Penetrasyon testi ya da Türkçe adıyla sızma testi, bir kuruluşun ağ, sunucu, uygulama ve kullanıcılarına yönelik gerçek bir saldırganın izleyeceği yöntemlerin, izinli ve kontrollü olarak uygulandığı güvenlik testidir. Amaç, açıkları saldırganlardan önce bulmak, istismar edilebilirliğini kanıtlamak ve somut bir iyileştirme planı ortaya koymaktır.
Sızma Testi ile Zafiyet Taraması Arasındaki Fark
Zafiyet taraması, bilinen açıkları otomatik araçlarla tespit eder; hızlıdır ama yanlış pozitif üretir ve açıkların birbirine bağlanarak nasıl kullanılabileceğini göstermez. Sızma testinde ise uzman, bulguları doğrular, zincirleme senaryolar kurar ve “bu açıkla hangi veriye ulaşılabilir?” sorusunu yanıtlar. Kısacası tarama neyin eksik olabileceğini, sızma testi neyin gerçekten tehlikeli olduğunu gösterir.
Sızma Testi Neden Yapılır?
- Saldırganların kullanabileceği açıkları gerçek etkileriyle birlikte görmek
- Güvenlik yatırımlarının (firewall, EDR, DLP) gerçekten işe yarayıp yaramadığını ölçmek
- ISO 27001, KVKK ve sektörel düzenlemelerin beklediği teknik kontrollerin etkinliğini kanıtlamak
- Müşteri ve iş ortaklarının tedarikçi güvenlik değerlendirmelerinde istenen raporu sunabilmek
- Önemli bir altyapı değişikliği ya da yeni bir uygulama yayına alınmadan önce riskleri görmek
Test Yaklaşımları: Kara, Gri ve Beyaz Kutu
- Kara kutu: Test ekibine sistem hakkında bilgi verilmez; dışarıdan bir saldırganın bakış açısı taklit edilir.
- Gri kutu: Sınırlı bilgi ve genellikle bir kullanıcı hesabı verilir; yetkili bir kullanıcının ya da ele geçirilmiş bir hesabın neler yapabileceği görülür.
- Beyaz kutu: Mimari, kaynak kod ve yapılandırma bilgisi paylaşılır; en derin incelemeyi sağlar.
Kimler Sızma Testi Yaptırmalı?
İnternete açık bir sistemi, müşteri verisi barındıran bir uygulaması veya uzaktan erişim altyapısı olan her kuruluş sızma testinden fayda görür. Finans, sağlık, e-ticaret, yazılım, veri merkezi ve internet servis sağlayıcıları gibi veri yoğun sektörlerde ise düzenli test artık bir beklenti haline gelmiştir. ISO 27001:2022 Ek-A’daki teknik zafiyet yönetimi ve güvenlik testi kontrolleri de bu ihtiyacı doğrudan karşılar; ayrıntılar için ISO 27001 maddeleri yazımıza bakabilirsiniz.
Test Sonunda Ne Alırsınız?
İyi bir sızma testi raporu iki katmanlıdır: yöneticiler için riskleri özetleyen bir yönetici özeti ve teknik ekip için her bulgunun kanıtını, risk seviyesini ve çözüm önerisini içeren teknik bölüm. Bulgular kapatıldıktan sonra yapılan doğrulama testi (retest), açıkların gerçekten giderildiğini teyit eder.
Testin hangi aşamalardan oluştuğunu sızma testi adımları, ihtiyacınıza uygun test türünü ise sızma testi türleri yazımızda bulabilirsiniz.
Sızma testi hizmeti kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
Sızma Testi Adımları: Planlamadan Raporlamaya
Sızma testi adımları nelerdir? Kapsam belirleme, bilgi toplama, zafiyet analizi, istismar, raporlama ve doğrulama testiyle bir pentest nasıl yürütülür.
Sızma Testi Türleri: Hangisine İhtiyacınız Var?
Dış ağ, iç ağ, web uygulama, mobil, kablosuz ağ, sosyal mühendislik, DDoS ve VoIP sızma testleri: hangi test türü hangi riske yanıt verir?
ISO 27001:2022 Maddeleri ve Ek-A Kontrolleri
ISO 27001 maddeleri nelerdir? 4–10. maddelerin şartları, Ek-A’daki 93 kontrolün 4 temaya göre dağılımı ve 2022 sürümüyle gelen 11 yeni kontrol.Sıkça Sorulan Sorular
Sızma testi ile zafiyet taraması aynı şey mi?
Hayır. Zafiyet taraması bilinen açıkları otomatik araçlarla listeler. Sızma testi ise bu açıkların gerçekten istismar edilip edilemeyeceğini, bir saldırganın ne kadar ilerleyebileceğini uzman eliyle doğrular.
Sızma testi ne sıklıkla yapılmalı?
Genel kabul gören yaklaşım yılda en az bir kez ve altyapıda ya da uygulamalarda önemli bir değişiklikten sonra test yapılmasıdır. Sektörel düzenlemeler daha sık test isteyebilir.
Sızma testi sistemlere zarar verir mi?
Kapsam, test zamanı ve kurallar önceden yazılı olarak belirlenir; testler hizmet kesintisi yaratmayacak şekilde planlanır. Riskli adımlar ancak onayla ve kontrollü ortamda yapılır.
