testi: Fabrika veya ofis içindeki yerel ağa bağlanılarak VLAN izolasyonu, SMB/NTLM zafiyetleri, parola politikaları, Domain Controller güvenliği ve yedekleme sunucularının erişilebilirliği denetlenir.
- Web ve API Uygulama Sızma Testi: Kurumun web sitesi, B2B müşteri portalları ve Özel Yazılım Geliştirme projeleri OWASP Top 10 kriterlerine göre (SQL Injection, XSS, IDOR, Broken Authentication, SSRF) manuel olarak test edilir.
- Kablosuz Ağ (Wi-Fi) Sızma Testi: Kurumsal Wi-Fi şifreleme protokolleri (WPA2/WPA3 Enterprise), sahte erişim noktası (Evil Twin) saldırıları ve Misafir Hotspot ağından şirket ağına sızma ihtimalleri kontrol edilir.
- Sosyal Mühendislik ve Oltalama (Phishing) Simülasyonu: Çalışanlara kontrollü sahte e-postalar gönderilerek kaç kişinin linke tıkladığı ve şifresini girdiği ölçülür; departman bazlı farkındalık raporu çıkarılır.
Denetimden Geçen Bir Pentest Raporunda Bulunması Zorunlu Bölümler
Resmi denetçilerin (ISO 27001 başdenetçileri, BDDK/KVKK uzmanları veya ana sanayi TPRM denetçileri) incelediği profesyonel bir sızma testi raporu şu altı bölümden oluşmalıdır:
- Yönetici Özeti (Executive Summary): Üst yönetim için hazırlanmış, teknik jargondan arındırılmış, kurumun genel risk puanını ve ticari/hukuki etki analizini grafiklerle özetleyen bölüm.
- Kapsam ve Metodoloji Beyanı: Hangi IP bloklarının, hangi tarih ve saat aralığında, hangi standartlara (OSSTMM, OWASP, NIST SP 800-115) göre test edildiğinin kaydı.
- CVSS v3.1 / v4.0 Risk Skorlaması: Tespit edilen her bir bulgunun uluslararası Ortak Zafiyet Puanlama Sistemi’ne (CVSS) göre Kritik (9.0-10.0), Yüksek (7.0-8.9), Orta (4.0-6.9) ve Düşük (0.1-3.9) olarak sınıflandırılması.
- Teknik Kanıtlar (Proof of Concept - PoC): Zafiyetin gerçekten var olduğunu ve istismar edilebildiğini gösteren maskelenmiş ekran görüntüleri, HTTP istek/yanıt paketleri ve komut çıktıları.
- Çözüm ve Sıkılaştırma (Remediation) Önerileri: Bilgi işlem ve yazılım ekiplerinin açığı kapatmak için uygulaması gereken adım adım teknik yama, konfigürasyon ve kod düzeltme reçeteleri.
- Doğrulama (Retest) Raporu: Şirketin IT ekibi açıkları kapattıktan sonra (genellikle 30-45 gün içinde) test ekibinin sistemi yeniden kontrol ederek “Zafiyet Kapatıldı (Closed)” onayını verdiği nihai denetim raporu.
Kurumunuzun yasal regülasyonlara, ISO 27001 ve KVKK Teknik Tedbirler rehberine tam uyum sağlaması ve siber saldırılara karşı gerçek direncini ölçmesi için Sızma Testi (Pentest) sayfamızdan uzman ekibimizle iletişime geçebilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
Sızma testi yapılırken fabrikamızdaki üretim veya ERP sunucularımız durur mu?
Hayır. Profesyonel sızma testlerinde sistemleri çökerten yıkıcı (DoS/DDoS veya veri silme) saldırılar uygulanmaz; tüm testler kontrollü ve güvenli istismar (Safe Exploitation) prensibiyle yürütülür. Kritik üretim sistemlerine yönelik ağır testler ise müşteriyle mutabık kalınan mesai dışı saatlerde veya hafta sonu pencerelerinde gerçekleştirilir.
KVKK ve ISO 27001 uyumluluğu için sızma testi ne sıklıkla yapılmalıdır?
ISO/IEC 27001 bilgi güvenliği yönetim sistemi standardı, KVKK Kişisel Veri Güvenliği Rehberi ve sektörel regülasyonlar; kurumların yılda en az 1 kez periyodik olarak ve ağ/yazılım mimarisinde yapılan her büyük değişiklik sonrasında sızma testi yaptırmasını şart koşmaktadır.
Sızma testi öncesinde ve sonrasında yasal gizlilik nasıl korunur?
Teste başlamadan önce taraflar arasında kapsamlı bir Gizlilik Sözleşmesi (NDA) ve “Sızma Testi Yetkilendirme ve Kapsam Mutabakatı” imzalanır. Test sürecinde elde edilen tüm bulgular ve raporlar yalnızca kurumun belirlediği yetkili yöneticiye kriptolu kanallardan teslim edilir ve test bitiminde test ortamındaki tüm geçici veriler güvenli şekilde imha edilir.