Metodoloji
Testlerimiz tekrarlanabilir, ölçülebilir ve şeffaftır. Kabul görmüş açık metodolojileri temel alır, her adımı belgeleriz.
Dayandığımız çerçeveler
Web uygulama güvenliği
OWASP Top 10:2025 risk sınıflandırması, ASVS 5.0.0 gereksinimleri ve WSTG v4.2 test senaryolarıyla kapsamlandırılır.
API ve mobil güvenlik
OWASP API Security Top 10:2023 ve OWASP Mobile Top 10 2024; mobil testlerde MASVS ve MASTG kontrol ve test rehberleri kullanılır.
PTES ve NIST SP 800-115
Yetkilendirme, keşif, analiz, kontrollü istismar ve raporlama aşamaları; üretim ortamını koruyan angajman kuralları.
FIRST CVSS v4.0
Teknik ciddiyet, puan ve vektörle açıklanır. İş etkisi, maruziyet ve istismar olasılığı düzeltme önceliğine ayrıca yansıtılır.
ISO/IEC 27001:2022, KVKK ve NIS2
Teknik bulguları ilgili güvenlik kontrolleriyle ilişkilendiren hazırlık çalışmaları. Hukuki kapsam ve yükümlülükler yetkili danışmanlarla doğrulanmalıdır.
PCI DSS v4.0.1
Ödeme ortamları için kapsamı kararlaştırılmış teknik güvenlik incelemesi ve hazırlık desteği. QSA değerlendirmesi, ASV taraması veya PCI sertifikasyonu sunulmaz.
Test aşamaları
1. Ön görüşme ve kapsam
Hedefler, varlıklar, test türü (siyah/gri/beyaz kutu), zaman penceresi ve iletişim kişileri belirlenir.
2. Yetkilendirme
Yazılı test izni ve angajman kuralları imzalanmadan hiçbir aktif teste başlanmaz.
3. Keşif
Pasif ve aktif bilgi toplama ile saldırı yüzeyi çıkarılır.
4. Zafiyet analizi
Otomatik araçlar ve manuel inceleme birlikte kullanılır; yanlış pozitifler ayıklanır.
5. Kontrollü istismar
Bulguların gerçek etkisi, veri bütünlüğüne ve hizmet sürekliliğine zarar vermeden kanıtlanır.
6. Raporlama
Yönetici özeti ve teknik rapor hazırlanır, sunum yapılır.
7. Doğrulama testi
Düzeltilen bulgular yeniden test edilir ve sonuç belgelenir.
Önem dereceleri (CVSS v4.0)
CVSS puanı teknik ciddiyeti gösterir. Önceliği belirlerken bunu varlığın iş açısından önemi ve istismar olasılığıyla birlikte değerlendiririz.
| Derece | CVSS v4.0 aralığı | Önerilen yaklaşım |
|---|---|---|
| Kritik | 9,0 – 10,0 | Derhal müdahale; test sırasında anında bildirilir. |
| Yüksek | 7,0 – 8,9 | Kısa vadede, öncelikli olarak düzeltilmeli. |
| Orta | 4,0 – 6,9 | Planlı bakım döngüsünde düzeltilmeli. |
| Düşük | 0,1 – 3,9 | Fırsat buldukça veya diğer çalışmalarla birlikte ele alınmalı. |
| Bilgi | 0,0 | Doğrudan risk yok; sıkılaştırma ve iyi uygulama önerisi. |
Örnek bulgu kaydı
Aşağıdaki kayıt, raporlarımızdaki bulgu yapısını göstermek için hazırlanmış kurgusal bir örnektir; gerçek bir müşteriye ait değildir.
- Başlık
- Giriş API'sinde kimlik doğrulama gerektirmeyen SQL enjeksiyonu
- Önem
- Kritik
- CVSS v4.0
9,3 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N- Etkilenen varlık
POST /api/v1/auth/login (örnek)- Etki
- Kimliği doğrulanmamış bir saldırgan, veritabanındaki müşteri kayıtlarını okuyabilir ve değiştirebilir.
- Kanıt
- Tekrar adımları, istek-yanıt örnekleri ve ekran görüntüleri (hassas veriler maskelenmiş).
- Öneri
- Parametreli sorgular kullanın, veritabanı kullanıcısının yetkilerini daraltın, giriş uç noktasına hız sınırlama ekleyin.
- Eşleştirme
- OWASP Top 10 A05:2025 Enjeksiyon · ASVS 5.0.0 V1 · ISO/IEC 27001:2022 A.8.28
Örnek rapor akışı
Kickoff
Kapsam toplantısı ve angajman kurallarının onayı.
Test süresi
Günlük kısa durum notu; kritik bulgularda anında bildirim.
Taslak rapor
Test bitiminden sonra taslak rapor ve bulgu listesi paylaşılır.
Sunum
Yönetim için özet sunum, teknik ekip için bulgu bazında oturum.
Nihai rapor
Geri bildirimler işlenmiş, şifreli olarak teslim edilen nihai rapor.
Doğrulama
Düzeltmelerin yeniden testi ve güncellenmiş durum raporu.
Angajman kuralları
- Yazılı yetki olmadan hiçbir sisteme aktif test yapılmaz.
- Yalnızca onaylanan kapsamdaki varlıklar test edilir.
- Servis dışı bırakma ve sosyal mühendislik, ancak açıkça kapsama alınmışsa yapılır.
- Her iki taraf için de çalışmayı anında durdurma kanalı tanımlanır.
- Test sırasında erişilen kişisel verilere en az düzeyde dokunulur, kopyalanmaz.
- Çalışma sonunda test verileri ve geçici erişimler kaldırılır.
Saldırganlardan önce siz görün.
Kapsamı birlikte netleştirelim; size uygun testi ve zaman planını içeren yazılı bir teklif hazırlayalım.