İçerik Tablosu
Güvenlik duvarınız aktif, antivirüs yazılımınız güncel, parolalarınız güçlü. Peki tüm bunlara rağmen sisteminize sızılabilir mi?
Maalesef evet. Çünkü gerçek bir saldırgan bilinen kurallarla oynamaz; yanlış yapılandırılmış bir ağ cihazını, güncellenmemiş bir uygulama bileşenini veya görünmez bir erişim açığını hedef alır. İşte bu yüzden sızma testi, modern kurumsal güvenliğin vazgeçilmez bir parçasıdır.
Bu rehberde sızma testinin ne olduğunu, türlerini, adım adım nasıl işlediğini, hangi durumlarda yaptırılması gerektiğini ve 2026 itibarıyla neden daha kritik hale geldiğini kapsamlı biçimde ele alıyoruz.
Sızma Testi (Pentest) Nedir?
Sızma testi; bir kurumun bilişim altyapısındaki güvenlik açıklarını tespit etmek için profesyonel siber güvenlik uzmanları tarafından gerçekleştirilen, kontrollü ve yasal çerçevede yürütülen saldırı simülasyonudur.
Uzmanlar bu süreçte kötü niyetli bir saldırganın kullanabileceği yöntemleri, araçları ve taktikleri kullanarak ağınıza, web uygulamalarınıza, sunucularınıza veya çalışan davranışlarınıza sızmaya çalışır. Amaç sisteme zarar vermek değil, gerçek bir saldırı gerçekleşmeden önce açıkları tespit edip kapatmaktır.
Literatürde Penetrasyon Testi, Ethical Hacking ve Offensive Security olarak da adlandırılan bu yöntem; zafiyet taramasından (vulnerability scan) farklıdır. Zafiyet taraması açıkların varlığını listeler; sızma testi ise bu açıkların gerçekten sömürülebilir olup olmadığını kanıtlar.
Sızma Testi Neden Bu Kadar Kritik?
Güvenlik Açıkları Her Yerde Olabilir
Yazılım hataları, yanlış yapılandırılmış ağ cihazları, güncellenmemiş sistemler ve zayıf erişim politikaları; günlük iş yükü içinde fark edilmeden birikir. Bir sızma testi bu birikmiş açıkları sistematik biçimde ortaya çıkarır.
Saldırganlar Artık Yapay Zekadan Yararlanıyor
2026 itibarıyla sızma testi, “zafiyet taraması” ile karıştırılmadan; kapsamı net tanımlanmış, kontrollü ve etik sınırlar içinde yürütülen, bulguların iş riski ile ilişkilendirildiği bir güvence faaliyetidir. Siber saldırıların otomatikleştiği ve yapay zeka destekli hale geldiği bir ortamda manuel güvenlik değerlendirmesi tek başına yetmez.
Finansal ve İtibar Kaybını Önler
Bir sızma testinin maliyeti, olası bir ihlalden kaçınılan zararın yanında oldukça küçük kalır. Veri ihlali sonrası yaşanacak sistem duruşu, müşteri kaybı, tazminat ve itibar hasarı; profesyonel bir pentest yatırımının yüzlerce katına ulaşabilir.
Yasal ve Uyumluluk Zorunluluğu
Türkiye’de 7545 Sayılı Siber Güvenlik Kanunu ve KVKK kapsamında kurumların teknik güvenlik önlemlerini periyodik olarak test etme yükümlülüğü bulunuyor. Ayrıca e-ticaret siteleri için Güven Damgası alabilmek, bankacılık ve finans sektöründe BDDK uyumluluğu sağlamak için düzenli sızma testi zorunludur.
Sızma Testi Türleri
Bilgi Düzeyine Göre Test Yöntemleri
Siyah Kutu (Black Box) Testi
Test uzmanına sistem hakkında hiçbir ön bilgi verilmez. Tamamen dışarıdan gelen gerçek bir saldırgan gibi hareket edilir. Keşif süreci yoğun ve zaman alıcıdır; ancak dış tehdit senaryolarını en gerçekçi biçimde simüle eder.
Beyaz Kutu (White Box) Testi
Uzmana sistem mimarisi, ağ şemaları, kaynak kodlar ve yönetici kimlik bilgileri dahil tüm detaylar paylaşılır. İç tehditler, gizli açıklar ve kod düzeyindeki zafiyetler hedeflenir. En kapsamlı test türüdür.
Gri Kutu (Grey Box) Testi
Uzmana sınırlı bilgi verilir; örneğin düşük yetkili bir kullanıcı hesabı. Bir çalışanın ya da sisteme kısıtlı erişimi olan birinin neler yapabileceği test edilir. Gri kutu testi, siyah ve beyaz testle ilişkili daha yüksek maliyet ve kapsam nedeniyle en yaygın penetrasyon testi türüdür.
Kapsama Göre Sızma Testi Türleri
Dış Ağ (External Network) Sızma Testi
İnternete açık sistemler, VPN uç noktaları, e-posta sunucuları ve uzaktan erişim altyapısı hedef alınır. Dışarıdan gerçekleştirilen saldırı senaryoları simüle edilir.
İç Ağ (Internal Network) Sızma Testi
Ağ içinden yetkisiz yatay hareket, Active Directory zafiyetleri, ayrıcalık yükseltme ve ağ segmentasyonu açıkları test edilir. İçeriden gelen tehditler için kritiktir.
Web Uygulama Sızma Testi
Uygulama mantığı, kimlik doğrulama, oturum yönetimi, API güvenliği ve OWASP Top 10 kapsamındaki zafiyetler test edilir. Web tabanlı hizmet sunan her kurum için zorunludur.
Mobil Uygulama Sızma Testi
İstemci tarafı zayıflıkları, API entegrasyonları, yerel veri depolama güvenliği ve sertifika doğrulama riskleri incelenir.
Bulut ve Yapılandırma Sızma Testi
IAM hataları, açık depolar, yanlış erişim politikaları, sır yönetimi ve log/monitoring eksiklikleri gibi bulut ortamına özgü riskler değerlendirilir. Azure, AWS veya Google Cloud kullanan kurumlar için giderek önem kazanıyor.
Sosyal Mühendislik Testi
Çalışanların kimlik avı e-postalarına, sahte telefon aramalarına veya fiziksel erişim girişimlerine karşı farkındalık düzeyi ölçülür. İnsan kaynaklı güvenlik açıklarını ortaya koyar.
Kablosuz Ağ Sızma Testi
Wi-Fi altyapısı, erişim noktaları ve kablosuz protokol güvenliği test edilir.
Sızma Testi Nasıl Gerçekleştirilir? 5 Temel Aşama
Aşama 1 — Planlama ve Kapsam Belirleme
Test başlamadan önce kapsamın netleştirilmesi kritiktir. Test başlamadan önce “Rules of Engagement (ROE)” dokümanı ile yetkiler, test pencereleri, veri işleme sınırları ve acil durum iletişim kanalları tanımlanmalıdır.
Bu aşamada belirlenenler: test edilecek sistemler ve IP aralıkları, yasak eylemler (DoS saldırısı, veri silme vb.), test zamanlaması ve çalışma saatleri, kritik bulgu anında bildirim kanalları.
Aşama 2 — Keşif ve Bilgi Toplama
Test uzmanları hedef sistem hakkında pasif ve aktif yöntemlerle bilgi toplar: açık portlar, çalışan servisler, yazılım sürümleri, kullanılan teknolojiler, alan adı yapısı ve ağ topolojisi.
Aşama 3 — Zafiyet Analizi
Toplanan bilgiler doğrultusunda otomatik tarama araçları ve manuel analiz yöntemleri kullanılarak potansiyel güvenlik açıkları tespit edilir. Bu aşamada yanlış pozitifler elenir, gerçek riskler önceliklendirilir.
Aşama 4 — Sızma Girişimi (Exploitation)
Tespit edilen açıklar gerçekten sömürülebilir mi? Bu aşamada uzmanlar, bulunan zafiyetleri kontrollü biçimde istismar ederek sisteme ne kadar derine erişilebildiğini, hangi verilere ulaşılabildiğini ve saldırının ne kadar yayılabileceğini ortaya koyar.
Aşama 5 — Raporlama ve Aksiyon Planı
Rapor; yönetici özeti, teknik bulgular, risk skorlaması (CVSS) ve çözüm önerilerini içermelidir. Sızma testi yapılması yeterli değildir; bulunan açıkların kapatılması asıl hedeftir.
İyi bir sızma testi raporu iki katmandan oluşur: yöneticiler için iş riski odaklı özet ve teknik ekip için ayrıntılı bulgular ile düzeltme adımları.
Sızma Testi Ne Sıklıkla Yapılmalı?
Tek seferlik bir kontrol yeterli değildir. Aşağıdaki durumlarda sızma testi yaptırılması önerilir:
Yılda en az bir kez: Düzenli periyodik test, özellikle KVKK, BDDK ve ISO 27001 uyumluluk gereksinimleri için zorunludur.
Büyük altyapı değişikliklerinde: Yeni bir sistem veya uygulama devreye alındığında, ağ mimarisinde köklü değişiklik yapıldığında.
Güvenlik olayı sonrasında: Bir ihlal veya saldırı girişimi yaşandıktan sonra güvenlik açıklarının kapatıldığını doğrulamak için.
Yeni uygulama lansmanından önce: Özellikle müşteri verisi işleyen web ve mobil uygulamalar için yayın öncesi zorunlu değerlendirme.
Sızma Testi ile Zafiyet Taraması Arasındaki Fark Nedir?
Bu iki kavram sıklıkla karıştırılır.
Zafiyet Taraması (Vulnerability Scan): Otomatik araçlarla sistemdeki bilinen açıkları listeler. Hızlı ve düşük maliyetlidir ancak sömürülebilirliği kanıtlamaz.
Sızma Testi (Penetration Test): Manuel ve otomatik yöntemlerin bir arada kullanıldığı, uzman güdümlü derinlemesine bir süreçtir. Açığın gerçekten istismar edilip edilemeyeceğini ve etkisinin ne olacağını kanıtlar. Raporlar iş riski diliyle yazılır.
2026’da Sızma Testinde Öne Çıkan Alanlar
2026 odağı; web API’ler, kimlik/erişim zafiyetleri, yanlış yapılandırmalar, tedarik zinciri etkileri ve bulut yüzeyi üzerinde yoğunlaşıyor.
Bunlara ek olarak öne çıkan iki alan:
Yapay Zeka Sistemleri: Kurumsal süreçlere entegre edilen YZ araçlarının güvenliği ayrı bir test disiplini haline geliyor. Prompt injection, model manipülasyonu ve veri sızıntısı riskleri yeni sızma testi kategorileri oluşturuyor.
Kimlik ve Erişim Güvenliği: OAuth token hırsızlığı, MFA atlama yöntemleri (Kali365 gibi platformlar) ve kimlik doğrulama zafiyetleri 2026’nın en kritik test alanlarından biri.
Pentest Raporu Nasıl Okunmalı?
Sızma testi raporu aldıktan sonra yönetici olarak dikkat etmeniz gerekenler:
Risk skoru (CVSS): Her bulgu 0-10 arasında skorlanır. 9-10 arası kritik, hemen müdahale gerektirir.
Sömürülebilirlik kanıtı: Ekran görüntüleri ve log kayıtlarıyla desteklenmiş bulgular güvenilirdir.
Yeniden test (Re-test): Açıklar kapatıldıktan sonra doğrulama testi yapılmalıdır. Kapatıldığı iddia edilen açıkların gerçekten giderilip giderilmediği bağımsız olarak teyit edilmelidir.
“Test edilmeyenler” bölümü: İyi bir rapor sadece bulduklarını değil, neyin test dışı bırakıldığını da açıkça belirtir.
Sızma Testi Sertifikaları: Doğru Uzmanı Nasıl Seçersiniz?
Sızma testi yaptıracağınız firmanın veya uzmanın yetkinliğini doğrulamak için şu sertifikalara dikkat edin:
Türkiye: TSE TS 13638 kapsamında TSE Sızma Testi Uzmanı belgesi en güçlü yerel standarttır.
Uluslararası:
- OSCP (Offensive Security Certified Professional) — uygulamalı beceriyi kanıtlar
- CEH (Certified Ethical Hacker) — etik hackleme temellerini kapsar
- CREST — kurumsal düzeyde tanınan uluslararası akreditasyon
Metodoloji standartları: OWASP, PTES (Penetration Testing Execution Standard), NIST SP 800-115.
Sonuç: Sızma Testi Bir Gider Değil, Sigorta Poliçesidir
Sızma testi; güvenlik açıklarını saldırgan bulmadan önce siz bulmanızı sağlayan, hem teknik hem de iş sürekliliği açısından kritik bir yatırımdır. Yılda bir kez yapılan kapsamlı bir pentest, bir siber saldırının yaratabileceği finansal ve itibar hasarını önlemenin en etkili yollarından biridir.
Sisteminizin güvenliğini gerçekten test etmek, açıkları kapatmak ve KVKK ile sektörel uyumluluk gereksinimlerinizi karşılamak için MBR Teknoloji’nin sızma testi hizmetini inceleyebilirsiniz.
