“Sızma testi yaptıralım” kararı verildiğinde ilk soru şudur: neyi test edeceğiz? Her test türü farklı bir saldırı yüzeyine ve farklı bir riske odaklanır. Aşağıda hizmet verdiğimiz sekiz test türünü ve hangi ihtiyaca yanıt verdiklerini özetledik.
1. Dış Ağ Sızma Testi
İnternete açık IP adresleri, alan adları ve servisler (web, e-posta, VPN, firewall) bir saldırganın gözünden test edilir. İnternete açık her kuruluş için ilk öncelik olmalıdır. Ayrıntılar
2. İç Ağ Sızma Testi
Kötü niyetli bir çalışanın ya da zararlı yazılımla ele geçirilmiş bir bilgisayarın iç ağda neler yapabileceği test edilir; yetki yükseltme ve yatay hareket senaryoları incelenir. Ayrıntılar
3. Web Uygulama Sızma Testi
Web siteleri, müşteri portalları ve API’ler OWASP metodolojisiyle, ağırlıklı olarak manuel testlerle incelenir; yetkilendirme ve iş mantığı hataları da değerlendirilir. Ayrıntılar
4. Mobil Uygulama Sızma Testi
Android ve iOS uygulamalarında cihaz üzerinde veri saklama, sunucuyla iletişim ve uygulama bütünlüğü test edilir. Ayrıntılar
5. Kablosuz Ağ Sızma Testi
Kurumsal ve misafir Wi-Fi ağlarının şifreleme yapılandırması, ağ ayrımı ve sahte erişim noktası senaryoları test edilir. Ayrıntılar
6. Sosyal Mühendislik Testi
Oltalama (phishing) e-postaları ve telefon senaryolarıyla çalışan farkındalığı ölçülür; sonuçlar kişileri hedef almadan, eğitim ihtiyacını gösterecek şekilde raporlanır. Ayrıntılar
7. DoS / DDoS ve Performans Testi
Kontrollü trafik yüküyle servislerin kapasite sınırları ve koruma çözümlerinin etkinliği ölçülür. Ayrıntılar
8. VoIP Sızma Testi
IP santral ve sesli iletişim altyapısında yetkisiz arama, dinleme ve yönetim arayüzlerine erişim riskleri test edilir. Ayrıntılar
Hangi Test Size Uygun?
- Müşteri verisi barındıran bir web uygulamanız varsa: Web uygulama + dış ağ testi
- Çok şubeli bir yapınız ve geniş bir iç ağınız varsa: İç ağ + kablosuz ağ testi
- Oltalama saldırıları sizin için ana riskse: Sosyal mühendislik testi ve ardından farkındalık eğitimi
- Mobil uygulamanız müşterilerle doğrudan etkileşimdeyse: Mobil uygulama + API testi
- Kesintisiz hizmet kritikse: DDoS ve performans testi
Test sürecinin nasıl ilerlediğini sızma testi adımları yazımızda anlattık.
Sızma testi hizmeti kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
Penetrasyon (Sızma) Testi Nedir? Neden Yapılır?
Penetrasyon testi nedir, zafiyet taramasından farkı ne? Sızma testinin amacı, yöntemleri, kimlerin yaptırması gerektiği ve test sonunda alınan rapor.
Sızma Testi Adımları: Planlamadan Raporlamaya
Sızma testi adımları nelerdir? Kapsam belirleme, bilgi toplama, zafiyet analizi, istismar, raporlama ve doğrulama testiyle bir pentest nasıl yürütülür.
ISO 27001:2022 Maddeleri ve Ek-A Kontrolleri
ISO 27001 maddeleri nelerdir? 4–10. maddelerin şartları, Ek-A’daki 93 kontrolün 4 temaya göre dağılımı ve 2022 sürümüyle gelen 11 yeni kontrol.Sıkça Sorulan Sorular
İlk kez sızma testi yaptıracağım, hangisiyle başlamalıyım?
Çoğu kuruluş için başlangıç noktası dış ağ ve internete açık web uygulamalarıdır; çünkü saldırıların büyük kısmı buradan başlar. İç ağ testi ise ikinci adımda planlanabilir.
Birden fazla test türü birlikte yapılabilir mi?
Evet. Kapsam belirlenirken dış ağ, iç ağ ve uygulama testleri tek bir proje içinde planlanabilir; bu hem süreyi hem maliyeti optimize eder.
