01
Web uygulamaları
Kimlik doğrulama, oturum yönetimi, yetkilendirme, girdi doğrulama ve iş mantığı testleri.
Sızma Testi
Sistemlerinize bir saldırgan gibi bakıyor, açıkları istismar edilmeden önce bulup kapatmanıza yardım ediyoruz.
Nedir
Sızma testi (penetrasyon testi), sistemlerinizin gerçek bir saldırıya ne kadar dayanıklı olduğunu ölçen kontrollü bir saldırı çalışmasıdır. Otomatik tarama araçlarının bulduğu açıklarla yetinmiyor; yetki atlatma, iş mantığı hataları ve zincirleme saldırılar gibi yalnızca bir uzmanın görebileceği sorunları elle deniyoruz. Sonunda elinizde neyin gerçekten risk olduğunu ve nasıl kapatılacağını gösteren bir rapor olur.
Neleri kapsıyor
0602
Mobil uygulamalar
iOS ve Android uygulamalarında veri saklama, iletişim güvenliği ve arka uç API testleri.
03
API’ler
REST ve GraphQL servislerinde nesne düzeyinde yetki, hız sınırlama ve veri sızıntısı kontrolleri.
04
Dış ağ
İnternete açık sunucular, servisler, VPN ve uzaktan erişim noktaları.
05
İç ağ
Şirket ağına girmiş bir saldırganın ne kadar ilerleyebileceği; ayrıntısı Active Directory testinde.
06
Kara, gri, beyaz kutu
Size bilgi verilmeden, kısmi bilgiyle ya da tam erişimle test seçenekleri.
Nasıl çalışıyoruz
- 01
Kapsam ve izin
Test edilecek sistemler, zaman aralığı ve kurallar yazılı olarak belirlenir.
- 02
Keşif
Açık servisler, teknolojiler ve saldırı yüzeyi haritalanır.
- 03
Test ve istismar
Otomatik taramalar ve uzman testleri; bulunan açığın gerçekten istismar edilip edilemediği denenir.
- 04
Raporlama
Bulgular risk seviyesine göre sıralanır, her biri için çözüm adımları yazılır.
- 05
Tekrar test
Açıklar kapatıldıktan sonra yeniden test edilir ve sonuç raporlanır.
Ne teslim ediyoruz
- Yönetici özeti: riskler ve öncelikler, teknik olmayan dille
- Teknik rapor: her bulgu için kanıt, etki, CVSS puanı ve çözüm adımları
- Önceliklendirilmiş aksiyon listesi
- Kapatılan açıkların tekrar test raporu
Ne zaman gerekir
- Yeni bir uygulamayı ya da büyük bir sürümü yayına almadan önce
- Müşteri, denetçi ya da iş ortağı sızma testi raporu istediğinde
- PCI DSS, ISO/IEC 27001 gibi standartlara uyum sürecinde
- Bir güvenlik olayından sonra, açığın kapandığını doğrulamak için
Metodolojiler ve Standartlar
OWASP WSTGOWASP Top 10OWASP API Security Top 10OWASP MASVSPTESNIST SP 800-115CVSS v4.0
Sıkça Sorulanlar
Testler önceden belirlenen kapsam ve zaman aralığında yapılır. Hizmeti kesebilecek denemeler sizinle önceden konuşulur; istenirse test ortamında ya da mesai dışında yapılır.
Zafiyet taraması bilinen açıkları otomatik araçlarla listeler. Sızma testinde bir uzman bu bulguları ve araçların göremediği mantık hatalarını elle dener; açığın gerçekten istismar edilip edilemediğini ve ne kadar ileri gidilebildiğini gösterir.
Genel uygulama yılda en az bir kez ve her büyük değişiklikten sonradır. Bağlı olduğunuz standart ya da düzenleme daha sık test isteyebilir.
Evet. Açıkları ekibinizle birlikte kapatıyor ya da düzeltmeyi biz yapıyoruz. Ardından tekrar test ederek açığın gerçekten kapandığını doğruluyoruz.
Diğer hizmetler: Siber Güvenlik
Tümü:Siber Güvenlik- Kaynak Kod AnaliziAçıkları uygulama çalışırken değil, kodun içinde, daha yazılırken buluruz.
- Kablosuz Ağ (Wi-Fi) Güvenlik TestiOfisinizin ve misafir ağınızın, otoparktaki bir saldırgana ne kadar açık olduğunu test ederiz.
- DDoS Dayanıklılık TestiYoğun saldırı trafiğinde sitenizin ve uygulamanızın ayakta kalıp kalmadığını kontrollü biçimde ölçeriz.
- Oltalama (Phishing) SimülasyonuÇalışanlarınıza gerçekçi sahte e-postalar gönderir, ardından eğitimle farkındalığı artırırız.
- Active Directory ve İç Ağ TestiAğınıza giren bir saldırganın tek bir bilgisayardan tüm şirkete ne kadar sürede ulaşabileceğini gösteririz.
- Bulut Güvenlik DenetimiBulut hesaplarınızdaki açık depolama, fazla yetki ve hatalı ayarları saldırgandan önce buluruz.
