Sızma Testi (Penetrasyon Testi) Hizmeti: Süreç, Türler, Maliyet ve Rapor — 2026 Rehberi

Sızma testi (penetrasyon testi, kısaca pentest), bir kurumun bilgi sistemlerine yazılı izinle, kontrollü ve gerçekçi bir saldırı düzenleyerek güvenlik açıklarını saldırganlardan önce bulma işidir. Otomatik bir tarama aracının "olası" dediği bulguları, bir uzmanın elle doğrulayıp birbirine zincirleyerek gerçek etkiyi göstermesiyle zafiyet taramasından ayrılır. Bu yazıda sızma testinin türlerini, adım adım sürecini, iyi bir raporun içeriğini ve maliyeti belirleyen etkenleri anlatıyoruz.

Sızma testi ile zafiyet taraması arasındaki fark

İki kavram sık karıştırılır, ancak farklı soruları cevaplar:

• Zafiyet taraması "Hangi bilinen açıklar var olabilir?" sorusunu sorar. Otomatiktir, hızlıdır, sık yapılmalıdır; yanlış pozitif oranı yüksektir.
• Sızma testi "Bir saldırgan bu açıklarla nereye kadar ilerleyebilir?" sorusunu sorar. Uzman emeğine dayanır, iş mantığı hatalarını ve zincirlenmiş saldırıları ortaya çıkarır.

Doğru model ikisini birlikte kullanmaktır: sürekli tarama ile hijyeni koruyun, periyodik sızma testi ile derinliği ölçün.

Sızma testi türleri

Bilgi düzeyine göre

• Black box (kara kutu): Test ekibine yalnızca hedef adı verilir. Dışarıdaki bir saldırganın bakışını en iyi taklit eder, ancak sınırlı sürede kapsamın bir kısmı keşifte harcanır.
• Grey box (gri kutu): Ekip düşük yetkili bir kullanıcı hesabı veya mimari özeti alır. Maliyet–kapsam dengesi en iyi olan ve en çok tercih edilen modeldir.
• White box (beyaz kutu): Kaynak kodu, mimari dokümanlar ve yönetici erişimi paylaşılır. En derin analizi sağlar; kritik uygulamalarda önerilir.

Hedefe göre

• Web uygulaması ve API testi: OWASP Top 10 ve OWASP API Security Top 10 kapsamında kimlik doğrulama, yetkilendirme, enjeksiyon ve iş mantığı hataları.
• Mobil uygulama testi: Android/iOS istemci, yerel veri saklama ve arka uç API'leri (OWASP MASVS).
• Dış ağ testi: İnternete açık sunucular, VPN ağ geçitleri, e-posta ve DNS altyapısı.
• İç ağ ve Active Directory testi: "Saldırgan içeri girdi, şimdi ne olur?" senaryosu. Etki alanı yöneticisine giden yolların haritası çıkarılır.
• Kablosuz ağ testi: Misafir ağ ayrımı, sahte erişim noktası ve kimlik doğrulama zayıflıkları.
• Sosyal mühendislik: Oltalama e-postası, telefonla bilgi toplama ve fiziksel erişim denemeleri.
• Bulut yapılandırma testi: AWS, Azure, Google Cloud ve Microsoft 365 kiracılarında yanlış yapılandırma ve aşırı yetki.
• OT / ICS testi: Endüstriyel kontrol sistemlerinde üretimi durdurmadan, pasif ağırlıklı yöntemlerle. Bkz. OT/ICS güvenliği.

Sızma testi süreci adım adım

1. Kapsam ve kurallar: Hedef IP'ler, alan adları, uygulamalar, test zamanları, yasak eylemler ve acil durum iletişimi yazılı olarak belirlenir. Bu belge hem sizi hem test ekibini hukuken korur.
2. Keşif (reconnaissance): Açık kaynak istihbaratı, alt alan adları, sızdırılmış kimlik bilgileri, açık portlar ve servis sürümleri.
3. Zafiyet analizi: Otomatik araçların çıktısı elle doğrulanır; yanlış pozitifler elenir.
4. İstismar: Doğrulanan açıklar, sistemlere zarar vermeyecek biçimde kullanılarak erişim kanıtlanır.
5. Yetki yükseltme ve yanal hareket: Tek bir açıktan kritik varlıklara (veritabanı, etki alanı denetleyicisi, yedekleme sunucusu) ulaşılıp ulaşılamayacağı gösterilir.
6. Raporlama: Yönetici özeti ve teknik ayrıntı ayrı ayrı yazılır.
7. Kapanış ve doğrulama testi: Açıklar kapatıldıktan sonra yeniden test edilerek düzeltmenin etkinliği belgelenir.

İyi bir sızma testi raporunda neler olmalı?

Satın aldığınız asıl ürün rapordur. Aşağıdakilerden biri eksikse raporu sorgulayın:

• Teknik olmayan yöneticiler için bir sayfalık yönetici özeti ve genel risk puanı
• Her bulgu için CVSS puanı ve kuruma özel iş etkisi değerlendirmesi
• Yeniden üretilebilir adımlar, ekran görüntüleri ve istek/yanıt örnekleri
• Somut, uygulanabilir kapatma önerisi ve önceliklendirme
• Test edilen ve edilemeyen kapsamın açıkça yazılması
• Saldırı zincirinin görsel anlatımı (özellikle iç ağ testlerinde)

Sızma testi fiyatlarını ne belirler?

Sızma testi fiyatı sabit bir paket değil, kapsamın bir fonksiyonudur. Belirleyici etkenler:

• Test edilecek IP, alan adı, uygulama ve API uç noktası sayısı
• Uygulamadaki rol sayısı ve iş akışlarının karmaşıklığı
• Test modeli (black / grey / white box)
• Mesai dışı veya üretim ortamında test gerekliliği
• Sosyal mühendislik ve fiziksel test gibi ek modüller
• Doğrulama testinin kapsama dâhil olup olmadığı

"IP başına sabit fiyat" teklifleri genellikle yalnızca otomatik taramayı karşılar. Teklifleri karşılaştırırken adam/gün sayısını ve rapor örneğini mutlaka isteyin.

Sızma testi ne sıklıkla yapılmalı?

• Yılda en az bir kez (ISO 27001, PCI DSS ve BDDK gibi düzenlemeler de periyodik test bekler)
• Yeni bir uygulama veya altyapı canlıya alınmadan önce
• Büyük sürüm güncellemeleri, birleşme ve satın almalardan sonra
• Bir güvenlik olayından sonra, kök neden giderildiğinde

ONGSEC sızma testi hizmeti

ONGSEC, Ankara merkezli ekibiyle web, mobil, API, iç ağ, Active Directory, kablosuz, bulut, OT/ICS ve sosyal mühendislik testlerini OWASP, PTES ve NIST SP 800-115 çerçevelerine dayalı yazılı metodolojiyle yürütür. Testleri OSCP, CEH ve CISSP sertifikalı uzmanlar yapar; her raporla birlikte kapatma toplantısı ve doğrulama testi sunulur. Kırmızı takım operasyonları, güvenli kod incelemesi ve siber tatbikatlar da hizmet kapsamımızdadır.

Ayrıntılar: Sızma testi ve kırmızı takım hizmetimiz. Konuya yeni başlıyorsanız daha temel bir giriş için "Penetrasyon Testi Nedir ve Ne İçindir?" yazımızı da okuyabilirsiniz.

Sık sorulan sorular