Etik hacker mı, otomatik tarayıcı mı?
CyberLord Güvenlik Ekibi Yazar profili
"Tarayıcı sistemlerimizde kritik açık bulamadı, o zaman neden sızma testine para ödeyelim?" Bu soruyu işletme sahiplerinden neredeyse her hafta duyuyorum. Soru makul: tarayıcı gerçekten de kanıt gibi görünen bir rapor üretiyor. Sorun şu ki "kritik yok" sonucu "risk yok" anlamına gelmiyor; yalnızca "bilinen kalıplara uyan hiçbir şey bulunamadı" demek.
Yönetim kurulunda en iyi çalışan benzetme şu: tarayıcı yazım denetimidir, test uzmanı ise editördür. Yazım denetimi harf hatalarını ve tekrarları yakalar ama koca bir bölümün kendi içinde çeliştiğini ve müşteriyi yanılttığını fark etmez. Dilbilgisi kusursuz bir metin yine de tamamen yanlış olabilir. Uygulamalar da aynı: CVE veritabanından tek bir açık çıkmaz, yine de televizyonu bir liraya satın almak mümkündür.
Aşağıda farkı parçalara ayırıyoruz: otomasyonun iyi ve ucuza yaptığı işler, asla yapamayacağı işler, pratikte iş bölümü nasıl kurulur ve birisi "bize neden insan lazım?" diye sorduğunda bütçe nasıl savunulur.
Otomatik tarayıcı gerçekte ne yapar
Bir zafiyet tarayıcısı (Nessus, OpenVAS, Qualys, Rapid7 InsightVM) ağdaki makinelere bağlanır ve gördüklerini herkese açık CVE veritabanlarıyla ve yapılandırma kurallarıyla karşılaştırır. Sonuç, CVSS puanı ve kritikten düşüğe uzanan önem etiketi taşıyan bir bulgu listesidir.
İyi yaptığı işler:
- CVE kaydı bulunan güncellenmemiş yazılımlar, örneğin Apache 2.4.49 ve CVE-2021-41773,
- gereksiz yere internete açılan servisler, varsayılan giriş bilgileri, anonim FTP, açık SMB paylaşımları,
- BT ekibinin haberdar olmadığı cihazlar dahil envanter çıkarımı,
- PCI DSS'nin istediği üç aylık dış tarama gibi biçimsel gereklilikler,
- her sürümden sonra gerilemeleri yakalayan sürekli derleme hattı taraması.
Yapamadıkları:
- iş sürecini ve kullanıcının niyetini anlamaz,
- "düşük" etiketli üç bulguyu birleştirip gerçek bir saldırı yolu kurmaz,
- açığın bu ortamda gerçekten kullanılabilir olup olmadığını sınamaz, bu yüzden çok sayıda yanlış alarm üretir,
- sosyal mühendisliği, kayıt sürecini veya müşteri desteğini test etmez,
- yetkilendirmeyi derinlemesine değerlendirmez: A müşterisi B müşterisinin belgelerini görüyor mu?
Elle çalışan test uzmanı neyi ekler
Sızma testi, net bir hedefi ve imzalanmış kapsamı olan bir insanın yürüttüğü saldırı simülasyonudur. Test uzmanı listeyi işaretlemez, karar verir: bir bulgu sonraki adımı belirler ve birkaç küçük eksik bir araya gelerek otomasyonun asla planlayamayacağı bir senaryoya dönüşür.
Pratikte iş yetki seviyeleri üzerinden yürür: sıradan kullanıcı ne görüyor, destek personeli ne görüyor, adresteki kimlik değiştirildiğinde ne açılıyor, API yetkiyi sunucu tarafında mı kontrol ediyor yoksa yalnızca arayüzdeki düğmeyi mi gizliyor? Gerçek veri sızıntıları tam olarak burada olur ve orada neredeyse hiç hazır CVE bulunmaz.
İş mantığındaki kör nokta
Bildiğim en basit örnek: bir e-ticaret sitesi tüm taramalardan temiz çıkıyor. Test uzmanı giriş yapıyor, ürünü sepete ekliyor, isteği yakalıyor ve fiyatı 1.299 liradan 1 liraya çeviriyor. Sipariş geçiyor. Tarayıcı sessiz, çünkü kod tam yazıldığı gibi çalışıyor: sözdizimi hatası yok, iş kuralı hatası var.
İnsan gerektiren tipik bulgular:
- sunucunun doğrulamadığı bir istekte "user" rolünün "admin" olarak değiştirilmesiyle yetki yükseltme,
- IDOR, yani adresteki kimliği değiştirerek başka müşterinin belgelerine erişme,
- ikinci dereceden enjeksiyonlar: kayıtta güvenli görünen, sonraki işlemede tehlikeli hale gelen veriler,
- bakiye, indirim kuponu veya çekim limiti işlemlerinde yarış koşulları,
- zincirler: düşük yetkili bir servisteki SSRF ile bulut meta veri servisine erişim ve kimlik bilgileri.
Yan yana karşılaştırma
| Ölçüt | Otomatik tarayıcı | Test uzmanı (sızma testi) |
|---|---|---|
| Süre | dakikalar ile saatler | günler ile haftalar |
| Sıklık | sürekli veya haftalık | üç aylık veya yıllık |
| Maliyet | yılda birkaç yüz ile birkaç bin dolar | iş başına 5.000–30.000 dolar |
| Kapsam | bilinen CVE'ler ve yapılandırma hataları | iş mantığı, zincirler, yetki açıkları |
| Yanlış alarm | fazla, elle doğrulama gerekir | az, bulgular doğrulanmış |
| İş mantığı | hayır | evet |
| Uyumluluk | temel tarama gereklilikleri | SOC 2 ve ISO 27001 için tam rapor |
| Çıktı | otomatik rapor | kanıt, etki ve düzeltme planı içeren rapor |
Denetimler ve mevzuat ne istiyor
PCI DSS, ASV üzerinden üç aylık dış tarama ve yetkin bir değerlendirici tarafından yıllık sızma testi ister. Tarama raporu bu testin yerini tutmaz.
SOC 2 Tip II raporu, bağımsız bir üçüncü tarafın yaptığı sızma testine dair kanıt bekler. Denetçiler tarayıcı çıktısını bu rolde kabul etmez.
ISO 27001 Ek A kontrol 8.8, teknik zafiyetlerin test edilmesini şart koşar. Uygulamada internete açık sistemler için yalnızca tarama değil, elle test beklenir.
NIS2 ve GDPR belirli bir yöntem dayatmaz; ancak risk yönetimi ve ölçülü teknik tedbirler ister. Bir olay sonrasında hiç test yapılmamış olması çoğu zaman ihmal tartışmasının dayanağı olur.
Uyumluluğu yalnızca taramalar üzerine kuruyorsanız denetim büyük olasılıkla şu soruyla bitecek: test raporu nerede?
İki yaklaşımı nasıl birleştirirsiniz
Bu bir "ya o ya bu" seçimi değil. Katmanlar birbirini tamamlar:
- Aylık veya üç aylık düzenli tarama: yama, yapılandırma ve envanter hijyeni. Kritik ve yüksek bulgular belirlenen sürelerde kapatılır.
- Yılda bir sızma testi: uygulamalar ve ağ çevresi üzerinde elle, her büyük mimari değişikliğinden veya yeni sürümden sonra mutlaka.
- Yıllık testle birlikte sosyal mühendislik testi: ekibin aldatma girişimlerini tanıyıp bildirip bildirmediğini ölçer.
Fintech, medtech ve kritik altyapı işletmecileri gibi risk profili yüksek kuruluşlar yılda ikinci bir test, sürekli tarama ve dış araştırmacılara düzenli gerekçe veren bir bug bounty programı ekler.
Maliyeti ve geri dönüşü nasıl hesaplarsınız
Test fiyatları, olay maliyetiyle karşılaştırılana kadar yüksek görünür:
- orta karmaşıklıkta bir web uygulaması: genellikle 5.000–15.000 dolar, yani deneyimli bir test uzmanının 3–5 günlük işi,
- yaklaşık 50 makinelik küçük ağ: 5.000–12.000 dolar,
- müşteri veritabanının sızması: cezalar, hukuki masraflar, bildirim giderleri, kaybolan güven ve kesinti; toplam genellikle yıllık test bütçesinin kat kat üzerine çıkar.
Soru "teste paramız var mı" değil, "önleyebileceğimiz olayın maliyetini karşılayabilir miyiz" olmalı.
Yükleniciyi nasıl seçersiniz
İmzalanmış kapsam ve yazılı yetki başlangıç koşuludur, formalite değil. Sözleşmede kapsamdaki sistem ve adresler, sağlayıcı onayı olmadan üçüncü taraf altyapısının ve bulut servislerinin hariç tutulduğu açıkça yer almalı; ayrıca zaman aralığı, çalışma sırasında kritik bulguların nasıl bildirileceği, gizlilik sözleşmesi, sorumluluk sigortası ve kesinti riski varsa test uzmanının istismarı sürdürmeyeceği kuralı yazılmalı.
Teslimatı da baştan konuşun: kanıtlı rapor (ekran görüntüleri, istekler, kayıtlar), her bulgu için iş etkisi, düzeltme öncelikleri ve aynı ücrete dahil tekrar test. OSCP veya CREST gibi sertifikalar kalite işaretidir ama örnek raporun yerini tutmaz; bir uzmanın yetkinliklerini nasıl doğrulayacağınızı ayrıca anlattık.
Sık sorulan sorular
Sızma testi ne kadar sürer? Orta karmaşıklıkta bir web uygulaması genellikle 3–5 iş günü, küçük bir ağ 3–7 gün sürer. Rapora birkaç gün daha eklenir.
Test sistemlerimizi devre dışı bırakabilir mi? Doğru yürütülen bir test yıkıcı olmamalıdır ve nelerin serbest olduğunu kapsam belirler. Yine de başlamadan önce denenmiş bir yedek ve mutabık bir bakım penceresi bulundurun.
Hangi sıklıkta tekrarlamalıyız? En az yılda bir, ayrıca her önemli mimari değişikliğinden veya büyük sürümden sonra. Hassas veri ve düzenleme gereklilikleri varsa altı ayda bir.
Bütçeyi planlarken etik hacking maliyeti rehberimize, insan faktörünü anlamak için sosyal mühendislik yazımıza göz atabilirsiniz.
Birilerinin müşteri verilerinizi gerçekten alıp alamayacağını, yalnızca yama eksik olup olmadığını değil, öğrenmek ister misiniz? Mutabık kapsam ve yazılı yetkiyle bir sızma testi planlamak için Cyberlord ekibiyle iletişime geçin. Gerçek saldırganların kullandığı yöntemlerle çalışıyoruz; açıkları onlardan önce kapatabilmeniz için.