Sertifikalı Etik Hacker vs. Sızma Testi Uzmanı: Hangisine İhtiyacınız Var? Turkce

Geçen ay, hayal kırıklığına uğramış bir CEO beni aradı: "Sertifikalı bir etik hacker işe almam gerekiyor ama herkes bana bir sızma testi uzmanına ihtiyacım olduğunu söyleyip duruyor. Bunlar aynı şey değil mi?"

On yıllık siber güvenlik danışmanlığı kariyerimde, bu kafa karışıklığı, işletmelerin yanlış güvenlik hizmetlerine para harcamalarının bir numaralı nedenidir. Bir OSCP'ye ihtiyaçları olduğunda bir CEH işe alıyorlar veya bir güvenlik açığı taraması yeterli olacakken sızma testi için ödeme yapıyorlar.

Gerçek mi? Sertifikalı bir etik hacker ve bir sızma testi uzmanı aynı şey DEĞİLDİR — her ne kadar terimler genellikle birbirinin yerine kullanılsa da. Farkı anlamak size on binlerce dolar kazandırabilir ve daha da önemlisi, sistemlerinizi gerçekten güvence altına alabilir.

Bu rehberde, bu roller arasındaki temel farkları açıklayacağım, başlıca sertifikaları (CEH, OSCP, CISSP) izah edeceğim ve özel güvenlik zorluklarınız için gerçekte hangi profesyonele ihtiyacınız olduğunu belirlemenize yardımcı olacağım.

Sertifikalı Etik Hacker (CEH) Nedir?

Sertifikalı etik hacker, EC-Council'den CEH sertifikası almış bir siber güvenlik profesyonelidir. Bu kimlik bilgisi, saldırganın bakış açısından hackleme kavramlarını, araçlarını ve metodolojilerini anladıklarını doğrular.

CEH Sertifikası Neleri Kapsar

CEH sınavı, aşağıdakiler dahil 20 alandaki bilgileri test eder:

Tarama ve numaralandırma
Sistem hackleme ve istismar
Kötü amaçlı yazılım analizi
Sosyal mühendislik
Web uygulaması güvenlik açıkları
Kriptografi ve ağ güvenliği

CEH Sınav Formatı

4 saat içinde 125 çoktan seçmeli soru
Bilgiye dayalı, uygulamalı değil
Geçme oranı: Yaklaşık %60-70
Maliyet: 499 $ sınav ücreti + 2.000-3.000 $ eğitim için (gerekirse)

Kimin CEH'e İhtiyacı Var?

CEH şunlar için idealdir:

Devlet ve uyumluluk rolleri: CEH, DoD 8570/8140 gereksinimlerini karşılar
Saldırı tekniklerini anlaması gereken SOC analistleri
Siber güvenliğe geçiş yapan BT profesyonelleri
Temel bilgi gerektiren giriş seviyesi güvenlik rolleri

Sınırlama: CEH teori ağırlıklıdır. Sınavı geçmek, bir sistemi gerçekten istismar edebileceğinizi kanıtlamaz — yalnızca kavramları anladığınızı gösterir.

Sızma Testi Uzmanı (Penetration Tester) Nedir?

Bir sızma testi uzmanı (veya "pen tester"), kötü niyetli hackerlar yapmadan önce güvenlik açıklarını belirlemek için sistemlere aktif olarak girmeye çalışan uygulamalı bir güvenlik profesyonelidir.

Sızma Testi Uzmanları Ne Yapar?

Çeşitli güvenlik rollerinde çalışabilen CEH sahiplerinin aksine, sızma testi uzmanları şunlarda uzmanlaşır:

Aktif istismar: Sistemlere gerçekten girmek (izinle)
Güvenlik açığı doğrulama: Bir zayıflığın sadece teorik değil, istismar edilebilir olduğunu kanıtlamak
Ayrıntılı raporlama: Eyleme geçirilebilir iyileştirme adımları sağlamak
Kırmızı takım (Red team) operasyonları: Gerçek dünya saldırılarını simüle etmek

Altın Standart: OSCP Sertifikası

Offensive Security Certified Professional (OSCP), sektörün en saygın sızma testi kimlik bilgisidir.

OSCP Sınav Formatı:

24 saatlik uygulamalı laboratuvar: Birden fazla makineyi tehlikeye atmanız gerekir
24 saatlik rapor penceresi: Bulgularınızı profesyonelce belgeleyin
Çoktan seçmeli yok: Ya sistemleri hacklersiniz ya da başarısız olursunuz
Geçme oranı: Yaklaşık %30-40 (zorluğuyla bilinir)
Maliyet: Kurs + sınav paketi için 1.749 $

OSCP Neden Önemli: Bir işe alım yöneticisi özgeçmişte OSCP gördüğünde, adayın sızma testini sadece konuşmakla kalmayıp gerçekten yapabileceğini bilir.

CEH vs. OSCP vs. CISSP: Sertifika Karşılaşması

En önemli üç siber güvenlik sertifikasını karşılaştıralım:

Sertifika	Odak	Sınav Tarzı	En İyi Olan	Maliyet
CEH	Etik hackleme kavramları	Çoktan seçmeli	Giriş seviyesi, uyumluluk, devlet	499 $ + eğitim
OSCP	Uygulamalı sızma testi	24 saatlik pratik laboratuvar	Saldırgan güvenlik, sızma testi uzmanları	1.749 $
CISSP	Güvenlik yönetimi	Uyarlanabilir çoktan seçmeli	Liderlik, CISO, mimarlar	749 $

Ne Zaman CEH Seçilmeli

Siber güvenlikte yenisiniz ve temel bilgiye ihtiyacınız var
Devlet veya DoD yüklenici pozisyonlarına başvuruyorsunuz
İK onay kutuları için bir kimlik bilgisine ihtiyacınız var
Uygulamalı çalışmadan önce teorik öğrenmeyi tercih ediyorsunuz

Ne Zaman OSCP Seçilmeli

Profesyonel bir sızma testi uzmanı olmak istiyorsunuz
Pratik hackleme becerilerini kanıtlamanız gerekiyor
Kırmızı takım veya saldırgan güvenlik rollerine başvuruyorsunuz
Teknik zorluklarda başarılısınız

Ne Zaman CISSP Seçilmeli

5+ yıllık güvenlik deneyiminiz var
Yönetim veya CISO rollerini hedefliyorsunuz
8 alanda geniş güvenlik bilgisine ihtiyacınız var
Güvenlik liderliği için "altın standardı" istiyorsunuz

Gerçek Fark: Teori vs. Pratik

İşte sertifikalı etik hacker ile sızma testi uzmanı tartışması hakkındaki acı gerçek:

Bir CEH, SQL enjeksiyonunun nasıl çalıştığını açıklayabilir. Bir OSCP, bunu bir üretim ortamında istismar edebilir.

Bu, CEH'i küçümsediğim anlamına gelmez — bu değerli bir sertifikadır. Ancak güvenliğinizi gerçekten test etmesi için birini işe alıyorsanız, sadece teorik bilgi değil, uygulamalı uzmanlık istersiniz.

Gerçek Dünya Örneği

Bir zamanlar web uygulamalarını test etmesi için "sertifikalı bir etik hacker" işe alan bir şirketi denetledim. Otomatik bir tarayıcı çalıştırdı, 50 güvenlik açığı buldu ve bir rapor sundu.

Manuel bir sızma testi gerçekleştirdiğimizde şunları bulduk:

Tarayıcının kaçırdığı 3 kritik iş mantığı hatası
Manuel istismar gerektiren 2 ayrıcalık yükseltme güvenlik açığı
Tam veritabanı erişimine izin veren 1 SQL enjeksiyonu

Fark neydi? Ekibimizde, sadece araçları çalıştırmayı değil, saldırganlar gibi düşünmeyi bilen OSCP sertifikalı sızma testi uzmanları vardı.

Her Birini İşe Almak Ne Kadara Mal Olur?

Bir hacker kiralamanın maliyetini (ister CEH ister sızma testi uzmanı olsun) anlamak bütçeleme için çok önemlidir.

Sertifikalı Etik Hacker Ücretleri

Saatlik: 100-200 $/saat
Yıllık Maaş: 86.000-135.000 $
Tipik Hizmetler: Güvenlik açığı değerlendirmeleri, uyumluluk denetimleri, SOC analizi

Sızma Testi Uzmanı Ücretleri (OSCP)

Saatlik: 200-350 $/saat
Yıllık Maaş: 120.000-143.000 $
Proje Bazlı: Kapsamlı testler için 10.000-50.000 $

Ayrıntılı bir döküm için fiyatlandırma rehberimize bakın.

İşletmenizin Gerçekten Hangisine İhtiyacı Var?

İşte basit bir karar ağacı:

Sertifikalı Bir Etik Hacker'a İhtiyacınız Var Eğer:

Dahili bir güvenlik ekibi kuruyorsanız
Uyumluluk belgelerine ihtiyacınız varsa (SOC 2, ISO 27001)
Güvenlik uyarılarını izleyecek birini istiyorsanız
Bir devlet pozisyonu için işe alım yapıyorsanız

Bir Sızma Testi Uzmanına İhtiyacınız Var Eğer:

Yeni bir uygulama veya ürün piyasaya sürüyorsanız
Daha önce hiç güvenlik testi yaptırmadıysanız
Savunmalarınızın gerçekten çalıştığını doğrulamanız gerekiyorsa
Yıllık sızma testi yapmanız zorunluysa

Her İkisine De İhtiyacınız Var Eğer:

Olgun bir güvenlik programına sahip büyük bir işletmeyseniz
Sürekli izleme (CEH) + yıllık test (OSCP) istiyorsanız
Bir kırmızı takım ve mavi takım oluşturuyorsanız

Cyberlord Neden Her İkisini De İstihdam Ediyor?

Cyberlord'da tek bedene uyan güvenliğe inanmıyoruz. Ekibimiz şunları içerir:

Sürekli izleme ve uyumluluk için CEH sertifikalı analistler
Uygulamalı istismar için OSCP sertifikalı sızma testi uzmanları
Stratejik güvenlik planlaması için CISSP sertifikalı mimarlar

Bu kombinasyon, temel güvenlik açığı taramalarından gelişmiş kırmızı takım operasyonlarına kadar her şeyi halledebilmemizi sağlar.

Her iki dünyanın en iyisini birleştiren sızma testi hizmetlerimiz hakkında daha fazla bilgi edinin.

Sonuç: İş İçin İşe Alın, Kısaltma İçin Değil

Sertifikalı etik hacker ile sızma testi uzmanı tartışması hangisinin "daha iyi" olduğuyla ilgili değildir — hangisinin özel ihtiyaçlarınız için doğru olduğuyla ilgilidir.

Hızlı Özet:

CEH = Temel bilgi, uyumluluk, giriÅŸ seviyesi
OSCP = Uygulamalı istismar, saldırgan güvenlik, ileri seviye
CISSP = Liderlik, yönetim, stratejik planlama

Kısaltmalara göre işe almayın. Başarmanız gereken şeye göre işe alın. Ve neye ihtiyacınız olduğundan emin değilseniz, bunun için buradayız.

İşletmenizi doğru uzmanlıkla güvence altına almaya hazır mısınız? Ücretsiz bir danışmanlık için bugün Cyberlord ile iletişime geçin. İhtiyaçlarınızı değerlendireceğiz ve doğru güvenlik profesyonellerini — ister bir CEH, ister bir OSCP, isterse tam bir güvenlik ekibi olsun — önereceğiz.

Sıkça Sorulan Sorular (SSS)

1. Bir CEH sızma testi yapabilir mi? Teknik olarak evet, ancak bu pratik deneyimlerine bağlıdır. CEH sertifikası tek başına yalnızca teorik bilgiyi kanıtlar, uygulamalı istismar becerilerini değil. Birçok CEH sahibi sızma testlerinde çalışır, ancak genellikle ek sertifikalara (OSCP gibi) veya yıllarca süren pratik deneyime de sahiptirler. Sızma testi için işe alıyorsanız, OSCP isteyin veya sadece CEH kimlik belgesinin ötesinde uygulamalı deneyim kanıtı talep edin.

2. OSCP, CEH'den daha mı zor? Kesinlikle. OSCP önemli ölçüde daha zordur. CEH, teorik bilgiyi test eden 4 saatlik çoktan seçmeli bir sınavken, OSCP bir laboratuvar ortamında 24 saatlik uygulamalı hackleme ve ardından profesyonel bir rapor gerektirir. OSCP geçme oranı %30-40 civarındayken, CEH için bu oran %60-70'tir. Ancak bu zorluk, OSCP'nin teknik roller için daha saygın olmasının nedenidir — sadece kavramları anladığınızı değil, sızma testini gerçekten yapabileceğinizi kanıtlar.

3. Hem CEH hem de OSCP sertifikalarına ihtiyacım var mı? Kariyer hedeflerinize bağlıdır. Çoğu sızma testi rolü için OSCP tek başına yeterlidir ve daha değerlidir. Ancak, bazı devlet ve savunma yüklenicisi pozisyonları uyumluluk (DoD 8570/8140) için özellikle CEH gerektirir. Bu rolleri hedefliyorsanız, önce CEH (daha kolay) sonra OSCP (daha zor) almak mantıklıdır. Özel sektör saldırgan güvenlik rolleri için CEH'i atlayın ve doğrudan OSCP'ye gidin. Güvenlik yönetimi için bunun yerine CISSP'yi düşünün.

Genel Bakış

Bu konu için temel kararlar, riskler ve uygulama adımları.