Sistemlerinizdeki güvenlik açıklarını, gerçek bir saldırganın kullanacağı yöntemlerle ama kontrollü şekilde arar, bulduklarımızı raporlarız. Amaç, açıkları kötü niyetli birinden önce sizin kapatmanız.
Neden gerekli?
Hiçbir yazılım hatasız değildir ve güvenlik duvarı tek başına her saldırıyı durdurmaz. Ayrıca bazı denetimler ve KVKK uyum süreçleri, teknik güvenlik testinin yapıldığını gösteren bir rapor isteyebilir.
Hangi testleri yapıyoruz?
Web uygulaması testi. Giriş, yetkilendirme ve oturum yönetimindeki açıklar; SQL injection, XSS gibi veri girişi kaynaklı zafiyetler.
API testi. REST ve SOAP servislerinde yetkilendirme hataları ve veri sızıntısı.
Dış ağ ve sunucu testi. İnternete açık sistemlerinizin dışarıdan nasıl göründüğü, eski yazılımlar ve yanlış yapılandırmalar.
İç ağ ve Active Directory testi. Şirket ağına giren bir saldırganın yetkisini nasıl yükseltebileceği ve diğer sistemlere nasıl ulaşabileceği.
Mobil uygulama testi. Cihazda saklanan veriler ve uygulamanın sunucuyla iletişiminin güvenliği.
Kablosuz ağ testi. Wi-Fi şifrelemesi ve yetkisiz erişim noktaları.
Sosyal mühendislik. Çalışanlara yönelik oltalama (phishing) simülasyonları.
Hangi standartlara göre çalışıyoruz?
Web uygulamalarında OWASP Web Security Testing Guide, mobil uygulamalarda OWASP MASTG, ağ ve altyapı testlerinde PTES ve NIST SP 800-115 yöntemlerini esas alırız. Bulguları CVSS puanıyla önem derecesine göre sınıflandırırız.
Süreç nasıl işler?
- Kapsamı, kuralları ve test izinlerini yazılı olarak belirleriz.
- Bilgi toplar ve zafiyet taraması yaparız.
- Bulunan açıkları kontrollü şekilde doğrularız.
- Bulguları önem derecesine göre raporlarız.
- Siz düzeltmeleri yaptıktan sonra yeniden test ederiz.
Raporda neler var?
Rapor iki bölümden oluşur: yönetim için kısa ve teknik olmayan bir özet, teknik ekibiniz için de her bulgunun nasıl tespit edildiği ve nasıl giderileceği. Sonunda öncelik sırasına göre bir yapılacaklar listesi yer alır.
Gizlilik ve test güvenliği
Teste başlamadan önce gizlilik sözleşmesi (NDA) ve yazılı test izni imzalanır. Test saatleri iş akışınızı aksatmayacak şekilde sizinle birlikte planlanır. Kritik bir açık bulursak raporu beklemeden sizi hemen bilgilendiririz.
Sık sorulan sorular
Test sistemlerimizi yavaşlatır veya durdurur mu?
Testler kontrollü yapılır. Hizmet kesintisine yol açabilecek denemeler yalnızca sizinle kararlaştırılan zamanlarda uygulanır.
Ne kadar sürer?
Kapsama bağlıdır. Tek bir web uygulaması genellikle birkaç gün, kurum çapındaki testler birkaç hafta sürer. Ön görüşmeden sonra size net bir süre veririz.
Ne sıklıkla yaptırmalıyız?
En az yılda bir kez ve büyük sistem değişikliklerinden sonra.
Kara kutu, gri kutu ve beyaz kutu ne demek?
Testi yapan ekibe sistemleriniz hakkında ne kadar bilgi verildiğini anlatır: hiç bilgi verilmeden (kara kutu), kısmi bilgiyle (gri kutu) ya da tam bilgiyle (beyaz kutu). Hangisinin uygun olduğunu birlikte belirleriz.