Sistemlerinizi Bir Saldırganın Gözünden Görün
Sızma testi; ağınızın, uygulamalarınızın ve çalışanlarınızın gerçek saldırı senaryolarına karşı ne kadar dayanıklı olduğunu ölçer. Otomatik taramalarla bulunan açıklar uzmanlar tarafından manuel olarak doğrulanır, bir saldırganın ne kadar ilerleyebileceği kontrollü biçimde gösterilir ve bulgular risk seviyesine göre önceliklendirilir.
Dış Ağ Sızma Testi
İnternete açık IP adresleriniz, alan adlarınız ve servisleriniz (web, e-posta, DNS, VPN, güvenlik duvarı) bir saldırganın gözünden test edilir; dışarıdan istismar edilebilen zafiyetler ortaya çıkarılır.
- Keşif ve açık kaynak bilgi toplama
- Port, servis ve sürüm analizi
- Zafiyetlerin manuel doğrulanması ve istismar denemeleri
- VPN ve uzaktan erişim noktalarının kontrolü
İç Ağ Sızma Testi
Kurum içindeki yetkisiz bir kullanıcının ya da ele geçirilmiş bir bilgisayarın neler yapabileceği test edilir; yetki yükseltme ve ağ içinde yayılma senaryolarına odaklanılır.
- Active Directory ve domain güvenliği
- Yanlış yapılandırmalar, zayıf ve varsayılan parolalar
- Yetki yükseltme ve yatay hareket (lateral movement)
- VLAN ve ağ segmentasyonu kontrolleri
Web Uygulama Sızma Testi
Web siteleri, portallar ve API’ler, OWASP metodolojisine uygun olarak ağırlıklı manuel testlerle incelenir; uygulamaya özgü mantık hataları da değerlendirilir.
- OWASP Top 10 ve ASVS odaklı testler
- Kimlik doğrulama, oturum ve yetkilendirme kontrolleri
- API güvenlik testleri
- İsteğe bağlı kaynak kod analizi
Mobil Uygulama Sızma Testi
Android ve iOS uygulamalarınız; cihaz üzerinde veri saklama, sunucuyla iletişim ve uygulama bütünlüğü açısından test edilir.
- OWASP MASVS odaklı testler
- Cihazda saklanan verilerin güvenliği
- Uygulama ile API arasındaki iletişimin güvenliği
- Tersine mühendislik ve kod değiştirme kontrolleri
Kablosuz Ağ Sızma Testi
Kurumsal ve misafir kablosuz ağlarınız; yetkisiz erişim, zayıf şifreleme ve sahte erişim noktası senaryolarıyla test edilir.
- WPA2 / WPA3 yapılandırma kontrolleri
- Misafir ağ ile kurumsal ağın ayrımı
- Sahte erişim noktası (rogue AP) senaryoları
- Kablosuz ağdan iç ağa erişim denemeleri
Sosyal Mühendislik Testi
Oltalama (phishing), telefonla dolandırıcılık ve gerektiğinde fiziksel senaryolarla çalışanların farkındalığı ölçülür; sonuçlar kişileri hedef almadan raporlanır.
- Oltalama e-posta kampanyaları
- Telefon (vishing) senaryoları
- İsteğe bağlı fiziksel giriş senaryoları
- Sonuçlara göre farkındalık eğitimi önerileri
DoS / DDoS ve Performans Testi
Uygulama ve servisleriniz kontrollü trafik yüküyle test edilir; kapasite sınırları, darboğazlar ve koruma çözümlerinin etkinliği ortaya çıkarılır.
- Ağ ve taşıma katmanı yük testleri
- HTTP/S uygulama katmanı senaryoları
- Kapasite ve ölçekleme önerileri
- Önceden mutabakatla, genellikle mesai dışında uygulama
VoIP Sızma Testi
IP santral ve sesli iletişim altyapınız; yetkisiz arama, dinleme ve yönetim arayüzlerine erişim senaryolarıyla test edilir.
- SIP sunucusu ve santral güvenliği
- Yetkisiz arama ve sahtecilik (toll fraud) senaryoları
- Ses trafiğinin dinlenmesine karşı kontroller
- Yönetim arayüzlerinin erişim güvenliği
Sızma Testi Nasıl İlerler?
- Kapsam belirleme: Test türleri, hedef sistemler, kurallar ve takvim birlikte netleştirilir.
- Test uygulaması: Keşif, zafiyet analizi ve kontrollü istismar denemeleri yapılır.
- Raporlama: Yönetici özeti, teknik bulgular ve önceliklendirilmiş aksiyon planı sunulur.
- Doğrulama testi: Giderilen açıklar yeniden test edilerek kapatıldığı doğrulanır.
Raporda Neler Var?
- Yönetici özeti: Genel risk durumu ve iş etkisi, teknik olmayan bir dille
- Teknik bulgular: Her zafiyetin açıklaması, kanıtı ve risk puanı (CVSS)
- Aksiyon planı: Önceliklendirilmiş çözüm önerileri
Kapsamınızı birkaç soruyla belirleyin, size uygun teklifi hazırlayalım.
Sızma Testi Hakkında Sıkça Sorulan Sorular
Penetrasyon testi nedir?
Penetrasyon testi (sızma testi), bir sistemin, ağın veya uygulamanın güvenlik açıklarını belirlemek için yetkili uzmanlarca, sizin onayınızla ve belirlenen kurallar çerçevesinde yapılan kontrollü saldırı simülasyonudur.
Sızma testi ile zafiyet taraması arasındaki fark nedir?
Zafiyet taraması otomatik araçlarla yapılır, hızlıdır ama yanlış alarm üretebilir. Sızma testinde bulgular uzmanlar tarafından manuel olarak doğrulanır ve bir saldırganın gerçekte ne kadar ilerleyebileceği gösterilir.
Sızma testi fiyatı neye göre belirlenir?
Test türleri, dış IP ve alan adı sayısı, iç ağdaki sunucu ve cihaz sayısı, web ve mobil uygulama sayısı, sosyal mühendislik yapılacak kullanıcı sayısı ve testin derinliği fiyatı belirler. Kapsam netleştiğinde sabit fiyatlı teklif veriyoruz.
Test sırasında sistemlerimizde kesinti olur mu?
Testler üretimi etkilemeyecek şekilde planlanır. Riskli adımlar önceden onayınıza sunulur; yük testleri gibi kritik senaryolar mutabakatla ve genellikle mesai dışında yapılır.
Sızma testi ne sıklıkla yapılmalı?
En az yılda bir kapsamlı test ve önemli altyapı veya uygulama değişikliklerinin ardından hedefli test önerilir. Bazı sektörel düzenlemeler daha sık test isteyebilir.
Sızma testi ISO 27001 ve KVKK uyumuna nasıl katkı sağlar?
ISO 27001’in teknik zafiyet yönetimi kontrolü için güçlü bir kanıttır; KVKK kapsamındaki teknik tedbirlerin etkinliğini de gösterir. Ayrıntılar için ISO 27001 danışmanlığı ve KVKK danışmanlığı sayfalarımıza bakabilirsiniz.
Test bittikten sonra raporuma ne olur?
Sızma testi raporu şifrelenmiş olarak yöneticinize iletilir. Raporlar talebinize göre testin ardından silinebilir ya da doğrulama testleri için iki yıla kadar güvenli biçimde saklanabilir.
