İnternet güvenlik testi (sızma testi) nedir?
Cevap:
İnternet güvenlik testi; bir kurumun internete açık web uygulamaları, sunucuları, API’leri ve ağ bileşenlerinin, gerçek bir saldırgan gibi test edilerek güvenlik açıklarının tespit edilmesidir.
Amaç:
-
Sisteme zarar vermek değil
-
Zarar verebilecek açıkları önceden bulmaktır
Sızma testi ile zafiyet taraması aynı şey mi?
Cevap:
Hayır, aynı şey değildir.
| Zafiyet Taraması | Sızma Testi |
|---|---|
| Otomatik araç ağırlıklı | Manuel + otomatik |
| Yüzeysel | Derinlemesine |
| Yanlış pozitif olabilir | Doğrulama yapılır |
| Risk gösterir | Gerçek etkiyi gösterir |
Sızma testi, bulunan açıkların gerçekten istismar edilip edilemeyeceğini gösterir.
İnternete açık hangi sistemler test edilir?
Cevap:
Genellikle şu varlıklar test kapsamına alınır:
-
Web uygulamaları
-
Mobil uygulama backend’leri
-
API servisleri
-
VPN ve firewall servisleri
-
Mail sunucuları
-
Cloud ortamları
Sızma testi sırasında sistemler zarar görür mü?
Cevap:
Hayır, profesyonelce yapılan bir sızma testinde:
-
Veri silinmez
-
Sistemler kapatılmaz
-
Performans etkilenmez
Testler kontrollü ve kayıtlı şekilde yapılır.Sızma testi ne kadar sürer?
Cevap:
Süre; sistem sayısına ve karmaşıklığına bağlıdır.
Genel ortalama:
-
Küçük uygulamalar: 3–5 gün
-
Orta ölçekli sistemler: 1–2 hafta
-
Büyük / kritik sistemler: 3+ hafta
Test sırasında kaynak kod gerekir mi?
Cevap:
Hayır.
İnternet güvenlik testleri genellikle black-box veya gray-box yaklaşımıyla yapılır.
Yani:
-
Saldırgan gibi dışarıdan bakılır
-
Kaynak kod paylaşımı zorunlu değildir
Hangi standartlara göre test yapılır?
Cevap:
Profesyonel sızma testleri şu standartlara dayanır:
-
OWASP Top 10
-
OWASP ASVS
-
PTES
-
NIST
-
BDDK / KVKK uyum gereksinimleri
Test sonunda ne teslim edilir?
Cevap:
Detaylı bir teknik rapor hazırlanır:
-
Bulunan güvenlik açıkları
-
Risk seviyeleri (Kritik / Yüksek / Orta / Düşük)
-
Gerçek istismar senaryoları
-
Teknik ve yönetsel öneriler
-
Kanıtlar (log, ekran görüntüsü)
Sızma testi zorunlu mu?
Cevap:
Birçok sektörde zorunlu veya fiilen gereklidir:
-
FinTech & Bankacılık
-
E-ticaret
-
SaaS firmaları
-
KVKK kapsamındaki kurumlar
-
BDDK, ISO 27001 denetimleri
Sızma testi ne sıklıkla yapılmalı?
Cevap:
Önerilen sıklık:
-
Yılda en az 1 kez
-
Büyük versiyon değişikliklerinden sonra
-
Yeni bir sistem internete açıldığında
Neden Fiteksoft?
Cevap:
Fiteksoft olarak:
-
Gerçek saldırgan bakış açısıyla test ederiz
-
Otomatik rapor değil, yorumlanmış sonuçlar sunarız
-
İş sürekliliğini riske atmayız
-
Regülasyon ve uyum odaklı çalışırız
Sonuç
İnternet güvenlik testi, bir maliyet değil;
veri kaybı, itibar zedelenmesi ve cezaları önleyen bir yatırımdır.
Güvenlik açıkları saldırganlardan önce bulunmalıdır.
İletişim
Kurumunuza özel internet güvenlik testi planı için:
Fiteksoft – proje@fiteksoft.com