İnternet güvenlik testi (sızma testi) nedir?

İnternet güvenlik testi (sızma testi) nedir?

Cevap:
İnternet güvenlik testi; bir kurumun internete açık web uygulamaları, sunucuları, API’leri ve ağ bileşenlerinin, gerçek bir saldırgan gibi test edilerek güvenlik açıklarının tespit edilmesidir.

Amaç:

• Sisteme zarar vermek değil

• Zarar verebilecek açıkları önceden bulmaktır

Sızma testi ile zafiyet taraması aynı şey mi?

Cevap:
Hayır, aynı şey değildir.

Sızma testi, bulunan açıkların gerçekten istismar edilip edilemeyeceğini gösterir.

İnternete açık hangi sistemler test edilir?

Cevap:
Genellikle şu varlıklar test kapsamına alınır:

• Web uygulamaları

• Mobil uygulama backend’leri

• API servisleri

• VPN ve firewall servisleri

• Mail sunucuları

• Cloud ortamları

Sızma testi sırasında sistemler zarar görür mü?

Cevap:
Hayır, profesyonelce yapılan bir sızma testinde:

• Veri silinmez

• Sistemler kapatılmaz

• Performans etkilenmez

Testler kontrollü ve kayıtlı şekilde yapılır.Sızma testi ne kadar sürer?

Cevap:
Süre; sistem sayısına ve karmaşıklığına bağlıdır.

Genel ortalama:

• Küçük uygulamalar: 3–5 gün

• Orta ölçekli sistemler: 1–2 hafta

• Büyük / kritik sistemler: 3+ hafta

Test sırasında kaynak kod gerekir mi?

Cevap:
Hayır.
İnternet güvenlik testleri genellikle black-box veya gray-box yaklaşımıyla yapılır.

Yani:

• Saldırgan gibi dışarıdan bakılır

• Kaynak kod paylaşımı zorunlu değildir

Hangi standartlara göre test yapılır?

Cevap:
Profesyonel sızma testleri şu standartlara dayanır:

• OWASP Top 10

• OWASP ASVS

• PTES

• NIST

• BDDK / KVKK uyum gereksinimleri

Test sonunda ne teslim edilir?

Cevap:
Detaylı bir teknik rapor hazırlanır:

• Bulunan güvenlik açıkları

• Risk seviyeleri (Kritik / Yüksek / Orta / Düşük)

• Gerçek istismar senaryoları

• Teknik ve yönetsel öneriler

• Kanıtlar (log, ekran görüntüsü)

Sızma testi zorunlu mu?

Cevap:
Birçok sektörde zorunlu veya fiilen gereklidir:

• FinTech & Bankacılık

• E-ticaret

• SaaS firmaları

• KVKK kapsamındaki kurumlar

• BDDK, ISO 27001 denetimleri

Sızma testi ne sıklıkla yapılmalı?

Cevap:
Önerilen sıklık:

• Yılda en az 1 kez

• Büyük versiyon değişikliklerinden sonra

• Yeni bir sistem internete açıldığında

 Neden Fiteksoft?

Cevap:
Fiteksoft olarak:

• Gerçek saldırgan bakış açısıyla test ederiz

• Otomatik rapor değil, yorumlanmış sonuçlar sunarız

• İş sürekliliğini riske atmayız

• Regülasyon ve uyum odaklı çalışırız

Sonuç

İnternet güvenlik testi, bir maliyet değil;
veri kaybı, itibar zedelenmesi ve cezaları önleyen bir yatırımdır.

Güvenlik açıkları saldırganlardan önce bulunmalıdır.

İletişim

Kurumunuza özel internet güvenlik testi planı için:
Fiteksoft – proje@fiteksoft.com