Zafiyet taraması (VA) otomatik araçlarla bilinen güvenlik açıklarını tespit eden tarama sürecidir. Sızma testi ise gerçek bir saldırganın bakış açısıyla, manuel olarak sistemlere sızmayı deneyen ve zincirleme zafiyetleri keşfeden ileri seviye bir güvenlik testidir. VA “ne zafiyetler var?” sorusunu yanıtlarken, pentest “bu zafiyetlerle ne kadar derine inebilirim?” sorusunu yanıtlar. Kapsamlı güvenlik için her ikisinin birlikte kullanılması önerilir.

Sızma testi sıklığı, sektör, risk profili ve uyumluluk gereksinimlerine göre değişir. PCI-DSS gibi standartlar yılda en az 1 kez ve önemli sistem değişikliklerinden sonra pentest zorunluluğu getirir. Genel öneri: Yılda en az 1 kapsamlı pentest, çeyreklik zafiyet taramaları ve her büyük deployment/güncelleme öncesi test yapılmasıdır. Yüksek riskli sektörler (finans, sağlık) için 6 ayda bir test önerilir.

Black box: Test ekibi hedef hakkında hiçbir bilgiye sahip değildir, gerçek bir harici saldırganın bakış açısını simüle eder. White box: Kaynak kod, mimari diyagram ve kimlik bilgileri gibi tüm bilgiler paylaşılır, kapsamlı ve derinlemesine test yapılmasını sağlar. Gray box: Sınırlı bilgi (örneğin düşük yetkili kullanıcı hesabı) verilerek iç tehdit veya kısıtlı erişimli saldırgan senaryosu test edilir. En iyisi yoktur; amaç ve bütçeye göre seçilir. Kapsamlı güvenlik için white box, gerçek saldırı simülasyonu için black box önerilir.

Profesyonel sızma testleri, deneyimli uzmanlar tarafından kontrollü ortamda yapılır ve sistem kararlılığını önceliklendirir. Ancak nadiren (özellikle eski/kararsız sistemlerde) exploit denemelerinin kesintiye yol açma riski vardır. Bu nedenle test öncesi RoE (Rules of Engagement) sözleşmesinde hangi testlerin yapılacağı, hangi kritik sistemlerin kapsam dışı bırakılacağı ve acil durum prosedürleri detaylıca belirlenir. Kritik sistemler için bakım penceresi veya staging ortamı kullanılabilir.

Süre, kapsama ve karmaşıklığa göre değişir. Tipik bir web uygulama pentest’i 1-2 hafta, kurumsal network pentest’i 2-4 hafta, Red Team operasyonu 4-8 hafta sürer. Süreç: 1 hafta planlama + 1-3 hafta aktif test + 1 hafta raporlama olmak üzere ortalama 3-5 hafta. Express pentest paketleri (sınırlı kapsam) 3-5 iş günü içinde tamamlanabilir. Zafiyet taramaları ise genellikle 1-2 gün içinde sonuçlanır.

Pentest maliyeti şu faktörlere göre değişir: kapsam büyüklüğü (kaç uygulama/IP/endpoint), test türü (black/white box), derinlik seviyesi, zaman kısıtı, tekrar testi (retest) ihtiyacı. Bir web uygulama pentest’i ortalama 15.000-50.000 TL, kapsamlı kurumsal altyapı pentest’i 75.000-200.000 TL, Red Team operasyonu 150.000 TL+ aralığındadır. Zafiyet taramaları ise 5.000-15.000 TL aralığında başlar. Kesin fiyat için ücretsiz ön değerlendirme toplantısı yapılması önerilir.

Tüm pentest projeleri NDA (Gizlilik Sözleşmesi) kapsamında yürütülür. Test verileri ve raporlar, şifreli kanallardan paylaşılır ve proje sonunda güvenli biçimde imha edilir (istenirse arşivlenir). Ekibimiz ISO 27001 sertifikalı bilgi güvenliği yönetim sistemi ile çalışır. Test sırasında erişilen hassas veriler (ödeme bilgileri, PII) hiçbir şekilde kopyalanmaz veya saklanmaz, yalnızca varlığı doğrulanır. Raporlar şifreli PDF olarak teslim edilir ve yetkisiz erişime karşı korunur.

Rapor tesliminden sonra 60-90 gün içinde yapılan düzeltmeleri doğrulamak için retest (düzeltme doğrulama) hizmeti sunuyoruz. İlk retest genellikle kritik bulgular için ücretsiz veya indirimli olarak sağlanır (paket/sözleşmeye göre değişir). Retest kapsamı yalnızca düzeltilen bulguları içerir, yeni tam kapsam test değildir. Düzeltmeler sonrası “temiz rapor” (clean report) düzenleyerek uyumluluk süreçlerinizde kullanabilmeniz için belgelendirme yaparız.