İstanbul Sızma Testi

İstanbul'da sızma testi yaptırmak isteyen şirketler için Secunnix; bankalara, aracı kurumlara, e-ticaret ve ödeme şirketlerine, holdinglere ve lojistik firmalarına web, mobil, iç ve dış ağ, kablosuz ağ ve ödeme altyapısı sızma testi hizmeti veriyor. Sızma testi, şirketinizin sistemlerindeki açıkları gerçek saldırı senaryolarıyla bulan ve kapatılması için yol gösteren bağımsız bir güvenlik değerlendirmesidir. Türkiye ekonomisinin merkezi olan İstanbul'da bu test, çoğu şirket için hem PCI DSS, BDDK, SPK ve KVKK gibi düzenlemelerin hem de büyük müşterilerin beklediği bir zorunluluktur. 15 yılı aşkın deneyimimiz ve 200'den fazla tamamlanan projemizle testlerimizi OWASP, PTES, NIST ve TS 13638 uyumlu yöntemlerle yürütüyoruz. Bu rehberde İstanbul'daki şirketlerin hangi riskleri taşıdığını, hangi düzenlemelere tabi olduğunu, çok lokasyonlu yapıların nasıl test edildiğini ve Secunnix ile sürecin nasıl ilerlediğini anlatıyoruz.

İstanbul'da sızma testi neden farklı planlanır?

Sızma testinin yöntemi her yerde aynıdır; ancak test edilen şirketlerin yapısı İstanbul'da diğer şehirlerden belirgin biçimde farklıdır. Kapsamı belirlerken bu farkları hesaba katmak, testin değerini doğrudan artırır.

Ekonominin ağırlık merkezi: Bankaların, sigorta şirketlerinin, aracı kurumların, holdinglerin ve büyük perakende zincirlerinin genel merkezlerinin önemli bir kısmı İstanbul'dadır. Bu şirketler hem büyük miktarda kişisel ve finansal veri işler hem de saldırganlar için en kazançlı hedeflerdir. Fidye yazılımı grupları, kart verisi hırsızları ve oltalama çeteleri öncelikli olarak bu ölçekteki şirketleri hedef alır.

Dijital ticaretin merkezi: Türkiye'nin en büyük e-ticaret platformları, pazar yerleri, ödeme kuruluşları ve fintek şirketlerinin çoğu İstanbul'da faaliyet gösterir. Bu şirketlerde saldırı yüzeyi, birbirine bağlı onlarca web uygulaması, mobil uygulama, API ve üçüncü taraf entegrasyonundan oluşur.

Çok lokasyonlu yapılar: İstanbul'daki şirketlerin büyük kısmı tek bir binada değil; genel merkez, bölge ofisleri, şubeler, mağazalar, depolar ve veri merkezleri arasında dağılmış bir altyapıyla çalışır. Her lokasyon, ağın geri kalanına açılan potansiyel bir kapıdır.

Uluslararası bağlantılar: İstanbul, Türkiye'nin dış ticaretinin ve yabancı yatırımların merkezidir. İhracatçı şirketler, yabancı ortaklıklar ve uluslararası müşterilere hizmet veren teknoloji firmaları; Avrupa ve dünya standartlarında güvenlik kanıtı sunmak zorundadır.

Lojistik ve ulaşım düğümü: Limanlar, İstanbul Havalimanı ve çevresindeki lojistik merkezleri, gümrük işlemleri ve tedarik zinciri yazılımlarıyla birbirine bağlı büyük bir ekosistem oluşturur. Bu ekosistemdeki bir aksama, yalnızca tek bir şirketi değil zincirin tamamını etkiler.

Bu nedenle İstanbul'da sızma testi kapsamı; şirketin sektörüne, lokasyon sayısına, dijital kanallarına ve tabi olduğu düzenlemelere göre özel olarak planlanmalıdır.

İstanbul'da Secunnix ile sızma testi

Secunnix, Ankara Cyberpark merkezli bir siber güvenlik firmasıdır ve Türkiye genelinde, başta İstanbul olmak üzere tüm büyükşehirlerde kurumlara hizmet verir. İstanbul'daki şirketlere sunduğumuz sızma testi hizmeti şunları kapsar:

• Test türleri: Web uygulamaları ve API'ler, iOS ve Android mobil uygulamalar, iç ve dış ağ, kablosuz ağ, ödeme altyapıları, SCADA ve endüstriyel sistemler, gömülü sistemler

• Metodoloji: OWASP, PTES, NIST ve TS 13638 uyumlu, otomatik taramayla sınırlı kalmayan ve uzman ekip tarafından elle doğrulanan testler

• Raporlama: CVSS puanlı bulgular, yönetim için yönetici özeti, teknik ekip için ayrıntılı rapor; BDDK, PCI DSS, ISO 27001 ve KVKK süreçlerinde kullanılabilecek biçimde

• Kapanış: Düzeltilen bulgular için yeniden test (retest) ve sonuç toplantısı

• Yerinde ve uzaktan çalışma: Dış ağ, web ve mobil testleri uzaktan; iç ağ, kablosuz ağ ve sosyal mühendislik testleri İstanbul'daki lokasyonlarınızda planlı olarak yerinde ya da ağınıza yerleştirilen güvenli bir test cihazıyla uzaktan

Her projeye ücretsiz bir ön görüşmeyle başlıyoruz. Sistemlerinizi, lokasyonlarınızı, tabi olduğunuz düzenlemeleri ve beklentinizi dinleyip size özel kapsam ve teklif hazırlıyoruz. Ön görüşme için iletişim sayfamızdan bize yazabilir veya 0850 304 57 61 numaralı hattımızı arayabilirsiniz.

İstanbul'un öne çıkan sektörleri ve tipik riskler

Bankacılık, sigorta ve sermaye piyasaları

İstanbul Finans Merkezi'nin de bulunduğu şehirde bankalar, katılım bankaları, sigorta şirketleri, aracı kurumlar ve portföy yönetim şirketleri yoğun biçimde faaliyet gösterir. Bu kurumlarda en kritik saldırı yüzeyi müşteriye açık dijital kanallardır: internet ve mobil bankacılık, yatırım platformları, poliçe ve hasar portalları.

Finans kurumlarında yapılan sızma testlerinde özellikle şu alanlara odaklanırız:

• Mobil uygulamaların istemci tarafı güvenliği ve arka plandaki API'ler

• Para transferi, emir iletimi ve limit kontrolleri gibi iş mantığı adımları

• Kimlik doğrulama, ikinci faktör ve oturum yönetimi

• Kurum içi ağda kritik sistemlere ulaşan yollar

• Çağrı merkezi ve müşteri hizmetleri süreçlerinin sosyal mühendislik saldırılarına dayanıklılığı

Finans sektöründe sızma testi doğrudan mevzuatla düzenlendiği için kapsam, rapor formatı ve test sıklığı da düzenleyici kurumun beklentilerine göre belirlenir. Bankacılık özelinde ayrıntılar için BDDK sızma testi rehberimize bakabilirsiniz.

E-ticaret, pazar yerleri ve ödeme kuruluşları

E-ticaret şirketleri için bir güvenlik açığı doğrudan para ve itibar kaybı demektir. Kart bilgilerinin çalınması, kampanya ve indirim mekanizmalarının kötüye kullanılması, sahte hesaplarla yapılan dolandırıcılık ve müşteri verisi sızıntıları bu sektörde en sık karşılaşılan risklerdir.

E-ticaret ve ödeme şirketlerinde sızma testinin odağı genellikle şöyledir:

• Ödeme akışı: Sepet, ödeme ve iade adımlarında fiyatın, tutarın veya sipariş durumunun manipüle edilip edilemeyeceği

• Hesap güvenliği: Hesap ele geçirme, parola sıfırlama akışı ve kaba kuvvet saldırılarına karşı koruma

• Yetki kontrolleri: Bir müşterinin başka bir müşterinin siparişine, adresine veya faturasına erişip erişemediği

• API güvenliği: Mobil uygulamanın ve iş ortaklarının kullandığı API'lerin yetkilendirmesi

• Üçüncü taraf entegrasyonları: Kargo, ödeme, kampanya ve analitik servisleriyle kurulan bağlantılar

• Satıcı paneli: Pazar yerlerinde satıcıların erişebildiği yönetim arayüzlerinin güvenliği

Ödeme kartı verisi işleyen her şirket PCI DSS standardına tabidir. Bu konuyu mevzuat bölümünde ayrıca ele alıyoruz.

Holdingler ve grup şirketleri

Türkiye'deki büyük holdinglerin genel merkezlerinin çoğu İstanbul'dadır. Holding yapılarında her grup şirketinin kendi BT ekibi, kendi sistemleri ve farklı güvenlik olgunluk seviyesi olabilir. Saldırganlar çoğu zaman en zayıf grup şirketinden içeri girip ortak altyapı (ortak e-posta, ortak kimlik yönetimi, paylaşılan ağ bağlantıları) üzerinden diğer şirketlere geçer.

Holdinglerde sızma testi planlarken şu soruların cevabını arıyoruz:

• Grup şirketleri arasındaki ağ bağlantıları gerçekten gerekli olan erişimle sınırlı mı?

• Ortak kimlik yönetimi (Active Directory, tek oturum açma) bir şirketteki ihlalin tüm gruba yayılmasına izin veriyor mu?

• Holding merkezinin yönetim sistemlerine grup şirketlerinden ulaşılabiliyor mu?

• Satın alınan veya yeni katılan şirketlerin altyapısı gruba bağlanmadan önce değerlendirildi mi?

Büyük ve çok şirketli yapılar için kurumsal sızma testi hizmetimiz, grup genelinde tutarlı bir kapsam ve tek bir yönetim raporu sunar.

Lojistik, liman ve havalimanı ekosistemi

İstanbul'daki limanlar, İstanbul Havalimanı ve çevresinde kümelenmiş lojistik merkezleri; depo yönetim sistemleri, filo takip yazılımları, gümrük entegrasyonları ve müşteri portallarıyla birbirine bağlıdır. Bu sektörde en büyük risk operasyonun durmasıdır: Bir fidye yazılımı saldırısı depo yönetim sistemini kilitlediğinde sevkiyatlar durur ve zincirin diğer halkaları da etkilenir.

Lojistik şirketlerinde öne çıkan test alanları:

• Müşteri ve iş ortağı portalları, gönderi takip API'leri

• Depo ve filo yönetim sistemlerine uzaktan erişim

• El terminalleri, barkod okuyucular ve depo kablosuz ağları

• Gümrük ve iş ortağı sistemleriyle kurulan entegrasyonlar

• Yedekleme altyapısının fidye yazılımına karşı korunması

Operasyonun durması ihtimaline karşı hazırlıklı olmak isteyen şirketler için fidye yazılımı müdahale sayfamızda ilk saatlerde yapılması gerekenleri anlattık.

Perakende ve mağaza zincirleri

Yüzlerce mağazası olan perakende zincirlerinde her mağaza; satış noktası (POS) cihazları, mağaza ağı, kamera sistemleri ve misafir kablosuz ağıyla birlikte ayrı bir risk noktasıdır. Mağaza ağlarının merkez sistemlere nasıl bağlandığı ve mağazalar arasındaki ayrımın ne kadar güçlü olduğu, perakende sızma testlerinin temel sorularıdır.

Sağlık ve sağlık turizmi

İstanbul, özel hastane zincirleri ve sağlık turizmiyle öne çıkan bir şehirdir. Yurt dışından gelen hastaların verileri, çevrimiçi randevu ve teklif sistemleri, uluslararası hasta koordinasyon platformları ve tıbbi görüntüleme sistemleri bu sektörde öncelikli test alanlarıdır. Sağlık verisi, KVKK kapsamında özel nitelikli kişisel veri olduğu için ihlalin hukuki sonuçları da ağırdır.

Teknoloji şirketleri ve teknoparklar

İTÜ Arı Teknokent, Yıldız Teknopark, Teknopark İstanbul ve Boğaziçi Üniversitesi Teknoparkı gibi bölgelerde yazılım, oyun, fintek ve yapay zekâ alanında çalışan çok sayıda şirket var. Bu şirketlerde bulut yapılandırma hataları, kod depolarında unutulmuş erişim anahtarları, test ortamlarının internete açık kalması ve API yetkilendirme hataları sık rastlanan bulgulardır. Ayrıca kurumsal müşterilere ve yurt dışına ürün satan yazılım şirketlerinden bağımsız bir sızma testi raporu giderek daha sık isteniyor.

Sanayi ve organize sanayi bölgeleri

İkitelli, Dudullu, Tuzla ve Beylikdüzü'ndeki organize sanayi bölgelerinde tekstil, kimya, gıda, otomotiv yan sanayi ve makine üretimi yoğun biçimde yapılır. Üretim tesislerinde ofis ağı ile üretim ağı arasındaki ayrım, uzaktan bakım bağlantıları ve güncellenemeyen eski sistemler en sık karşılaşılan risklerdir. Bu tesislerde testleri üretimi etkilemeyecek biçimde, çoğunlukla pasif inceleme ve ağ geçişlerinin doğrulanmasıyla planlıyoruz.

Sektörünüz hangisi olursa olsun, test kapsamını bu risklere göre şekillendiriyoruz. Öncelikli senaryoları ücretsiz ön görüşmede birlikte belirliyoruz.

İstanbul'daki şirketleri ilgilendiren düzenlemeler

PCI DSS

Ödeme kartı verisi işleyen, saklayan veya ileten her şirket (e-ticaret siteleri, ödeme kuruluşları, perakende zincirleri, oteller ve havayolu şirketleri) PCI DSS standardına uymak zorundadır. Standardın güncel sürümü (4.0), iç ve dış sızma testlerinin en az yılda bir kez ve önemli altyapı veya uygulama değişikliklerinden sonra yapılmasını, kart verisi ortamının diğer ağlardan ayrıldığının da sızma testiyle doğrulanmasını ister. Secunnix olarak PCI DSS kapsamındaki şirketler için kart verisi ortamına odaklanan, ağ ayrımı (segmentasyon) testlerini de içeren sızma testleri yürütüyoruz.

BDDK ve TCMB düzenlemeleri

Bankalar, Bankacılık Düzenleme ve Denetleme Kurumu'nun bilgi sistemlerine ilişkin yönetmeliği kapsamında düzenli ve bağımsız sızma testleri yaptırmakla yükümlüdür. Ödeme kuruluşları ve elektronik para kuruluşları ise Türkiye Cumhuriyet Merkez Bankası'nın bilgi sistemleri ve güvenliğe ilişkin düzenlemelerine tabidir. Her iki durumda da testin kapsamı, sıklığı ve raporu düzenleyicinin beklentilerine uygun olmalıdır.

SPK düzenlemeleri

Aracı kurumlar ve portföy yönetim şirketleri gibi sermaye piyasası kurumları, Sermaye Piyasası Kurulu'nun Bilgi Sistemleri Yönetimi Tebliği kapsamında bilgi sistemlerinin güvenliğine yönelik yükümlülüklere tabidir; sızma testi bu yükümlülüklerin parçasıdır.

Sigortacılık düzenlemeleri

Sigorta ve emeklilik şirketleri, sektörün düzenleyici kurumu tarafından getirilen bilgi sistemleri yönetimi ve güvenliği yükümlülüklerine tabidir. Bu şirketlerde müşteri portalları, acente sistemleri ve hasar süreçleri sızma testinde öncelikli alanlardır.

KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, kişisel veri işleyen her şirketten verilerin güvenliği için uygun teknik ve idari tedbirleri almasını ister. Kişisel Verileri Koruma Kurumu'nun rehberlerinde sızma testi önerilen teknik tedbirler arasında yer alır. Milyonlarca müşteri verisi işleyen İstanbul şirketleri için sızma testi, olası bir veri ihlalinde "gerekli tedbirleri aldık" diyebilmenin en somut kanıtlarından biridir.

Siber Güvenlik Kanunu

2025 yılında yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, kritik altyapı sektörlerinde ve kamuya hizmet veren yapılarda siber güvenlik yükümlülüklerini ve denetim çerçevesini genişletmiştir. Enerji, finans, ulaşım, sağlık ve haberleşme gibi sektörlerde faaliyet gösteren İstanbul şirketlerinin güvenlik test programlarını bu çerçeveye göre güncel tutması gerekir.

ISO 27001

ISO 27001 belgeli şirketlerde teknik zafiyet yönetimi, standardın kontrolleri arasında yer alır ve sızma testi raporları denetimlerde bu kontrolün kanıtı olarak sunulur.

Avrupalı müşteriler ve tedarik zinciri güvenliği

İstanbul'daki ihracatçı şirketlerin ve Avrupa'ya hizmet veren teknoloji firmalarının son yıllarda sıkça karşılaştığı yeni bir talep var: müşterilerinden gelen güvenlik soru formları ve kanıt istekleri.

Bunun önemli bir nedeni Avrupa Birliği'nin NIS2 Direktifi'dir. NIS2, kapsamındaki Avrupalı şirketlerden tedarik zincirlerindeki güvenlik risklerini yönetmelerini ister. Bu da pratikte, Avrupalı bir şirkete ürün veya hizmet veren İstanbul'daki tedarikçiden şu tür kanıtların istenmesi anlamına gelir:

• Son bir yıl içinde bağımsız bir firma tarafından yapılmış sızma testi raporu veya özeti

• Bulunan açıkların kapatıldığına dair yeniden test sonucu

• Güvenlik yönetim sistemi belgesi (çoğunlukla ISO 27001)

• Olay müdahale ve iş sürekliliği planları

Sızma testi raporu bu süreçte en sık istenen belgedir. Secunnix olarak, müşterilerinize paylaşabileceğiniz yönetici özetini ayrı bir belge olarak hazırlıyoruz. Böylece teknik ayrıntıları ve hassas bilgileri paylaşmadan, test yapıldığını ve bulguların kapatıldığını kanıtlayabilirsiniz.

Çok lokasyonlu yapılarda sızma testi

İstanbul'daki şirketlerin en sık sorduğu sorulardan biri, onlarca şube, mağaza veya depodan oluşan bir yapının nasıl test edileceğidir. Her lokasyonu tek tek test etmek hem gereksiz hem de maliyetlidir. Bunun yerine şu yaklaşımı izliyoruz:

1. Lokasyonları gruplandırma: Aynı standart kurulumu kullanan lokasyonlar (örneğin aynı tip mağazalar) bir grup olarak ele alınır.

2. Temsili örnekleme: Her gruptan seçilen temsili lokasyonlarda yerinde iç ağ ve kablosuz ağ testi yapılır.

3. Merkez bağlantısının testi: Lokasyonlardan merkeze ve diğer lokasyonlara uzanan bağlantılar, bir lokasyonun ele geçirilmesi halinde saldırganın nereye kadar ilerleyebileceğini gösterecek biçimde test edilir.

4. Merkezi sistemler: Genel merkez ve veri merkezindeki kritik sistemler ayrıntılı olarak test edilir.

5. Bulguların genellenmesi: Temsili lokasyonlarda bulunan yapılandırma hataları, aynı kurulumu kullanan tüm lokasyonlar için düzeltme önerisine dönüştürülür.

Bu yaklaşım, sınırlı bir bütçeyle tüm yapının gerçekçi bir güvenlik resmini çıkarmayı sağlar. Uzak lokasyonlarda ekip göndermek yerine güvenli bir test cihazı yerleştirilerek uzaktan iç ağ testi de yapılabilir.

İstanbul'da yapılan sızma testi türleri

Dış ağ sızma testi

İnternetten erişilebilen tüm varlıklar (web siteleri, e-posta sunucuları, VPN geçitleri, bulut kaynakları, unutulmuş alt alan adları) dış bir saldırganın bakış açısıyla keşfedilir ve test edilir. Büyük İstanbul şirketlerinde internete açık varlık sayısı çoğu zaman BT ekibinin bildiğinden fazladır; keşif aşaması tek başına önemli bulgular ortaya çıkarabilir.

İç ağ sızma testi

Bir çalışanın bilgisayarını ele geçirmiş veya ağa fiziksel olarak bağlanmış bir saldırganın neler yapabileceği test edilir. Active Directory, dosya paylaşımları, veritabanları, yönetim arayüzleri ve ağ cihazları incelenir. Fidye yazılımı saldırılarının şirket içinde nasıl yayıldığını en iyi bu test gösterir.

Web uygulaması ve API sızma testi

E-ticaret siteleri, müşteri portalları, mobil uygulamaların arka uç API'leri ve kurum içi uygulamalar; kimlik doğrulama, yetkilendirme, veri girişi denetimi ve iş mantığı açısından test edilir. E-ticaret ve finans şirketlerinde en değerli bulgular genellikle iş mantığı hatalarıdır ve bunlar ancak uzman incelemesiyle bulunur.

Mobil uygulama sızma testi

Milyonlarca kullanıcıya ulaşan mobil uygulamaların cihaz üzerindeki veri saklama yöntemleri, sunucu iletişimi, sertifika doğrulaması, kod koruma önlemleri ve API'leri test edilir.

Kablosuz ağ testi

Genel merkez, mağaza ve depo kablosuz ağlarının şifreleme ve kimlik doğrulama yapılandırması, misafir ağının kurum ağından ayrılıp ayrılmadığı ve sahte erişim noktalarına karşı dayanıklılık incelenir.

Sosyal mühendislik testi

Oltalama e-postaları, telefonla yapılan dolandırıcılık girişimleri ve fiziksel erişim denemeleriyle personelin farkındalığı ölçülür. Çağrı merkezi ve müşteri hizmetleri ekipleri, kimlik doğrulama süreçleri nedeniyle bu testlerde özel olarak ele alınır.

Red Team operasyonu

Belirli bir hedefe (örneğin ödeme sistemlerine veya yönetim e-postalarına) ulaşmayı amaçlayan, birden fazla saldırı yöntemini birleştiren ve savunma ekibinin tespit yeteneğini de ölçen kapsamlı çalışmalardır. Güvenlik operasyon merkezi bulunan büyük İstanbul şirketleri için Red Team operasyonu, savunmanın gerçek bir saldırıya karşı nasıl çalıştığını gösterir.

Secunnix'te sızma testi süreci

1. Ücretsiz ön görüşme: Hedefinizi (mevzuat uyumu, müşteri talebi, yeni uygulama, genel değerlendirme), sistemlerinizi ve lokasyonlarınızı dinliyoruz.

2. Kapsam ve teklif: Test edilecek sistemleri, yaklaşımı (kara, gri veya beyaz kutu), yerinde ve uzaktan yapılacak çalışmaları ve takvimi içeren teklifi hazırlıyoruz.

3. Yetkilendirme ve gizlilik: Yazılı yetkilendirme ve gizlilik sözleşmesi imzalanır; test saatleri, acil durum iletişimi ve dokunulmayacak sistemler belirlenir.

4. Keşif ve bilgi toplama: İnternete açık varlıklarınız, kullandığınız teknolojiler ve olası giriş noktaları belirlenir.

5. Zafiyet tespiti: Otomatik araçlar ile uzman incelemesi birlikte kullanılır.

6. Kontrollü istismar: Bulunan açıkların gerçekten kullanılabilir olup olmadığı ve bir saldırganın nereye kadar ilerleyebileceği kontrollü biçimde gösterilir. Kritik bir açık bulunduğunda raporu beklemeden sizi hemen bilgilendiririz.

7. Raporlama: CVSS puanlı bulgular, kanıtlar, tekrar üretme adımları, düzeltme önerileri ve yönetici özeti. Gerekirse müşterilerinize paylaşabileceğiniz ayrı bir özet belge.

8. Sonuç toplantısı: Rapor, teknik ekibiniz ve yöneticilerinizle birlikte değerlendirilir; önceliklendirme ve sorumlular belirlenir.

9. Yeniden test: Düzeltmelerden sonra kapatılan açıklar yeniden test edilerek doğrulanır.

Sızma testi ne kadar sürer?

Raporlama genellikle testin bitiminden sonraki bir hafta içinde teslim edilir.

Sızma testi fiyatı neye göre değişir?

Fiyat; test edilecek uygulama, IP adresi ve lokasyon sayısı, uygulamaların karmaşıklığı, seçilen yaklaşım, yerinde çalışma ihtiyacı, mevzuata özel rapor gereksinimleri ve yeniden test sayısına göre belirlenir. Bu yüzden sabit bir liste fiyatı yerine kapsam görüşmesinin ardından şirketinize özel teklif hazırlıyoruz. Fiyatı etkileyen faktörleri sızma testi fiyatı rehberimizde ayrıntılı olarak anlattık.

Teklifleri karşılaştırırken şunu unutmayın: Çok düşük fiyatlı teklifler çoğunlukla yalnızca otomatik tarama aracı çıktısının rapora dönüştürülmesidir. Bu tür raporlar PCI DSS ve BDDK denetimlerinde yetersiz kalır, e-ticaret ve finans şirketleri için en kritik olan iş mantığı açıklarını da bulamaz.

İstanbul'daki şirketlerde sık görülen bulgu türleri

• İnternete açık unutulmuş varlıklar: Eski kampanya siteleri, test ortamları, kapatılmamış alt alan adları

• API yetkilendirme hataları: Mobil uygulamanın kullandığı bir API'de, kullanıcı numarasını değiştirerek başka bir kullanıcının verisine erişilebilmesi

• İş mantığı açıkları: İndirim kodunun birden fazla kullanılabilmesi, sepet tutarının istemci tarafında değiştirilebilmesi, iade sürecinin kötüye kullanılabilmesi

• Zayıf ağ ayrımı: Mağaza veya şube ağından merkez sistemlere gereğinden fazla erişim, kart verisi ortamının diğer ağlardan yeterince ayrılmaması

• Aşırı yetkili hesaplar: Yıllar içinde yetki biriktirmiş kullanıcı ve servis hesapları

• Üçüncü taraf erişimleri: Projesi biten tedarikçilerin hâlâ açık duran VPN hesapları ve uzaktan bakım bağlantıları

• Bulut yapılandırma hataları: Herkese açık bırakılmış depolama alanları, gereğinden geniş erişim yetkileri

Bu bulguların çoğu gelişmiş saldırı teknikleri değil temel güvenlik hijyeni gerektirir ve doğru önceliklendirmeyle kısa sürede kapatılabilir.

Sızma testi firması seçerken nelere bakmalısınız ve Secunnix'te sizi ne bekliyor?

Deneyim ve uzman ekip

Secunnix'in kurucu ekibi 2006'dan bu yana siber güvenlik alanında çalışıyor ve 2013–2014 TÜBİTAK Siber Güvenlik Yarışması'nı birincilikle tamamladı. Bugüne kadar 200'den fazla projeyi ve 50'den fazla kurumsal müşteriyi geride bıraktık. Testlerimizde her kritik bulgu uzmanlarımız tarafından elle doğrulanır; özellikle e-ticaret ve finans şirketleri için hayati olan iş mantığı açıklarını otomatik araçlar değil uzman ekip bulur.

Uluslararası metodoloji ve denetime uygun rapor

Testlerimiz OWASP, PTES, NIST ve TS 13638 uyumlu bir süreçle yürütülür. Raporlarımız BDDK, PCI DSS, ISO 27001 ve KVKK süreçlerinde kanıt olarak kullanılabilir. Yönetim için kısa bir yönetici özeti, teknik ekip için CVSS puanlı ve tekrar üretilebilir bulgular sunarız.

Müşteriye paylaşılabilir özet

Avrupalı müşterilerinizden veya iş ortaklarınızdan güvenlik kanıtı isteniyorsa, hassas teknik ayrıntıları içermeyen ve paylaşılabilir bir test özeti hazırlıyoruz.

Yeniden test dahil

Sızma testi hizmetimizde düzeltilen bulgular için yeniden test yapılır. Denetçinize ve müşterilerinize yalnızca açıkların listesini değil, kapatıldığının kanıtını da sunabilirsiniz.

Gizlilik

Her proje öncesinde yazılı yetkilendirme ve gizlilik sözleşmesi imzalanır. Test verilerinin saklanma ve imha koşulları, raporun teslim biçimi ve erişim yetkileri projeye özel olarak belirlenir.

İstanbul'da planlı yerinde çalışma

Dış ağ, web, API ve mobil testleri uzaktan yürütüyoruz. İç ağ, kablosuz ağ ve sosyal mühendislik testleri için İstanbul'daki lokasyonlarınızda planlı olarak yerinde çalışıyor ya da ağınıza yerleştirilen güvenli bir test cihazıyla uzaktan test yapıyoruz. Sonuç toplantılarını yerinde veya çevrim içi olarak gerçekleştiriyoruz.

Sızma testinin ötesinde

Raporun ardından düzenli zafiyet taraması, 7/24 SOC hizmeti, Red Team operasyonları ve ISO 27001 danışmanlığı ile güvenliğinizi sürekli izleyebilir ve geliştirebilirsiniz. ApexHuntr, BeyondMemory ve ElaySOC gibi kendi geliştirdiğimiz yerli ürünlerle de güvenlik operasyonlarınızı destekliyoruz.

İstanbul'daki şirketler için hazırlık listesi

Ön görüşmeden önce aşağıdaki soruların cevabını hazırlamak süreci hızlandırır:

• Hangi düzenlemelere tabisiniz? (PCI DSS, BDDK, TCMB, SPK, KVKK, ISO 27001)

• Testi kimin talep ediyor: denetçi, yönetim, müşteri, iş ortağı?

• İnternete açık kaç web uygulamanız, API'niz ve mobil uygulamanız var?

• Kaç lokasyonunuz (şube, mağaza, depo, veri merkezi) bulunuyor?

• Ödeme kartı verisi işliyor musunuz?

• Bulut hizmeti kullanıyor musunuz?

• Tedarikçilerinizin ağınıza erişimi var mı?

• Daha önce sızma testi yaptırdınız mı? Bulgular kapatıldı mı?

İstanbul'da sızma testi; finans ve e-ticaret şirketlerinin dijital kanalları, holdinglerin çok şirketli yapısı, perakende ve lojistik firmalarının çok lokasyonlu altyapısı ve uluslararası müşterilerin güvenlik beklentileri nedeniyle kendine özgü bir planlama gerektirir. Doğru kapsam, şirketinizin tabi olduğu düzenlemelerden (PCI DSS, BDDK, SPK, KVKK) ve en kritik varlıklarınızdan başlar. Testin asıl değeri ise bulguların kapatılması, yeniden testle doğrulanması ve güvenliğin düzenli taramalarla sürekli izlenmesiyle ortaya çıkar.

İstanbul'daki şirketiniz için sızma testi planlamak istiyorsanız ücretsiz ön görüşmeyle başlayalım. Sistemlerinizi, lokasyonlarınızı ve yükümlülüklerinizi birlikte değerlendirip size özel kapsam ve teklif hazırlayalım. İletişim sayfamızdan bize ulaşabilir, 0850 304 57 61 numaralı hattımızı arayabilir veya sızma testi hizmetimizi inceleyebilirsiniz. İstanbul'daki diğer siber güvenlik ihtiyaçlarınız için İstanbul siber güvenlik danışmanlığı yazımıza da göz atabilirsiniz.