Sıkça Sorulan Sorular

OT sızma testi üretimi durdurur mu?

Amacımız üretimi etkilememektir. Çalışmanın büyük bölümü pasif yöntemlerle yapılır; aktif testler yalnızca onaylı hedeflerde, sizin belirlediğiniz zaman ve sınırlar içinde uygulanır. Durdurma prosedürü önceden tanımlanır.

IEC 62443 nedir?

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliği için uluslararası bir standartlar serisidir. Varlık sahipleri, sistem entegratörleri ve ürün üreticileri için gereksinimler, bölge/kanal yaklaşımı ve güvenlik seviyeleri tanımlar.

Bu test IEC 62443 belgesi sağlar mı?

Hayır. Sızma testi belgelendirme değildir; bulgular IEC 62443 kavramlarına referansla raporlanır ve uyum çalışmalarınıza girdi sağlar.

Test sahada mı yapılıyor?

Pasif trafik analizi ve kontrollü aktif testler genellikle sahada veya güvenli bir uzaktan bağlantı üzerinden yapılır. Yöntem, tesisinizin erişim kurallarına göre belirlenir.

Test için kaç cihaz göndermemiz gerekir?

Donanım testlerinde cihaz açılabileceği veya üzerinde değişiklik yapılabileceği için genellikle birden fazla örnek talep ederiz. Gereken sayı, kapsam ve test yöntemine göre belirlenir.

Test sırasında cihaz zarar görebilir mi?

Bazı donanım teknikleri, örneğin bellek yongasının sökülmesi, cihazın çalışmaz hale gelmesine yol açabilir. Bu tür işlemler önceden sizinle konuşulur ve yalnızca onayınızla uygulanır.

Sadece firmware dosyası göndersek yeterli mi?

Firmware analizi tek başına yapılabilir ve değerli bulgular üretir. Ancak donanım arayüzleri ve kablosuz iletişim testleri için fiziksel cihaz gerekir.

Kaynak kod analizi ile sızma testi arasındaki fark nedir?

Sızma testi çalışan uygulamayı dışarıdan saldırgan gözüyle test eder. Kaynak kod analizi ise kodun içini inceler ve açıkların kök nedenini gösterir. İkisi birlikte kullanıldığında kapsama en yüksek düzeye çıkar.

Hangi programlama dillerini inceliyorsunuz?

Yaygın web, mobil ve arka uç dillerini inceleyebiliriz. Projenizdeki diller ve çatılar kapsam görüşmesinde netleştirilir. Java, C# / .NET, PHP, Python, JavaScript / TypeScript (Node.js), Go, Kotlin, Swift, C / C++ ve diğer yaygın diller desteklenir.

Kaynak kodumuzun gizliliği nasıl korunuyor?

Kod, gizlilik sözleşmesi kapsamında ve şifreli kanallar üzerinden alınır, yalnızca proje ekibinin erişebildiği ortamlarda incelenir. Proje bitiminde sözleşmede belirlenen şekilde silinir veya iade edilir.

Purple team ile red team arasındaki fark nedir?

Red team habersiz yürütülür ve savunmanın gerçek bir saldırıya tepkisini ölçer. Purple team ise savunma ekibiyle birlikte, şeffaf biçimde yürütülür ve amacı tespit yeteneğini adım adım geliştirmektir.

Purple team için hangi altyapı gerekir?

Merkezi log toplama (SIEM) ve uç nokta tespit aracı (EDR) bulunması çalışmanın verimini artırır. Bu araçlar yoksa çalışma, hangi log kaynaklarının ve araçların gerektiğini ortaya koymak için de kullanılabilir.

Dış kaynaklı SOC hizmeti alıyoruz; purple team yapılabilir mi?

Evet. SOC hizmet sağlayıcınızın ekibi oturumlara katılarak kendi kurallarını sizin ortamınızda doğrulayabilir. Bu, hizmetten aldığınız tespit kapsamını ölçmenin pratik bir yoludur.

Red team operasyonu ne kadar sürer?

Süre, çalışmanın kapsamına göre her projede farklılık gösterir; net takvimi kapsam görüşmesinden sonra teklifte paylaşırız. Saldırgan gibi sessiz ilerlemek, klasik bir sızma testine göre daha fazla zaman gerektirir.

Çalışanlarımız ve savunma ekibimiz bilgilendirilir mi?

Operasyonun gerçekçi olması için savunma ekibi bilgilendirilmez. Yönetimden belirlenen kontrol ekibi süreç boyunca bizimle iletişim halindedir ve gerektiğinde operasyonu durdurabilir.

Red team için kurumumuz hazır mı?

Temel sızma testlerini tamamlamamış ve bulguları kapatmamış kurumlarda red team genellikle bilinen açıkları tekrar gösterir. Bu durumda önce sızma testi veya purple team çalışması daha verimli olabilir.

Sızma testi ile zafiyet taraması arasındaki fark nedir?

Zafiyet taraması, otomatik araçlarla bilinen açıkları listeler. Sızma testi ise uzman tarafından manuel olarak yürütülür, açıkların istismar edilebilirliğini kanıtlar ve iş mantığı hataları gibi tarayıcıların bulamadığı sorunları ortaya çıkarır.

Test sırasında sistemlerimiz etkilenir mi?

Testler önceden belirlenen kurallar ve zaman aralıklarında, servis sürekliliği gözetilerek yürütülür. Kesinti riski taşıyan adımlar sizinle onaylanmadan uygulanmaz.

Doğrulama testi nedir?

Doğrulama (yeniden) testi, raporlanan açıklar giderildikten sonra düzeltmelerin etkili olup olmadığının kontrol edilmesidir. Sonuçlar ayrı bir rapor olarak teslim edilir.

API dokümantasyonumuz yoksa test yapılabilir mi?

Evet. Uygulamanın trafiğinden uç noktaları çıkararak test edebiliriz; ancak dokümante edilmemiş uç noktaların gözden kaçmaması için OpenAPI tanımı veya Postman koleksiyonu paylaşılması önerilir.

GraphQL servisleri de test ediliyor mu?

Evet. Şema keşfi (introspection), sorgu derinliği ve maliyeti, toplu sorgular ve alan düzeyinde yetki kontrolleri GraphQL'e özgü olarak test edilir.

Web uygulama testi API'leri de kapsar mı?

Web uygulamasının kullandığı API'ler web testinde de incelenir. İş ortaklarına açılan veya birden fazla uygulamanın ortak kullandığı geniş bir API seti varsa ayrı bir API testi daha kapsamlı sonuç verir.

Dış ağ testi ile zafiyet taraması aynı şey mi?

Hayır. Zafiyet taraması bilinen açıkları otomatik olarak listeler. Dış ağ sızma testinde bulgular uzman tarafından doğrulanır, istismar edilebilirliği kanıtlanır ve birden fazla açığın birleşerek oluşturduğu saldırı yolları ortaya konur.

Testi hangi IP adreslerinden yapıyorsunuz?

Testlerin yapılacağı kaynak IP adreslerini başlamadan önce yazılı olarak bildiririz. Böylece güvenlik ekibiniz ve hizmet sağlayıcınız trafiği tanıyabilir.

Testi bulut sağlayıcımıza bildirmemiz gerekir mi?

Büyük bulut sağlayıcıların çoğu kendi altyapınızdaki standart sızma testleri için ön onay istemez, ancak her sağlayıcının kabul edilebilir kullanım kuralları farklıdır. Kapsam aşamasında ilgili kuralları birlikte kontrol ederiz.

İç ağ testi uzaktan yapılabilir mi?

Evet. Kurumunuzun sağladığı bir VPN bağlantısı veya ağınızda bizim için açılan bir test makinesi üzerinden yapılabilir. Fiziksel ağ ayrımı veya kablosuz ağ da test edilecekse yerinde çalışma planlanır.

Domain yöneticisi yetkisine ulaşırsanız ne oluyor?

Bu durumu hemen bildiririz ve önceden belirlenen sınırların dışına çıkmayız. Yetkiyle yalnızca etkiyi kanıtlayacak kadar işlem yapılır; sistemlerde kalıcı değişiklik bırakılmaz.

Testten sonra oluşturulan hesaplar ve dosyalar temizleniyor mu?

Evet. Test sırasında oluşturulan her hesap, dosya ve yapılandırma kayıt altına alınır ve test sonunda kaldırılır; listesi raporda yer alır.

Kablosuz ağ testi uzaktan yapılabilir mi?

Hayır. Kablosuz ağ ancak sinyal alanı içinde test edilebildiği için çalışma yerinde yapılır.

Test sırasında çalışanlarımızın bağlantısı kesilir mi?

Bağlantıyı kesebilecek adımlar varsayılan olarak uygulanmaz. Bir senaryo için gerekli görülürse önceden onayınız alınır ve kısa, planlı bir zaman aralığında yapılır.