Özet: Penetrasyon (sızma) testi rehberi: Otomatik zafiyet taraması ile etik hacker sızma testi farkı, iç/dış/web ağ test kapsamları, 5 aşamalı icra döngüsü (Recon, Scanning, Exploitation, Privilege Escalation, Reporting) ve doğrulama re-testi.
Kapsam ve Çerçeve: PTES, NIST SP 800-115, OWASP ve TSE Sızma Testi standartları uyarınca kurumsal penetrasyon testi metodolojisi, CVSS derecelendirmesi ve PoC raporlama ilkeleri.
(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2015 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: Güvenlik Bir Varsayım Değil, Test Edilebilir Bir Durumdur
Kuruluşlar yeni nesil güvenlik duvarlarına, gelişmiş kimlik doğrulama sistemlerine veya uç nokta koruma çözümlerine yatırım yapabilirler. Ancak bir bilişim altyapısının gerçek dayanıklılığı, güvenlik politikalarında yazılan kurallarla değil; sistemin yetkili bir güvenlik uzmanı tarafından gerçek saldırı teknikleriyle test edildiğinde sergilediği dirençle ölçülür.
Kurumların siber riskleri henüz saldırganlar tarafından istismar edilmeden tespit etmesini sağlayan iki temel yaklaşım zafiyet taraması ve penetrasyon (sızma) testidir.
Temel Kavram Ayrımı: Zafiyet Taraması ile Sızma Testinin Yöntem ve Amaç Farkı
Uygulamada sıklıkla birbiri yerine kullanılan bu iki güvenlik faaliyeti, birbirinin alternatifi değil; birbirini tamamlayan farklı derinlikteki süreçlerdir:
| Kriter | Zafiyet Taraması (Vulnerability Scanning) | Penetrasyon / Sızma Testi (Penetration Testing) |
|---|---|---|
| Temel Amaç | Sistemlerde bilinen güvenlik açıklarının geniş kapsamlı ve hızlı bir envanterini çıkarmak. | Tespit edilen açıkların gerçek dünyada bir saldırgan tarafından istismar edilip edilemeyeceğini (exploitability) ve kurumsal etkisini belirlemek. |
| Yöntem | Otomatik zafiyet tarama yazılımları (Nessus, Qualys, OpenVAS vb.) ile kural tabanlı imza ve versiyon kontrolleri. | Uzman etik hackerlar tarafından hem otomatik araçların hem de derinlemesine manuel saldırı ve atlatma tekniklerinin bir arada kullanılması. |
| İstismar (Exploitation) | Açıklar istismar edilmez; yalnızca zafiyet şüphesi raporlanır. | Açıklar güvenli sınırlar içinde istismar edilerek somut kanıt (Proof of Concept - PoC) üretilir; yetki yükseltme ve yanal hareket (lateral movement) test edilir. |
| Doğrulama ve Kapsam | Hızlı ve periyodik (haftalık/aylık) uygulanabilir; ancak bağlam analizi yapamadığı için yanlış alarmlar (false-positive) içerebilir. | Belirli aralıklarla (yıllık/büyük değişiklik sonrası) uygulanır; uzman doğrulaması içerdiği için bağlamsal doğruluk yüksektir. |
Bilgi Düzeyine Göre Sızma Testi Yaklaşımları
Testin amacına ve simüle edilen tehdit aktörüne göre üç farklı yaklaşım benimsenir:
1. Siyah Kutu (Black Box)
- Test ekibine hedef kuruluşun IP adresleri veya alan adı dışında hiçbir iç mimari bilgi verilmez.
- Dış dünyadan internet üzerinden gelebilecek habersiz bir saldırganın perspektifini simüle eder.
- Kısıtı: Bilgi toplama süreci uzundur; ilk savunma hattında takılıp içerideki kritik açıkları gözden kaçırma riski taşır.
2. Beyaz Kutu (White Box / Crystal Box)
- Test ekibine ağ şemaları, sistem mimarisi, kaynak kodlar, API dokümanları ve yetkili kullanıcı hesapları sağlanır.
- En kapsamlı teknik denetim türüdür; özellikle yazılım geliştirme ve kritik altyapı güvenliğinde tercih edilir.
3. Gri Kutu (Gray Box)
- Test ekibine standart bir çalışan hesabı, sınırlı bir IP aralığı veya temel ağ erişimi verilir.
- Yetkisi ele geçirilmiş bir personelin, iş ortağının veya kurum içi bir tehdit aktörünün neler yapabileceğini ölçer.
- Sektörde maliyet ve etkinlik açısından en sık tercih edilen modeldir.
Sızma Testi Türleri ve Odak Alanları
- Dış Ağ Sızma Testi: İnternete açık servisler, VPN sonlandırıcıları, e-posta sunucuları ve DNS altyapısı.
- İç Ağ Sızma Testi: Kurum yerel ağına bağlı bir cihazdan Active Directory, veri tabanları ve iç sunuculara yönelik yetki yükseltme testleri.
- Web Uygulama ve API Testi: Web servisleri ve mobil arka uçlarının OWASP Top 10 zafiyetlerine (Enjeksiyon, Yetkilendirme Hataları, Güvenlik Yapılandırma Bozuklukları vb.) karşı testi.
- Mobil Uygulama Testi: Android ve iOS uygulamalarının OWASP Mobile Application Security Verification Standard (MASVS) kriterlerine göre statik/dinamik analizi.
- Kablosuz Ağ (Wi-Fi) Testi: Şifreleme algoritmaları, kurumsal kimlik doğrulama (WPA3/802.1X) ve sahte erişim noktası (Rogue AP) dayanıklılığı.
- Sosyal Mühendislik Testi: Çalışanların hedefli oltalama (spear-phishing) ve senaryo tabanlı aldatma girişimlerine karşı farkındalığının ölçülmesi.
Uluslararası Kabul Görmüş Test Metodolojileri
Sızma testleri keyfi yöntemlerle değil, standart süreçlerle yürütülmelidir:
- NIST SP 800-115: ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün Bilgi Güvenliği Test ve Değerlendirme Kılavuzu (Planlama, Keşif, Saldırı/İstismar, Raporlama).
- PTES (Penetration Testing Execution Standard): 7 aşamalı sızma testi icra standardı.
- OWASP WSTG: Web Güvenliği Test Kılavuzu.
- OSSTMM: Açık Kaynak Güvenlik Testi Metodolojisi Kılavuzu.
Türkiye’deki Düzenleyici Çerçeve ve Yasal Kapsamlar
Sızma testi yükümlülükleri kuruluşun faaliyet gösterdiği sektöre ve tabi olduğu yasal düzenlemelere göre farklılık gösterir:
- Bankacılık ve Finans Sektörü (BDDK):
- Resmî Kaynak: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (15 Mart 2020 tarih ve 31069 sayılı Resmî Gazete).
- Kapsam: Bankalar ve finansal kuruluşlar, yılda en az bir defa TSE onaylı firmalara iç ve dış sızma testi yaptırmak ve sonuçları BDDK’ya raporlamakla yükümlüdür.
- Kamu Kurumları ve Kritik Altyapılar (Cumhurbaşkanlığı DDO):
- Resmî Kaynak: Bilgi ve İletişim Güvenliği Rehberi (BİGR - Temmuz 2020 tarihli rehber ve 2019/12 sayılı Cumhurbaşkanlığı Genelgesi).
- Kapsam: Kamu kurumları ve kritik altyapı işletmecileri (enerji, su, ulaştırma, elektronik haberleşme), Madde 3.3 uyarınca rehber uyum denetimleri kapsamında periyodik sızma testi yaptırmak zorundadır.
- Kişisel Verilerin Korunması (KVKK):
- Resmî Kaynak: 6698 sayılı KVKK Kapsamında Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler).
- Kapsam: Veri sorumlularının bilgi sistemlerindeki teknik açıklıkları düzenli olarak tespit etmesi, sızma testleri ve zafiyet taramaları ile kontrolleri doğrulaması tavsiye edilen teknik tedbirler arasında yer alır.
- Hizmet Sağlayıcı Yeterliliği (TSE):
- Resmî Standart: TS 13638 (Yetkili Sızma Testi Uzmanları ve Firmaları İçin Kriterler).
- Kapsam: Sızma testi hizmeti veren firmaların ve uzman personelin teknik yeterliliğini belgelendiren ulusal akreditasyon/yetkilendirme programıdır.
- ISO/IEC 27001:2022 Uyumu:
- Kontrol: Ek A 8.8 (Teknik zafiyetlerin yönetimi) uyarınca, kullanılan sistemlerin teknik açıklarına karşı düzenli kontrollerin yapılması BGYS şartıdır.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Artık Risk Analizi: Sızma testinde bulunan açıkların risk puanlaması için Artık Risk Nedir? makalesini okuyabilirsiniz.
- Kurumsal Sızma Testi Hizmeti: Profesyonel sızma testi ve zafiyet denetimi hizmetlerimiz için Penetrasyon ve Sızma Testi Hizmeti sayfamızı inceleyebilirsiniz. (Hizmet Bağlantısı)
Sık Sorulan Sorular
Sızma testi ne sıklıkla yapılmalıdır?
ISO 27001, KVKK ve BDDK gibi ulusal/uluslararası standartlar sızma testinin yılda en az bir kez periyodik olarak yapılmasını şart koşar. Ayrıca sistem mimarisinde büyük bir değişiklik yapıldığında veya yeni bir web uygulaması canlıya alınmadan önce mutlaka pentest tekrarlanmalıdır.
Sızma testi sırasında sistemlerin çökmesi veya veri kaybı riski var mıdır?
Kontrollü bir testte amaç sisteme zarar vermek değil açık bulmaktır. Test öncesi imzalanan Kurallara Bağlılık Sözleşmesinde (Rules of Engagement - RoE) test saatleri, hizmet dışı bırakma (DoS) testlerinin kapsamı ve yedekleme şartları net olarak belirlenir.
Sızma testi raporunda hangi bilgiler yer almalıdır?
Rapor; yönetici özeti, metodoloji, tespit edilen her zafiyetin teknik açıklaması, ekran görüntüleri (Proof of Concept - PoC), CVSS v3 risk puanı ve açığın yazılımcı veya sistem yöneticisi tarafından nasıl kapatılacağına dair net çözüm önerilerini içermelidir.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.