Dış Ağ Sızma Testi
İnternete açık sunucularınız, servisleriniz ve uzaktan erişim noktalarınız için saldırgan bakış açısı.
Hizmetler
API Sızma Testi
Modern uygulamaların asıl işi API'lerde döner. Mobil uygulamanız, web ön yüzünüz ve iş ortaklarınız aynı uç noktalara bağlanır; tek bir yetki hatası tüm müşteri verisini açığa çıkarabilir.
API testlerinde en kritik konu nesne düzeyinde yetkilendirmedir (BOLA): bir kullanıcının kimlik numarasını değiştirerek başkasının verisine erişip erişemediğini sistematik olarak kontrol ederiz.
OpenAPI/Swagger dokümantasyonu, Postman koleksiyonları veya örnek trafik üzerinden çalışabiliriz. Dokümantasyon yoksa uç noktaları keşif yoluyla çıkarırız.
Neleri test ediyoruz?
- Nesne ve fonksiyon düzeyinde yetkilendirme (BOLA, BFLA)
- Kimlik doğrulama, token yönetimi, JWT ve OAuth 2.0 akışları
- Toplu atama (mass assignment) ve aşırı veri döndürme
- Hız sınırlama, kaynak tüketimi ve kötüye kullanım senaryoları
- Enjeksiyon ve girdi doğrulama; GraphQL'e özgü riskler
- Sürüm yönetimi, eski uç noktalar ve envanter eksiklikleri
Nasıl çalışıyoruz?
Envanter
Dokümantasyon ve trafik üzerinden tüm uç noktaları, rolleri ve veri modellerini çıkarırız.
Yetki matrisi
Her rolün hangi kaynaklara erişmesi gerektiğini belirler ve sapmaları test ederiz.
Saldırı senaryoları
OWASP API Top 10 risklerini iş akışlarınıza uyarlayarak manuel test yaparız.
Raporlama
Uç nokta bazında bulgular, örnek istek-yanıt çiftleri ve düzeltme önerileri sunarız.
Teslim ettiklerimiz
- Yönetici özeti
- Uç nokta bazında bulgu listesi
- Örnek HTTP istekleri ve kanıtlar
- Yetki matrisi ve düzeltme önerileri
Kimler için uygun?
- Mobil uygulama arka uçları
- İş ortaklarına açık entegrasyon API'leri
- Mikroservis mimarileri
Sık sorulan sorular
GraphQL test ediyor musunuz?
Evet. İç gözlem (introspection), sorgu derinliği, toplu sorgular ve alan düzeyinde yetkilendirme gibi GraphQL'e özgü konuları da kapsarız.
Neye ihtiyacınız var?
Her rol için en az iki test hesabı, API dokümantasyonu (varsa) ve test ortamının adresi yeterlidir.
İlgili hizmetler
İç Ağ Sızma Testi
Bir saldırgan ağınıza girdiğinde ne kadar ilerleyebilir? Active Directory ve iç sistemler için test.
Zafiyet Değerlendirmesi
Sistemlerinizdeki bilinen zafiyetlerin kapsamlı taraması, doğrulanması ve önceliklendirilmesi.
Saldırganlardan önce siz görün.
Kapsamı birlikte netleştirelim; size uygun testi ve zaman planını içeren yazılı bir teklif hazırlayalım.