Kapsam
Dış ağ, iç ağ, web uygulaması, API ve kablosuz varlıklardaki zafiyetleri tanımlı test kuralları içinde tespit eder ve doğrular; bulguları iş etkisine göre önceliklendirip sahipli bir iyileştirme planına ve kapanış kanıtına dönüştürür.
Sızma Testi ve Zafiyet Tarama
Sistemlerinizdeki güvenlik açıklarını iş etkisine göre önceliklendirip uygulanabilir bir iyileştirme yol haritasına dönüştürüyoruz.
Öne Çıkan Başlıklar
- Dış ağ, iç ağ ve web uygulaması test yaklaşımı
- CVSS ve iş etkisine dayalı risk önceliklendirmesi
- Teknik ekip için düzeltme önerileri ve retest
- Yönetime uygun özet ve ayrıntılı teknik rapor
Test Metodolojisi ve Kanıt Çerçevesi
İlgili Teknolojiler
Bu Hizmet Kimler İçin?
İnternet, iç ağ, web uygulaması, API veya kablosuz varlıklardaki zafiyetleri tanımlı test sınırları içinde doğrulamak ve aksiyonlandırmak isteyen kurumlar için uygundur. Zafiyet taraması ile manuel sızma testi kapsamı aynı kabul edilmez.
Kapsam ve Teslimatlar
- Kapsam ve test kuralları (ROE) dokümanı
- Varlık envanteri ve önceliklendirme
- Doğrulanmış bulgu listesi
- İyileştirme yol haritası
- Kapsamdaysa retest ve kapanış raporu
Teknik Yaklaşım ve Teknolojiler
Varlık listesi, test türü, kimlikli/kimliksiz erişim, üretim etkisi, yasaklı teknikler ve iletişim kanalı Rules of Engagement belgesinde tanımlanır. Otomatik bulgular manuel doğrulamayla yanlış pozitiflerden ayrılır; kanıt üretirken veri minimizasyonu uygulanır.
Örnek Senaryo
Hipotetik bir web uygulamasında tarayıcı yüksek önem dereceli bir başlık eksikliği ve olası erişim kontrolü bulur. Başlık bulgusu yapılandırma olarak, erişim kontrolü ise yetkili test hesabı ve güvenli isteklerle manuel doğrulanarak ayrı risk gerekçesiyle raporlanır.
Remediation Planı ve Retest Kapanış Döngüsü
Bulgu; etkilenen varlık, kanıt, olası etki, ön koşul ve düzeltme önerisiyle sahibine atanır. Retest hizmete dahil varsayılmaz; yöntem, zaman penceresi ve hangi bulguların yeniden test edileceği teklif ve ROE içinde açıkça belirtilir.
Raporlama Formatı ve Yönetim Özeti
Teknik rapor tekrarlanabilir kanıt ve düzeltme ayrıntısı sunarken yönetim özeti varlık/iş etkisi, öncelik ve sahiplik gösterir. CVSS tek başına öncelik değildir; maruziyet, sömürülebilirlik ve iş kritikliğiyle birlikte yorumlanır.
Test Öncesi Kontrol Listesi
- Test edilecek alan adları, IP aralıkları ve uygulamalar onaylandı mı?
- Varlık sahipleri ve test yetkisini verecek kişi belli mi?
- Kimlikli test için kullanıcı rolleri ve test hesapları hazır mı?
- Yasaklı teknikler, test pencereleri ve acil durum kişileri yazılı mı?
- Bulguların kime atanacağı ve retest beklentisi netleşti mi?
SSS
Sık Sorulan Sorular
Sızma testi ile zafiyet taraması arasındaki fark nedir?
Tarama olası zafiyetleri geniş ölçekte tespit eder; sızma testi ise yetkilendirilmiş bir test kuralları planıyla seçilen saldırı yollarını ve etkilerini doğrular. Hangi faaliyetlerin dahil olduğu teklifte belirtilir.
Güvenlik testinden önce hangi yetkilendirmeler gerekir?
Varlık sahibi, hedefler, tarihler, kaynak IP adresleri, yöntemler, yasaklı işlemler, veri işleme kuralları, acil durum kişileri, durdurma koşulları ve üçüncü taraf izinleri testten önce onaylanmalıdır.
İyileştirme sonrası retest dahil mi?
Yalnızca teklif; retest kapsamındaki bulguları, zamanlamayı, ortamı, kanıtı ve retest sayısını veya sınırını belirtiyorsa dahildir. Varsayılan olarak dahil kabul edilmez.
Karar Destek Rehberleri
Bu Hizmetle İlgili Rehberler
Satın alma kararını kolaylaştıran teknik rehberleri inceleyerek proje kapsamınızı netleştirebilirsiniz.
Sonraki Adım
Kapsamı birlikte netleştirelim
Mevcut ortamınızı ve hedefinizi paylaşın; teknik ön görüşmede kapsamı, takvimi ve kabul ölçütlerini birlikte çıkaralım.