(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2015 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: Güvenlik Bir Varsayım Değil, Test Edilebilir Bir Durumdur
Kuruluşlar yeni nesil güvenlik duvarlarına, gelişmiş kimlik doğrulama sistemlerine veya uç nokta koruma çözümlerine yatırım yapabilirler. Ancak bir bilişim altyapısının gerçek dayanıklılığı, güvenlik politikalarında yazılan kurallarla değil; sistemin yetkili bir güvenlik uzmanı tarafından gerçek saldırı teknikleriyle test edildiğinde sergilediği dirençle ölçülür.
Kurumların siber riskleri henüz saldırganlar tarafından istismar edilmeden tespit etmesini sağlayan iki temel yaklaşım zafiyet taraması ve penetrasyon (sızma) testidir.
Temel Kavram Ayrımı: Zafiyet Taraması ile Sızma Testinin Yöntem ve Amaç Farkı
Uygulamada sıklıkla birbiri yerine kullanılan bu iki güvenlik faaliyeti, birbirinin alternatifi değil; birbirini tamamlayan farklı derinlikteki süreçlerdir:
| Kriter | Zafiyet Taraması (Vulnerability Scanning) | Penetrasyon / Sızma Testi (Penetration Testing) |
|---|---|---|
| Temel Amaç | Sistemlerde bilinen güvenlik açıklarının geniş kapsamlı ve hızlı bir envanterini çıkarmak. | Tespit edilen açıkların gerçek dünyada bir saldırgan tarafından istismar edilip edilemeyeceğini (exploitability) ve kurumsal etkisini belirlemek. |
| Yöntem | Otomatik zafiyet tarama yazılımları (Nessus, Qualys, OpenVAS vb.) ile kural tabanlı imza ve versiyon kontrolleri. | Uzman etik hackerlar tarafından hem otomatik araçların hem de derinlemesine manuel saldırı ve atlatma tekniklerinin bir arada kullanılması. |
| İstismar (Exploitation) | Açıklar istismar edilmez; yalnızca zafiyet şüphesi raporlanır. | Açıklar güvenli sınırlar içinde istismar edilerek somut kanıt (Proof of Concept - PoC) üretilir; yetki yükseltme ve yanal hareket (lateral movement) test edilir. |
| Doğrulama ve Kapsam | Hızlı ve periyodik (haftalık/aylık) uygulanabilir; ancak bağlam analizi yapamadığı için yanlış alarmlar (false-positive) içerebilir. | Belirli aralıklarla (yıllık/büyük değişiklik sonrası) uygulanır; uzman doğrulaması içerdiği için bağlamsal doğruluk yüksektir. |
Bilgi Düzeyine Göre Sızma Testi Yaklaşımları
Testin amacına ve simüle edilen tehdit aktörüne göre üç farklı yaklaşım benimsenir:
1. Siyah Kutu (Black Box)
- Test ekibine hedef kuruluşun IP adresleri veya alan adı dışında hiçbir iç mimari bilgi verilmez.
- Dış dünyadan internet üzerinden gelebilecek habersiz bir saldırganın perspektifini simüle eder.
- Kısıtı: Bilgi toplama süreci uzundur; ilk savunma hattında takılıp içerideki kritik açıkları gözden kaçırma riski taşır.
2. Beyaz Kutu (White Box / Crystal Box)
- Test ekibine ağ şemaları, sistem mimarisi, kaynak kodlar, API dokümanları ve yetkili kullanıcı hesapları sağlanır.
- En kapsamlı teknik denetim türüdür; özellikle yazılım geliştirme ve kritik altyapı güvenliğinde tercih edilir.
3. Gri Kutu (Gray Box)
- Test ekibine standart bir çalışan hesabı, sınırlı bir IP aralığı veya temel ağ erişimi verilir.
- Yetkisi ele geçirilmiş bir personelin, iş ortağının veya kurum içi bir tehdit aktörünün neler yapabileceğini ölçer.
- Sektörde maliyet ve etkinlik açısından en sık tercih edilen modeldir.
Sızma Testi Türleri ve Odak Alanları
- Dış Ağ Sızma Testi: İnternete açık servisler, VPN sonlandırıcıları, e-posta sunucuları ve DNS altyapısı.
- İç Ağ Sızma Testi: Kurum yerel ağına bağlı bir cihazdan Active Directory, veri tabanları ve iç sunuculara yönelik yetki yükseltme testleri.
- Web Uygulama ve API Testi: Web servisleri ve mobil arka uçlarının OWASP Top 10 zafiyetlerine (Enjeksiyon, Yetkilendirme Hataları, Güvenlik Yapılandırma Bozuklukları vb.) karşı testi.
- Mobil Uygulama Testi: Android ve iOS uygulamalarının OWASP Mobile Application Security Verification Standard (MASVS) kriterlerine göre statik/dinamik analizi.
- Kablosuz Ağ (Wi-Fi) Testi: Şifreleme algoritmaları, kurumsal kimlik doğrulama (WPA3/802.1X) ve sahte erişim noktası (Rogue AP) dayanıklılığı.
- Sosyal Mühendislik Testi: Çalışanların hedefli oltalama (spear-phishing) ve senaryo tabanlı aldatma girişimlerine karşı farkındalığının ölçülmesi.
Uluslararası Kabul Görmüş Test Metodolojileri
Sızma testleri keyfi yöntemlerle değil, standart süreçlerle yürütülmelidir:
- NIST SP 800-115: ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün Bilgi Güvenliği Test ve Değerlendirme Kılavuzu (Planlama, Keşif, Saldırı/İstismar, Raporlama).
- PTES (Penetration Testing Execution Standard): 7 aşamalı sızma testi icra standardı.
- OWASP WSTG: Web Güvenliği Test Kılavuzu.
- OSSTMM: Açık Kaynak Güvenlik Testi Metodolojisi Kılavuzu.
Türkiye’deki Düzenleyici Çerçeve ve Yasal Kapsamlar
Sızma testi yükümlülükleri kuruluşun faaliyet gösterdiği sektöre ve tabi olduğu yasal düzenlemelere göre farklılık gösterir:
- Bankacılık ve Finans Sektörü (BDDK):
- Resmî Kaynak: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (15 Mart 2020 tarih ve 31069 sayılı Resmî Gazete).
- Kapsam: Bankalar ve finansal kuruluşlar, yılda en az bir defa TSE onaylı firmalara iç ve dış sızma testi yaptırmak ve sonuçları BDDK’ya raporlamakla yükümlüdür.
- Kamu Kurumları ve Kritik Altyapılar (Cumhurbaşkanlığı DDO):
- Resmî Kaynak: Bilgi ve İletişim Güvenliği Rehberi (BİGR - Temmuz 2020 tarihli rehber ve 2019/12 sayılı Cumhurbaşkanlığı Genelgesi).
- Kapsam: Kamu kurumları ve kritik altyapı işletmecileri (enerji, su, ulaştırma, elektronik haberleşme), Madde 3.3 uyarınca rehber uyum denetimleri kapsamında periyodik sızma testi yaptırmak zorundadır.
- Kişisel Verilerin Korunması (KVKK):
- Resmî Kaynak: 6698 sayılı KVKK Kapsamında Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler).
- Kapsam: Veri sorumlularının bilgi sistemlerindeki teknik açıklıkları düzenli olarak tespit etmesi, sızma testleri ve zafiyet taramaları ile kontrolleri doğrulaması tavsiye edilen teknik tedbirler arasında yer alır.
- Hizmet Sağlayıcı Yeterliliği (TSE):
- Resmî Standart: TS 13638 (Yetkili Sızma Testi Uzmanları ve Firmaları İçin Kriterler).
- Kapsam: Sızma testi hizmeti veren firmaların ve uzman personelin teknik yeterliliğini belgelendiren ulusal akreditasyon/yetkilendirme programıdır.
- ISO/IEC 27001:2022 Uyumu:
- Kontrol: Ek A 8.8 (Teknik zafiyetlerin yönetimi) uyarınca, kullanılan sistemlerin teknik açıklarına karşı düzenli kontrollerin yapılması BGYS şartıdır.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Artık Risk Analizi: Sızma testinde bulunan açıkların risk puanlaması için Artık Risk Nedir? makalesini okuyabilirsiniz.
- Kurumsal Sızma Testi Hizmeti: Profesyonel sızma testi ve zafiyet denetimi hizmetlerimiz için Penetrasyon ve Sızma Testi Hizmeti sayfamızı inceleyebilirsiniz. (Hizmet Bağlantısı)