Sızma Testi Öncesi Hazırlık: Kapsam, Yetki ve Ortam Hangi Sırayla Netleşir?

Sızma testi sipariş edildiği gün başlayan bir iş değildir. Test ekibi ilk paketi göndermeden önce üç soru yanıtlanmış olmalıdır: Neyi test edeceğiz, bunu yapmaya kimin yazılı izni var ve test hangi ortamda yürüyecek? Sızma testi öncesi hazırlık bu üç sorunun doğru sırayla cevaplanmasıdır. Sıra bozulduğunda sonuçlar da bozulur. Kapsamı netleşmemiş bir test kritik bir sistemi atlayabilir. Yetkisi eksik bir test hukuki risk doğurur. Canlı sistemde habersiz yapılan bir test ise müşteri siparişlerini aksatabilir.

Bu yazı KOBİ ve kurumsal karar vericiler ile BT/ürün yöneticileri için hazırlandı. Kapsam, yetki ve ortamı hangi sırayla netleştireceğinizi somut örneklerle adım adım anlatıyoruz.

01Sızma testi öncesi hazırlık neden sırayla yapılır?

Üç başlık birbirine bağlıdır ve her biri bir öncekinin çıktısına dayanır:

1. Kapsam test edilecek varlıkları ve hedefi belirler.
2. Yetki yalnızca kapsamda yazılı olan varlıklar için verilebilir. Kapsam netleşmeden yazılan bir yetki ya fazla geniş ya da eksik kalır.
3. Ortam hem kapsama hem yetkiye göre seçilir. Yetki canlı sistemi içermiyorsa test ortamı ayrı kurulmalıdır.

Yöntem tarafında yol gösteren kaynaklar da bu ayrımı destekler. NIST SP 800-115 (Bilgi Güvenliği Testi ve Değerlendirmesi Teknik Kılavuzu) testin planlama aşamasında kuralların ve kapsamın yazılı olarak belirlenmesini bekler. OWASP Web Güvenlik Test Rehberi de web uygulaması testlerini bir metodolojiye ve önceden tanımlı hedeflere bağlar.

021. Adım: Kapsamı varlık listesiyle netleştirin

Kapsam, "web sitemizi test edin" cümlesiyle belirlenmez. Hangi alan adı, hangi uygulama, hangi IP aralığı ve hangi kullanıcı rolü için test yapılacağı tek tek yazılmalıdır. Aşağıdaki liste bir başlangıç noktasıdır:

• Hedef varlıklar: alan adları, alt alan adları, web uygulaması, mobil uygulamanın API'si, dış IP aralıkları.
• Kapsam dışı varlıklar: üçüncü taraf ödeme sayfası, e-posta hizmeti sağlayıcısı, ortak kullanılan barındırma ortamı gibi size ait olmayan sistemler.
• Test türü: dışarıdan (kimlik bilgisi olmadan) ya da kimlik bilgisiyle; yalnızca web ya da altyapıyı da içeren.
• Hedef: uyum denetimi, yeni sürüm öncesi kontrol, bir olay sonrası doğrulama ya da yönetim kuruluna rapor.
• Hariç tutulan teknikler: hizmet engelleme (DoS) denemeleri, sosyal mühendislik, fiziksel erişim gibi testlere dahil edilmeyecek yöntemler.

Örnek: Bir e-ticaret şirketi için kapsam, ana mağaza alan adı, müşteri paneli ve mobil uygulamanın API'si olarak yazılabilir. Kart verisini işleyen barındırılan ödeme sayfası ise ödeme sağlayıcıya ait olduğu için kapsam dışı bırakılır. Bu ayrım yetki ve ortam kararlarını da belirler.

032. Adım: Yazılı yetkiyi kapsamla eşleştirin

Sözlü onay yetki yerine geçmez. Yetkisiz erişim Türk Ceza Kanunu'nun bilişim alanındaki suçlar bölümünde (madde 243 ve devamı) düzenlenir. Bu nedenle test ekibi de siz de yazılı ve kapsamla birebir eşleşen bir belgeye ihtiyaç duyarsınız. Belgede aşağıdakiler yer almalıdır:

1. Yetkiyi veren kişinin adı, unvanı ve sistemler üzerindeki karar yetkisi.
2. Kapsamdaki varlıkların listesi (1. adımdaki liste ile aynı).
3. Testin tarih aralığı ve izin verilen saat dilimi.
4. Testi yürütecek ekibin ve test çıkış IP adreslerinin bilgisi.
5. Gizlilik yükümlülükleri ve bulguların kimlerle paylaşılacağı. İsterseniz NDA daha ilk aşamada imzalanabilir.

Üçüncü taraf sağlayıcıları unutmayın. Sistemleriniz bir bulut sağlayıcıda ya da ortak barındırmada çalışıyorsa sağlayıcının kendi test kuralları geçerli olabilir. Örneğin AWS sızma testi politikası hangi hizmetlerde önceden izin gerektiğini ve hangi faaliyetlerin yasak olduğunu açıklar. Microsoft Azure için de benzer kurallar learn.microsoft.com üzerindeki "Microsoft Cloud Penetration Testing Rules of Engagement" belgesinde yer alır. Sağlayıcı kuralları testten önce okunmalı, gerekiyorsa onay alınmalıdır.

Kişisel veri boyutu. Test sırasında müşteri kayıtlarına erişilebilir. Bu durum 6698 sayılı KVKK'nın veri güvenliğine ilişkin yükümlülükleri ile ilgilidir. Hangi verinin görüntülenebileceği, hangi verinin ekran görüntüsüne ve rapora alınmayacağı yetki belgesinde ya da ekindeki kurallarda yazılmalıdır. Kurumun resmî kılavuzlarına KVKK internet sitesinden ulaşabilirsiniz.

043. Adım: Test ortamını ve test verisini seçin

Üçüncü karar, testin nerede yapılacağıdır. İki yaygın seçenek vardır ve ikisinin de artı ve eksileri bulunur:

Ortam seçiminden sonra şu hazırlıkları tamamlayın:

• Test hesapları: her kullanıcı rolü için (örneğin müşteri, yönetici, bayi) ayrı hesap açın. Yetki atlatma testleri bu hesaplarla yapılır.
• Test verisi: staging ortamında gerçek müşteri verisi yerine maskelenmiş ya da üretilmiş veri kullanın.
• Güncel yedek: özellikle canlıda test yapılacaksa testten önce yedeğin alındığını ve geri dönüşün denendiğini doğrulayın.
• İzleme ve güvenlik duvarı: test çıkış IP'lerini bilen bir kişi belirleyin. Böylece test trafiği gerçek saldırıdan ayırt edilir ve gereksiz olay müdahalesi başlatılmaz.

054. Adım: Test kurallarını ve iletişim planını yazın

Kapsam, yetki ve ortam netleştikten sonra testin işleyişini belirleyen kurallar yazılır. Kısa bir sayfa çoğu zaman yeterlidir:

1. Test penceresi: hangi gün ve saatlerde test yapılacağı. Yoğun satış ya da bordro dönemleri dışarıda tutulabilir.
2. Acil durdurma kuralı: sistem yavaşlarsa ya da hata verirse testi durdurma yetkisi kimdedir ve nasıl haber verilir?
3. Kritik bulgu bildirimi: ciddi bir açık bulunursa rapor sonunu beklemeden hangi kanaldan ve kime bildirilecek?
4. İletişim kişileri: kurum tarafında bir teknik ve bir yönetsel sorumlu. Test ekibi tarafında bir proje sorumlusu.
5. Rapor içeriği: bulguların risk derecesi, tekrar üretme adımları ve düzeltme önerileriyle sunulması ve tekrar test (retest) planı.

06Sızma testi öncesi hazırlık kontrol listesi

Teste başlamadan önce aşağıdaki maddeleri işaretleyebildiğinizden emin olun:

1. Hedef ve kapsamdaki varlıklar yazılı olarak listelendi.
2. Kapsam dışı sistemler ve hariç tutulan teknikler yazıldı.
3. Yetki belgesi imzalandı ve kapsamla birebir eşleşiyor.
4. Bulut ve barındırma sağlayıcılarının test kuralları kontrol edildi.
5. Kişisel verinin test sırasında nasıl ele alınacağı belirlendi.
6. Test ortamı ve test hesapları hazırlandı; yedek doğrulandı.
7. Test penceresi, acil durdurma ve bildirim kuralları yazıldı.

07Sık sorulan sorular

Sızma testi için yazılı yetki neden zorunlu sayılır?

Çünkü testte kullanılan teknikler, gerçek bir saldırganın kullandığı tekniklerle aynıdır. Yazılı yetki testi yapan ekibin faaliyetini meşru kılar ve sorumlulukları netleştirir. Ayrıca bulut sağlayıcı ve barındırma firması gibi taraflara testin bilinçli bir faaliyet olduğunu göstermenizi sağlar. Hukuki değerlendirme için kurumunuzun hukuk danışmanına başvurmanız önerilir.

Test canlı sistemde mi, test ortamında mı yapılmalı?

Tek bir doğru cevap yoktur. Staging ortamı canlıyla yapılandırma açısından yakınsa daha güvenli ve kapsamlı testler yapılabilir. Dışarıdan görünen gerçek yapılandırmayı görmek istiyorsanız canlı ortamdaki sınırlı testler de gerekebilir. Birçok kurum iki ortamı birlikte kullanır. Kritik olan seçimin ve yan etkilerin önceden yazılı olarak kararlaştırılmasıdır.

Sızma testi ile güvenlik açığı taraması aynı şey mi?

Hayır. Açık taraması bilinen zafiyetleri otomatik araçlarla listeler. Sızma testinde ise uzman bu açıkların gerçekten istismar edilip edilemediğini ve birbiriyle zincirlenip nasıl bir etki yaratabileceğini araştırır. Hazırlık aşamasında hangisini istediğinizi netleştirmeniz kapsamı doğrudan etkiler.

08Sonuç

Kapsam, yetki ve ortamı bu sırayla netleştirmek testi daha öngörülebilir kılar ve raporun karar vermenize gerçekten yardımcı olmasını sağlar. Hazırlık adımlarının ayrıntılı halini Sızma Testi Öncesi Hazırlık rehberinde bulabilirsiniz. Sızma testi, güvenlik açığı değerlendirmesi ve KVKK uyum danışmanlığı kapsamımızı görmek için Siber Güvenlik hizmet sayfamızı inceleyebilirsiniz.