SIZMA TESTİ VE AÇIKLIK YÖNETİMİ HİZMETLERİ

Sızma testi (penetrasyon testi), bir bilişim sisteminin dış ve iç tehditlere karşı ne ölçüde dayanıklı olduğunu tespit etmek amacıyla yapılan etik ve kontrollü siber saldırı simülasyonudur. Amaç, kötü niyetli kişilerin kullanabileceği güvenlik açıklarını kuruluş adına önceden keşfetmek ve bu açıkların ne kadar kritik olduğunu ortaya koymaktır. Bu süreç, bir kurumun dijital altyapısının ne kadar güvenli olduğunu test etmenin en etkili yollarından biridir.

Siber güvenlik, artık sadece BT departmanının değil, tüm kurumun sorumluluğundadır. Günümüzde siber saldırılar yalnızca büyük şirketleri değil, KOBİ’leri, sağlık kuruluşlarını, eğitim kurumlarını ve kamu kurumlarını da hedef alıyor. Fidye yazılımları, kimlik hırsızlığı, sistem ele geçirme gibi tehditler her geçen gün artıyor. Bu tehditlerin çoğu, basit yapılandırma hataları ya da fark edilmeyen güvenlik açıkları nedeniyle gerçekleşiyor.
Sızma testleri, bu riskleri öngörüp önlemek için proaktif bir güvenlik adımıdır. Ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), KamuNET, Bilgi ve İletişim Güvenliği Rehberi, ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi, ISO 27701 gibi standart ve düzenlemeler de kurumların düzenli olarak sızma testi yaptırmasını doğrudan veya dolaylı şekilde zorunlu kılar.

4Dimension olarak, sızma testi hizmetimizi uluslararası metodolojilere (OWASP, OSSTMM, NIST, PTES) uygun şekilde gerçekleştiriyoruz. Süreci şu adımlarla yönetiyoruz:

1. Planlama ve Keşif:
Kuruma özel hedefler ve test kapsamı belirlenir. Ağ haritaları çıkarılır, kullanılacak protokoller, IP blokları ve test zamanlamaları netleştirilir. Sosyal mühendislik ya da e-posta testleri gerekiyorsa bu aşamada planlanır.

2. Açıklık Tespiti (Vulnerability Scanning):
Güncel zafiyet tarama araçları ve manuel yöntemlerle sistemdeki olası güvenlik açıkları tespit edilir. Web uygulamaları, sunucular, veritabanları, ağ cihazları ve kablosuz ağlar bu kapsamda incelenir.

3. Sömürme (Exploitation):
Bulunan güvenlik açıklarının gerçekten kötüye kullanılabilir olup olmadığı test edilir. Bu adımda saldırı simülasyonları gerçekleştirilir, örneğin: kimlik doğrulama bypass, veri sızdırma, RCE (uzaktan komut çalıştırma) vb.

4. Yetki Yükseltme ve Lateral Movement:
Sistemde sınırlı bir kullanıcı erişimi varsa, bunun daha yüksek yetkilere çıkarılıp çıkarılamayacağı test edilir. Ayrıca bir sistemden diğerine geçiş (lateral movement) yapılarak iç ağdaki yayılma potansiyeli analiz edilir.

5. Kanıt Toplama ve İz Bırakmama:
Tüm test boyunca yapılan işlemler kayıt altına alınır; sistemin kararlılığı bozulmaz. Testin sonunda sistemde iz bırakılmaz, kurumun iş sürekliliğine zarar verilmez.

6. Raporlama ve Sonuç Paylaşımı:
Her adım detaylı şekilde belgelenir. Açıklar, risk seviyelerine göre sınıflandırılır. Her bulgu için çözüm önerileri verilir. Rapor, teknik ve yönetici özetini içerecek şekilde iki ayrı formatta sunulur.