Metodolojimiz: Nasıl Çalışıyoruz?

Nokta Guard, sızma testlerini OWASP WSTG, OWASP MASTG, OWASP API Security Top 10, PTES, NIST SP 800-115 ve OSSTMM gibi kamuya açık çerçevelere dayanan tanımlı bir metodolojiyle yürütür. Otomatik araçlarla elde edilen sonuçları uzman manuel testle doğrular, her bulguyu kanıtıyla raporlarız. Bulguları CVSS ile puanlar, saldırı senaryolarını gerektiğinde MITRE ATT&CK ile eşleriz.

Tek bir standart her test türünü kapsamaz; bu nedenle hedef sisteme göre en uygun rehberi esas alıyoruz.

• OWASP WSTG (Web Security Testing Guide): Web uygulaması testlerinde kontrol listemizin temelidir; güncel kararlı sürümü v4.2'dir.
• OWASP MASTG ve MASVS: Mobil uygulama testlerinde, MASVS'deki güvenlik gereksinimlerini MASTG'deki test yöntemleriyle doğruluyoruz.
• OWASP API Security Top 10 (2023): REST ve GraphQL API'lerde yetkilendirme, kimlik doğrulama ve kaynak tüketimi risklerini test ediyoruz.
• PTES (Penetration Testing Execution Standard): Ön görüşmeden raporlamaya kadar süreç aşamalarını tanımlamak için kullanıyoruz.
• NIST SP 800-115: Planlama, keşif, saldırı ve raporlama aşamalarının yapısı için referans aldığımız teknik rehberdir.
• OSSTMM: Ağ ve altyapı testlerinde operasyonel güvenliği ölçülebilir biçimde değerlendirmek için yararlandığımız açık metodolojidir.
• MITRE ATT&CK: Gerçek saldırgan taktik ve tekniklerini tanımlayan bilgi tabanıdır; özellikle iç ağ, red team ve purple team çalışmalarında bulguları bu çerçeveyle eşliyoruz.

1. Ön hazırlık ve kapsam: Hedef sistemleri, test türünü, test penceresini ve kural setini yazılı olarak belirliyoruz.
2. Bilgi toplama ve keşif: Açık kaynaklardan ve aktif taramalarla hedefin saldırı yüzeyini, servislerini ve teknolojilerini haritalıyoruz.
3. Zafiyet tespiti: Otomatik tarama sonuçlarını manuel analizle birleştiriyor, yanlış pozitifleri eliyoruz.
4. Kontrollü istismar: Açığın gerçek etkisini göstermek için, sistemlere zarar vermeyecek biçimde istismar ediyoruz.
5. İstismar sonrası: Kapsamda ise yetki yükseltme ve yanal hareket olasılıklarını değerlendirerek bir saldırganın ne kadar ilerleyebileceğini gösteriyoruz.
6. Raporlama: Her bulguyu etki, CVSS puanı, kanıt, tekrarlama adımları ve çözüm önerisiyle raporluyoruz.

Tarayıcılar bilinen açıkları hızlıca bulur, ancak iş mantığı hatalarını ve yetkilendirme açıklarını çoğu zaman göremez. Bu nedenle otomatik sonuçları başlangıç noktası olarak kullanıyor, kritik akışları uzmanlarımız manuel olarak test ediyor. Raporda yalnızca doğrulanmış bulgulara yer veriyoruz.

Kara kutu testte ekibimiz hedef hakkında ön bilgi almadan, dışarıdaki bir saldırgan gibi çalışır. Gri kutu testte kullanıcı hesabı gibi sınırlı bilgi verilir; çoğu kurum için en verimli yaklaşımdır. Beyaz kutu testte mimari doküman veya kaynak kod paylaşılır ve en derin inceleme yapılır.

• Testleri yazılı yetkilendirme ve kural seti olmadan başlatmıyoruz.
• Hizmet kesintisine yol açabilecek testleri yalnızca açık onayınızla ve planlanan zaman diliminde yapıyoruz.
• Kişisel ve gizli verilere erişimi açığı kanıtlamaya yetecek düzeyde tutuyor, veri kopyalamıyoruz.
• Kritik bir açık tespit ettiğimizde raporu beklemeden belirlediğiniz irtibat kişisine bildiriyoruz.

Nokta Guard'da bir sızma testi projesi; talep, kapsam formu, teklif ve sözleşme, yetkilendirme ve kural seti, test, raporlama, sunum ve doğrulama testi adımlarından oluşur. Her adımın bir çıktısı vardır ve bir sonraki adım bu çıktı onaylanmadan başlamaz. Böylece ne zaman neyin yapılacağını ve ne teslim edileceğini baştan bilirsiniz.

1. Talep: İletişim formu, e-posta veya telefonla bize ulaşırsınız; kısa bir ön görüşmede ihtiyacınızı ve hedeflerinizi dinleriz.
2. Kapsam formu: Test edilecek uygulama, IP aralığı, kullanıcı rolleri ve ortam bilgilerini içeren formu birlikte doldururuz. Bu form, eforun doğru hesaplanmasının temelidir.
3. Teklif ve sözleşme: Kapsama göre süre, test yaklaşımı ve teslimatları içeren teklifi hazırlarız. Onayın ardından hizmet sözleşmesi ve gizlilik sözleşmesi imzalanır.
4. Yetkilendirme ve kural seti (rules of engagement): Test tarih ve saatleri, kaynak IP adresleri, kapsam dışı sistemler, acil durum irtibat kişileri ve yasaklı test türleri yazılı olarak belirlenir. Bu belge olmadan teste başlanmaz.
5. Test: Ekibimiz metodolojimize uygun olarak testi yürütür. Kritik bir açık bulunduğunda raporu beklemeden irtibat kişinize bildirilir.
6. Raporlama: Bulgular; yönetici özeti, risk matrisi ve teknik ayrıntılarla raporlanır ve şifreli olarak teslim edilir.
7. Sunum: Sonuçları yönetim ve teknik ekibinizle bir toplantıda değerlendirir, çözüm önceliklerini birlikte netleştiririz.
8. Doğrulama testi: Düzeltmeleri tamamladığınızda ilgili bulguları yeniden test eder, durumlarını ayrı bir doğrulama raporuyla belgeleriz.

Süre kapsama bağlıdır. Net takvimi kapsam görüşmesinden sonra teklifte paylaşırız.

• Kapsam formunun eksiksiz doldurulması ve test ortamına erişim bilgileri
• Test süresince ulaşılabilir bir teknik irtibat kişisi
• Gri kutu testlerde ilgili rollere ait test kullanıcıları
• Gerekiyorsa barındırma veya bulut sağlayıcınıza test bildirimi

Nokta Guard'ın sızma testi raporları; karar vericiler için bir yönetici özeti, riskleri tek bakışta gösteren bir risk matrisi ve teknik ekip için her bulguya ait kanıt, tekrarlama adımları ve çözüm önerilerinden oluşur. Raporlar şifreli olarak teslim edilir ve düzeltmelerin ardından ayrı bir doğrulama raporuyla tamamlanır.

• Yönetici özeti: Testin amacı, kapsamı, genel güvenlik seviyesi ve öncelikli aksiyonlar, teknik terim kullanmadan bir iki sayfada anlatılır.
• Kapsam ve yöntem: Test edilen sistemler, test tarihleri, test yaklaşımı (kara/gri/beyaz kutu) ve referans alınan çerçeveler belirtilir.
• Risk matrisi: Bulgular Kritik, Yüksek, Orta, Düşük ve Bilgilendirme seviyelerine göre dağılımıyla gösterilir.
• Teknik bulgular: Her bulgu standart bir şablonla ayrıntılandırılır.
• Ekler: Gerekli olduğunda araç çıktıları, test edilen adres listeleri ve ek kanıtlar.

• Başlık ve risk seviyesi
• Etki: Açığın istismar edilmesi durumunda iş ve veri üzerindeki olası sonucu
• CVSS puanı ve vektörü
• Etkilenen sistem, adres veya parametre
• Kanıt: Ekran görüntüsü, istek-yanıt örnekleri veya komut çıktıları
• Tekrarlama adımları: Ekibinizin bulguyu kendi ortamında doğrulayabilmesi için adım adım açıklama
• Çözüm önerisi: Uygulanabilir düzeltme adımları ve gerekiyorsa geçici önlemler
• Referanslar: İlgili CVE, CWE veya OWASP kaynakları

Teknik ciddiyeti CVSS ile ölçüyoruz; CVSS sürümünü (3.1 veya 4.0) kapsam aşamasında birlikte belirliyoruz. Nihai risk seviyesini atarken açığın istismar edilebilirliğini ve etkilenen verinin kurumunuz için önemini de dikkate alıyoruz.

Düzeltmeleri tamamladığınızda bulguları yeniden test ediyor ve her biri için Kapandı, Kısmen Kapandı veya Açık durumunu kanıtıyla birlikte raporluyoruz. Bu rapor, bulguların giderildiğini denetçiye veya yönetime göstermeniz için ayrı bir belge olarak teslim edilir.

Raporları şifreli olarak ve erişimi kayıt altına alınan bir paylaşım ortamı üzerinden teslim ediyoruz; şifreyi farklı bir iletişim kanalıyla iletiyoruz. Rapor ve test verileri tercihinize göre hiç saklanmaz ya da 3 veya 6 ay şifreli ortamda saklanır, süre sonunda güvenli biçimde imha edilir.

• Testi kim yapacak?: Testi yapacak ekibin deneyimini ve sertifikalarını sorun; işin alt yükleniciye verilip verilmeyeceğini netleştirin.
• Hangi metodoloji kullanılacak?: OWASP, PTES veya NIST SP 800-115 gibi tanınmış bir çerçeveye dayanan, manuel doğrulama içeren bir yöntem isteyin.
• Test sistemlerimize zarar verir mi?: Kural seti, test saatleri ve acil durum iletişimi yazılı olmalı; riskli adımlar onayınız olmadan uygulanmamalıdır.
• Doğrulama testi var mı?: Düzeltmelerin hangi süre içinde ve hangi kapsamda yeniden test edileceği teklifte açıkça yazmalıdır.

Tanımlı bir metodoloji, iki farklı testin aynı titizlikle yapılmasını ve sonuçların karşılaştırılabilir olmasını sağlar. Hangi adımın neden atıldığını bilmek, raporunuzu denetçiye veya yönetime sunarken de güven verir.

Metodoloji aynı zamanda bir güvenlik sınırıdır. Testin hangi sistemlerde, hangi yöntemlerle ve hangi izinlerle yapılacağı önceden yazılı olarak belirlendiği için hem sistemleriniz hem de delil niteliği taşıyan verileriniz kontrol altında kalır.

• Sızma Testi Metodolojimiz: OWASP, PTES, NIST SP 800-115 ve OSSTMM temelli yaklaşım.
• Proje Süreci: Kapsam belirlemeden yeniden teste kadar adım adım iş akışı.
• Raporlama Yaklaşımı: Yönetici özeti, teknik bulgular ve uygulanabilir çözüm önerileri.
• Adli Bilişim Metodolojisi: Delil zinciri, hash doğrulama ve uluslararası standartlara uyum.

Nokta Guard, adli bilişim incelemelerinde dijital delilin bütünlüğünü teslim alındığı andan rapor teslimine kadar korumayı esas alır. Delil tutanakla teslim alınır, teknik olarak mümkün olduğunda yazma engelleyiciyle adli imajı çıkarılır, SHA-256 gibi hash değerleriyle doğrulanır ve analiz orijinal üzerinde değil kopya üzerinde yapılır. Yaklaşımımızda ISO/IEC 27037 rehberindeki ilkeleri referans alıyoruz.

ISO/IEC 27037, dijital delilin tanımlanması, toplanması, edinilmesi ve korunmasına ilişkin uluslararası bir rehber standarttır. İncelemelerimizde bu rehberdeki denetlenebilirlik, tekrarlanabilirlik ve gerekçelendirilebilirlik ilkelerini esas alıyoruz. Canlı sistemlerde uçucu verilerin toplanma sırası için RFC 3227 önerilerinden yararlanıyoruz.

1. Ön değerlendirme: Olayı, inceleme amacını ve cihazların durumunu dinliyor; hangi incelemelerin teknik olarak mümkün olduğunu değerlendiriyoruz.
2. Delil teslim tutanağı: Cihazın markası, modeli, seri numarası, fiziksel durumu, teslim eden ve teslim alan kişiler ile tarih-saat bilgisi tutanağa işlenir.
3. Delil zinciri kaydı: Delilin kimde, ne zaman, hangi amaçla bulunduğu inceleme boyunca kayıt altında tutulur.
4. Adli imaj alma: Depolama birimlerinin bit düzeyinde kopyası, teknik olarak mümkün olduğunda donanımsal veya yazılımsal yazma engelleyici kullanılarak alınır. Mobil cihazlarda edinim yöntemi cihazın modeline, işletim sistemi sürümüne ve kilit durumuna bağlı olarak belirlenir.
5. Hash doğrulaması: Orijinal kaynağın ve alınan imajın hash değerleri (ör. SHA-256) hesaplanır ve karşılaştırılır; değerler tutanağa ve rapora yazılır.
6. Kopya üzerinde analiz: İnceleme, doğrulanmış imajın çalışma kopyası üzerinde yapılır; orijinal delil incelemeye konu edilmeden saklanır.
7. Raporlama: Kullanılan yöntemler, araçlar, hash değerleri ve bulgular, teknik bilgisi olmayan okuyucunun da izleyebileceği objektif bir raporla sunulur.
8. Teslim ve saklama: Orijinal delil tutanakla iade edilir; imaj ve çalışma dosyaları müşterinin tercihine göre hiç saklanmaz ya da 3 veya 6 ay saklanır, süre sonunda güvenli biçimde imha edilir.

Açık durumdaki bir bilgisayarda bellek gibi uçucu veriler, cihaz kapatıldığında kaybolabileceği için önce toplanması değerlendirilebilir. Kilitli, şifreli veya fiziksel hasarlı cihazlarda chip-off gibi ileri yöntemler gündeme gelebilir; bu yöntemler cihazın durumuna bağlı olarak geri dönüşü olmayan işlemler içerebileceğinden yalnızca yazılı onayınızla uygulanır. Hangi verinin elde edilebileceği cihazın durumuna ve kullanılan teknolojiye bağlıdır.

Raporlarımız teknik tespitleri tarafsız biçimde ortaya koyar. Raporun bir yargılamada delil olarak değerlendirilip değerlendirilmeyeceği ve hukuki değeri, ilgili merciğin takdirindedir. Nokta Guard bilirkişi değildir; uzman görüşü ve teknik danışmanlık hizmeti sunar.