Müşterilerimiz ağ sızma testi raporu istiyor, bu süreçte altyapımızda tam olarak ne kontrol edilir?

Irmak V***2 ay önce·46 mesaj·4,8 B görüntülenme#ağ sızma testi #bilgi güvenliği #altyapı denetimi #siber güvenlik

Görev: Ön muhasebe
Sektör: E-ticaret
Yapı: holding bünyesinde bir şirket
Katılım: Şub 2025
Mesaj: 312

2 ay önce#1

Moskova'da B2B lojistik entegrasyonu yazılımı sunan 12 kişilik bi ekibiz. 3 adet bulut sunucumuz merkez ofisimizde küçük bi yerel ağımız ve uzaktan çalışanların bağlandığı bi VPN altyapımız var. Sunucu altyapısına aylık yaklaşık 75.000 RUB harcıyoruz.

Birlikte çalışmak istediğimiz iki büyük kurumsal perakende müşterisi, tedarikçi bilgi güvenliği değerlendirmesi kapsamında bizden bağımsız bir firmadan alınmış ağ sızma testi raporu talep etti. Teklif aldığımız ilk güvenlik şirketi sadece dış ağ testi için 300.000 RUB istedi ve sürecin iki hafta süreceğini söyledi.

Açıkçası bu büyüklükte bi altyapı icin süreç tam olarak neyi kapsıyor? Testi yapacak uzmanlar sistemlerimizde fiilen neyi kontrol edecek sistemleri çökertme riskleri var mı ve rapor kurumsal müşterileri ikna etmek için hangi standartlara göre hazırlanmalı?

SinanKatılımcı

Görev: Yazılım eğitmeni
Katılım: Ara 2023
Mesaj: 186

Doki · E-ticaret altyapısı · 2025

2 ay önceEn çok yardımcı olan#2

Kısa cevap: Ağ sızma testi, güvenlik uzmanlarının sistemlerinize kontrollü bi şekilde saldırarak dışarıya açık kapıları, zayıf yapılandırmaları ve yetkisiz erişim açıklarını tespit etme sürecidir. Müşterilerinizin talep ettiği değerlendirme genellikle internete açık IP adreslerinizin ve dışarıyla iletişim kuran servislerinizin kurumsal güvenlik standartlarına uygun olup olmadığını belgeler.

Süreç genelde üç ana aşamadan oluşur: Kapsam belirleme, aktif test ve raporlama. bu arada ilk olarak testin kuralları yazılı hale getirilir; hangi IP bloklarının taranacağı test saatleri ve servis kesintisini önleyecek sınırlar netleşir. Dış ağ testinde uzmanlar; açık portları güncellenmemiş servisleri SSL/TLS şifreleme zayıflıklarını VPN geçitlerini ve güvenlik duvarı kurallarını manuel ve otomatik yöntemlerle inceler. Amaç sisteme zarar vermek değil bi saldırganın içeri sızabileceği noktaları bulup belgelemektir.

Raporlama aşamasında tespit edilen açıklar kritik yüksek orta ve düşük şeklinde sınıflandırılır. Kurumsal müşterinizin kabul edeceği raporda sadece araç tarama çıktısı deil; bulunan zafiyetin nsl istismar edilebileceği iş etkisi ve kapatılması için önerilen teknik adımlar yer almalıdır.

Küçük bir altyapı için 300.000 RUB sadece dış ağ için biraz yüksek bir başlangıç teklifidir; benzer ölçekteki 3-5 IP'lik yapılar genellikle 150.000 ile 220.000 RUB aralığında denetlenir. Sözleşme yaparken rapordaki eksikleri giderdikten sonra yapılacak ücretsiz doğrulama testi hakkını mutlaka talep edin.

Zeynep E***Katılımcı

Görev: Müşteri hizmetleri temsilcisi
Sektör: Enerji
Yapı: bölge bayisi
Katılım: Nis 2025
Mesaj: 53

2 ay önce#3

Müşterilerinizin ilettiği bilgi güvenliği formunda tam olarak 'dış ağ' mı yoksa 'iç ağ' testi mi istenmiş? valla kurumsal firmalar bazen standart taslakları doğrudan iletiyor. Eğer müşteri verisini işleyen API uçlarınız ve web servisleriniz yalnızca buluttaki sunuculardaysa ofis içi ağı kapsama dahil etmeyerek maliyeti düşürebilirsiniz.

Esra U***KatılımcıTopluluk üyesi

Katılım: Şub 2026
Mesaj: 160

2 ay önce#4

Kontrol edilecek temel unsurlar: Açık bırakılmış SSH ve RDP portları, VPN sunucusunun şifreleme algoritmaları, DNS bölge transferi açıkları ve eski web sunucusu yazılımlarıdır. Test uzmanları sistemi çökertmez; bir açık bulduklarında yetki yükseltme veya veri okuma aşamasına geçmeden önce durumu ekran görüntüsüyle kanıtlayıp adımı durdururlar.

Özgür B***KatılımcıTopluluk üyesi

Katılım: Şub 2023
Mesaj: 34

2 ay önce#5

Geçen yıl benzer bir taleple karşılaştık, Moskova merkezli 4 sunuculuk yapımız için 180.000 RUB ödedik. Test 4 iş günü sürdü, raporun hazırlanması 3 gün aldı. 2 adet orta seviye yetkilendirme açığı ve güncellenmemiş bir kütüphane buldular. Düzeltmeleri yapıp tekrar teste soktuk, müşterimiz raporu sorunsuz onayladı.

Hatice A***KatılımcıTopluluk üyesi

Katılım: Ara 2023
Mesaj: 2

2 ay önce#6

Piyasada 50.000 ile 70.000 RUB aralığında teklif veren yerlere dikkat edin. Çoğu yalnızca otomatik bir zafiyet tarama yazılımı çalıştırıp çıkan ham PDF dosyasını rapor diye teslim ediyor. Kurumsal müşterilerin güvenlik denetçileri bu yüzeysel taramaları hemen fark eder ve kabul etmez.

Perihan K***KatılımcıTopluluk üyesi

Katılım: Oca 2023
Mesaj: 152

2 ay önce#7

Sözleşmeyi imzalamadan önce şu üç maddeyi mutlaka yazılı hale getirin: 1) Testlerin mesai saatleri dışında ve yedekleme planlarına uygun yapılması, 2) Test sırasında kritik bir zafiyet görülürse beklemeden acil bildirim yapılması, 3) Açıkların kapatılması sonrasında 30 gün içinde tek seferlik ücretsiz tekrar testi sağlanması.

Ömer D***Katılımcı

Görev: Saha satış temsilcisi
Sektör: Otomotiv yan sanayi
Yapı: orta ölçekli işletme
Katılım: Ağu 2024
Mesaj: 341

2 ay önce#8

test baslamadan once tum sanal sunucularin anlik snapshot yedegini alin mutlaka. bu arada bi de test yapilacagi ilan edilen gunlerde altyapida hicbir buyuk guncelleme veya yeni kod yayini yapmayin trafik loglari karisir.

Irmak B***Katılımcı

Görev: Veri analisti
Sektör: Mobilya üretimi
Yapı: tek kişilik işletme
Katılım: Şub 2025
Mesaj: 46

2 ay önce#9

Hizmet alacağınız denetçi firmanın uzman sertifikasyonlarını talep etmeniz yararlı olacaktır. Teknik personelin uluslararası geçerliliği bulunan etik korsanlık veya ağ güvenliği uzmanlık belgelerine sahip olması, denetim raporunuzun kurumsal müşterinizin bilgi güvenliği komitesi tarafından hızlıca onaylanmasını sağlar.