Sızma Testi (Penetration Testing) Nedir, Nasıl Yapılır?

Sızma Testi (Penetration Testing) Nedir, Nasıl Yapılır? sorusu, dijital varlıklarını siber tehditlere karşı korumak ve yasal uyumluluk süreçlerini eksiksiz tamamlamak isteyen işletmeler için kritik bir teknik yol haritası sunar. Bilgi güvenliği süreçlerinde proaktif bir yaklaşım benimseyen organizasyonlar, ağ altyapısı ve uygulamalarındaki zayıf noktaları tespit etmek amacıyla bu kontrollü simülasyonlardan yararlanır. Bu rehberde, sızma testinin temel kapsamını, yasal dayanaklarını, farklı metodolojik yaklaşımlarını, test adımlarını ve hizmet alım sürecinde dikkat edilmesi gereken kritik parametreleri nesnel ve teknik veriler ışığında inceleyerek karar vericilere rehberlik etmeyi amaçlıyoruz.

Sızma Testi (Penetration Testing) Nedir?

Sızma Testinin Tanımı ve Kapsamı

Sızma testi, bir organizasyonun bilgi işlem altyapısını oluşturan ağ elemanları, sunucular, veri tabanları, istemciler ve yazılım uygulamalarının güvenlik durumunu değerlendirmek amacıyla gerçekleştirilen yetkilendirilmiş bir siber saldırı simülasyonu çalışmasıdır. Temel amacı, kötü niyetli aktörler tarafından istismar edilebilecek güvenlik açığı noktalarını, sistem mimarisindeki mantıksal hataları ve yapılandırma eksikliklerini önceden belirlemektir.

Süreç, uluslararası siber güvenlik standartları (örneğin NIST SP 800-115 veya OSSTMM) çerçevesinde yürütülür. Test esnasında tespit edilen açıklar, yalnızca teorik birer bulgu olarak kalmaz; kontrollü yöntemlerle istismar edilerek sistem üzerindeki gerçek etki düzeyi ölçülür. Bu derinlikli doğrulama, sızma testini diğer siber güvenlik analiz yöntemlerinden ayıran en belirgin özelliktir.

Etik Hackerlar ve Rolleri

Sızma testlerini gerçekleştiren uzmanlar, siber saldırganların kullandığı tüm araç, yöntem ve taktikleri bilen ancak bu becerilerini sadece sistemleri daha güvenli hale getirmek için kullanan yetkilendirilmiş kişilerden oluşur. Sektörde etik hacker (beyaz şapkalı hacker) olarak adlandırılan bu uzmanlar, gerçekleştirdikleri her eylemi yasal sınırlar ve müşteri sözleşmeleri dahilinde yürütür.

Bu uzmanlar, sızma faaliyeti esnasında elde ettikleri tüm bulguları ve ele geçirdikleri yetkileri detaylı olarak belgeler. Amaçları, hedef sistemde kalıcı hasar bırakmak veya operasyonel işleyişi kesintiye uğratmak değil; savunma mekanizmalarının sınırlarını zorlayarak sistem yöneticilerine gerçekçi bir risk resmi sunmaktır.

Sızma Testinin Amaçları

Sızma testinin temel amacı, sistemlerin koruma seviyesini ölçerek zafiyet yönetimi sürecine girdi sağlamaktır. Sistemlerdeki mantıksal hataları, hatalı yapılandırmaları ve sıfır gün (zero-day) açıkları gibi gelişmiş tehditleri ortaya çıkarmak bu simülasyonun odak noktasıdır.

• Risk Derecelendirmesi: Tespit edilen her bir açığın CVSS (Common Vulnerability Scoring System) kriterlerine göre 1.0 ile 10.0 arasında puanlanarak kurumsal risk üzerindeki gerçek etkisinin analiz edilmesi.

• Savunma Katmanlarının Test Edilmesi: Güvenlik duvarları (Firewall), Saldırı Engelleme Sistemleri (IPS), EDR (Endpoint Detection and Response) ve SIEM gibi yatırımların siber saldırı simülasyonu karşısındaki gerçek zamanlı koruma ve tespit yeteneklerinin ölçülmesi.

• Yasal ve Sektörel Uyumluluk: Bilgi güvenliği standartlarının gerektirdiği teknik denetimlerin eksiksiz yerine getirilmesi ve belgelenmesi.

---

Kurumlar İçin Sızma Testi Neden Kritik Bir Zorunluluktur?

KVKK ve GDPR Kapsamında Yasal Yükümlülükler

Kişisel verilerin korunması mevzuatları, veri sorumlularına işledikleri verilerin güvenliğini sağlama konusunda ağır hukuki ve cezai yükümlülükler yükler. Türkiye Cumhuriyeti sınırları içerisinde faaliyet gösteren kurumlar için KVKK uyumluluğu, Avrupa Birliği standartlarına tabi olanlar için ise GDPR kuralları geçerlidir. KVKK Madde 12 kapsamında veri sorumluları, kişisel verilerin hukuka aykırı olarak erişilmesini önlemek amacıyla her türlü teknik tedbiri almak zorundadır.

Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayımlanan teknik tedbirler rehberinde, sistemlerin siber güvenlik durumunun periyodik olarak sızma testleri vasıtasıyla denetlenmesi gerektiği açıkça belirtilmektedir. Olası bir veri ihlali durumunda, sızma testi yaptırmamış veya test raporundaki açıkları gidermemiş kurumlara uygulanan idari para cezaları, ihmal gerekçesiyle üst limitlerden verilmektedir.

ISO 27001 ve Sektörel Standartlara (BDDK vb.) Uyum

Uluslararası standartlar ve sektörel düzenlemeler, sızma testini bir seçenek olmaktan çıkarıp zorunlu bir süreç haline getirmektedir. ISO 27001 bilgi güvenliği yönetim sistemi belgelendirmesine sahip olan ya da bu süreci yürüten kuruluşlar, teknik zayıflıkların yönetilmesi kontrolü gereğince altyapılarını düzenli olarak sızma testine tabi tutmakla yükümlüdür.

Finansal kurumlar, ödeme sistemleri sağlayıcıları ve kritik altyapı operatörleri için regülasyonlar daha katıdır. Örneğin, bankacılık sektöründe BDDK siber güvenlik tebliği kapsamında bankaların ve anlaşmalı oldukları bağımsız bilgi teknolojileri denetim kuruluşlarının yılda en az bir defa sızma testi yaptırması ve bu test sonuçlarını raporlaması yasal bir zorunluluktur. Benzer şekilde, kredi kartı verisi işleyen kurumlar için PCI-DSS standardı, hem dahili hem de harici sızma testlerinin her yıl gerçekleştirilmesini zorunlu tutar.

Maddi Zararların ve Kurumsal İtibar Kayıplarının Önlenmesi

Siber saldırıların kurumlara getirdiği doğrudan maliyetler; iş durması, fidye talepleri, veri kurtarma operasyonları ve yasal tazminatları kapsar. İşletmelerin siber tehdit istihbaratı verilerini kullanarak proaktif davranması, reaktif kriz yönetiminden çok daha düşük maliyetlidir.

• Doğrudan Zararlar: Saldırganların sistemleri kilitlemesi (Ransomware) sonucu oluşan gelir kaybı ve sistemleri ayağa kaldırmak için harcanan kaynaklar.

• Dolaylı Zararlar: Müşteri güveninin sarsılması, marka değerinin düşmesi, rekabet avantajının kaybedilmesi ve borsa değerindeki ani düşüşler.

• Yasal Cezalar: Mevzuata aykırılıktan doğan idari para cezaları ve veri sahiplerinin açabileceği tazminat davaları.

İş Sürekliliği ve Siber Risk Yönetimi

Modern iş modellerinde tüm süreçlerin dijital sistemlere entegre olması, sistemlerin erişilebilirliğini iş sürekliliğinin temeli haline getirmiştir. Sızma testi, risk yönetimi çerçevesinin en somut bileşenidir. Sistemlerdeki zayıf halkaları henüz bir saldırgan tarafından keşfedilmeden ortaya çıkararak, operasyonel süreçlerin kesintisiz biçimde devam etmesine olanak tanır.

---

Sızma Testi ile Zafiyet Taraması Arasındaki Temel Farklar

Zafiyet Taramasının Mekanizması ve Sınırları

Zafiyet taraması (Vulnerability Scanning), hedef sistemlerde bilinen güvenlik açıklarını tespit etmek amacıyla otomatik yazılımlar (örneğin Nessus, Qualys, OpenVAS) kullanılarak gerçekleştirilen geniş kapsamlı ve hızlı bir tarama işlemidir. Bu araçlar, sistemlerde çalışan servislerin versiyon bilgilerini ve port durumlarını inceleyerek kendi veri tabanlarındaki bilinen açıklarla karşılaştırır.

Zafiyet taramalarının en büyük sınırı, derinlikten yoksun olmalarıdır. Otomatik araçlar, tespit ettikleri açığın gerçekten istismar edilip edilemeyeceğini doğrulayamaz. Ayrıca, sistem mimarisindeki mantıksal hataları, yetkilendirme bypass açıklarını veya birden fazla düşük seviyeli açığın bir araya gelerek oluşturabileceği karmaşık saldırı vektörlerini tespit etme yetenekleri oldukça sınırlıdır. Bu taramalarda yanlış pozitif (false positive) oranı oldukça yüksektir ve raporların uzman gözüyle elenmesi gerekir.

Sızma Testinin Manuel Yaklaşımı ve Derinliği

Sızma testi ise otomatik tarama sonuçlarını yalnızca birer girdi olarak kullanan, insan zekasına, analitik düşünmeye ve manuel test metodolojilerine dayanan derinlemesine bir süreçtir. Sızma testi uzmanı, sistemin mantığını anlamaya çalışır, özel yazılmış payload yapılarını devreye sokar ve zafiyetleri istismar ederek (exploitation) sistemde ne kadar ilerleyebileceğini canlı olarak simüle eder.

Sızma testlerinde süreç statik değildir. Uzman, test esnasında elde ettiği küçük bir bilgiyi (örneğin zayıf bir parola veya açıkta unutulmuş bir yapılandırma dosyası) kullanarak sistem içinde dikey veya yatay hareket edebilir, domain yetkilerini ele geçirebilir veya veri tabanlarına sızabilir. Bu manuel ve dinamik yaklaşım, işletmelere siber saldırganların gerçekte ne kadar ileri gidebileceğini gösteren en gerçekçi analiz raporunu sunar.

Ne Zaman Hangisi Tercih Edilmeli?

Zafiyet taraması, kurumların günlük veya haftalık güvenlik operasyonlarının bir parçası olmalı, sürekli bir güvenlik izleme aracı olarak konumlandırılmalıdır. Yeni çıkan güvenlik yamalarının uygulanıp uygulanmadığını kontrol etmek ve hızlı bir envanter kontrolü sağlamak için zafiyet taraması idealdir.

Ancak, yılda en az bir veya iki kez, özellikle büyük kod güncellemeleri, ağ altyapı değişiklikleri veya yeni dijital ürünlerin yayına alınması süreçlerinde mutlaka bağımsız uzmanlar tarafından sızma testi gerçekleştirilmelidir. Yasal uyumluluk süreçleri (KVKK, ISO 27001, BDDK denetimleri vb.) sadece otomatik zafiyet taramaları ile tamamlanamaz; bu süreçlerin sızma testi raporu ile desteklenmesi zorunludur.

---

Sızma Testi Yaklaşımları Nelerdir?

Siyah Kutu (Black Box) Sızma Testi

Siyah kutu (black box) sızma testi yaklaşımında, testi gerçekleştirecek uzmana hedef sistem hakkında önceden hiçbir teknik bilgi veya kaynak kod sağlanmaz. Uzman, sisteme tamamen dışarıdan bir siber saldırgan gibi yaklaşır. Sadece hedef kurumun adı veya alan adı (domain) gibi temel bilgilerle işe başlar.

Bu yöntemin temel amacı, dış tehdit aktörlerinin hedef kuruluşa karşı gerçekleştirebileceği saldırıların gerçekçi bir simülasyonunu yapmaktır. Bilgi toplama ve keşif aşamaları oldukça uzun sürer. Test süresi boyunca dış dünyaya açık servisler, IP adresleri ve çalışan profilleri üzerinden güvenlik açığı tespiti yapılır. Gerçekçi bir saldırı senaryosu sunduğu için dış ağ güvenliğinin ölçülmesinde oldukça etkilidir.

Beyaz Kutu (White Box) Sızma Testi

Beyaz kutu (white box) sızma testi yaklaşımında ise sızma testi uzmanına hedef sistemle ilgili tüm teknik bilgiler, ağ topolojisi haritaları, kaynak kodları, kullanıcı hesap yetkileri ve sistem mimarisi detayları testin en başında teslim edilir. Bu yaklaşım, sistemin iç yapısını bütünüyle bilerek yapılan kapsamlı bir denetim sürecidir.

Beyaz kutu testleri, özellikle kaynak kod analizi, uygulama mantığındaki derin güvenlik zayıflıkları ve iç tehdit senaryolarının simüle edilmesinde tercih edilir. Bilgi toplama aşaması için zaman kaybedilmediğinden, test süresinin tamamı doğrudan zafiyet tespiti ve güvenlik mimarisinin derinlemesine incelenmesine ayrılır. Ancak gerçek siber saldırı koşullarını tam olarak yansıtmaz, daha çok bir iç denetim ve kalite güvence aşaması niteliğindedir.

Gri Kutu (Gray Box) Sızma Testi

Gri kutu (gray box) sızma testi, siyah kutu ile beyaz kutu yaklaşımlarının en efektif yönlerini bir araya getiren hibrit bir yöntemdir. Bu test modelinde, uzmanlara sistem hakkında sınırlı oranda teknik bilgi verilir. Örneğin, sistemde yetkisiz veya düşük yetkili bir kullanıcı hesabı (standart çalışan hesabı gibi) tanımlanır ve ağ şemasının yalnızca bir kısmı paylaşılır.

Bu yaklaşım, özellikle kurumsal ağlarda içerideki bir kullanıcının (kötü niyetli çalışan, iş ortağı veya hesabı ele geçirilmiş personel) sistemlere verebileceği zararları simüle etmek için idealdir. Siyah kutuya göre daha kısa sürede tamamlanır ve beyaz kutuya göre daha gerçekçi bir saldırı simülasyonu sunar. Sektördeki kurumsal sızma testlerinin büyük bir bölümü gri kutu yaklaşımıyla gerçekleştirilmektedir.

Kör Test ve Çift Kör Test

Sızma testlerinde savunma ekiplerinin (Blue Team) reaksiyon yeteneklerini ölçmek amacıyla kör test (Blind Test) ve çift kör test (Double Blind Test) metodolojileri de uygulanabilir:

• Kör Test: Test ekibine sadece hedef kuruluşun ismi verilirken, kurumun kendi siber güvenlik operasyon merkezine (SOC) testin yapılacağı zaman dilimi ve saldırı yöntemleri hakkında önceden bilgi verilir.

• Çift Kör Test: Ne sızma testi ekibine hedef hakkında önceden detaylı bilgi verilir ne de kurumun siber güvenlik ve sistem ekiplerine böyle bir testin yapılacağı bildirilir. Bu yöntem, savunma ekibinin gerçek bir siber saldırı simülasyonu anında ne kadar sürede alarm ürettiğini, olayı nasıl analiz ettiğini ve müdahale süreçlerini ne derece başarıyla yönettiğini ölçen en zorlu ve en gerçekçi test türüdür.

---

İşletmeler İçin Sızma Testi Türleri

Ağ ve Altyapı Sızma Testleri

Ağ ve altyapı sızma testleri, bir kurumun iç ağ (internal) ve dış ağ (external) bileşenlerini hedef alır. Dış ağ testleri; internete açık olan güvenlik duvarları, VPN sunucuları, e-posta sunucuları ve DNS altyapısı gibi noktaları inceler. İç ağ testleri ise doğrudan kurumsal ağa dahil olan bir cihaz üzerinden Active Directory mimarisi, etki alanı yetkilendirmeleri, ağ anahtarları (switches) ve iç sunucular arasındaki zayıflıkları araştırır.

Bu testlerin odağında yetki yükseltme (privilege escalation), Active Directory yapılandırma hataları (örneğin Kerberoasting, AS-REP Roasting), eski veya yaması eksik işletim sistemlerinin tespiti ve ağ segmentasyonu zayıflıkları yer alır. Ağ altyapısı üzerindeki bu zayıflıklar giderilmediği takdirde, saldırganların tek bir cihazı ele geçirerek tüm kurumsal ağa yayılması kaçınılmazdır.

Web ve Mobil Uygulama Sızma Testleri

Kurumların internet üzerinden sunduğu web siteleri, e-ticaret platformları, müşteri portalları ve mobil uygulamalar, saldırganların en çok hedef aldığı alanlar arasındadır. Web uygulama sızma testlerinde OWASP Top 10 listesinde yer alan; SQL Injection, Cross-Site Scripting (XSS), Broken Access Control (Hatalı Erişim Kontrolü) ve SSRF gibi kritik zafiyetlerin tespiti hedeflenir.

Mobil uygulama testlerinde ise Android (APK) ve iOS (IPA) paketleri üzerinde statik ve dinamik analizler gerçekleştirilir. Uygulamanın cihaz üzerinde verileri nasıl sakladığı, API servisleri ile gerçekleştirdiği trafiğin güvenliği (SSL Pinning bypass denetimleri) ve tersine mühendislik (reverse engineering) direnci analiz edilir.

Sosyal Mühendislik ve Oltalama (Phishing) Simülasyonları

Teknik önlemler ne kadar güçlü olursa olsun, insan faktörü her zaman en zayıf güvenlik halkasıdır. Sosyal mühendislik testleri, kurum çalışanlarının bilgi güvenliği farkındalığını ve tehditlere karşı uyanıklığını ölçmek amacıyla gerçekleştirilir.

• Oltalama (Phishing) Kampanyaları: Çalışanlara kurumsal e-posta adresleri üzerinden senaryo gereği sahte mailler gönderilerek linklere tıklama, zararlı dosya indirme veya kimlik bilgilerini girme oranları ölçülür.

• Vishing (Telefonla Oltalama): Kendini teknik destek veya yönetici olarak tanıtan test uzmanlarının çalışanlardan telefonda hassas bilgi sızdırmaya çalışması.

• Fiziki Sosyal Mühendislik: Kurum binalarına izinsiz giriş denemeleri yapılarak çalışanların yabancı kişilere karşı gösterdiği tepkiler test edilir.

Fiziksel Güvenlik ve Kablosuz Ağ Testleri

Kurumsal güvenliğin önemli bir parçası da fiziksel erişim kontrolü ve kablosuz iletişim ağlarının dayanıklılığıdır. Fiziksel sızma testlerinde; kurumsal binaların, veri merkezlerinin ve hassas çalışma alanlarının giriş kapıları, turnikeler, kart okuyucular ve kamera sistemlerinin aşılıp aşılamayacağı simüle edilir.

Kablosuz ağ sızma testleri ise şirket içi (Corporate) ve misafir (Guest) kablosuz ağlarının (Wi-Fi) şifreleme protokollerindeki zayıflıkları, yetkisiz erişim noktası (Rogue AP) kurulum risklerini ve kullanıcıların kimlik doğrulama süreçlerindeki açıkları hedefler. WPA2/WPA3 protokollerindeki yapılandırma eksiklikleri tespit edilerek iç ağa kablosuz ortamdan sızılmasının önüne geçilir.

IoT ve Endüstriyel Kontrol Sistemleri Testleri

Akıllı ofis cihazları, IP kameralar, geçiş kontrol sistemleri (IoT) ile üretim tesislerindeki SCADA ve PLC gibi endüstriyel kontrol sistemleri (ICS) siber saldırganlar için yeni nesil giriş kapılarıdır. Bu sistemler genellikle varsayılan kullanıcı adları ve şifreler ile çalıştırılmakta, güncellemeleri ihmal edilmektedir. Özel IoT ve ICS sızma testleri ile bu donanımların firmware zayıflıkları, ağ üzerindeki güvensiz protokolleri ve diğer kurumsal sistemlerle olan izolasyon düzeyleri denetlenir.

---

Sızma Testi Nasıl Yapılır? (Adım Adım Metodoloji)

1. Kapsam Belirleme ve Stratejik Planlama

Sızma testinin ilk ve en kritik adımı, testin sınırlarının, kurallarının ve hedeflerinin net bir şekilde belirlenmesidir. Kurumun hangi dijital varlıklarının (web uygulamaları, IP blokları, mobil uygulamalar vb.) teste dahil edileceği, hangi test yöntemlerinin (Siyah, Beyaz veya Gri Kutu) kullanılacağı bu aşamada kararlaştırılır.

Ayrıca, testin yapılacağı zaman dilimi (örneğin iş saatleri dışında sistem yükünün az olduğu saatler), sistemlerin kesintiye uğraması durumunda acil durum senaryoları ve irtibat kişileri belirlenir. Yasal koruma sağlamak amacıyla taraflar arasında kapsamı ve kuralları açıkça belirten bir Sızma Testi Sözleşmesi ve Gizlilik Anlaşması (NDA) imzalanır.

2. Bilgi Toplama (Reconnaissance) ve Keşif

Keşif aşamasında, sızma testi uzmanları hedef sistemler hakkında mümkün olduğunca fazla bilgi toplamaya çalışır. Bu süreç pasif ve aktif bilgi toplama olarak ikiye ayrılır:

• Pasif Bilgi Toplama: Hedef sisteme doğrudan hiçbir istek göndermeden, açık kaynak istihbaratı (OSINT) yöntemleri kullanılarak yapılan araştırmadır. Shodan, Censys, Whois kayıtları, sızdırılmış e-posta adresleri veri tabanları ve çalışanların sosyal medya profilleri incelenir.

• Aktif Bilgi Toplama: Hedef sistemlerle doğrudan etkileşime girilerek yapılan keşiftir. Nmap gibi araçlarla port taramaları gerçekleştirilir, açık portlar üzerinde çalışan servisler ve bu servislerin versiyon bilgileri tespit edilir. DNS kayıtları incelenerek alt alan adları (subdomains) ve ağ mimarisi haritalandırılır.

3. Zafiyet Tarama ve Analiz

Toplanan bilgiler doğrultusunda hedef sistemlerdeki olası güvenlik açıkları analiz edilir. Bu aşamada hem otomatik zafiyet tarama araçlarından (Nessus, Acunetix, Burp Suite Enterprise vb.) yararlanılır hem de uzmanlar manuel analiz yöntemleri ile mantıksal hataları tespit etmeye odaklanır.

Elde edilen zafiyet adayları listelenir ve her birinin istismar edilebilirliği (exploitability) değerlendirilir. Hangi açıkların öncelikli olarak hedefleneceği ve bu açıklara karşı hangi payload tasarımlarının kullanılacağı bu aşamada planlanır.

4. İstismar (Exploitation) ve Sisteme Sızma

Bu adım, sızma testinin en kritik aşamasıdır. Güvenlik analizi aşamasında tespit edilen doğrulanmış zafiyetler kullanılarak sisteme yetkisiz erişim sağlanmaya çalışılır. Uzmanlar, Metasploit Framework gibi gelişmiş sızma araçlarını veya sisteme özel yazdıkları exploit kodlarını kullanarak güvenlik duvarlarını ve savunma yazılımlarını aşmayı hedefler.

İstismar aşaması, tamamen kontrollü bir şekilde yürütülür. Amaç sistemleri çökertmek değil, zafiyetin gerçekte nasıl bir tehdit oluşturduğunu kanıtlamaktır. Örneğin, bir SQL Injection açığı üzerinden veri tabanındaki hassas tablolara erişilebildiği veya bir sunucudaki uzaktan kod yürütme (RCE) açığı ile sisteme komut gönderilebildiği bu aşamada ispat edilir.

5. İleri Seviye Erişim ve İzleri Silme

Sisteme ilk sızma gerçekleştikten sonra, test uzmanı sistem içindeki konumunu sağlamlaştırmaya çalışır. Bu kapsamda şu teknik adımlar izlenir:

• Yetki Yükseltme (Privilege Escalation): Sınırlı yetkiye sahip bir kullanıcıdan, sistem yöneticisi (Administrator veya Root) yetkilerine ulaşma denemeleri yapılır.

• Yatay Hareket (Lateral Movement): Ele geçirilen sunucu üzerinden kurumsal ağdaki diğer sunuculara ve sistemlere sızma yolları aranır.

• Kalıcılık Sağlama (Persistence): Gerçek bir saldırganın sisteme tekrar girmek için bırakabileceği arka kapıları (backdoor) simüle etmek amacıyla sistemde kalıcı oturumlar açma çalışmaları planlanır.

• İzleri Temizleme: Test esnasında oluşturulan geçici dosyalar, kullanıcı hesapları ve sistem loglarında yapılan değişiklikler temizlenerek sistem test öncesi orijinal haline getirilir.

6. Detaylı Raporlama ve Çözüm (Remediation) Önerileri

Sızma testinin başarısı, hazırlanan sızma testi raporu kalitesi ile doğrudan ilişkilidir. Test tamamlandıktan sonra elde edilen tüm bulgular hem teknik ekiplerin hem de üst yönetimin anlayabileceği seviyede raporlanır. Rapor; testin kapsamını, uygulanan metodolojiyi, tespit edilen tüm zafiyetleri ve bu zafiyetlerin CVSS risk skorlarını içerir.

En önemlisi, raporda her bir güvenlik açığının nasıl kapatılacağına dair somut, adım adım çözüm önerileri ve teknik yama yönergeleri sunulur. Bu rapor, kurumun siber güvenlik yol haritasını çizen en değerli dokümandır.

---

Sızma Testi Raporu Sonrası Kurumlar Ne Yapmalıdır?

Zafiyetlerin Giderilmesi ve Önceliklendirme

Sızma testi raporu kuruma teslim edildikten sonra en sık yapılan hata, raporun doğrudan arşivlenmesidir. Testin asıl katma değeri, raporda belirtilen açıkların kapatılması sürecinde ortaya çıkar. Kurum içi bilgi teknolojileri ve yazılım ekipleri, rapordaki bulguları risk derecelerine göre önceliklendirmelidir.

Kritik (Critical) ve Yüksek (High) seviyeli zafiyetler, siber saldırganların doğrudan ve kolayca istismar edebileceği açıklar olduğundan ilk 72 saat içinde yamalanmalı veya geçici koruma önlemleriyle (örneğin WAF kuralları) sınırlandırılmalıdır. Orta (Medium) ve Düşük (Low) seviyeli bulgular ise planlı bakım pencerelerinde sırayla ele alınmalıdır.

Düzeltmelerin Doğrulanması (Yeniden Test)

Teknik ekipler rapordaki bulguları giderdikten sonra, bu düzeltmelerin doğruluğunun bağımsız test ekibi tarafından teyit edilmesi gerekir. Bu sürece Yeniden Test (Re-test) veya Doğrulama Testi denir. Zafiyetlerin kapatılması esnasında yapılan kod değişiklikleri veya sistem yapılandırmaları, farkında olmadan başka güvenlik açıklarına yol açabilir ya da düzeltme işlemi yetersiz kalmış olabilir.

Profesyonel sızma testi hizmetlerinde genellikle ilk testten sonraki 30 gün içerisinde bir adet ücretsiz veya indirimli tekrar testi sunulmaktadır. Yeniden test tamamlanmadan ve tüm kritik açıkların başarıyla kapatıldığı doğrulanmadan sızma testi süreci tamamlanmış sayılmaz.

Sürekli İzleme ve Güvenlik Altyapısının Geliştirilmesi

Sızma testi, yapıldığı andaki sistem durumunun anlık bir fotoğrafını çeker. Ancak siber tehdit ortamı dinamiktir; yeni zafiyetler ve exploit yöntemleri her gün ortaya çıkmaktadır. Bu nedenle sızma testleri, sürekli izleme (continuous monitoring) süreçleri ile desteklenmelidir.

Kurumlar, test raporundan elde ettikleri derslerle log analiz kurallarını güncellemeli, SIEM altyapılarını optimize etmeli ve çalışanlarına yönelik siber güvenlik eğitimlerini sıklaştırmalıdır. Güvenlik, tek seferlik bir proje değil, yaşayan bir döngüdür.

---

Sızma Testi Hizmeti Alırken Dikkat Edilmesi Gerekenler

Uzman Ekibin Yetkinlikleri ve Sertifikasyonları

Sızma testi hizmeti satın alırken en önemli kriter, testi gerçekleştirecek mühendislerin bireysel yetkinlikleridir. Sektörde teorik bilgi kadar uygulamalı tecrübe de esastır. Hizmet sağlayıcı firmadan, projede görev alacak uzmanların özgeçmişleri ve sahip oldukları uluslararası geçerliliğe sahip sertifikalar talep edilmelidir.

• OSCP (Offensive Security Certified Professional): Tamamen uygulamalı, 24 saatlik zorlu bir laboratuvar sınavı ile alınan ve sızma testi dünyasında altın standart kabul edilen sertifikadır.

• CEH (Certified Ethical Hacker) Practical / Master: Teori ve pratik becerileri ölçen, etik hackleme metodolojilerine hakimiyeti gösteren prestijli sertifika.

• OSCE / OSWE: Gelişmiş sızma testi ve web uygulama güvenliği alanlarında uzmanlığı gösteren ileri seviye sertifikasyonlar.

Gizlilik Anlaşmaları (NDA) ve Güvenilirlik

Sızma testi sırasında dışarıdan bir ekibe sistemlerinizin kapılarını açar ve hassas verilerinize erişim yetkisi verirsiniz. Bu durum yüksek düzeyde güven gerektirir. Hizmet alınacak firmanın kurumsal güvenilirliği, piyasa referansları ve yasal güvenceleri tam olmalıdır.

Test öncesinde imzalanacak Gizlilik Sözleşmesi (NDA), olası bir veri sızıntısı veya sistem zarar görmesi durumunda tarafların hukuki sorumluluklarını net bir şekilde belirlemelidir. Ayrıca, firmanın mesleki sorumluluk sigortasına sahip olup olmadığı da sorgulanmalıdır.

Deneyim ve Referansların Önemi

Her sektörün siber güvenlik ihtiyaçları ve regülasyonları farklıdır. Bankacılık sektöründe test yapacak bir ekibin BDDK süreçlerine, e-ticaret sektöründe test yapacak ekibin ise PCI-DSS ve KVKK süreçlerine hakim olması gerekir. Hizmet alacağınız firmanın, sizinle benzer ölçekteki ve aynı sektördeki kurumlarla daha önce çalışıp çalışmadığını gösteren doğrulanabilir referanslarını inceleyin.

Detaylı Raporlama ve Destek Hizmetleri

Sızma testinin en önemli çıktısı rapordur. Sadece otomatik araçların ürettiği İngilizce PDF çıktılarını Türkçe başlıklarla sunan yüzeysel hizmetlerden kaçınılmalıdır. Raporun anlaşılır, zafiyet giderme adımlarının net ve kuruma özel hazırlanmış olması gerekir. Ayrıca test bittikten sonra zafiyetlerin kapatılması sürecinde firmanın teknik destek sağlayıp sağlamayacağı ve tekrar testinin hizmet kapsamına dahil olup olmadığı baştan konuşulmalıdır.

---