Sızma Testi (Pentest) Nedir, Nasıl Yapılır, Neden Şart?

Sızma testi (penetrasyon testi ya da kısaca pentest), yetkilendirilmiş uzmanların bir saldırganın kullanacağı yöntemlerle sistemlerinize kontrollü biçimde saldırarak hangi açıkların gerçekten istismar edilebildiğini ortaya koyduğu bir güvenlik değerlendirmesidir. Amaç sistemleri çökertmek değil; bir saldırganın nereden girebileceğini, içeride ne kadar ilerleyebileceğini ve hangi verilere ulaşabileceğini, zarar oluşmadan önce görmek ve kapatmaktır. Bu rehberde sızma testinin türlerini, sürecin nasıl işlediğini, raporun nasıl okunacağını ve doğru firmayı seçerken nelere bakmanız gerektiğini sahadaki deneyimimizle anlatıyoruz.

Sızma Testi ile Zafiyet Taraması Arasındaki Fark

İki kavram sıkça karıştırılır ve bu karışıklık yanlış hizmet satın alınmasına yol açar. Zafiyet taraması, otomatik araçların sistemlerinizdeki bilinen açıkları, eksik yamaları ve hatalı yapılandırmaları listelediği bir süreçtir. Hızlıdır, sık tekrarlanabilir ve geniş bir alanı kapsar; ancak bulduğu her şeyin gerçekten istismar edilebilir olduğunu kanıtlamaz ve yanlış pozitif sonuçlar üretebilir.

Sızma testi ise tarama sonuçlarını başlangıç noktası olarak kullanır ve bir adım öteye geçer. Test uzmanı açıkları elle doğrular, birbiriyle zincirler ve gerçek bir saldırı senaryosunun sonucunu gösterir. Örneğin tarama aracı bir web uygulamasında orta seviyeli bir bilgi ifşası ve iç ağda zayıf bir parola politikası raporlayabilir. Sızma testi ise bu iki bulgunun birleştirilerek etki alanı yöneticisi yetkisine kadar ulaşılabildiğini gösterir.

• Zafiyet taraması: Otomatiktir, geniş kapsamlıdır, sık (örneğin aylık) yapılır; bulguların bir kısmı teorik kalır.
• Sızma testi: İnsan uzmanlığına dayanır, belirli bir kapsamda derinlemesine ilerler, istismar edilebilirliği ve iş etkisini kanıtlar.

Doğru yaklaşım ikisini birlikte kullanmaktır: Düzenli taramalar günlük güvenlik hijyenini sağlar, periyodik sızma testi ise savunmanızın gerçek bir saldırgana ne kadar dayandığını ölçer.

Test Türleri: Dış Ağ, İç Ağ, Web Uygulaması, Sosyal Mühendislik

Dış ağ testi

İnternete açık tüm varlıklarınızı hedefler: güvenlik duvarı, VPN geçidi, e-posta sunucusu, uzak masaüstü servisleri ve dışa açık uygulamalar. Unutulmuş bir test sunucusu, varsayılan parolası değiştirilmemiş bir yönetim paneli ya da yaması geciken bir VPN cihazı, bu testte en sık karşılaştığımız bulgulardır.

İç ağ testi

Saldırganın bir şekilde içeri girdiğini varsayar; örneğin kimlik avı e-postasıyla ele geçirilmiş bir çalışan bilgisayarı. Buradan hareketle ağ segmentasyonu, Active Directory yapılandırması, paylaşım yetkileri ve yanal hareket imkânları test edilir. Fidye yazılımları çoğunlukla tam da bu aşamada, iç ağda yanal hareketle yayıldığı için iç ağ testi çoğu işletme için en öğretici testtir.

Web ve mobil uygulama testi

Müşteri portalı, e-ticaret sitesi, API'ler ve mobil uygulamalar; kimlik doğrulama, yetki kontrolü, girdi doğrulama ve oturum yönetimi açısından incelenir. OWASP'ın yayımladığı test rehberi ve en kritik web riskleri listesi bu testlerde yaygın olarak referans alınır. Farklı kullanıcı rollerinin birbirinin verisine erişip erişemediği, otomatik araçların yakalayamadığı en değerli bulgular arasındadır. Test öncesinde uygulanması gereken temel önlemleri web uygulaması güvenliği kontrol listemizde topladık.

Sosyal mühendislik testi

Teknik kontroller ne kadar güçlü olursa olsun insan faktörü ölçülmeden tablo eksik kalır. Kontrollü kimlik avı kampanyaları, telefonla bilgi toplama denemeleri ve gerekirse fiziksel erişim testleri bu başlıkta yer alır. Bu testler çalışanları suçlamak için değil, eğitim ihtiyacını belirlemek için yapılmalıdır; konuyu kimlik avı ve çalışan eğitimi rehberimizde ayrıntılı ele aldık.

Bu dört ana türün yanında kablosuz ağ testleri ve bulut yapılandırma incelemeleri de ihtiyaca göre kapsama eklenebilir.

Kara, Gri ve Beyaz Kutu Yaklaşımları

Test ekibine ne kadar bilgi verildiği, sonucun derinliğini ve maliyeti doğrudan etkiler.

• Kara kutu: Test ekibine yalnızca şirket adı veya alan adı verilir. Dışarıdaki bir saldırganın bakış açısını en gerçekçi biçimde yansıtır; ancak zamanın önemli kısmı keşfe harcanır ve bazı alanlar hiç görülmeyebilir.
• Gri kutu: Ekip standart bir kullanıcı hesabı, ağ şeması veya uygulama rolleri gibi sınırlı bilgiyle başlar. Bir çalışanın ya da kayıtlı bir müşterinin yapabileceklerini test eder. Çoğu kurumsal ihtiyaç için maliyet ve derinlik açısından en dengeli seçenektir.
• Beyaz kutu: Kaynak kod, mimari dokümanlar ve yapılandırmalar paylaşılır. En kapsamlı sonucu verir; kritik uygulamalar ve yeni geliştirilen sistemler için uygundur.

Seçim yaparken şu soruyu sorun: En çok hangi senaryodan endişe ediyoruz? İnternetten gelecek anonim bir saldırgan mı, yoksa hesabı ele geçirilmiş bir kullanıcı mı? Pratikte çoğu işletme için gri kutu yaklaşımı, sınırlı bütçeyle en fazla anlamlı bulguyu üretir.

Adım Adım Pentest Süreci: Kapsamdan Rapora

1. Kapsam ve hedef belirleme: Hangi IP aralıkları, alan adları, uygulamalar ve kullanıcı rolleri test edilecek; hangileri kesinlikle kapsam dışı? Test hangi sorulara cevap arayacak? Kapsam net değilse sonuç da net olmaz.
2. Kurallar ve yazılı yetkilendirme: Test zaman aralıkları, yasaklı teknikler (örneğin hizmet dışı bırakma denemeleri), acil durum iletişim kişileri ve yazılı izin belgesi hazırlanır. Barındırma veya bulut sağlayıcınızın bir test politikası varsa ona da uyulur.
3. Bilgi toplama ve keşif: Açık kaynaklardan, DNS kayıtlarından ve servis taramalarından saldırı yüzeyi çıkarılır.
4. Zafiyet analizi: Otomatik araçlar ve manuel inceleme birlikte kullanılarak aday açıklar belirlenir.
5. İstismar ve yetki yükseltme: Açıkların gerçekten kullanılabilir olup olmadığı kontrollü biçimde doğrulanır, erişim derinleştirilir ve hassas verilere ulaşılıp ulaşılamadığı gösterilir. Canlı sistemlerde bu aşama dikkatli ve sürekli iletişim hâlinde yürütülür.
6. Temizlik: Test sırasında oluşturulan hesaplar, dosyalar ve araçlar kaldırılır.
7. Raporlama ve sunum: Bulgular kanıtlarıyla belgelenir, yönetim ve teknik ekiplere ayrı ayrı sunulur.
8. Doğrulama testi: Düzeltmeler yapıldıktan sonra kritik bulguların gerçekten kapatıldığı yeniden test edilir. Bu adım sıkça atlanır; oysa sürecin değerini belirleyen adımdır.

Test öncesinde yedeklerin güncel olduğundan emin olmak ve operasyon ekibini bilgilendirmek, olası bir aksaklıkta hızlı toparlanmayı sağlar.

Raporu Okumak ve Bulguları Önceliklendirmek

İyi bir sızma testi raporunda iki katman bulunur. Yönetici özeti, teknik olmayan bir okuyucunun genel risk seviyesini, en kritik birkaç bulguyu ve bunların iş etkisini anlamasını sağlar. Teknik bölüm ise her bulgu için açıklama, etkilenen sistemler, tekrar üretme adımları, ekran görüntüsü gibi kanıtlar, risk derecesi ve somut düzeltme önerisi içerir. Risk derecelendirmesinde CVSS gibi yaygın bir puanlama sisteminin kullanılması bulguları karşılaştırmayı kolaylaştırır.

Bulguları önceliklendirirken yalnızca puana bakmayın. Şu kriterleri birlikte değerlendirin:

• İstismar kolaylığı: Açık internetten, kimlik doğrulama olmadan mı kullanılabiliyor?
• Varlığın önemi: Etkilenen sistem müşteri verisi, finans ya da üretim açısından kritik mi?
• Zincirleme etkisi: Orta seviyeli bir bulgu, başka bir açıkla birleşince tam yetkiye mi götürüyor?
• Düzeltme maliyeti: Tek bir yapılandırma değişikliğiyle kapatılabilen açıklar beklemeye alınmamalı.

Pratik bir kural olarak kritik ve yüksek bulgular için sorumlu kişi ve tarih belirleyin, orta seviyeleri bir sonraki bakım penceresine planlayın, düşük seviyeleri ise genel sıkılaştırma listesine alın. Aynı bulgunun her yıl yeniden çıkması teknik değil süreçsel bir sorunun işaretidir; genellikle yama yönetimi veya değişiklik yönetimi eksiktir.

Ne Sıklıkla Yapılmalı? KVKK, ISO 27001 ve Sektörel Gereklilikler

Genel kabul gören yaklaşım, kritik sistemler için en az yılda bir kapsamlı sızma testi ve her önemli değişiklikten sonra ek test yapmaktır. Önemli değişiklikten kastımız yeni bir uygulamanın yayına alınması, ağ mimarisinin değişmesi, buluta taşınma veya yeni bir şube bağlantısıdır.

• KVKK: 6698 sayılı Kanun sızma testini adıyla zorunlu tutmaz; ancak veri sorumlusuna kişisel verilerin güvenliği için uygun güvenlik düzeyini sağlama yükümlülüğü getirir. Kişisel Verileri Koruma Kurumu'nun teknik ve idari tedbirlere ilişkin rehberinde de zafiyetlerin düzenli olarak tespit edilmesi önerilen tedbirler arasında yer alır. Olası bir ihlalde düzenli test yaptığınızı belgeleyebilmek, özen yükümlülüğünüzü göstermenin güçlü bir yoludur.
• ISO 27001: Standart teknik zafiyetlerin yönetimini ve güvenlik kontrollerinin etkinliğinin düzenli olarak değerlendirilmesini ister. Sızma testi raporları, belgelendirme denetimlerinde bu kontrollerin kanıtı olarak sıkça kullanılır. Süreci ISO 27001 rehberimizde anlattık.
• Sektörel gereklilikler: Bankacılık, ödeme hizmetleri ve kamu gibi düzenlemeye tabi alanlarda ilgili otoritelerin düzenlemeleri periyodik sızma testini açıkça ister. Kart verisi işleyen işletmeler için PCI DSS de düzenli sızma testini zorunlu kılar.

Düzenleyici bir zorunluluğunuz olmasa bile kurumsal müşterileriniz ve iş ortaklarınız, tedarikçi güvenlik anketlerinde son sızma testinizin tarihini ve bulguların kapatılıp kapatılmadığını sorabilir.

Maliyeti Etkileyen Faktörler ve Firma Seçimi

Sızma testi fiyatları standart bir paket gibi değil, harcanacak uzman emeğine göre belirlenir. Teklifleri karşılaştırırken şu faktörlere bakın:

• Test edilecek IP adresi, uygulama, API ve kullanıcı rolü sayısı
• Kara, gri veya beyaz kutu yaklaşımı
• Sosyal mühendislik, kablosuz ağ veya fiziksel test gibi ek modüller
• Testin mesai dışında yapılması gibi operasyonel kısıtlar
• Doğrulama testinin fiyata dahil olup olmadığı
• Rapor dili ve yönetime yapılacak sunum

Çok düşük bir teklif, çoğu zaman yalnızca otomatik bir taramanın sızma testi adıyla satıldığı anlamına gelir. Bunu anlamanın en kolay yolu örnek bir rapor istemektir: Raporda yalnızca araç çıktısı varsa ve bulgular hiç zincirlenmemişse, aldığınız hizmet sızma testi değildir.

Firma seçerken sorulması gereken sorular:

1. Hangi metodolojiyi izliyorsunuz, testin ne kadarı manuel yürütülüyor?
2. Testi hangi uzmanlar yapacak, deneyimleri ve yetkinlikleri nedir?
3. Test sırasında kritik bir açık bulunursa bizi nasıl ve ne kadar hızlı haberdar edersiniz?
4. Test verilerini ve raporu nasıl saklıyor, ne zaman imha ediyorsunuz? Gizlilik sözleşmesi imzalıyor musunuz?
5. Doğrulama testi ve düzeltme desteği sağlıyor musunuz?

Son olarak testi yapan ekibin, sistemlerinizi kuran ve yöneten ekipten bağımsız olması tarafsızlık açısından önemlidir. Kendi kurduğu altyapıyı test eden bir ekip, kör noktaları görmekte zorlanabilir.

Sonuç

Sızma testi bir kerelik bir kontrol değil, güvenlik yatırımlarınızın gerçekten işe yarayıp yaramadığını ölçen düzenli bir sağlık taramasıdır. En yüksek değeri; net bir kapsamla başlayan, bulguları iş etkisine göre önceliklendiren ve düzeltmelerin doğrulandığı bir döngü içinde yapıldığında verir. Test öncesinde temel önlemlerinizi gözden geçirmek isterseniz KOBİ'ler için katmanlı siber güvenlik rehberimize göz atabilirsiniz. Ümraniye Bilişim siber güvenlik ekibi olarak kapsamınızı birlikte belirlemek ve size uygun test yaklaşımını konuşmak için ücretsiz ön görüşme planlayabiliriz.