Yanlış çizilmiş bir sızma testi kapsamı, testin kendisinden daha maliyetlidir: kurum bütçeyi harcar, rapor “kritik bulgu yok” der ve altı ay sonra ihlal, kapsam listesine hiç yazılmamış bir demo ortamından gerçekleşir. Bu ortam çoğunlukla iki yıl önce bir proje için ayağa kaldırılmış, üretim veritabanının kopyasını taşıyan ve kimsenin sahiplenmediği bir sunucudur.

Kapsam belirleme bu nedenle idari bir formalite değil, testin sonucunu baştan tayin eden teknik bir karardır. Doğru kurgulanmış bir kapsam, sınırlı zamanı kurumun en çok kaybedeceği yerlere yönlendirir; yanlış kurgulanmış olan ise ekibi zaten güvenli bilinen sistemlerde dolaştırır. Aşağıda önceliklendirmenin hangi ölçütlere dayandığı, kapsam belgesinde nelerin yazılı olması gerektiği ve sık yapılan dışlama hataları ele alınıyor.

Başlangıç sorusu: kaybı göze alınamayan ne var

Kapsam tartışmasına sistem listesiyle değil, iş etkisiyle başlanmalıdır. Hangi verinin sızması müşteri kaybına, hangi sistemin durması gelir kaybına, hangi kaydın değiştirilmesi hukuki yaptırıma yol açar? Bu üç sorunun cevabı, teknik listenin nasıl sıralanacağını da belirler.

Uygulamada kurumlar bu cevabı verirken şaşırtıcı biçimde farklı bölümlerden farklı yanıtlar alır. Finans birimi ödeme altyapısını, operasyon üretim planlama sistemini, hukuk ise kişisel veri barındıran arşivi öne çıkarır. Bu üç görüşün tek listede birleştirilmesi kapsam çalışmasının ilk çıktısıdır.

Envanter olmadan kapsam yazılamaz

Kapsam listesi, kurumun bildiği varlıklardan oluşur; saldırgansa bilinmeyenlerden faydalanır. Bu yüzden kapsam çalışmasının ilk teknik adımı, dışa açık yüzeyin bağımsız biçimde haritalanmasıdır.

• Alt alan adları ve unutulmuş kayıtlar: eski kampanya siteleri, test ortamları, yönlendirilmemiş DNS kayıtları.
• Doğrudan internete açık yönetim arayüzleri ve uzak erişim hizmetleri.
• Belgelenmemiş uygulama programlama arayüzleri (API) ve mobil uygulamaların çağırdığı uç noktalar.
• Bulut hesaplarında açık bırakılmış depolama alanları ve geçici olarak oluşturulmuş sunucular.
• Tedarikçilerin kurum adına işlettiği alan adları ve barındırma alanları.

Bir kurumsal siber güvenlik danışmanlığı çalışmasında bu haritalama sonucunda ortaya çıkan varlık sayısı, kurumun kendi envanterinden çoğunlukla fazladır; aradaki fark tek başına önemli bir bulgudur.

Önceliklendirme ölçütleri

Sıralama, tek bir kritere göre değil, maruziyet ile iş etkisinin kesişimine göre yapılır. Aşağıdaki matris pratik bir başlangıç noktasıdır.

Matris mutlak değildir; itibar riski yüksek bir tanıtım sitesi, tahrifat ihtimali nedeniyle üst sıraya taşınabilir. Önemli olan sıralamanın gerekçesinin yazılı olmasıdır.

Kapsam belgesinde neler yer alır

Kapsam belgesi hem tarafları hem testi koruyan bir çerçevedir. İçinde şunlar açık biçimde bulunmalıdır:

• Test edilecek adresler, alan adları ve uygulama sürümleri; kapsam dışı bırakılanlar ve gerekçeleri.
• Test penceresi: tarih aralığı, çalışma saatleri, yoğun iş dönemlerinde duraklama.
• Yasak teknikler: hizmet dışı bırakma denemeleri, üretim verisi silme, gerçek çalışanlara yönelik baskı içeren yöntemler.
• Kimlik ve yetki sağlanacaksa hangi seviyede hesap verileceği.
• Acil iletişim kanalı ve testi durdurma yetkisinin kimde olduğu.
• Bulguların ne kadar sürede bildirileceği; kritik bulgular için anında bildirim şartı.
• Verinin nasıl saklanacağı, test sonunda nasıl imha edileceği.

Bulut ortamında barındırılan sistemler için sağlayıcının test politikasının kontrol edilmesi, üçüncü tarafa ait bileşenler içinse yazılı izin alınması zorunludur.

Bilgi paylaşım seviyesi ne kadar olmalı

Hiçbir bilgi verilmeden yapılan test gerçekçi görünür, ancak sürenin önemli bölümü keşifte harcanır. Tüm mimarinin paylaşıldığı yaklaşım ise derinlik sağlar, gerçekçilikten bir miktar ödün verir. Sınırlı süreli çalışmalarda en verimli seçenek genellikle aradaki modeldir: ekibe temel mimari bilgisi ve standart kullanıcı seviyesinde hesap verilir, ayrıcalıklı bilgiler paylaşılmaz.

Bu seçim doğrudan kapsamla ilişkilidir. Uygulama testlerinde yetkili hesap verilmemesi, yetki yükseltme ve yetkisiz erişim sınıfındaki zafiyetlerin hiç görülmemesine yol açar; OWASP kapsamında en sık rastlanan bulgu ailelerinden biri bu şekilde kapsam dışında kalır.

Kapsam dışı bırakırken yapılan hatalar

Dışlama kararları çoğunlukla iyi niyetle, ancak yanlış varsayımla alınır:

• “O sistem zaten kapanacak” denilen ortamların testten sonra yıllarca ayakta kalması.
• Test ortamlarının gerçek veriyle çalıştığı halde önemsiz sayılması.
• Tedarikçi tarafından işletilen sistemin sorumluluğunun sözleşmede karşılıksız kalması.
• Kimlik sağlayıcının “kritik olduğu için” kapsam dışında tutulması; oysa saldırganın ilk hedefidir.
• Mobil uygulamanın test edilip çağırdığı arka uç servislerinin listeye eklenmemesi.

Dışlanan her varlık için tek satırlık bir not yeterlidir: neden kapsam dışı, riski kim kabul etti, hangi tarihte yeniden değerlendirilecek. Bu not olmadığında dışlama kararı zamanla kurumsal hafızadan silinir ve varlık bir daha hiçbir listede görünmez.

Kapsam çalışmasının sırası

1. İş etkisi görüşmelerini yapın, kritik süreçleri ve verileri listeleyin.
2. Dışa açık yüzeyi bağımsız biçimde haritalayın, envanterle farkı çıkarın.
3. Varlıkları maruziyet ve etki matrisine yerleştirin, dalgalara ayırın.
4. Her dalga için test türünü belirleyin: web uygulaması, dış ağ, iç ağ, kablosuz, mobil, kimlik altyapısı.
5. Süre ve efor tahminini test türüne göre yapın; uygulama sayısı arttıkça derinlik azalır.
6. Yasak teknikleri, pencereleri ve iletişim kurallarını yazılı hale getirin.
7. Tekrar test hakkını ve süresini baştan sözleşmeye ekleyin.
8. Kapsamı, test başlamadan önce ilgili birim yöneticileriyle birlikte onaylayın.

Kapsam genişliği mi derinlik mi

Sabit bir bütçeyle kapsamı genişletmek, her varlığa ayrılan süreyi kısaltır. On uygulamayı yüzeysel taramaktansa, en kritik üçünü PTES yaklaşımına uygun biçimde derinlemesine incelemek çoğu durumda daha fazla değer üretir.

Sürelerin ayrışması da bu kararı kolaylaştırır: belirli sistemlere odaklanan bir sızma testi genellikle bir-iki hafta sürerken, kurumun tespit ve yanıt kabiliyetini uçtan uca ölçen bir red team hizmeti iki-altı haftalık bir çalışma gerektirir. Amaç zafiyet listesi çıkarmaksa kapsam dar ve derin tutulmalı; amaç savunma refleksini ölçmekse kapsam sistem listesi olarak değil, hedef olarak tanımlanmalıdır.

Sık sorulan sorular

Kapsam belirlerken kaç varlıkla başlamak doğru?

Sayı değil, kaybı göze alınamayan varlıkların tamamının kapsanması belirleyicidir. İlk çalışmada internete açık kritik sistemlerle başlayıp iç ağ ve yan sistemleri sonraki dalgalara bırakmak, hem bütçeyi hem düzeltme kapasitesini gerçekçi biçimde yönetmeyi sağlar.

Test sırasında kapsam genişletilebilir mi?

Genişletilebilir, ancak yazılı onayla. Ekip, kapsam dışı bir sisteme giden bir yol bulduğunda ilerlemeden önce bildirim yapmalı ve onay beklemelidir. Bu kural hem hukuki koruma sağlar hem de beklenmeyen kesintilerin önüne geçer.

Testte gerçek kişisel veri kullanılabilir mi?

Mümkün olduğunca kaçınılmalıdır. KVKK açısından test faaliyeti de bir veri işleme faaliyetidir; maskelenmiş veri kullanımı, erişimin sınırlanması ve test sonunda kayıtların imhası önceden yazılı hale getirilmelidir. Gerçek veriye erişim kaçınılmazsa gizlilik taahhüdü ve saklama kuralları netleştirilir.

Yıllık test yeterli mi?

Yalnız takvime bağlı test, yıl içindeki değişiklikleri ıskalar. Yeni bir uygulama yayına alındığında, mimaride önemli değişiklik yapıldığında veya kritik bir bileşen sürüm atladığında hedefli tekrar testleri planlanmalıdır. Yıllık kapsamlı çalışma bu ara testlerin yerini tutmaz.

ISO 27001 sertifikasyonu için hangi kapsam beklenir?

Standart belirli bir sistem listesi dayatmaz; beklenen, bilgi güvenliği yönetim sisteminin kapsamındaki varlıklar için teknik uygunluğun düzenli olarak sınanmasıdır. Bu nedenle test kapsamının yönetim sistemi kapsamıyla örtüşmesi ve kapsam dışı bırakılan varlıkların gerekçesinin belgelenmesi beklenir.

Sonuç

Kapsam, testin bulacağı en kritik bulguyu daha ilk gün belirler; listeye yazılmayan hiçbir varlık raporda görünmez. Kritik süreçleri iş birimleriyle birlikte tanımlayın, dışa açık yüzeyi bağımsız biçimde haritalayın, maruziyet ile etkiyi kesiştirerek dalgalara ayırın ve dışlama kararlarının her birini gerekçesiyle yazın; kapsamını bu disiplinle kuran kurum, testten çıkan raporun kendi risk gerçekliğiyle örtüştüğünü görür.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.