TREN
Görüşme PlanlayınGörüşme Planlayın

Sızma Testleri ve Saldırı Yüzeyi

Sızma Testleri

Yeni bir dijital kanal açıldığında veya yıllık test zamanı geldiğinde net bir cevap gerekir. Hangi zafiyet gerçekten istismar edilebilir? Uygulamalarınızı ve ağınızı manuel olarak test ediyoruz. Küçük görünen zafiyetleri birleştirip gerçek etkilerini gösteriyoruz.

Test Kapsamı İçin İletişime GeçinTüm Hizmet Alanları

Sızma Testleri

Otomatik tarayıcılar bilinen zafiyetleri bulur. Bir müşterinin başka birinin hesabını gördüğü yetki hatasını ise bulamaz. Finans sektörü düzenleyicileri de yılda en az bir kez bağımsız sızma testi ister.

İhtiyaç

Hangi durumlarda ihtiyaç duyulur?

  • Yeni bir mobil uygulama veya ödeme kanalı yayına alınmadan önce.
  • BDDK, SPK veya TCMB'nin istediği yıllık bağımsız testin zamanı geldiğinde.
  • PCI DSS kapsamındaki kart verisi ortamınızda önemli bir değişiklik yapıldığında.
  • Kurumsal bir müşteri sözleşmeden önce bağımsız bir test raporu istediğinde.

Sorular

Bu çalışma neyi yanıtlar?

  1. İnternete açık servislerden iç ağa ulaşılabilir mi?
  2. Yetki kontrolleri her rolde ve her API çağrısında doğru çalışıyor mu?
  3. Ağ segmentasyonu kritik sistemleri gerçekten koruyor mu?
  4. Mobil uygulamamız cihazda veya trafikte hassas veri bırakıyor mu?
  5. Küçük görünen zafiyetler birleşince ne olur?

Sızma Testleri

Neler yapıyoruz

  • Web Uygulama Sızma Testi

    Oturum, yetki ve girdi kontrollerini test ederiz. Ödeme ve onay adımlarındaki iş mantığı hatalarını ararız.

  • API Sızma Testi

    REST ve GraphQL servislerinde bir kullanıcının başkasının kayıtlarına ulaşıp ulaşamadığını test ederiz. Servislerin kötüye kullanılıp kullanılamadığına da bakarız.

  • Mobil Uygulama Sızma Testi

    iOS ve Android uygulamalarınızın cihazda ne sakladığını test ederiz. Sunucuyla iletişimi ve arkadaki API'leri de inceleriz.

  • İç Ağ Sızma Testi

    İç ağdaki bir saldırganın kritik sunuculara ve etki alanı yöneticisi yetkisine ulaşıp ulaşamayacağını test ederiz.

  • Dış Ağ Sızma Testi

    Uzaktan erişim noktası gibi internete açık servislerden iç ağa geçmeyi deneriz.

  • Kablosuz Ağ Sızma Testi

    Kablosuz ağlarda kimlik doğrulamayı ve misafir ağının kurum ağından ayrımını test ederiz.

  • Masaüstü Uygulama Sızma Testi

    Masaüstü uygulamalarınızın kullanıcıya fazladan yetki verip vermediğini test ederiz. Saklanan veriyi ve güncelleme mekanizmasını da inceleriz.

  • Ağ Segmentasyonu Doğrulaması

    Ayrı olması gereken ağlar arasında gerçekte hangi trafiğin geçtiğini sınarız. PCI DSS, kart verisi ortamında bu testi yılda en az bir kez ister.

  • Kiosk, VDI ve Citrix Sızma Testi

    Şube terminali veya kiosk gibi kısıtlı bir oturumdan alttaki sisteme geçilip geçilemeyeceğini test ederiz.

Kapsam

Test edilecek sistemleri ve kullanıcı rollerini önceden birlikte belirleriz. Test internetten, iç ağdan veya giriş yapmış bir kullanıcı olarak yapılabilir. Kesinti riski taşıyan adımlar yalnızca sizinle planlanan saatlerde yürütülür.

Çalışma yöntemi

Her rol için ayrı bir kullanıcı hesabıyla test ederiz. Böylece giriş yaptıktan sonra ortaya çıkan yetki hatalarını da buluruz.

Çıktılar

Teslim edilenler

Her sistemin hangi yöntemle ve hangi yetkiyle test edildiğini gösteren kapsam matrisi. Zafiyet zincirlerini adım adım gösteren bulgular. Düzeltmelerden sonra yapılan yeniden testin sonucu.

NotYıllık test bir başlangıçtır. Önemli bir değişiklikten sonra etkilenen bölümün yeniden test edilmesini öneririz.

İlgili hizmetler

Kaynak Kod Analizi ve Uygulama Güvenliği Yetki ve iş mantığı hatalarını, yazılım yayına alınmadan kaynak kodda tespit ediyoruz. İnceleyin Saldırı Yüzeyi ve Saldırı Yolu Analizi İnternete açık varlıklarınızı ve kritik sistemlere giden yolları tek haritada gösteriyoruz. İnceleyin Red Team ve Saldırı Simülasyonu Hedef odaklı, gerçekçi bir saldırıyla savunmanızın kritik varlıklarınızı ne kadar koruduğunu test ediyoruz. İnceleyin

Test Kapsamı İçin İletişime Geçin

Hedefinizi ve kritik sistemlerinizi paylaşın. Doğru kapsamı ilk görüşmede netleştirelim.

Görüşme Planlayın