Sızma Testi Hizmeti
Sızma testi, kurumunuzun ağ, sistem ve uygulamalarındaki güvenlik açıklarının yetkili uzmanlar tarafından, yazılı izinle ve kontrollü biçimde istismar edilmeye çalışılarak ölçülmesidir. SecureLine kapsamı sizinle birlikte belirler, testi planlı bir pencerede yürütür ve bulguları önceliklendirilmiş bir iyileştirme planıyla teslim eder.
- Çalışma yöntemi
- 5 adım
- Teslimatlar
- 5 kalem
Bu hizmet kimler için uygun?
Yıllık güvenlik değerlendirmesi, ISO 27001 veya müşteri denetimi gereği bağımsız test ihtiyacı olan kurumlar
Yeni bir sistem, uygulama veya ağ değişikliğini canlıya almadan önce doğrulamak isteyen BT ekipleri
KVKK kapsamında kişisel veri işleyen sistemlerinin teknik güvenliğini belgelemek isteyen işletmeler
Hangi problemleri çözer?
Dışarıdan erişilebilen sistemlerde bilinmeyen veya unutulmuş açıklar
Yanlış yapılandırılmış firewall kuralları ve gereğinden geniş erişim yetkileri
İç ağa erişen bir saldırganın kritik sistemlere ne kadar kolay ilerleyebileceğinin bilinmemesi
Denetimlerde istenen bağımsız güvenlik testi kanıtının eksikliği
Teknik uzmanlık alanlarımız
- Dış ağ (internet) ve iç ağ sızma testleri
- Web uygulaması güvenlik testleri
- Active Directory ve yetki yükseltme senaryoları
- Kablosuz ağ güvenlik değerlendirmesi
Sızma testi türleri
| Tür | Ne test edilir? | Ne zaman tercih edilir? |
|---|---|---|
| Dış ağ testi | İnternetten erişilebilen sunucular, VPN, e-posta ve web servisleri | Dış saldırı yüzeyinizi görmek istediğinizde |
| İç ağ testi | Ofis ağına bağlanan bir saldırganın erişebileceği sistemler | İç tehdit ve yanal hareket riskini ölçmek için |
| Web uygulaması testi | Kurumsal portallar, müşteri uygulamaları, API’ler | Yeni bir uygulama canlıya alınmadan önce |
| Kablosuz ağ testi | Wi-Fi ağları ve misafir ağ ayrımı | Çok lokasyonlu ofis ve üretim alanlarında |
Test yöntemi nasıl seçilir?
Kara kutu testte ekip sistem hakkında ön bilgi almadan dışarıdan bir saldırgan gibi çalışır. Gri kutu testte sınırlı kullanıcı bilgisi verilir ve yetkili bir kullanıcının neler yapabileceği ölçülür. Çoğu kurum için en verimli sonuç gri kutu yaklaşımıyla alınır, çünkü kısıtlı test süresi keşif yerine gerçek risklere harcanır.
Nasıl çalışıyoruz?
Kapsam ve kurallar
Test edilecek IP blokları, uygulamalar, test pencereleri ve yasaklı işlemler yazılı olarak belirlenir ve onaylanır.
Keşif ve analiz
Hedef sistemler, açık servisler ve olası saldırı yüzeyi pasif ve aktif yöntemlerle çıkarılır.
Kontrollü istismar
Bulunan açıkların gerçek etkisi, sistemlerin sürekliliğini riske atmadan doğrulanır.
Raporlama
Her bulgu risk seviyesi, kanıtı ve uygulanabilir çözüm önerisiyle raporlanır; yönetici özeti ayrıca hazırlanır.
Doğrulama testi
İyileştirmeler tamamlandıktan sonra kapatılan bulgular yeniden test edilir.
Teslimatlar ve kapsam
Kapsamın tamamı teklif ve sözleşmede yazılı olarak tanımlanır.
Teslimatlar
- Onaylı kapsam ve test kuralları dokümanı
- Teknik bulgu raporu (risk seviyesi, kanıt, çözüm önerisi)
- Üst yönetim için yönetici özeti
- Önceliklendirilmiş iyileştirme planı
- İyileştirme sonrası doğrulama testi sonucu
Kapsam dışı
- Yazılı izin verilmemiş sistemler, üçüncü taraf altyapılar ve kapsam dışı IP adresleri
- Hizmet kesintisine yol açabilecek yük ve hizmet engelleme (DoS) testleri
- Bulguların SecureLine tarafından düzeltilmesi (ayrı bir iyileştirme danışmanlığı kapsamında sunulur)
Testten sonra
Bulguların kapatılması için iyileştirme danışmanlığı ve dönemsel yeniden değerlendirme ile güvenlik seviyenizi sürekli takip edebilirsiniz.
Sıkça sorulan sorular
Sızma testi ile zafiyet taraması arasındaki fark nedir?
Zafiyet taraması, otomatik araçlarla bilinen açıkları listeler. Sızma testinde ise uzman bir ekip bu açıkların gerçekten istismar edilip edilemeyeceğini ve bir saldırganın ne kadar ilerleyebileceğini elle doğrular. Sonuç, yanlış alarmlardan arındırılmış ve iş etkisine göre önceliklendirilmiş bir bulgu listesidir.
Sızma testi sistemlerimizde kesintiye yol açar mı?
Testler, sizinle birlikte belirlenen pencerelerde ve kesinti riski taşıyan işlemler önceden kapsam dışı bırakılarak yürütülür. Kritik bir sistemde risk görüldüğünde işlem durdurulur ve yetkili kişinizle iletişime geçilir.
Sızma testi ne sıklıkla yapılmalı?
Genel yaklaşım yılda en az bir kez ve her önemli altyapı veya uygulama değişikliğinden sonra test yapılmasıdır. Sektörünüzün ve denetim yükümlülüklerinizin gerektirdiği sıklık ilk görüşmede birlikte değerlendirilir.
Sızma testinin maliyetini neler belirler?
Maliyeti test edilecek IP ve uygulama sayısı, testin dış ağ, iç ağ veya uygulama odaklı olması, test yöntemi (kara kutu, gri kutu) ve doğrulama testinin kapsamı belirler. Kapsam netleştikten sonra yazılı teklif hazırlanır.
Rapor KVKK ve ISO 27001 denetimlerinde kullanılabilir mi?
Evet. Rapor; kapsamı, yöntemi, tarihleri, bulguları ve iyileştirme önerilerini denetçinin inceleyebileceği biçimde belgeler. Hangi kontrol maddelerine kanıt olarak sunulacağı denetim ekibinizle birlikte netleştirilmelidir.