Sızma Testi (Pentest) Nedir? Nasıl Yapılır?

Sızma testi (pentest), yetkili güvenlik uzmanlarının bir gerçek saldırganın bakış açısıyla ve sahibinin yazılı izniyle bir sistemi, uygulamayı veya ağı kontrollü biçimde zorlayarak güvenlik açıklarını istismar edilmeden önce bulup raporladığı bir güvenlik değerlendirme yöntemidir. Amaç zarar vermek değil, zafiyetleri kanıtlayıp kapatılmasını sağlamaktır. İzinsiz yapılması Türkiye'de suçtur.

Bu rehber, sızma testinin ne olduğunu, neden yapıldığını, türlerini, adım adım nasıl yürütüldüğünü, kullanılan araçları, OWASP Top 10 gibi referans standartları, pentester olmak için gereken sertifikaları ve en kritik konu olan yasal ve etik çerçeveyi Türkçe olarak baştan sona açıklıyor. Yazı boyunca odak savunma ve farkındalık üzerinedir; burada kimseyi hacklemek için adım adım saldırı talimatı bulamazsınız, çünkü meşru pentest her zaman izinle başlar.

Sızma testi (pentest) tam olarak nedir?

Sızma testi, İngilizcedeki "penetration testing" ifadesinin karşılığıdır ve kısaca "pentest" olarak anılır. Temel fikir basittir: bir sistemi gerçekten kötü niyetli biri saldırmadan önce, o rolü canlandıran yetkili bir uzman aynı teknikleri kontrollü bir ortamda deneyerek nerede kırılabileceğini gösterir. Bu, bir binanın güvenliğini test etmek için tutulan profesyonel bir ekibin kapıları, pencereleri ve alarm sistemini izinle zorlamasına benzer. Fark şu ki, bu ekip içeri girdiğinde bir şey çalmaz; nasıl girdiğini not alır ve size "şu kilit zayıf, şu pencere açık kalıyor" diye rapor verir.

Pentest bir "hackleme" değildir. İkisi arasındaki tek ama belirleyici fark yetkidir. Aynı komut, aynı araç ve aynı teknik; izinle kullanıldığında meşru bir güvenlik hizmeti, izinsiz kullanıldığında ise suçtur. Bu yüzden ciddi hiçbir pentester işe kapsam (scope) belgesi ve yazılı yetkilendirme olmadan başlamaz. Sözleşme, hangi sistemlerin test edileceğini, hangilerine dokunulmayacağını, testin saatlerini, kimin bilgilendirileceğini ve acil durumda kimin aranacağını netleştirir.

Pentestin çıktısı teknik bir raporun çok ötesindedir. İyi bir sızma testi, bir organizasyona "saldırgan bu açığı kullanarak nereye kadar ulaşabilirdi" sorusunun somut cevabını verir. Teoride "SQL enjeksiyonu açığı var" demek ile pratikte "bu açığı kullanarak müşteri veritabanının bir kısmına eriştik ve işte kanıtı" demek arasında dağlar kadar fark vardır. Karar vericileri harekete geçiren, işte bu ikinci tür somut kanıttır.

Sızma testi neden yapılır, ne işe yarar?

Kurumlar sızma testini birkaç farklı ama birbiriyle örtüşen sebeple yaptırır. Birincisi, gerçek riskin ölçülmesidir. Otomatik tarayıcılar yüzlerce potansiyel bulgu çıkarabilir, ancak bunların hangisinin gerçekten istismar edilebilir olduğunu ve zincirlendiğinde ne kadar zarar verdiğini yalnızca bir insanın yürüttüğü sızma testi gösterir.

İkincisi, mevzuat ve uyumluluk gereklilikleridir. Ödeme kartı verisi işleyen kurumlar için PCI DSS, sağlık ve finans gibi düzenlenmiş sektörler ve ISO 27001 gibi bilgi güvenliği yönetim sistemi standartları, düzenli güvenlik testlerini fiilen zorunlu kılar. Ayrıca Türkiye'de kişisel veri işleyen kurumlar için KVKK kapsamında veri güvenliğinin sağlanması yükümlülüğü de düzenli güvenlik testlerini pratik bir gereklilik haline getirir. Birçok kurum yılda en az bir kez veya her büyük değişiklikten sonra pentest yaptırır.

Üçüncüsü, olay öncesi hazırlıktır. Bir veri ihlali yaşandıktan sonra açığı öğrenmek çok pahalıdır; itibar kaybı, yasal yükümlülük ve müşteri güveninin erozyonu genellikle testin maliyetinin kat kat üzerindedir. Sızma testi, bu kötü sürprizi kontrollü bir ortama taşıma girişimidir. Bireysel kullanıcı tarafında da benzer bir mantık geçerlidir: hesap güvenliğini önemsemek ve şüpheli hareketleri erken fark etmek büyük fark yaratır. Örneğin kişisel hesaplarda şüpheli giriş denemesi uyarısı geldiğinde ne yapılması gerektiği ya da bir çaldırılan Gmail hesabının nasıl kurtarılacağı gibi konular, kurumsal pentestin bireysel karşılığı sayılabilecek temel dijital hijyen konularıdır.

Dördüncüsü, güvenlik yatırımlarının doğrulanmasıdır. Bir kurum güvenlik duvarı, EDR, WAF gibi araçlara para harcar. Pentest, bu yatırımların gerçekten işe yarayıp yaramadığını, doğru yapılandırılıp yapılandırılmadığını sahada test eder. "Aldık ama açık mı, doğru mu ayarlanmış" sorusunun cevabı çoğu zaman şaşırtıcıdır. Beşincisi, ekip olgunluğunu ölçmektir. İyi kurgulanmış bir test, saldırı sırasında güvenlik ekibinin olayı ne kadar hızlı fark ettiğini, alarm sistemlerinin çalışıp çalışmadığını ve müdahale sürecinin ne kadar düzgün işlediğini de ortaya koyar.

Sızma testi ile zafiyet taraması aynı şey mi?

Bu ikisi sürekli karıştırılır ama aynı şey değildir. Zafiyet taraması (vulnerability scanning), otomatik araçların bir sistemi tarayıp bilinen açıkları listelediği, büyük ölçüde otomatikleştirilmiş ve tekrarlanabilir bir süreçtir. Sızma testi ise bir insanın bu bulguları doğruladığı, zincirlediği ve gerçekten istismar edilebilir olup olmadığını kanıtladığı manuel ağırlıklı bir süreçtir. Zafiyet taraması "kapı kilitli mi diye bakmak", sızma testi ise "kilidi izinle açmaya çalışıp içeri girip girilemediğini kanıtlamaktır".

İkisi rakip değil, tamamlayıcıdır. Olgun bir güvenlik programı, sık aralıklarla otomatik zafiyet taraması yapıp geniş yüzeyi sürekli gözler; yılda bir veya birkaç kez de derinlemesine sızma testi yaptırıp gerçek riski ölçer. Aşağıdaki tablo temel farkları özetliyor.

Sızma testi türleri nelerdir? Black, white ve gray box farkı

Sızma testleri, testçiye önceden ne kadar bilgi verildiğine göre üç ana kutuya ayrılır. Bu isimler, hedefin testçi için ne kadar "şeffaf" olduğunu anlatan kutu metaforundan gelir.

Black box (kara kutu) testinde testçiye neredeyse hiç bilgi verilmez. Sadece bir alan adı veya IP aralığı verilir, gerisini kendi keşfetmek zorundadır. Bu senaryo, kurumu hiç tanımayan dışarıdan bir saldırganı en gerçekçi biçimde canlandırır ama zaman alır ve bazı derin açıklar süre yetmediği için gözden kaçabilir.

White box (beyaz kutu) testinde testçiye tam bilgi verilir: kaynak kodu, mimari şemaları, kullanıcı hesapları, ağ diyagramları. Bu yaklaşım en kapsamlı sonucu verir çünkü testçi zamanını keşifle harcamaz, doğrudan derinlemesine analize odaklanır. İç geliştirme ekipleri ve kritik uygulamalar için en verimli seçenektir.

Gray box (gri kutu) testi ikisinin ortasıdır. Testçiye sınırlı bilgi verilir; örneğin standart bir kullanıcı hesabı ve temel mimari. Bu, "içeriden bir çalışanın veya kimlik bilgisi ele geçirilmiş bir kullanıcının" senaryosunu canlandırır ve pratikte en sık tercih edilen dengeli yaklaşımdır.

Kapsama göre pentest çeşitleri: web, mobil, ağ ve sosyal mühendislik

Türlerin ikinci bir sınıflandırması, neyin test edildiğine göredir. Bir kurumun saldırı yüzeyi tek bir şeyden ibaret değildir, bu yüzden farklı uzmanlıklar gerektiren farklı test tipleri vardır.

Web uygulaması sızma testi, en yaygın türdür. Web siteleri, portallar, yönetim panelleri ve API'ler hedeftir. Kimlik doğrulama, yetkilendirme, girdi doğrulama ve iş mantığı açıkları burada incelenir. OWASP Top 10 bu testin doğal referans çerçevesidir.

Ağ ve altyapı sızma testi, sunucuları, güvenlik duvarlarını, yönlendiricileri ve açık servisleri hedefler. Dış ağ (external) testi internetten görünen yüzeyi, iç ağ (internal) testi ise bir saldırganın ağa ayak bastıktan sonra ne kadar yayılabileceğini ölçer.

Mobil uygulama sızma testi, Android ve iOS uygulamalarının hem cihaz üzerindeki davranışını hem de arka uç iletişimini inceler. Yerel veri depolama, sertifika doğrulama ve API güvenliği kritik başlıklardır. Bu alanda OWASP Mobile Top 10 ve MASVS gibi mobil odaklı referanslar kullanılır.

Kablosuz (wireless) sızma testi, Wi-Fi ağlarının şifreleme, kimlik doğrulama ve segmentasyon güvenliğini ölçer. Bulut sızma testi, AWS, Azure ve benzeri ortamlarda yapılandırma hatalarına, aşırı geniş izinlere ve açığa çıkmış depolama alanlarına odaklanır ve genellikle bulut sağlayıcısının kurallarına tabidir.

Sosyal mühendislik testi ise teknolojiden çok insan faktörünü hedefler. İzinli oltalama (phishing) tatbikatları, personelin sahte e-postalara nasıl tepki verdiğini ölçer. Bu testler özellikle hassastır ve mutlaka net kurallar, açık yetki ve çalışan haklarına saygı çerçevesinde yürütülmelidir. Amaç kimseyi cezalandırmak değil, farkındalık boşluğunu ölçüp eğitimle kapatmaktır.

Red team, blue team ve purple team ne demek?

Sızma testiyle sık sık birlikte anılan bu üç kavram, güvenlik dünyasındaki farklı rolleri tanımlar. Kısa bir sızma testi çoğunlukla belirli bir sistemi veya uygulamayı hedeflerken, kırmızı takım (red team) çalışması çok daha geniş ve gerçekçi bir senaryodur.

Kırmızı takım (red team), gerçek bir saldırganı en yakın biçimde taklit eden, çoğu zaman haftalar süren ve fark edilmeden hedefe ulaşmayı amaçlayan bir tatbikattır. Buradaki soru "şu web uygulamasında açık var mı" değil, "kararlı bir saldırgan belirlenmiş bir hedefe ulaşabilir mi ve fark edilir mi" sorusudur. Bu çalışmalar da yalnızca yazılı yetki ve net kurallar çerçevesinde yapılır.

Mavi takım (blue team), savunma tarafındaki ekiptir. Sistemleri izler, saldırıları tespit etmeye çalışır, alarmlara müdahale eder ve olay sonrası iyileştirme yapar. Kırmızı takım saldırırken mavi takımın gerçek görevi, bu saldırıyı görmek ve durdurmaktır.

Mor takım (purple team) ise ayrı bir ekip olmaktan çok bir çalışma biçimidir. Kırmızı ve mavi takımların birbirinden kopuk çalışması yerine bilgi paylaşarak birlikte ilerlemesini ifade eder. Kırmızı takımın kullandığı teknikler, mavi takımın tespit yeteneğini geliştirmek için anında paylaşılır. Böylece saldırı ve savunma, birbirini besleyen tek bir öğrenme döngüsüne dönüşür.

Sızma testi hangi aşamalardan oluşur?

Ciddi pentestler rastgele değil, belli bir metodoloji üzerinden yürür. En bilinen referans, yedi aşamalı PTES (Penetration Testing Execution Standard) çerçevesidir; ayrıca OWASP Testing Guide, NIST SP 800-115 ve OSSTMM gibi metodolojiler de kullanılır. Farklı kaynaklar aşamaları beş, altı veya yedi olarak gruplasa da mantık aynıdır. Aşağıda pratikte en çok kullanılan akış özetleniyor.

Bu aşamalar keskin çizgilerle ayrılmaz; testçi çoğu zaman keşiften taramaya, oradan analize ve tekrar geriye döngüsel biçimde ilerler. Bir aşamada bulunan yeni bilgi, önceki bir aşamayı tekrar açabilir. Yine de en önemli kural değişmez: her aşama sözleşmede tanımlı kapsam içinde kalmak zorundadır.

Keşif (recon) aşamasında ne yapılır?

Keşif, İngilizcede "reconnaissance" kelimesinden gelir ve bir pentestin kalitesini büyük ölçüde belirleyen temeldir. Deneyimli uzmanlar sık sık şunu söyler: keşif ne kadar iyi yapılırsa, sonraki her aşama o kadar isabetli olur. Bu aşama iki alt başlığa ayrılır.

Pasif keşif, hedefe tek bir "agresif" paket bile göndermeden, halka açık kaynaklardan bilgi toplamaktır. Buna açık kaynak istihbaratı (OSINT) denir. WHOIS kayıtları, sertifika şeffaflık günlükleri, arama motoru sonuçları, kurumsal web sitesi, iş ilanları ve halka açık kod depoları alt alan adlarını, kullanılan teknolojileri ve olası erişim noktalarını ortaya çıkarabilir. Pasif keşifte hedef, testçinin varlığını fark etmez bile.

Aktif keşif ise hedefle doğrudan etkileşim gerektirir; DNS sorguları, temel bağlantı denemeleri gibi. Burada testçi artık iz bırakmaya başlar, bu yüzden kapsam sınırlarına dikkat çok önemlidir. Keşfin ürünü, hedefin dijital ayak izinin bir haritasıdır: hangi sistemler var, hangi teknolojiler kullanılıyor, saldırı yüzeyi nerede geniş. Kişisel bilgilerin ne kadar kolay toplanabildiğini görmek, bu aşamanın en öğretici yanıdır ve bireysel gizlilik farkındalığı için de iyi bir hatırlatıcıdır.

Tarama ve zafiyet analizi nasıl yürütülür?

Keşiften sonra sıra, toplanan haritayı somut teknik verilere dönüştürmeye gelir. Tarama aşamasında testçi hangi sistemlerin canlı olduğunu, hangi portların açık olduğunu ve bu portların arkasında hangi servislerin çalıştığını belirler. Numaralandırma (enumeration) ise bu servislerin derinine iner: sürüm numaraları, paylaşımlar, kullanıcı adları, yapılandırma detayları gibi bir saldırganın işine yarayacak spesifik bilgiler çıkarılır.

Ardından zafiyet analizi gelir. Bu aşamada testçi, elindeki servis ve sürüm bilgilerini bilinen açıklarla eşleştirir ve otomatik tarayıcıların ürettiği bulguları eler. Kritik nokta şudur: bir tarayıcının "burada açık olabilir" demesi ile o açığın gerçekten var ve istismar edilebilir olması ayrı şeylerdir. Zafiyet analizi, yanlış pozitifleri ayıklayıp gerçek riskleri önceliklendirdiği için pentestin değer kattığı yerlerden biridir. İyi bir analiz, "şu yüz bulgu içinde gerçekten önem taşıyan üç tanesi şunlardır" diyebilmektir.

Bu aşamada CVSS gibi puanlama sistemleri, açıkların ciddiyetini standart bir ölçekte ifade etmeye yardımcı olur. Ancak deneyimli pentester, ham CVSS puanına körü körüne bağlı kalmaz; açığın kurumun özel bağlamındaki gerçek etkisini de değerlendirir. Kritik bir sistemdeki orta seviyeli bir açık, izole bir test sunucusundaki yüksek seviyeli bir açıktan daha acil olabilir.

Sızma (exploit) ve sonrası (post-exploit) aşaması nedir?

Sızma aşaması, çoğu insanın "hackleme" deyince aklına gelen kısımdır ama gerçekte bir pentestin küçük bir bölümüdür. Burada testçi, doğrulanmış açıkları kontrollü biçimde kullanarak sistemin gerçekten kırılabilir olduğunu kanıtlar. Amaç zarar vermek değil, "buraya erişilebiliyor" iddiasını somut kanıta dönüştürmektir. Kanıt genellikle bir ekran görüntüsü, erişilen bir dosyanın hash değeri veya belirlenen zararsız bir işaret dosyasıdır. Sorumlu bir testçi, canlı üretim sistemlerinde veri silme, hizmet kesintisi yaratma veya gerçek müşteri verisini dışarı çıkarma gibi zarar verici eylemlerden kaçınır; kapsam ne izin veriyorsa onunla sınırlı kalır.

Sonrası, yani post-exploitation aşaması, "içeri girdikten sonra ne olurdu" sorusunu cevaplar. Elde edilen erişimin gerçek iş etkisi burada değerlendirilir: bu erişimle hangi verilere ulaşılabilir, saldırgan ağ içinde ne kadar yayılabilir (lateral hareket), yetkilerini nasıl yükseltebilir. Bu aşama raporun "peki bu neden önemli" bölümünü besler. Tek başına bir açık soyut kalabilir; ama o açığın müşteri veritabanına giden bir yolun ilk adımı olduğu gösterildiğinde, yönetim kademesi meselenin ciddiyetini çok daha net görür.

Bu aşamanın ayrılmaz bir parçası da temizliktir. Testçi, test sırasında oluşturduğu geçici hesapları, yüklediği araçları ve bıraktığı işaret dosyalarını sistemden temizler; sistemi test öncesindeki haline döndürür. Profesyonellik, girebilmek kadar arkada iz bırakmadan çıkabilmeyi de içerir.

Raporlama neden en önemli aşamadır?

Kulağa şaşırtıcı gelebilir ama bir sızma testinin en değerli çıktısı, bulunan açıklar değil, o açıkların anlatıldığı rapordur. Çünkü kurumun elinde kalan tek kalıcı ürün rapordur ve iyileştirme yalnızca rapor anlaşılıp harekete geçilirse gerçekleşir. Kusursuz bir teknik test, kötü bir raporla değersizleşir.

İyi bir pentest raporu iki farklı okuyucuyu birden düşünür. Yönetici özeti, teknik olmayan karar vericilere yöneliktir; genel risk durumunu, en kritik bulguları ve iş etkisini sade bir dille anlatır. Bir yöneticinin bir sayfada "durumumuz ne kadar ciddi ve önce neye para harcamalıyım" sorusunun cevabını görebilmesi gerekir. Teknik bölüm ise geliştiriciler ve sistem yöneticileri içindir; her açığın nasıl bulunduğunu, nasıl doğrulandığını, ciddiyet seviyesini ve en önemlisi nasıl düzeltileceğini adım adım açıklar.

Her bulgu için üç şey olmazsa olmazdır: açığın açık bir tarifi, somut bir kanıt ve uygulanabilir bir çözüm önerisi. "Açık var" demek yeterli değildir; "şu şekilde düzeltin" demek raporu eyleme dönüştürür. Birçok kaliteli hizmet sağlayıcı, düzeltmelerden sonra bir yeniden test (retest) de yapar; böylece açıkların gerçekten kapatıldığı doğrulanır ve döngü tamamlanır.

Sızma testinde hangi araçlar kullanılır?

Araçlar pentestin görünen yüzüdür ama unutulmaması gereken şey şudur: aracı değerli kılan, onu kullanan uzmanın bilgisi ve yargısıdır. Aynı araç, tecrübeli birinin elinde derin bulgular çıkarırken, ne aradığını bilmeyen birinin elinde anlamsız çıktı yığınına dönüşebilir. Çoğu pentester, bu araçların önceden kurulu geldiği Kali Linux veya Parrot OS gibi güvenlik odaklı dağıtımları kullanır. Aşağıdaki tablo, en çok bilinen araçları ve kullanım alanlarını özetliyor.

Bu araçların hiçbiri sihirli değildir. Nmap size portların açık olduğunu söyler ama o portun arkasındaki servisin kurum için ne anlama geldiğini yorumlayamaz. Burp Suite trafiği önünüze koyar ama iş mantığındaki bir yetkilendirme hatasını fark etmek insanın işidir. Bu yüzden "hangi aracı öğrenmeliyim" sorusundan çok "bu araçların gösterdiği veriyi nasıl yorumlarım" sorusu önemlidir. Ayrıca bu araçlar yalnızca yetkiniz olan, izinli sistemlerde kullanılmalıdır; aynı araçları izinsiz bir hedefe yöneltmek, aracın kendisini değil kullanımı hukuka aykırı kılar.

OWASP Top 10 nedir, pentestte neden temel alınır?

OWASP (Open Worldwide Application Security Project), web uygulama güvenliği alanında kar amacı gütmeyen ve dünya çapında referans kabul edilen bir topluluktur. En bilinen çıktısı olan OWASP Top 10, web uygulamalarındaki en kritik güvenlik risklerini derleyen ve periyodik olarak güncellenen bir listedir. Web sızma testlerinin çoğu, bu listeyi bir kontrol çerçevesi olarak kullanır.

Listenin en güncel sürümü OWASP Top 10 2025'tir; taslağı 2025 sonunda tanıtılmış, nihai hali ise 2026 başında yayımlanmıştır. Bu sürümdeki on kategori şöyledir:

Bir önceki 2021 listesine göre en dikkat çeken değişiklikler şunlardır: Broken Access Control birinci sıradaki yerini korudu ve SSRF bu başlığın içine alındı; Security Misconfiguration beşinci sıradan ikinciye yükseldi; Software Supply Chain Failures, eski "Vulnerable and Outdated Components" başlığını genişleterek üçüncü sıraya oturdu; ve Mishandling of Exceptional Conditions tamamen yeni bir onuncu kategori olarak eklendi. Bir pentester için OWASP Top 10, "neye bakacağımı bilmiyorum" durumunu ortadan kaldıran ortak bir dil ve kontrol listesidir. Ancak dikkat: Top 10 bir başlangıç noktasıdır, bitiş değil. İyi bir web testi bu on başlığın çok ötesine, uygulamaya özgü iş mantığı açıklarına da uzanır.

Pentester olmak için hangi sertifikalar gerekir?

Sızma testi alanında sertifikalar, bir kişinin belli bir bilgi ve beceri düzeyine sahip olduğunu üçüncü bir tarafın doğrulaması anlamına gelir. İşverenler için pratik bir filtre, adaylar için ise yapılandırılmış bir öğrenme yolu sunarlar. İki isim öne çıkar.

OSCP (Offensive Security Certified Professional), OffSec kurumunun PEN-200 eğitimiyle verilen ve sektörde uygulamalı yetkinliğin altın standardı sayılan sertifikadır. Ününü tamamen pratik sınavından alır: 23 saat 45 dakika süren, gerçek makinelere sızmayı gerektiren uygulamalı bir sınavda 100 üzerinden en az 70 puan almanız gerekir; sınavın ardından raporu yazıp teslim etmek için ek olarak 24 saatiniz olur. 1 Kasım 2024'ten itibaren bonus puanlar kaldırılmıştır ve PEN-200'ü geçmek artık hem ömür boyu geçerli OSCP hem de üç yıl geçerli, yenilenebilir OSCP+ sertifikasını birlikte kazandırır. Bu güncelleme, sınavı diğer OffSec sınavlarıyla tutarlı ve ISO 17024 gibi standartlarla uyumlu hale getirmek için yapılmıştır.

CEH (Certified Ethical Hacker), EC-Council tarafından verilir ve daha çok teorik geniş kapsam sunar. Bilgi tabanlı sınavı 4 saatlik, 125 çoktan seçmeli sorudan oluşur ve geniş bir konu yelpazesini tarar. Adaylardan genellikle resmi bir EC-Council eğitimi almış olmaları ya da en az iki yıl bilgi güvenliği tecrübesini belgelemeleri beklenir. CEH, özellikle işe alım filtrelerinde ve kurumsal ortamlarda sık istenir; ancak OSCP'nin uygulamalı zorluğu kadar "elini kirlettiğini kanıtlama" itibarına sahip değildir. İkisi rakip değil, farklı ihtiyaçlara hitap eden tamamlayıcı belgelerdir.

Bunların dışında PNPT, GPEN, eJPT gibi başka değerli sertifikalar da vardır. eJPT genellikle giriş seviyesi için önerilirken, OSCP orta-ileri seviye pratik yetkinliğin kanıtı olarak görülür. Hangisiyle başlayacağınız, mevcut seviyenize ve hedef pozisyona bağlıdır.

Sıfırdan pentester nasıl olunur?

Pentester olmak, doğrudan "hacklemeyi öğrenmekle" başlamaz; sağlam bir temel bilgi üzerine kurulur. Çünkü bir sistemi güvenlik açısından zorlamak için önce o sistemin normalde nasıl çalıştığını iyi bilmeniz gerekir. Aşağıdaki yol, bu alana girmek isteyenler için makul bir sıralama sunar.

Birinci adım, temelleri oturtmaktır. Ağ (TCP/IP, DNS, HTTP), işletim sistemleri (özellikle Linux komut satırı ve Windows), ve en az bir betik dili (Python yaygın tercihtir) sağlam bilinmeli. Bu temel olmadan araçlar ezberden ibaret kalır ve çıktı yorumlanamaz.

İkinci adım, güvenlik kavramlarını öğrenmektir. Kriptografi temelleri, web uygulama mimarisi, yaygın açık sınıfları ve OWASP Top 10 bu aşamada gelir. Amaç, "bu açık neden ortaya çıkıyor" sorusunu kavramaktır, sadece istismar etmeyi değil.

Üçüncü adım, yasal ve güvenli ortamlarda pratik yapmaktır. Bu çok önemli: pratik, gerçek ve izinsiz hedeflerde değil, tam da bu amaçla kurulmuş yasal platformlarda yapılır. Bilerek açık bırakılmış eğitim uygulamaları, "capture the flag" (CTF) yarışmaları ve kişisel kurduğunuz sanal laboratuvarlar, becerinizi hiçbir yasayı çiğnemeden geliştirmenin doğru yoludur. Kendi kurduğunuz sanal makineler üzerinde istediğiniz kadar deney yapabilirsiniz.

Dördüncü adım, sertifika ve portföydür. eJPT gibi giriş seviyesi bir sertifikayla başlayıp OSCP'ye ilerlemek, hem bilginizi yapılandırır hem de işverene kanıt sunar. Paralelde bir yazınızı, laboratuvar çözümlerinizi veya (yalnızca izinli programlar kapsamında) bug bounty katkılarınızı belgeleyen bir portföy oluşturmak, işe alımda sertifikadan bile etkili olabilir. Bu alan sürekli değiştiği için öğrenme asla bitmez; en iyi pentesterlar ömür boyu öğrenci kalmayı kabul edenlerdir.

Etik ve yasal çerçeve: izinsiz test suç mudur?

Bu bölüm tüm yazının en önemli kısmıdır ve abartısız şu cümleyle özetlenebilir: Yazılı izin olmadan hiçbir sistemi test etmeyin. İzinsiz erişim, niyetiniz "sadece merak" veya "iyi niyetle uyarmak" olsa bile Türkiye'de suçtur. Pentesti meşru kılan tek şey, hedefin sahibinden alınmış açık ve yazılı yetkidir. Bu yetki olmadan yapılan aynı eylem, teknik olarak birebir aynı olsa da hukuken bir siber suçtur.

Türk Ceza Kanunu bu konuyu net biçimde düzenler. TCK 243'e göre bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren ya da orada kalmaya devam eden kişi cezalandırılır; temel halde ceza bir yıla kadar hapis veya adli para cezasıdır ve bu eylem sonucunda veriler yok olur veya değişirse ceza artar. TCK 244 ise sistemi engellemeyi, bozmayı, verileri yok etmeyi veya erişilmez kılmayı ayrıca ve daha ağır biçimde cezalandırır. Sosyal medya hesapları da birer bilişim sistemi kabul edildiğinden, bir başkasının hesabına izinsiz erişmek de bu kapsamdadır. Yani "sadece giriş yaptım, bir şeye dokunmadım" savunması sizi kurtarmaz; yetkisiz giriş başlı başına suçtur.

Meşru pentestin olmazsa olmazları şunlardır: hedefin sahibiyle imzalanmış bir sözleşme, testin sınırlarını çizen net bir kapsam belgesi, hangi sistemlere dokunulacağı ve dokunulmayacağının açıkça yazılması, test saatlerinin belirlenmesi ve acil durumda iletişim kurulacak kişilerin tanımlanması. Bulut ortamları test edilecekse bulut sağlayıcısının kurallarına da uymak gerekir. Bir başkasının sistemini "yardım etmek için" bile olsa izinsiz test etmek, hem yasa dışıdır hem de meslek etiğine aykırıdır.

Etik hacker olmanın özü tam da buradadır: aynı bilgiye sahip olup onu izinle, sözleşmeyle ve zarar vermeden kullanmak. Bu yazının hiçbir yerinde belirli bir hedefe nasıl saldırılacağına dair adım adım talimat verilmemiştir; çünkü sorumlu bir yaklaşım, tekniği değil, o tekniği meşru kılan çerçeveyi öğretmeyi önceler. Yeteneğinizi kanıtlamak istiyorsanız bunun tek doğru yolu izinli programlar, CTF'ler ve kendi laboratuvarınızdır.

Sızma testi ne kadar sürer ve maliyeti nedir?

Bunun tek bir cevabı yoktur çünkü hem süre hem maliyet kapsama bağlıdır. Küçük bir web uygulamasının sızma testi birkaç gün sürebilirken, büyük bir kurumun tüm altyapısını kapsayan kırmızı takım (red team) tarzı bir değerlendirme haftalar alabilir. Süreyi belirleyen ana etkenler; hedefin büyüklüğü, test tipi (black/gray/white box), kapsamın genişliği ve testin derinliğidir.

Maliyet de benzer şekilde değişir. Fiyatı belirleyen unsurlar arasında test edilecek sistem sayısı, gereken uzmanlık seviyesi, testin süresi ve raporlama ile yeniden test hizmetlerinin dahil olup olmaması vardır. Kurumsal bir alıcı için doğru soru "en ucuzu hangisi" değil, "bu test bize gerçek riski gösterecek derinlikte mi" sorusudur. Çok ucuz ve tamamen otomatik bir "pentest", çoğu zaman bir zafiyet taramasından ibaret olur ve gerçek bir sızma testinin sunduğu değeri veremez. Fiyat teklifi alırken metodolojiyi, ekibin sertifikalarını, örnek rapor kalitesini ve yeniden test politikasını sormak, sağlıklı bir seçim için otomatik fiyat karşılaştırmasından daha önemlidir.

Bir başka önemli nokta, testin zamanlamasıdır. Sızma testleri çoğu zaman canlı sistemlerde yürütüldüğü için, iş etkisini en aza indirmek amacıyla düşük yoğunluklu saatlerde planlanabilir. İyi bir sağlayıcı, testten önce olası kesinti risklerini konuşur, kritik sistemler için ayrı kurallar belirler ve acil durumda testi durdurma prosedürünü baştan netleştirir. Bu tür ayrıntılar, ucuz ve pahalı hizmet arasındaki gerçek farkı ortaya koyar.

Sıkça Sorulan Sorular

Sızma testi ile hackleme arasındaki fark nedir?

Teknik olarak kullanılan araçlar ve teknikler büyük ölçüde aynıdır; tek ama belirleyici fark yetkidir. Sızma testi, sistemin sahibinden alınan yazılı izinle, sözleşme çerçevesinde ve zarar vermeden yapılır. İzinsiz yapılan aynı eylem ise hukuken siber suçtur. Yani farkı yaratan komut değil, o komutu kullanma iznidir.

Sızma testi yasal mı?

Sahibinin yazılı izniyle ve tanımlı bir kapsam dahilinde yapılan sızma testi tamamen yasaldır ve saygın bir güvenlik hizmetidir. İzin olmadan yapıldığında ise Türk Ceza Kanunu'nun 243 ve 244. maddeleri kapsamında suç oluşturur. Bu yüzden hiçbir ciddi pentester imzalı sözleşme olmadan işe başlamaz.

Zafiyet taraması ile sızma testi aynı şey mi?

Hayır. Zafiyet taraması, otomatik araçların bilinen açıkları listelediği büyük ölçüde otomatik bir süreçtir. Sızma testi ise bir uzmanın bu bulguları doğruladığı, zincirlediği ve gerçekten istismar edilebilir olduğunu kanıtladığı manuel ağırlıklı bir süreçtir. İkisi rakip değil, birbirini tamamlayan yöntemlerdir.

Pentester olmak için üniversite şart mı?

Şart değildir. Bu alanda kanıtlanmış pratik beceri ve sertifikalar, diplomadan çok daha belirleyicidir. Sağlam bir ağ ve işletim sistemi temeli, OSCP gibi uygulamalı sertifikalar ve yasal ortamlarda oluşturulmuş bir portföyle, üniversite diploması olmadan da bu alanda kariyer yapmak mümkündür. Yine de ilgili bir eğitim temeli süreci kolaylaştırır.

OSCP mi CEH mi almalıyım?

İkisi farklı amaçlara hizmet eder. CEH daha teorik ve geniş kapsamlıdır, çoktan seçmeli bir sınavdır ve kurumsal işe alım filtrelerinde sık istenir. OSCP ise 24 saate yakın süren uygulamalı bir sınavla pratik yetkinliği kanıtlar ve uygulamalı itibarı çok yüksektir. Pratik pentester olmak istiyorsanız yolunuz büyük ihtimalle OSCP'den geçer; ideal olan uzun vadede ikisini de değerlendirmektir.

Kendi sistemimi test edebilir miyim?

Evet. Kendinize ait, başkasının verisini veya sistemini etkilemeyen bir ortamı test etmek serbesttir ve öğrenmenin en doğru yoludur. Kendi kurduğunuz sanal makineler, bilerek açık bırakılmış eğitim uygulamaları ve CTF platformları tam da bu amaçla vardır. Ancak paylaşımlı hosting veya bulut kullanıyorsanız sağlayıcının kurallarına uymanız gerekir.

Sızma testi ne sıklıkla yapılmalı?

Genel pratik, yılda en az bir kez ve ayrıca her büyük değişiklikten (yeni uygulama, mimari değişikliği, önemli güncelleme) sonra sızma testi yaptırmaktır. Bunun yanında sık aralıklarla otomatik zafiyet taraması çalıştırmak, iki test arasındaki dönemde saldırı yüzeyini gözlemeye yardımcı olur. Düzenlenen sektörlerde bu sıklık mevzuatla belirlenebilir.

OWASP Top 10'u bilmek pentest için yeterli mi?

OWASP Top 10 mükemmel bir başlangıç noktasıdır ama tek başına yeterli değildir. En kritik web risklerini ortak bir dille tanımlar ve bir kontrol çerçevesi sunar, ancak gerçek testler bu on başlığın ötesine, uygulamaya özgü iş mantığı açıklarına da uzanır. Top 10'u bitiş çizgisi değil, üzerine inşa edeceğiniz sağlam bir temel olarak görmek doğru yaklaşımdır.