Siber Güvenlik Denetimi ve Sızma Testi
Bir sistemin güvenli olup olmadığını anlamanın en güvenilir yolu, onu bir saldırganın bakış açısıyla denemektir. Siber güvenlik denetimi hizmetimizde web uygulamanızı, API’lerinizi ve sunucularınızı yazılı izniniz ve belirlenmiş kapsam dahilinde test ediyor, bulunan açıkları önem sırasıyla raporluyoruz.
Hacklenmiş ya da zararlı yazılım bulaşmış bir siteniz varsa hacklenen site kurtarma sayfamıza bakabilirsiniz; bu sayfa önleyici denetimle ilgilidir.
Hangi testleri yapıyoruz?
Web uygulaması sızma testi
OWASP Top 10 başta olmak üzere bilinen açık türlerinin denenmesi: erişim kontrolü hataları, enjeksiyon (SQL, komut), XSS, kimlik doğrulama zaafları, güvensiz dosya yükleme, hatalı yapılandırma.
API güvenlik testi
Yetkisiz veri erişimi, nesne düzeyinde yetki hataları, hız sınırı eksikliği ve aşırı veri döndüren uç noktalar.
Sunucu ve ağ denetimi
Açık portlar, gereksiz servisler, güncel olmayan yazılımlar, zayıf SSH ve TLS ayarları, güvenlik duvarı kuralları.
Yapılandırma ve kod incelemesi
Gizli anahtarların kodda ya da depoda bulunması, hassas bilgi içeren hata mesajları, eksik güvenlik başlıkları. Kod düzeyinde ayrıntılı inceleme için kod inceleme sayfamıza bakabilirsiniz.
Yasal çerçeve
Bir bilişim sistemine izinsiz erişim Türk Ceza Kanunu’na göre suçtur. Bu nedenle her test öncesinde sistem sahibinin imzaladığı, kapsamı, test tarihlerini ve yöntemleri belirten bir yetki belgesi alınır. Kapsam dışındaki sistemler ve üçüncü taraf hizmetler test edilmez. Kamu kurumlarının sızma testi için aradığı özel belgelendirme koşulları ayrıca değerlendirilir.
Rapor
Her bulgu için açığın tanımı, nasıl bulunduğu, olası etkisi, önem derecesi ve düzeltme önerisi yazılır. Yönetim için kısa bir özet, teknik ekip için ayrıntılı bulgular bulunur. Düzeltmeler yapıldıktan sonra bulguları yeniden test ederek kapandığını doğruluyoruz.
Sık sorulan sorular
Test sırasında sitemiz çöker mi?
Testler hizmeti aksatmayacak biçimde planlanır; yük oluşturan testler yapılmaz ya da önceden belirlenen saatlerde yapılır. Mümkünse testi canlı yerine bir test ortamında yürütürüz.
Otomatik tarama yeterli değil mi?
Otomatik tarayıcılar bilinen açıkların bir kısmını hızla bulur, ancak iş mantığı hatalarını ve yetki sorunlarını çoğunlukla yakalayamaz. Bu yüzden taramayı elle testle birlikte yapıyoruz.
Ne sıklıkla test yaptırmalıyız?
Önemli bir sürümden sonra ve düzenli aralıklarla. Arada otomatik zafiyet taramasını düzenli çalışacak biçimde kurabiliriz; sürekli koruma için site güvenliği sayfamıza bakabilirsiniz.
Açıkları saldırganlardan önce bulalım
Denetlenecek sistemleri ve kapsamı yazın; yetki belgesi ve test planını içeren bir teklif hazırlayalım.