Pentest Yönetim MerkeziSızma testi projeleri için yönetim portalı
Sızma testi süreçlerinizi e-posta yazışmaları ve dağınık dosyalar üzerinden mi takip ediyorsunuz? Pentest Yönetim Merkezi kapsam belirleme, kritik bulgu bildirimi, raporlama ve retest adımlarını müşterinin ve test ekibinin kendi hesaplarıyla girdiği bir portala taşır.
Ekranlar role göre değişir
Portalda müşteri ve pentester girişleri ayrıdır. Kullanıcılar yalnızca yetkili oldukları projelerin kayıtlarını görür.
Müşteri portalı
Pentest raporlarınıza ve saldırı yüzeyi varlık panonuza portal üzerinden erişin.
- Pentest raporlarını ve sürümlerini görüntüleme
- Saldırı yüzeyi varlık panosu
- Kapsam formunu portaldan gönderme
- Test başlangıcı ve kritik bulgular için bildirim
- Retest sonuçlarının takibi
Test ekibi paneli
Ekip, proje açılışından retest raporuna kadar bu panelde çalışır.
- Proje yöneticisi, lead, pentester, onaylayan ve raportör rolleri
- Lead onayından geçen bulgu akışı
- Bilgi bankasından hazır bulgu şablonları
- Görev terminleri ve SLA uyarıları
- Pentester doluluk görünümü
Portalın modülleri
Aşağıdaki ekranlar temsili çizimlerdir. Gerçek müşteri verisi içermez.
Yeni proje sihirbazı
Sihirbaz önce müşteri ve proje bilgisini, ardından test kapsamını alır. Son adım ekip atamasıdır. Projeye uygulanacak regülasyon, rapor şablonuna o günkü sürümüyle bağlanır.
- Dış ağ ve iç ağ IP/CIDR kapsamı, kapsam dışı varlıklar
- Rapor dili ve gizlilik sınıfı, test tarih aralığıyla birlikte girilir
- Sözleşme tarihi girilmeden saldırı yüzeyi taraması başlatılamaz
Yapay zeka destekli rapor editörü
Bulgular rapor editöründe girilir ve lead onay akışından geçer. Yapay zeka asistanına "CVSS vektör öner" ya da "daha kısa yaz" gibi bir talimat verildiğinde bulgu için öneri gelir. Öneriyi uzman kabul eder ya da reddeder.
- PDF ve DOCX'e ek olarak SPK formatında çıktı, raporları birleştirme
- Müşteriye özel renk ile üst ve alt yazı, PDF'te otomatik filigran
- Rapor sürümleri ve çok dilli rapor desteği
- Seçili bulguların önem derecesini ya da durumunu toplu değiştirme
Saldırı yüzeyi analizi
Analizi Light, Standard ya da Deep profiliyle başlatın. Keşfedilen varlıklara risk skoru atanır ve yapay zeka bu sonuçlardan dört paragraflık Türkçe bir yönetici özeti hazırlar. Aktif projelerde izleme her gün tekrarlanır, yeni bir risk bulunursa proje ekibi portalda bildirim alır.
- E-posta güvenlik kayıtları (SPF, DKIM, DMARC, MTA-STS)
- TLS kontrolü ve HTTP parmak izi, JavaScript kodunda açıkta kalan anahtar taraması
- 23 bulut servisinde subdomain takeover kontrolü
- Günlük takeover ve sızan anahtar kontrolü, sertifika süresi takibi
Müşteri test boyunca bilgilendirilir
Kaynak IP adresi ve test tarihini içeren başlangıç bildirimi PDF olarak hazırlanır, test başlamadan müşteriye gönderilir. Kritik bulgular için ayrıca acil bildirim akışı vardır. Düzeltmeler retest kuyruğundan takip edilir.
- Başlangıç bildirimi için önizleme ve PDF indirme
- Acil bildirimlerin durum takibi
- SLA %80 uyarısı ve SLA aşım bildirimi
- Sürüm numaralı retest raporları
Diğer modüller
Regülasyon kütüphanesi
Kütüphanede BDDK ve KVKK gibi mevzuatlar sürüm bilgisiyle tutulur. Her kaydın durumu ve kullanım bilgisi listede görünür.
Bilgi bankası
Bulgu şablonlarını hazır set olarak yükleyin ya da tek tek veya toplu ekleyin. CVE numarasıyla ya da etiketle arama yapılabilir.
Görev yönetimi
Görevler bir kişiye ya da gruba atanır, etiket ve öncelikle sınıflandırılır. Termini geçen görevler ayrı listede görünür.
Denetim kaydı
Platformdaki işlemler tarih, kullanıcı, rol, aksiyon ve ilgili kayıt bilgisiyle saklanır.
KVKK haklarının kullanımı
Müşteri kullanıcıları verilerinin bir kopyasını indirebilir, düzeltme ya da hesap silme talebi iletebilir. Bu talepler denetim kaydına işlenir.
Entegrasyonlar
Kişisel API anahtarlarının kapsamını kullanıcı belirler. API, OpenAPI 3.0 ile belgelenmiştir. Bulgular STIX 2.1 olarak dışa aktarılırken MITRE ATT&CK teknikleriyle eşleştirilir.
Veri güvenliği
Bulgular ve raporlar kurumunuzun güvenlik açıklarını ayrıntısıyla anlatır. Bu yüzden portalda yapılan işlemler denetim kaydına yazılır.
- Kuruma bağlı müşteri hesapları
- Rol bazlı yetkilendirme
- KVKK taleplerinin takibi
Pentest Yönetim Merkezi'ni ekibimizden dinleyin
Tanıtım görüşmesinde proje açılışı, bulgu ve rapor akışı, saldırı yüzeyi analizi ve müşteri portalını örnek bir proje üzerinden gösterelim.
Sık sorulan sorular
Müşteriler raporlarına nasıl erişir?
Portalın giriş ekranındaki Müşteri Girişi sekmesini kullanırlar. Görebildikleri raporlar ve varlık panosu yalnızca kendi kurumlarına aittir.
Raporlar hangi formatlarda alınabilir?
Raporlar PDF ve DOCX olarak, SPK formatında da indirilebilir. Birden fazla rapor tek dosyada birleştirilebilir. PDF çıktısında müşterinin marka teması kullanılır ve filigran otomatik eklenir.
Saldırı yüzeyi analizi neleri kapsar?
Light profil yalnızca pasif DNS ve Certificate Transparency kayıtlarına bakar. Standard profilde bunlara e-posta güvenliği, TLS, HTTP parmak izi, JavaScript dosyalarında açıkta kalan anahtarlar ve subdomain takeover kontrolleri eklenir. Deep profil en geniş seçenektir. WHOIS, en yaygın portlarda port taraması, subdomain kaba kuvvet keşfi, bölge aktarımı (AXFR) denemesi ve geçmiş URL taraması bu profile özgüdür.
Kritik bir bulgu test bitmeden nasıl bildirilir?
Test ekibi, platformdaki acil bildirim ekranından müşteriye haber verir. Bildirimi hazırlayan kişi ve tarih, durum bilgisiyle birlikte saklanır.
Yapay zeka raporu kendisi mi yazıyor?
Hayır. Yapay zeka asistanı, uzmanın verdiği talimata göre öneri üretir. Öneri ancak uzman kabul ettiğinde rapora işlenir. Saldırı yüzeyi analizindeki yönetici özeti ise en riskli varlıklar ve istatistikler üzerinden yapay zeka ile hazırlanır.
Başka araçlarla entegre çalışır mı?
Evet. Kişisel API anahtarları ve OpenAPI 3.0 dokümantasyonu ile kendi araçlarınızı portala bağlayabilirsiniz. Bulgular STIX 2.1 formatında dışa aktarıldığı için SIEM ve tehdit istihbaratı platformlarına da alınabilir.