Ana sayfa / Sızma testi
Açıkları saldırgandan önce biz bulalım.
Sızma testinde sistemlerinize gerçek bir saldırganın kullanacağı yöntemlerle, ama sizin yazılı izninizle ve kontrollü biçimde saldırıyoruz. Amaç korkutmak değil; neyin, ne kadar acil ve nasıl düzeltileceğini net olarak ortaya koymak.
Neleri test ediyoruz
Kapsamı birlikte belirliyoruz. Çoğu işletme için en büyük risk, internete açık bir portal ya da dışarıdan erişilen bir servis oluyor.
Web uygulaması ve portal
Bayi portalı, B2B sipariş sistemi, müşteri paneli ve web sitesi. OWASP Top 10 ve OWASP test rehberi esas alınır.
Dış ağ testi
İnternete açık IP adresleriniz, VPN, e-posta ve uzak masaüstü servisleri dışarıdan saldırgan gözüyle taranır.
İç ağ testi
Bir çalışan bilgisayarı ele geçirildiğinde saldırganın sunuculara ve etki alanı yönetimine ne kadar ilerleyebildiği ölçülür.
Kablosuz ağ testi
Misafir ve şirket Wi-Fi ağlarının birbirinden gerçekten ayrılıp ayrılmadığı, şifreleme ve erişim ayarları test edilir.
Oltalama simülasyonu
Çalışanlarınıza izinli, gerçekçi sahte e-postalar gönderilir; kimin tıkladığı değil, ekibin ne kadar hazır olduğu raporlanır.
Test nasıl ilerler
Her aşama yazılı. Testin hangi gün, hangi saatte, hangi sistemlere yapılacağını önceden bilirsiniz.
Kapsam ve izin
Test edilecek sistemler, tarihler ve sınırlar yazılı izin belgesiyle netleşir.
Keşif
Saldırganın görebildiği her şey çıkarılır: alan adları, açık servisler, sürümler.
Test
Açıklar elle ve araçlarla denenir, gerçekten istismar edilebilir olanlar kontrollü biçimde kanıtlanır.
Rapor
Yönetici özeti ve teknik bulgular, CVSS puanı ve düzeltme adımlarıyla teslim edilir.
Doğrulama
Düzeltmelerden sonra bulgular yeniden test edilir, kapandığı raporlanır.
Raporda neler var
Rapor iki okuyucu için yazılır: kararı verecek yönetici ve düzeltmeyi yapacak BT ekibi ya da yazılım firması.
- Teknik bilgi gerektirmeyen yönetici özeti
- Her bulgu için CVSS puanı, etkisi ve ekran görüntüsüyle kanıt
- Adım adım düzeltme önerisi ve öncelik sırası
- Yazılım firmanıza doğrudan iletebileceğiniz teknik ek
- Doğrulama testinin ardından güncellenmiş rapor
Sık sorulanlar
Teklif görüşmesinde en çok bunları soruyorsunuz.
Test sırasında sistemlerimiz durur mu?
Hayır. Testler canlı sistemleri bozmayacak biçimde planlanır. Riskli adımlar önceden size sorulur ve gerekirse mesai dışında yapılır.
Ne kadar sürer?
Kapsama göre değişir. Tek bir web uygulaması genellikle birkaç iş gününde tamamlanır; kesin süre keşif görüşmesinde yazılı olarak netleşir.
Bulunan açıkları siz mi düzeltiyorsunuz?
Ağ ve güvenlik duvarı tarafındaki açıkları biz kapatabiliriz. Yazılım kaynaklı açıklar için raporu yazılım firmanıza anlaşılır biçimde iletir, düzeltmeyi birlikte doğrularız.
Sonuçlar gizli kalır mı?
Evet. İsterseniz test öncesinde gizlilik sözleşmesi imzalarız. Bulgular yalnızca sizinle paylaşılır, hiçbir yerde müşteri adıyla anılmaz.
Ne sıklıkla yapılmalı?
Yılda en az bir kez ve her büyük değişiklikten sonra: yeni bir portal, yeni bir şube ya da güvenlik duvarı değişimi gibi.
Portalınızı ya da ağınızı test ettirmek mi istiyorsunuz?
Kısa bir görüşmede kapsamı belirler, süreyi ve maliyeti yazılı olarak iletiriz.