Ankara Sızma Testi

Ankara'da sızma testi yaptırmak isteyen kurumlar için Secunnix, Bilkent Cyberpark'taki merkezinden kamu kurumlarına, savunma sanayii tedarikçilerine, teknokent şirketlerine ve bankalara yerinde ve uzaktan sızma testi hizmeti veriyor. Sızma testi, kurumunuzun bilişim sistemlerindeki açıkları gerçek saldırı senaryolarıyla bulup raporlayan bağımsız bir güvenlik değerlendirmesidir ve başkentteki pek çok kurum için mevzuatın açıkça beklediği bir yükümlülüktür. 15 yılı aşkın deneyimimiz ve 200'den fazla tamamlanan projemizle; web, mobil, iç ve dış ağ, kablosuz ağ ve ödeme altyapılarını OWASP, PTES, NIST ve TS 13638 uyumlu yöntemlerle test ediyoruz. Bu rehberde Ankara'daki kurumların neden sızma testi yaptırdığını, sektörünüze göre öne çıkan riskleri, uymanız gereken düzenlemeleri ve Secunnix ile sürecin nasıl ilerlediğini anlatıyoruz.

Ankara'da sızma testi neden ayrı bir başlık?

Sızma testinin yöntemi her şehirde aynıdır; değişen, test edilen kurumların yapısı ve maruz kaldığı tehditlerdir. Ankara bu açıdan Türkiye'nin diğer büyükşehirlerinden belirgin biçimde ayrılır.

Kamu yoğunluğu: Bakanlıkların, merkezi kamu kurumlarının ve bunlara hizmet veren yüklenicilerin önemli bir kısmı Ankara'dadır. Kamu kurumları vatandaş verisi, kritik hizmetler ve devlete ait bilgiler barındırdığı için hem siber suç gruplarının hem de devlet destekli saldırganların hedefindedir.

Savunma sanayii ekosistemi: Türk savunma sanayiinin ana yüklenicilerinin büyük bölümü ve bunlara parça, yazılım ve mühendislik hizmeti veren yüzlerce tedarikçi Ankara'da faaliyet gösterir. Saldırganlar çoğu zaman doğrudan büyük yükleniciyi değil, güvenlik bütçesi daha sınırlı olan küçük tedarikçiyi hedef alır. Bu yüzden tedarik zincirindeki her halka ayrı bir risk noktasıdır.

Teknoloji ve Ar-Ge: ODTÜ Teknokent, Bilkent Cyberpark, Hacettepe Teknokent ve Gazi Teknopark gibi teknoloji geliştirme bölgelerinde yazılım, savunma elektroniği, sağlık teknolojileri ve fintek alanında çalışan çok sayıda şirket var. Bu şirketlerin en değerli varlığı fikri mülkiyettir: kaynak kod, tasarım dosyaları ve Ar-Ge çıktıları.

Sanayi: OSTİM, İvedik OSB ve Sincan'daki organize sanayi bölgeleri, makine, metal, savunma ve medikal üretimin merkezlerindendir. Üretim tesislerinde bilgi teknolojileri (BT) ile operasyonel teknolojilerin (OT) birbirine bağlanması, saldırı yüzeyini genişletir.

Bu tablo, Ankara'da sızma testinin kapsamını belirlerken genel bir şablon yerine kurumun sektörüne, mevzuat yükümlülüklerine ve tedarik zincirindeki konumuna göre plan yapmayı gerektirir.

Ankara'da Secunnix ile sızma testi

Secunnix, Ankara merkezli bir siber güvenlik firmasıdır. Başkentteki kurumlarla aynı şehirde çalışmanın getirdiği hız ve yakınlığı, uluslararası standartlara dayanan bir test yöntemiyle birleştiriyoruz. Ankara'daki kurumlara sunduğumuz sızma testi hizmeti şunları kapsar:

• Test türleri: Web uygulamaları ve API'ler, mobil uygulamalar, iç ve dış ağ, kablosuz ağ, SCADA ve endüstriyel sistemler, ödeme altyapıları ve gömülü sistemler

• Metodoloji: OWASP, PTES, NIST ve TS 13638 uyumlu, otomatik taramayla sınırlı kalmayan, uzman ekip tarafından elle doğrulanan testler

• Raporlama: CVSS puanlı bulgular, yönetim için yönetici özeti, teknik ekip için ayrıntılı rapor; BDDK, ISO 27001 ve KVKK süreçlerinde kullanılabilecek biçimde

• Kapanış: Düzeltilen bulgular için yeniden test (retest) ve sonuç toplantısı

• Yerinde çalışma: İç ağ, kablosuz ağ ve sosyal mühendislik testlerinde ekibimiz Ankara'daki kurumunuza kısa sürede ulaşır

Kurumların sızma testine başlamadan önce en çok merak ettiği konu kapsam ve maliyettir. Bu yüzden her projeye ücretsiz bir ön görüşmeyle başlıyoruz: Sistemlerinizi, tabi olduğunuz mevzuatı ve beklentinizi dinliyor, size özel kapsam ve teklif hazırlıyoruz. Ön görüşme için iletişim sayfamızdan bize yazabilir veya 0850 304 57 61 numaralı hattımızı arayabilirsiniz.

Ankara'nın öne çıkan sektörleri ve tipik riskler

Kamu kurumları ve belediyeler

Kamu kurumlarında en sık karşılaşılan risk, yıllar içinde farklı yüklenicilere yaptırılmış, belgelendirmesi eksik ve güncellemesi aksamış sistemlerin bir arada çalışmasıdır. Vatandaşa açık e-hizmet portalları, eski sürüm içerik yönetim sistemleri, birimlere ait unutulmuş alt alan adları ve dışarıdan erişilebilen yönetim panelleri saldırganların ilk baktığı yerlerdir.

İç ağda ise Active Directory yapılandırma hataları, gereğinden geniş yetkilendirilmiş servis hesapları ve ağ bölümlendirmesinin (segmentasyon) yetersizliği öne çıkar. Bir kullanıcının bilgisayarının ele geçirilmesi, iyi bölümlendirilmemiş bir ağda kısa sürede tüm etki alanının (domain) ele geçirilmesine dönüşebilir.

Kamu kurumları için yapılan sızma testlerinde genellikle şu başlıklar birlikte ele alınır:

• İnternete açık web uygulamaları ve e-hizmet portalları

• Kurum içi ağ ve Active Directory güvenliği

• Uzaktan erişim (VPN) ve e-posta altyapısı

• Personele yönelik oltalama (phishing) farkındalık testleri

• Yüklenicilerin kurum ağına erişim yöntemleri

Savunma sanayii ve tedarikçiler

Savunma sanayiinde saldırganın amacı çoğunlukla para değil bilgidir: proje dokümanları, teknik çizimler, kaynak kod ve ihale bilgileri. Bu tür saldırılar uzun süre fark edilmeden sürdürülen, hedefe özel hazırlanmış operasyonlardır ve literatürde gelişmiş kalıcı tehdit (APT) olarak anılır.

Tedarikçi firmalar için kritik soru şudur: Büyük yükleniciyle aranızdaki bağlantı (paylaşılan portallar, VPN erişimi, dosya aktarım sistemleri, ortak e-posta yazışmaları) bir saldırgan tarafından kullanılabilir mi? Bu nedenle savunma sanayii tedarikçilerinde yapılan sızma testleri, klasik ağ ve web testlerinin yanında şunları da kapsar:

• Ana yükleniciyle kurulan bağlantıların ve erişim yetkilerinin incelenmesi

• Mühendislik ve tasarım istasyonlarının güvenliği

• Kaynak kod depoları ve derleme (CI/CD) altyapısı

• Hedefli oltalama (spear phishing) senaryoları

• Gizlilik dereceli bilgilerin bulunduğu ağların diğer ağlardan gerçekten ayrılıp ayrılmadığının doğrulanması

Gizlilik gerektiren projelerde test kapsamı, test ekibinin hangi bilgiye erişebileceği ve raporun nasıl saklanacağı sözleşme aşamasında ayrıntılı olarak belirlenmelidir.

Teknokent ve yazılım şirketleri

Teknokent şirketleri çoğunlukla hızlı büyüyen, küçük ekiplerle çalışan ve güvenliği ürün geliştirmenin arkasına bırakmak zorunda kalan şirketlerdir. Bulut ortamlarında yanlış yapılandırılmış depolama alanları, kod deposunda unutulmuş erişim anahtarları, test ortamlarının internete açık kalması ve API'lerde yetkilendirme hataları bu şirketlerde sık rastlanan bulgulardır.

Bu şirketler için sızma testinin iki ayrı faydası vardır. Birincisi, kendi altyapılarını ve fikri mülkiyetlerini korurlar. İkincisi, kurumsal ve kamu müşterilerine ürün satarken müşterinin güvenlik değerlendirmesinden geçmeleri gerekir; bağımsız bir sızma testi raporu bu süreci ciddi biçimde kolaylaştırır. Özellikle bankalara, hastanelere veya kamu kurumlarına yazılım satan bir teknokent şirketinden bu rapor sıkça istenir.

Yazılım şirketlerinde öne çıkan test türleri:

• Web uygulaması ve API sızma testleri (OWASP Top 10 ve OWASP API Security Top 10 esas alınarak)

• Mobil uygulama testleri (iOS ve Android)

• Bulut yapılandırma incelemesi (AWS, Azure, Google Cloud)

• Kaynak kod güvenlik incelemesi

Organize sanayi bölgeleri ve üretim

OSTİM, İvedik ve Sincan'daki üretim tesislerinde en büyük risk, üretimin durmasıdır. Fidye yazılımı bir üretim tesisinin ofis ağından üretim hattına sıçrarsa, kayıp yalnızca veri değil, durmuş makineler ve geciken siparişlerdir.

Üretim tesislerinde sızma testi yapılırken üretimi etkilememek önceliklidir. Bu nedenle operasyonel teknoloji tarafında doğrudan saldırı yerine çoğunlukla pasif inceleme, yapılandırma analizi ve ofis ağı ile üretim ağı arasındaki geçişlerin test edilmesi tercih edilir. Test edilen başlıca alanlar:

• Ofis ağı ile üretim ağı arasındaki ayrımın gerçekten çalışıp çalışmadığı

• Üretim sistemlerine uzaktan bakım erişimleri (tedarikçi bağlantıları)

• Eski ve güncellenemeyen işletim sistemleri

• Yedekleme altyapısının fidye yazılımına karşı korunup korunmadığı

Sağlık kurumları

Ankara'daki büyük hastaneler, özel sağlık grupları ve medikal cihaz üreticileri, hem kişisel verilerin en hassas türü olan sağlık verisini işler hem de kesintiye tahammülü olmayan hizmetler verir. Hastane bilgi yönetim sistemleri, laboratuvar ve görüntüleme sistemleri ve internete bağlı tıbbi cihazlar sızma testinde öncelikli alanlardır.

Üniversiteler

Ankara'da çok sayıda devlet ve vakıf üniversitesi bulunur. Üniversite ağları doğası gereği açıktır: binlerce öğrenci, misafir araştırmacı ve kişisel cihaz aynı altyapıyı kullanır. Fakülte ve birimlerin kendi kurduğu web siteleri, öğrenci bilgi sistemleri ve uzaktan eğitim platformları saldırganlar için kolay giriş noktaları oluşturabilir. Üniversitelerde sızma testi çoğunlukla düzenli bir zafiyet taraması programıyla birlikte planlanır.

Finans kuruluşları

Bankalar, katılım bankaları, aracı kurumlar ve ödeme kuruluşları Ankara'da da yoğun biçimde faaliyet gösterir. Bu kurumlar için sızma testi doğrudan mevzuatla düzenlenmiştir; ayrıntıları bir sonraki bölümde anlatıyoruz.

Sektörünüz hangisi olursa olsun, test kapsamını bu risklere göre şekillendiriyoruz. Kamu kurumu, savunma sanayii tedarikçisi, teknokent şirketi veya üretim tesisi olmanıza göre öncelikli test senaryolarını ön görüşmede birlikte belirliyoruz.

Ankara'daki kurumları ilgilendiren mevzuat

Sızma testi yaptırma zorunluluğu tek bir kanundan değil, sektöre göre değişen birden fazla düzenlemeden doğar. Ankara'daki kurumların en sık karşılaştığı düzenlemeler şunlardır:

Bilgi ve İletişim Güvenliği Rehberi

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi kapsamında hazırlanan rehber, kamu kurumları ve kritik altyapı işletmecileri için uyulması gereken güvenlik tedbirlerini belirler. Rehber, varlıkların önem derecesine göre farklı seviyelerde tedbirler öngörür ve bunlar arasında düzenli güvenlik testleri de yer alır. Ankara'daki kamu kurumları ve kamuya hizmet veren yükleniciler için sızma testi, rehbere uyumun önemli bir parçasıdır.

Siber Güvenlik Kanunu

2025 yılında yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, kamu kurumları ve kritik altyapı sektörlerinde siber güvenliğe ilişkin yükümlülükleri ve denetim çerçevesini genişletmiştir. Kanunun uygulamasına ilişkin ikincil düzenlemeler takip edilmeli ve kurumun güvenlik testi programı bu çerçeveye göre güncellenmelidir.

BDDK düzenlemeleri

Bankalar, Bankacılık Düzenleme ve Denetleme Kurumu'nun bilgi sistemlerine ilişkin yönetmeliği kapsamında düzenli ve bağımsız sızma testleri yaptırmakla yükümlüdür. Testlerin kapsamı, internet ve mobil bankacılık kanallarını, iç ağı ve kritik sistemleri içermelidir. Bankacılıkta sızma testinin kapsamı ve maliyeti hakkında ayrıntılı bilgi için BDDK sızma testi rehberimize bakabilirsiniz.

SPK düzenlemeleri

Sermaye Piyasası Kurulu'nun Bilgi Sistemleri Yönetimi Tebliği, aracı kurumlar ve portföy yönetim şirketleri gibi sermaye piyasası kurumları için bilgi sistemleri güvenliğine yönelik yükümlülükler getirir; sızma testi bu yükümlülüklerin parçasıdır.

KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlularının kişisel verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almasını şart koşar. Kişisel Verileri Koruma Kurumu'nun rehberlerinde sızma testi, alınması önerilen teknik tedbirler arasında yer alır. Sektörü ne olursa olsun kişisel veri işleyen her kurum için sızma testi, "uygun teknik tedbir" aldığını göstermenin en somut yollarından biridir.

ISO 27001

ISO 27001 belgesi olan veya belgelendirmeye hazırlanan kurumlarda teknik zafiyetlerin yönetimi, standardın kontrolleri arasında yer alır. Denetimlerde düzenli sızma testi raporları, bu kontrolün etkin biçimde uygulandığının kanıtı olarak sunulur.

Ankara'da yapılan sızma testi türleri

Kurumun ihtiyacına göre bir veya birkaç test türü birlikte planlanır. En sık talep edilen türler şunlardır:

Dış ağ sızma testi

İnternetten erişilebilen tüm sistemler (web siteleri, e-posta sunucuları, VPN geçitleri, uzak masaüstü servisleri, bulut kaynakları) bir dış saldırganın bakış açısıyla test edilir. Testin ilk aşaması keşiftir: kurumun internete açık varlıkları çoğu zaman kurumun kendi envanterinde olandan fazladır. Unutulmuş bir test sunucusu ya da eski bir alt alan adı, saldırganın içeri girdiği kapı olabilir.

İç ağ sızma testi

Kurum ağına fiziksel olarak bağlanan ya da bir çalışanın bilgisayarını ele geçirmiş bir saldırganın neler yapabileceği test edilir. Active Directory, dosya paylaşımları, veritabanları, yönetim arayüzleri ve ağ cihazları incelenir. Kamu kurumları ve büyük şirketlerde en kritik bulgular çoğunlukla iç ağ testlerinden çıkar.

Web uygulaması sızma testi

E-hizmet portalları, müşteri panelleri, e-ticaret siteleri ve kurum içi uygulamalar; kimlik doğrulama, yetkilendirme, veri girişi denetimi, oturum yönetimi ve iş mantığı açısından test edilir. Yetki hataları ("bir kullanıcının başka bir kullanıcının verisine erişebilmesi") otomatik araçların en sık kaçırdığı, elle yapılan testlerin ise en sık bulduğu açık türüdür.

Mobil uygulama sızma testi

iOS ve Android uygulamalarının cihaz üzerindeki veri saklama yöntemleri, sunucuyla iletişimi, kod koruma önlemleri ve arka plandaki API'leri test edilir.

Kablosuz ağ testi

Kurum binalarındaki kablosuz ağların şifreleme ve kimlik doğrulama yapılandırması, misafir ağının kurum ağından ayrılıp ayrılmadığı ve sahte erişim noktalarına karşı dayanıklılık incelenir. Bu test yerinde yapılmayı gerektirir.

Sosyal mühendislik testi

Personelin oltalama e-postalarına, telefonla yapılan dolandırıcılık girişimlerine ve fiziksel erişim denemelerine karşı tutumu ölçülür. Sosyal mühendislik testleri bir "suçlu bulma" aracı değil, farkındalık eğitimlerinin nereye odaklanması gerektiğini gösteren bir ölçümdür.

Red Team operasyonu

Belirli bir hedefe (örneğin kritik bir sunucuya veya gizli bir belgeye) ulaşmayı amaçlayan, birden fazla saldırı yöntemini birleştiren ve savunma ekibinin tespit yeteneğini de ölçen kapsamlı bir çalışmadır. Olgunluk seviyesi yüksek kurumlar için klasik sızma testinin bir sonraki adımıdır. Secunnix'in Red Team hizmetiyle bu adımı da birlikte planlayabiliriz.

Kara kutu, gri kutu ve beyaz kutu

Test ekibine verilen bilgi miktarına göre üç yaklaşım vardır:

Pratikte en verimli yaklaşım çoğunlukla gri kutudur: Test süresi, saldırganın aylarca yapabileceği keşif çalışmasına harcanmak yerine gerçek açıkları bulmaya ayrılır.

Kamu ihalelerinde sızma testi

Ankara'da sızma testi talebinin önemli bir kısmı kamu kurumlarının ihaleleri veya doğrudan temin süreçleri üzerinden gelir. Bu süreçlerde teknik şartname, testin kalitesini belirleyen en önemli belgedir. Şartname hazırlayan kurumlara ve teklif veren firmalara şu noktalara dikkat etmelerini öneriyoruz:

• Kapsam ölçülebilir yazılmalı: "Kurumun tüm sistemleri" gibi belirsiz ifadeler yerine test edilecek IP aralıkları, uygulama sayısı, kullanıcı rolleri ve iç ağ bölümleri açıkça belirtilmelidir. Belirsiz kapsam, teklifler arasında karşılaştırmayı imkânsız hale getirir.

• Elle yapılan test şartı konmalı: Yalnızca otomatik tarama aracı çıktısı sunan teklifler, şartnamede elle yapılan doğrulama ve istismar adımları istenerek elenebilir.

• Ekip nitelikleri tanımlanmalı: Testi yapacak personelin deneyimi ve uygulamalı sertifikaları şartnamede yer almalıdır.

• Yeniden test dahil edilmeli: Düzeltmelerin doğrulanması ayrı bir iş olarak bırakılırsa çoğu zaman yapılmaz.

• Raporun teslim biçimi ve saklama koşulları yazılmalı: Raporun şifreli teslimi, test verilerinin imhası ve gizlilik yükümlülükleri sözleşmenin parçası olmalıdır.

İyi hazırlanmış bir şartname, en düşük fiyatlı teklifin en zayıf test anlamına gelmesini önler ve kurumun gerçekten işe yarayan bir rapor almasını sağlar.

Ankara'daki kurumlarda sık görülen bulgu türleri

Her kurum farklıdır; ancak başkentteki kurumlarda yürütülen testlerde bazı bulgu türleri tekrar tekrar karşımıza çıkar. Bunları bilmek, test öncesinde bile hızlı iyileştirmeler yapmanızı sağlar:

• Unutulmuş sistemler: Bir proje için kurulup proje bittikten sonra kapatılmayan test sunucuları, eski web siteleri ve birim alt alan adları.

• Varsayılan ve zayıf parolalar: Özellikle ağ cihazlarında, yazıcılarda, kamera sistemlerinde ve yönetim arayüzlerinde fabrika ayarında bırakılmış parolalar.

• Aşırı yetkili hesaplar: Yıllar içinde yetki biriktirmiş kullanıcı ve servis hesapları; iç ağda saldırganın en hızlı ilerlediği yol.

• Güncellenmeyen yazılımlar: Bilinen ve yaması yayımlanmış açıkları bulunan içerik yönetim sistemleri, eklentiler ve sunucu yazılımları.

• Yetersiz ağ ayrımı: Misafir ağı, ofis ağı, sunucu ağı ve üretim ağı arasındaki geçişlerin kâğıt üzerinde ayrı, pratikte açık olması.

• Yüklenici erişimleri: Proje bittikten sonra kapatılmayan VPN hesapları ve uzaktan bakım bağlantıları.

• Web uygulamalarında yetki hataları: Bir kullanıcının adres çubuğundaki bir numarayı değiştirerek başka bir kullanıcının belgesine veya kaydına ulaşabilmesi.

Bu bulguların ortak noktası, çoğunun gelişmiş saldırı teknikleri değil temel güvenlik hijyeni gerektirmesidir. Bu yüzden ilk sızma testinden sonra kurumların güvenlik seviyesi genellikle hızla yükselir; asıl zorluk bu seviyeyi düzenli testlerle korumaktır.

Secunnix'te sızma testi süreci: adım adım

Ankara'da yürüttüğümüz sızma testleri, uluslararası kabul görmüş PTES, OWASP ve NIST yöntemlerine dayanan aşağıdaki adımlarla ilerler.

1. Ön görüşme ve kapsam belirleme

Kurumun hedefi netleştirilir: Mevzuat uyumu mu, yeni bir uygulamanın canlıya alınması öncesi kontrol mü, yoksa genel güvenlik durumunun ölçülmesi mi? Test edilecek sistemler, IP aralıkları, uygulamalar ve kapsam dışı bırakılacak sistemler belirlenir. Kapsamın doğru belirlenmesi, testin hem maliyetini hem de değerini doğrudan etkiler.

2. Yetkilendirme ve kurallar

Test başlamadan önce kurumla yazılı bir yetkilendirme ve gizlilik sözleşmesi imzalanır. Test saatleri, acil durumda aranacak kişiler, üretim sistemlerinde hangi işlemlerin yapılmayacağı ve kritik bir açık bulunduğunda nasıl haber verileceği önceden kararlaştırılır.

3. Bilgi toplama ve keşif

Kurumun internete açık varlıkları, kullandığı teknolojiler, çalışanlara ait kamuya açık bilgiler ve olası giriş noktaları belirlenir.

4. Zafiyet tespiti

Otomatik tarama araçları ile elle yapılan incelemeler birlikte kullanılır. Otomatik araçlar bilinen açıkları hızla bulur; ancak iş mantığı hataları ve yetki sorunları gibi en kritik bulgular çoğunlukla uzman incelemesiyle ortaya çıkar.

5. İstismar ve yetki yükseltme

Bulunan açıkların gerçekten kullanılabilir olup olmadığı kontrollü biçimde doğrulanır. Amaç, bir açığın "teoride" değil "pratikte" ne kadar zarar verebileceğini göstermektir: Bir açıkla hangi verilere ulaşılabildiği, sistemlerde ne kadar ilerlenebildiği ve en sonunda kritik varlıklara ulaşılıp ulaşılamadığı.

6. Raporlama

Her bulgu, risk seviyesi (CVSS puanı), iş etkisi, tekrar üretme adımları, kanıtlar ve düzeltme önerisiyle raporlanır. Raporda yönetim için kısa bir yönetici özeti, teknik ekip için ayrıntılı bulgular yer alır.

7. Sonuç toplantısı

Rapor, kurumun teknik ekibi ve yöneticileriyle birlikte değerlendirilir. Hangi bulgunun önce kapatılacağı, kimin sorumlu olacağı ve ne kadar sürede düzeltileceği bu toplantıda planlanır.

8. Yeniden test (retest)

Kurum düzeltmeleri tamamladıktan sonra, kapatılan açıklar yeniden test edilerek gerçekten giderildiği doğrulanır. Yeniden test, özellikle denetime sunulacak raporlar için kritik önemdedir; çünkü denetçi yalnızca açıkların bulunmasını değil, kapatıldığını da görmek ister.

Yerinde mi, uzaktan mı?

Sızma testinin bir kısmı uzaktan, bir kısmı ise kurumun binasında yapılır.

Uzaktan yapılabilenler: Dış ağ testleri, web uygulaması ve API testleri, mobil uygulama testleri ve bulut yapılandırma incelemeleri internet üzerinden yürütülür.

Yerinde yapılması gerekenler: Kablosuz ağ testleri, fiziksel güvenlik ve sosyal mühendislik senaryoları yerinde yapılır. İç ağ testleri ise iki şekilde yürütülebilir: Test ekibi kuruma gelir ya da kurum ağına güvenli bir test cihazı yerleştirilerek uzaktan bağlanılır.

Ankara merkezli olmamız, başkentteki kurumlar için önemli bir pratik avantaj sağlar. İç ağ testlerinde, kablosuz ağ değerlendirmelerinde ve sonuç toplantılarında ekibimiz kurumunuza kısa sürede ulaşır. Gizlilik gereksinimi yüksek kamu ve savunma projelerinde test cihazının kurumdan çıkmaması, test verilerinin kurum içinde kalması gibi özel koşullar da yerinde çalışmayla daha kolay karşılanır.

Sızma testi ne kadar sürer?

Süre tamamen kapsama bağlıdır. Genel bir fikir vermek gerekirse:

Raporlama genellikle testin bitiminden sonraki bir hafta içinde tamamlanır. Yeniden test, kurumun düzeltme hızına bağlı olarak birkaç hafta sonra planlanır.

Sızma testi fiyatı neye göre değişir?

Sızma testi fiyatı; test edilecek sistem ve uygulama sayısı, uygulamaların büyüklüğü ve karmaşıklığı, seçilen yaklaşım (kara, gri veya beyaz kutu), yerinde çalışma ihtiyacı ve yeniden test sayısına göre belirlenir. Bu nedenle sabit bir fiyat yerine, kapsam görüşmesinden sonra kuruma özel teklif hazırlanır. Fiyatı belirleyen faktörleri ve örnek kapsamları sızma testi fiyatı rehberimizde ayrıntılı olarak anlattık.

Fiyat karşılaştırırken dikkat edilmesi gereken nokta şudur: Çok düşük teklifler çoğunlukla yalnızca otomatik tarama aracı çıktısının rapora dönüştürülmesi anlamına gelir. Bu tür bir rapor hem denetimde yetersiz kalır hem de en kritik açıkları kaçırır.

Rapor teslim edildikten sonra

Sızma testinin asıl değeri, raporun ardından yapılanlarda ortaya çıkar. Ankara'daki kurumlara önerdiğimiz yol haritası şöyledir:

1. Kritik ve yüksek bulgular hemen ele alınır. Bunlar çoğunlukla birkaç gün içinde kapatılması gereken, doğrudan veri sızıntısına veya sistem ele geçirilmesine yol açabilecek açıklardır.

2. Orta ve düşük bulgular planlanır. Bunlar bir sonraki bakım döneminde veya yazılım güncellemesinde giderilecek şekilde iş planına alınır.

3. Kök neden incelenir. Aynı tür açık birden fazla sistemde çıkıyorsa sorun tek tek sistemlerde değil, süreçtedir. Örneğin güncelleme yönetiminde, yazılım geliştirme pratiğinde ya da yetkilendirme politikasındadır.

4. Yeniden test yapılır. Kapatılan açıklar doğrulanır.

5. Süreklilik sağlanır. Sızma testi yılda bir yapılır; aradaki dönemde düzenli zafiyet taraması ve gerekiyorsa 7/24 güvenlik izleme ile güvenlik sürekli takip edilir.

Sızma testi firması seçerken nelere bakmalısınız ve Secunnix'te sizi ne bekliyor?

Sızma testi, kurumunuzun en hassas sistemlerine bir dış ekibin erişmesi demektir. Bu yüzden firma seçimi yalnızca fiyata göre yapılmamalıdır. Aşağıda kurumların en çok önem verdiği kriterleri ve Secunnix'in bu kriterlere nasıl karşılık verdiğini bulabilirsiniz.

Deneyim ve uzman ekip

Testin kalitesini, testi yapan ekibin deneyimi belirler. Secunnix'in kurucu ekibi 2006'dan bu yana siber güvenlik alanında çalışıyor ve 2013–2014 TÜBİTAK Siber Güvenlik Yarışması'nı birincilikle tamamladı. Bugüne kadar 200'den fazla projeyi ve 50'den fazla kurumsal müşteriyi geride bıraktık. Testlerimiz otomatik araç çıktılarıyla sınırlı kalmaz; her kritik bulgu uzmanlarımız tarafından elle doğrulanır.

Uluslararası metodoloji

Tekrarlanabilir ve denetlenebilir bir test, kabul görmüş bir yönteme dayanmalıdır. Secunnix'te testler OWASP, PTES, NIST ve TS 13638 uyumlu bir süreçle yürütülür. Bu sayede raporlarımız hem iç denetimde hem de BDDK, ISO 27001 ve KVKK süreçlerinde kanıt olarak kullanılabilir.

Anlaşılır ve uygulanabilir rapor

İyi bir rapor yönetimin anlayacağı, teknik ekibin uygulayabileceği bir rapordur. Raporlarımızda yönetim için kısa bir yönetici özeti; teknik ekip için CVSS puanlı bulgular, kanıtlar, tekrar üretme adımları ve somut düzeltme önerileri yer alır. Raporu sonuç toplantısında ekibinizle birlikte değerlendiririz. Görmek isterseniz ön görüşmede gizli bilgileri çıkarılmış bir örnek rapor paylaşabiliriz.

Yeniden test dahil

Açıkları bulmak işin yarısıdır; asıl önemli olan kapatıldıklarını doğrulamaktır. Secunnix'in sızma testi hizmetinde düzeltilen bulgular için yeniden test (retest) yapılır. Böylece denetçiye yalnızca açıkların listesini değil, kapatıldığının kanıtını da sunabilirsiniz.

Gizlilik

Test sırasında erişilen bilgilerin korunması, özellikle kamu ve savunma sanayii projelerinde ayrı bir önem taşır. Her proje öncesinde yazılı yetkilendirme ve gizlilik sözleşmesi imzalanır; test verilerinin saklanma ve imha koşulları, raporun teslim biçimi ve test cihazlarının kurum dışına çıkıp çıkmayacağı projeye özel olarak belirlenir.

Ankara'da yerinde destek

Ankara merkezli olmamız, başkentteki kurumlar için önemli bir pratik avantajdır. İç ağ testleri, kablosuz ağ değerlendirmeleri, sosyal mühendislik senaryoları ve sonuç toplantıları için ekibimiz kurumunuza kısa sürede ulaşır. Ankara dışındaki şubeleriniz için de yerinde veya güvenli bir test cihazıyla uzaktan çalışabiliyoruz.

Sızma testinin ötesinde

Sızma testi bir başlangıçtır. Raporun ardından ihtiyaç duyarsanız düzenli zafiyet taraması, 7/24 SOC hizmeti, Red Team operasyonları ve ISO 27001 danışmanlığı ile güvenliğinizi sürekli izleyebilir ve geliştirebilirsiniz. Ayrıca ApexHuntr, BeyondMemory ve ElaySOC gibi kendi geliştirdiğimiz yerli ürünlerle güvenlik operasyonlarınızı destekliyoruz.

Ankara'daki kurumlar için kısa kontrol listesi

Sızma testi planlamadan önce aşağıdaki soruların cevabını hazırlamak, kapsam görüşmesini hızlandırır:

• Hangi mevzuata tabisiniz? (Bilgi ve İletişim Güvenliği Rehberi, BDDK, SPK, KVKK, ISO 27001)

• İnternete açık kaç web uygulamanız, alan adınız ve IP adresiniz var?

• İç ağınızda yaklaşık kaç kullanıcı ve sunucu bulunuyor?

• Mobil uygulamanız var mı?

• Bulut hizmeti kullanıyor musunuz?

• Tedarikçilerinizin veya yüklenicilerinizin ağınıza erişimi var mı?

• Daha önce sızma testi yaptırdınız mı? Önceki rapordaki bulgular kapatıldı mı?

• Test sonucunu kime sunacaksınız: yönetime, denetçiye, müşteriye?

Ankara'da sızma testi; kamu kurumlarının yoğunluğu, savunma sanayii tedarik zinciri, teknokent şirketlerinin fikri mülkiyeti ve organize sanayi bölgelerindeki üretim sistemleri nedeniyle kendine özgü bir kapsam planlaması gerektirir. Kurumunuzun tabi olduğu düzenlemeyi, en kritik varlıklarınızı ve tedarik zincirindeki konumunuzu belirleyerek doğru test türlerini seçmek, testten alacağınız değeri artırır. Testin asıl faydası ise raporun ardından bulguların kapatılması, yeniden test ile doğrulanması ve güvenliğin düzenli taramalarla sürekli izlenmesiyle ortaya çıkar.

Ankara'daki kurumunuz için sızma testi planlamak istiyorsanız ücretsiz ön görüşmeyle başlayalım. Sistemlerinizi ve mevzuat yükümlülüklerinizi birlikte değerlendirip size özel kapsam ve teklif hazırlayalım. İletişim sayfamızdan bize ulaşabilir, 0850 304 57 61 numaralı hattımızı arayabilir veya sızma testi hizmetimizi inceleyebilirsiniz. Büyük ve çok lokasyonlu yapılar için kurumsal sızma testi sayfamıza, Ankara'daki diğer siber güvenlik ihtiyaçlarınız için Ankara siber güvenlik danışmanlığı yazımıza göz atabilirsiniz.