18 Mart 2026 14:35

Sızma Testi (Penetrasyon Testi) Nedir?

Sızma testi (penetrasyon testi veya kısaca pentest), bir kurumun bilgi sistemlerini, ağ altyapısını veya uygulamalarını, gerçek bir saldırganın bakış açısıyla ve yetkili bir şekilde test etme sürecidir. Amaç; gerçek bir siber saldırı gerçekleşmeden önce güvenlik açıklarını tespit etmek, risk seviyelerini belirlemek ve düzeltici önlem almaktır.

Sızma testi, sisteminize zarar vermek için değil, tam tersine onu korumak için yapılır. Etik hacker olarak da bilinen siber güvenlik uzmanları, saldırganların kullandığı teknik ve araçları kullanarak sisteminizi test eder; ancak bunu yasal çerçevede ve sizin izninizle gerçekleştirir.

Sızma Testi ile Zafiyet Taraması Arasındaki Fark

Bu iki kavram sıklıkla birbirine karıştırılır, ancak aralarında önemli farklar vardır:

• Zafiyet Taraması (Vulnerability Scanning): Otomatik araçlarla sistemdeki bilinen güvenlik açıklarını tespit eder. Derinlemesine analiz yapılmaz, yalnızca potansiyel riskler listelenir.
• Sızma Testi (Penetration Testing): Uzman bir ekip tarafından manuel ve otomatik yöntemlerle gerçekleştirilir. Açıkların gerçekte istismar edilip edilemeyeceği kanıtlanır ve iş etkisi değerlendirilir.

Basitçe söylemek gerekirse: Zafiyet taraması kapıların kilitli olup olmadığını kontrol eder; sızma testi ise gerçekten içeriye girmeye çalışır.

Sızma Testi Türleri

Sızma testleri, test ekibine sağlanan bilgi düzeyine göre üç ana kategoriye ayrılır:

• Black Box (Kara Kutu): Test ekibine hedef sistem hakkında hiçbir bilgi verilmez. Gerçek dünya saldırılarını en iyi simüle eden yöntemdir.
• White Box (Beyaz Kutu): Test ekibine sistem hakkında tam bilgi (kaynak kodu, ağ şemaları vb.) sağlanır. En kapsamlı ve derinlemesine analizi sunar.
• Grey Box (Gri Kutu): Kısmi bilgi verilir. Örneğin, bir kullanıcı hesabı verilerek sistemin içeriden nasıl istismar edilebileceği test edilir. En yaygın kullanılan yöntemdir.

Black Box, Grey Box ve White Box — üç farklı sızma testi yaklaşımı

Sızma Testi Kapsamları

• Ağ Sızma Testi: İç ve dış ağ altyapısının güvenliği
• Web Uygulama Sızma Testi (WAPT): Web sitesi ve API güvenliği (OWASP Top 10 odaklı)
• Mobil Uygulama Sızma Testi: iOS ve Android uygulama güvenliği
• Sosyal Mühendislik Testi: Çalışanlara yönelik phishing ve manipülasyon saldırıları
• Fiziksel Güvenlik Testi: Bina ve tesis güvenliğinin değerlendirilmesi
• OT/SCADA Sızma Testi: Endüstriyel kontrol sistemleri güvenliği

Sızma Testi Nasıl Yapılır? Aşama Aşama Süreç

Profesyonel bir sızma testi, uluslararası metodolojilere (PTES, OWASP, OSSTMM) uygun olarak belirli aşamalardan oluşur:

1. Aşama: Kapsam Belirleme ve Planlama (Scoping)

Test başlamadan önce kapsamı netleştirmek kritik önem taşır. Bu aşamada şunlar belirlenir:

• Test edilecek sistemler, IP aralıkları ve uygulamalar
• Test türü (Black Box / White Box / Grey Box)
• Zaman çizelgesi ve test penceresi
• Yasal izinler ve iletişim kanalları (imzalı yetkilendirme belgesi)
• Kapsam dışı (out-of-scope) sistemler

Bu aşama, hem müşteriyi hem de test ekibini yasal açıdan güvence altına alır.

2. Aşama: Keşif (Reconnaissance)

Test ekibi, hedef sistem hakkında mümkün olduğunca fazla bilgi toplar. İki alt kategoride yürütülür:

• Pasif Keşif: Hedef sistemle doğrudan temas kurulmaksızın OSINT (açık kaynak istihbaratı) tekniklerle bilgi toplanır. DNS kayıtları, WHOIS sorguları, sosyal medya, Shodan, Google Dork teknikleri kullanılır.
• Aktif Keşif: Hedef sistemle doğrudan etkileşime girilerek bilgi toplanır. Port taraması, servis tespiti, banner grabbing yapılır.

3. Aşama: Zafiyet Analizi (Vulnerability Analysis)

Keşif aşamasında toplanan bilgiler kullanılarak sistemdeki güvenlik açıkları tespit edilir:

• Otomatik zafiyet tarama araçları (Nessus, OpenVAS, Burp Suite)
• Manuel analiz ve kaynak kodu incelemesi
• CVE (Common Vulnerabilities and Exposures) veritabanlarıyla karşılaştırma
• Yanlış yapılandırma ve zayıf parola kontrolü

4. Aşama: İstismar (Exploitation)

Bu aşamada, tespit edilen zafiyetlerin gerçekten istismar edilip edilemeyeceği kanıtlanır. Amaç sisteme zarar vermek değil, erişimin mümkün olduğunu belgelemektir:

• Zafiyet exploit'lerinin kontrollü ortamda kullanımı
• Kimlik doğrulama atlatma denemeleri
• SQL Injection, XSS, RCE gibi saldırı vektörlerinin doğrulanması
• Yetkisiz veri erişimi testi

İstismar aşamasında zafiyetler kontrollü ortamda kanıtlanır

5. Aşama: Erişim Sonrası (Post-Exploitation)

Sisteme erişim sağlandıktan sonra gerçek bir saldırganın neler yapabileceği simüle edilir:

• Lateral Movement: Ele geçirilen sistemden diğer sistemlere yayılma
• Privilege Escalation: Düşük yetkili bir hesaptan yönetici yetkisi elde etme
• Veri Sızdırma Simülasyonu: Kritik verilere erişilebilirliğin gösterilmesi
• Persistence: Sisteme kalıcı erişim mekanizmalarının test edilmesi

6. Aşama: Raporlama (Reporting)

Sızma testinin en kritik çıktısı olan rapor iki ana bölümden oluşur:

• Yönetici Özeti: Teknik olmayan okuyucular için bulgular, genel risk seviyesi ve stratejik öneriler
• Teknik Detay Raporu: Her zafiyetin teknik açıklaması, CVSS risk skoru, adım adım istismar kanıtı (PoC) ve öneri çözümler

Kaliteli bir sızma testi raporu yalnızca sorunları listelemez; her bulgu için önceliklendirilmiş, uygulanabilir çözüm önerileri sunar.

Profesyonel sızma testi raporu: kritik, yüksek, orta ve düşük risk kategorilerinde bulgular

7. Aşama: Yeniden Test (Retest)

Tespit edilen zafiyetler giderildikten sonra, düzeltmelerin gerçekten etkili olduğunu doğrulamak için yeniden test yapılır. Bu aşama sıklıkla göz ardı edilse de kapsamlı bir güvenlik sürecinin ayrılmaz parçasıdır.

Sızma Testini Kimler Yaptırmalı?

Türkiye'de aşağıdaki durumlarda sızma testi yaptırmak zorunlu veya şiddetle tavsiye edilir:

• Yasal Zorunluluk: BDDK, EPDK, SPK, BTK düzenlemelerine tabi finans, enerji ve telekom şirketleri
• Sertifika Gerekliliği: ISO 27001, PCI DSS veya SOC 2 uyumluluk süreçleri
• Proaktif Güvenlik: Müşteri verisi tutan, e-ticaret veya SaaS platformu işleten tüm şirketler
• Savunma Sanayii: SSB tedarik zincirinde yer alan KOBİ'ler
• Yeni Sistem Lansmanı: Büyük yazılım veya altyapı değişikliklerinden önce

Sızma Testi Ne Sıklıkla Yapılmalı?

Genel kural olarak yılda en az bir kez kapsamlı sızma testi yaptırılması önerilir. Bunun yanı sıra kritik sistem değişikliklerinden sonra, yeni uygulama lansmanlarında ve ciddi bir siber olay yaşandıktan sonra ek testler yaptırılması önerilir.

Nordis Global ile Profesyonel Sızma Testi

Nordis Global olarak, TSE 13638 akreditasyonuna sahip, ISO 27001 ve ISO 27701 belgeli sızma testi hizmetleri sunuyoruz. Uzman ekibimiz;

• ✅ OWASP, PTES ve OSSTMM metodolojilerine uygun test süreçleri
• ✅ Her bulgu için somut, önceliklendirilmiş çözüm önerileri
• ✅ Hem yöneticiye hem teknik ekibe hitap eden kapsamlı raporlama
• ✅ Ücretsiz retest (yeniden test) hizmeti
• ✅ BDDK, EPDK, SPK uyumlu raporlama formatı

Ücretsiz ön görüşme ve teklif almak için hemen bizimle iletişime geçin.