Hangi Sızma Testi Türüne İhtiyacınız Var? İç, Dış, Web Kriterleri

Sızma Testi Türlerinin Kapsamı ve Farkları

Müşterilerimizde en sık karşılaştığımız soru "Hangisini seçmeliyiz?" oluyor. Gerçekte bu testler birbirinin alternatifi değil, farklı saldırı senaryolarını kapsar. Dış ağ testi, saldırganın internetten yola çıkıp firewall, VPN, mail sunucusu gibi perimeter varlıklarına saldırdığı senaryoyu test eder. İç ağ testi, saldırganın içeride (kötü amaçlı çalışan, phishing'le ele geçirilmiş bilgisayar) olduğu varsayımıyla lateral hareket, Active Directory saldırıları ve ayrıcalık yükseltmeyi inceler. Web uygulama testi ise SQL injection, XSS, kimlik doğrulama bypass gibi uygulama kodundaki zafiyetleri ortaya çıkarır.

Sahada deneyimlerimizde, perakende sektöründeki bir firma online satış portalı için web testi yaptırdı ancak internal ERP sistemine saldırı senaryosunu düşünmemişti. Gerçek bir saldırgan her iki yüzeyi de değerlendireceği için kombinasyon yaklaşımı her zaman daha gerçekçi koruma sağlar.

Şirket Büyüklüğü ve IT Altyapısı

Küçük bir yazılım şirketi ile yüzlerce şubesi olan bir banka aynı test stratejisine ihtiyaç duymaz. Çalışan sayısı 50'nin altındaysa ve bulut tabanlı SaaS araçlar kullanıyorsanız, iç ağ testi önceliğiniz düşebilir; bunun yerine internete açık web uygulamalarınız ve kurumsal e-posta güvenliği ön plana çıkar. Deneyimlerimizde 100+ çalışanı olan, kendi veri merkezinde on-premise Active Directory işleten firmalar mutlaka iç ağ testi yaptırmalı.

Müşterilerimizde sık gördüğümüz bir senaryo: şirket büyüdükçe Office 365, Salesforce gibi SaaS ürünlerle birlikte eski on-premise sistemler de devam ediyor. Bu durumda hem web API'leri hem iç ağ hem de bulut tenant yapılandırması test edilmeli.

Varlık Kritikliği ve İş Etkisi Analizi

Hangi sisteminiz çökerse iş durur? Hangi veri sızdırılırsa marka itibarı zarar görür? Bu sorulara verdiğiniz yanıtlar test türünü belirler. Kritik varlık bir müşteri portalı ise web uygulama testi, kritik varlık finansal raporların saklandığı dosya sunucusu ise iç ağ testi önceliklidir. Deneyimlerimizde, ödeme işlemleri yapan e-ticaret siteleri için PCI DSS uyumluluğu gereği hem web hem network katmanı testleri zorunlu hale geliyor.

Finans, sağlık ve kamu kurumlarında KVKK ve sektörel düzenlemeler varlık kritikliğini tanımlar. Örneğin sağlık sektöründe hasta kayıtlarının saklandığı sunucular "özel nitelikli veri" barındırdığı için hem iç hem dış ağ testine tabi tutulmalı.

Yasal Yükümlülükler ve Standart Gereksinimleri

ISO 27001, PCI DSS, KVKK ve Bankacılık Düzenleme Kurumu (BDDK) gibi çerçeveler sızma testi türünü doğrudan belirtmese de "tüm kritik sistemlerin yıllık test edilmesi" şartı koyar. ISO 27001 A.12.6.1 maddesi teknik güvenlik açıklıklarının yönetimini ister; denetçiler genellikle hem network hem uygulama katmanı kanıtı bekler. KVKK madde 12 gereği "kişisel verilerin güvenliğini sağlamak" için düzenli testler yapılmalıdır.

Müşterilerimizde KVKK kapsamında yapılan testlerin çoğunda hem dış ağ (KVKK veri tabanına dışarıdan ulaşılabilir mi?) hem web (kullanıcı panelinde yetki kontrolü sağlam mı?) birlikte test ediliyor. Yalnızca bir türü seçmek denetim raporunda eksiklik olarak değerlendirilebilir.

Bütçe Kısıtları ve Test Önceliklendirmesi

Her şirketin üç teste birden bütçesi olmayabilir. Bu durumda risk temelli önceliklendirme yapıyoruz: internete açık ve kritik veri içeren sistemler ilk sırada. Deneyimlerimizde startup'lar genellikle dış ağ + web uygulama kombinasyonuyla başlıyor, iç ağ testini erteleyen firmalar ise en az bir yıl içinde lateral hareket senaryosunu da test etmeyi hedefliyor.

1. İlk Yıl: Dış ağ ve en kritik web uygulaması (müşteri portalı, ödeme sistemi).
2. İkinci Yıl: İç ağ testi (Active Directory, dosya sunucuları) + kalan web uygulamaları.
3. Üçüncü Yıl: Red team egzersizi (tüm yüzeyleri birleştiren senaryo tabanlı test).

Bütçe planlaması yaparken test gün-adam maliyetini göz önünde bulundurun: dış ağ genellikle 3-5 gün, iç ağ 5-10 gün, web uygulama 5-8 gün sürer. Bir kombine proje (dış+iç+web) 15-20 gün arası olabilir. Sahada "Her yıl aynı testi mi yapalım?" sorusunu çok duyuyoruz; cevabımız: altyapı değişmişse veya yeni servis eklendiyse evet, aksi halde rotasyonla farklı türleri test edebilirsiniz.

Geçmiş Güvenlik Olayları ve Tehdit İstihbaratı

Daha önce phishing saldırısı yaşadıysanız iç ağ testi aciliyeti artar; çünkü gerçek saldırgan da aynı yoldan içeri girmiş olabilir. Ransomware vakası geçiren bir müşterimiz yedekleme sunucularının lateral harekete açık olup olmadığını öğrenmek için iç ağ testine öncelik verdi. Eğer sektörünüzde APT (gelişmiş kalıcı tehdit) riski yüksekse red team benzeri karmaşık senaryolar gerekir.

Tehdit istihbaratı platformları (örneğin dark web'de şirketinizin sızdırılmış kimlik bilgileri var mı?) hangi yüzeyin öncelikli olduğuna işaret eder. Sızdırılmış VPN şifresi varsa dış ağ perimeter testi acildir; içeriden çalınan domain kullanıcı hash'leri varsa iç ağ testine odaklanın.

Hibrit ve Kombinasyon Yaklaşımları

Gerçek dünya saldırıları tek bir yüzeyle sınırlı kalmaz. Saldırgan önce web uygulamasında SQL injection bulur, ardından veritabanı sunucusuna pivotlar ve oradan iç ağa lateral hareket yapar. Bu nedenle kombine testler daha gerçekçi sonuç verir. Müşterilerimizde "purple team" yaklaşımı da popüler hale geldi: pentest ekibi (red team) bulduğu açıkları mavi ekibe (SOC) anında bildiriyor, böylece hem zafiyet hem de algılama kabiliyeti test ediliyor.

Hibrit test senaryosu örneği: önce dış ağdan phishing simülasyonu, phishing'le ele geçirilen kullanıcı hesabıyla iç ağa giriş, ardından kritik web uygulamasına arka kapıdan erişim denemesi. Bu 360° yaklaşım özellikle finansal kurumlar ve sağlık sektöründe tercih ediliyor. Sızma testleri hizmetimiz içinde bu tür özelleştirilmiş senaryoları tasarlıyoruz.

Sıkça Sorulan Sorular (SSS)

Sonuç: Doğru Test Türü, Gerçekçi Güvenlik Duruşu Demektir

Hangi sızma testi türüne ihtiyacınız olduğunu belirlemek, altyapınızın büyüklüğünden çok varlık kritikliği, yasal gereksinimler ve geçmiş deneyimlere dayanır. Sahada gördüğümüz en etkili yaklaşım, ilk yıl dış ağ ve kritik web uygulamalarını test etmek, ardından iç ağ ve red team senaryolarına geçmektir. Bütçe izin veriyorsa üç türü de birlikte yaptırmak, gerçek dünya saldırı zincirlerini en iyi şekilde simüle eder.

15 yıllık deneyimimizde gördük ki, "Bir kez test yaptırdık, bitti" diyen kuruluşlar bir süre sonra yeni açıklarla karşılaşıyor. Sürekli değişen tehdit ortamında düzenli ve kapsamlı testler hayati önem taşıyor. Siber güvenlik danışmanlığı ekibimiz, sizin için en uygun test stratejisini oluşturmaktan memnuniyet duyar. Doğru testi doğru zamanda yapmak, saldırganlardan bir adım önde olmanızı sağlar.