AWS Sızma Testi Nasıl Yapılır
Nisan 10, 2026
Cloud Security,Penetrasyon Testi,Siber Savunma
Bulut bilişimin kurumsal dünyada benimsenmesiyle birlikte, altyapı güvenliği anlayışı da köklü bir dönüşüm geçirdi. Amazon Web Services (AWS), küresel pazar payı ve sunduğu 200’den fazla hizmetle birçok kuruluşun dijital dönüşüm yolculuğunda tercih ettiği lider platform. Ancak buluta geçiş, güvenlik sorumluluğunu ortadan kaldırmaz; aksine “paylaşılan sorumluluk modeli” çerçevesinde yeniden tanımlar. Bu modelde AWS, bulut altyapısının güvenliğini sağlarken; veri, kimlik yönetimi, uygulama konfigürasyonu ve erişim kontrolleri müşteri sorumluluğunda kalır. İşte tam bu noktada, AWS sızma testleri, teorik güvenlik politikalarının ötesine geçerek “bulut ortamımız gerçekten güvenli mi?” sorusuna yanıt arayan en somut doğrulama yöntemi haline gelir. Bu yazıda, AWS ortamlarında sızma testinin nasıl planlandığını, hangi hizmet katmanlarının test edilmesi gerektiğini ve Amazon’un güvenlik politikalarına uyumlu şekilde sürecin nasıl yönetileceğini ele alacağız.
AWS Sızma Testi Nedir ve Geleneksel Testlerden Farkı Nedir?
AWS sızma testi, Amazon Web Services altyapısında barındırılan kaynakların (EC2, S3, RDS, Lambda, API Gateway vb.) yetkili ve kontrollü bir şekilde güvenlik açısından değerlendirildiği, buluta özgü saldırı vektörlerini simüle eden uzmanlık gerektiren bir süreçtir. Geleneksel veri merkezi pentestlerinden ayrışmasının temel sebepleri şunlardır:
- Paylaşılan Sorumluluk Modeli: AWS fiziksel altyapı, hipervizör ve bölgesel ağ güvenliğinden sorumluyken; müşteri kendi verisi, IAM politikaları, güvenlik grubu kuralları ve uygulama katmanından sorumludur. Test kapsamı bu sınırlar net tanımlanarak kurgulanmalıdır.
- Dinamik ve Ölçeklenebilir Altyapı: Bulut ortamları otomatik ölçekleme, konteyner orkestrasyonu ve serverless mimarilerle sürekli değişir. Statik IP tabanlı test yaklaşımları yetersiz kalır; testler dinamik keşif ve sürekli izleme ile desteklenmelidir.
- API Merkezli Saldırı Yüzeyi: AWS’de neredeyse tüm işlemler API üzerinden yürütülür. Kimlik anahtarlarının (access keys) ele geçirilmesi, yanlış yapılandırılmış IAM rolleri veya aşırı yetkili politikalar, geleneksel ağ sızma testlerinde görülmeyen kritik riskler oluşturur.
- Regülatör ve Uyumluluk Beklentileri: KVKK, GDPR, ISO 27001, SOC 2 ve PCI DSS gibi standartlar, bulut ortamlarında da periyodik güvenlik testleri talep eder. AWS pentest raporları, bu yükümlülüklerin nesnel kanıtı niteliğindedir.
AWS Ortamlarında Test Edilmesi Gereken Temel Katmanlar
Kapsamlı bir AWS güvenlik değerlendirmesi, platformun tüm hizmet katmanlarını bütünsel olarak ele almalıdır. Temel test alanları şunlardır:
- Kimlik ve Erişim Yönetimi (IAM) Testleri: IAM kullanıcıları, roller, politikalar ve STS (Security Token Service) yapılandırmaları incelenir. Aşırı yetki (over-permission), hardcoded access key, MFA eksikliği ve role chaining zafiyetleri tespit edilir.
- Hesaplama ve Depolama Güvenliği (EC2, S3, EBS): EC2 örneklerindeki güvenlik grubu kuralları, SSH/RDP erişim kontrolleri, EBS şifrelemesi ve S3 bucket politikaları test edilir. “Public” olarak yapılandırılmış S3 bucket’ları, veri sızıntısının en yaygın nedenlerindendir.
- Ağ ve İzolasyon Kontrolleri (VPC, Security Groups, NACL): VPC mimarisi, alt ağ segmentasyonu, NAT gateway konfigürasyonları ve güvenlik duvarı kuralları değerlendirilir. Gereksiz açık portlar ve yatay hareket potansiyeli simüle edilir.
- Serverless ve Konteyner Güvenliği (Lambda, ECS, EKS): Lambda fonksiyonlarındaki event injection, aşırı yetkili execution role, ECS/EKS küme konfigürasyonları ve konteyner imaj güvenliği test edilir.
- Veritabanı ve Yönetilen Servis Güvenliği (RDS, DynamoDB, ElastiCache): Veritabanı erişim kontrolleri, şifreleme durumları (at-rest/in-transit), yedekleme güvenliği ve audit loglama yapılandırmaları doğrulanır.
- Günlük İzleme ve Tehdit Algılama (CloudTrail, GuardDuty, Config): CloudTrail log bütünlüğü, GuardDuty bulgularının doğruluğu, Config kurallarının uygulanması ve anomali tespiti yetenekleri test edilir.
AWS Sızma Testlerinin Kurumlara Katkıları
Kapsamlı bir AWS güvenlik değerlendirmesi, platformun tüm hizmet katmanlarını bütünsel olarak ele almalıdır. Temel test alanları şunlardır:
- Kimlik ve Erişim Yönetimi (IAM) Testleri: IAM kullanıcıları, roller, politikalar ve STS (Security Token Service) yapılandırmaları incelenir. Aşırı yetki (over-permission), hardcoded access key, MFA eksikliği ve role chaining zafiyetleri tespit edilir.
- Hesaplama ve Depolama Güvenliği (EC2, S3, EBS): EC2 örneklerindeki güvenlik grubu kuralları, SSH/RDP erişim kontrolleri, EBS şifrelemesi ve S3 bucket politikaları test edilir. “Public” olarak yapılandırılmış S3 bucket’ları, veri sızıntısının en yaygın nedenlerindendir.
- Ağ ve İzolasyon Kontrolleri (VPC, Security Groups, NACL): VPC mimarisi, alt ağ segmentasyonu, NAT gateway konfigürasyonları ve güvenlik duvarı kuralları değerlendirilir. Gereksiz açık portlar ve yatay hareket potansiyeli simüle edilir.
- Serverless ve Konteyner Güvenliği (Lambda, ECS, EKS): Lambda fonksiyonlarındaki event injection, aşırı yetkili execution role, ECS/EKS küme konfigürasyonları ve konteyner imaj güvenliği test edilir.
- Veritabanı ve Yönetilen Servis Güvenliği (RDS, DynamoDB, ElastiCache): Veritabanı erişim kontrolleri, şifreleme durumları (at-rest/in-transit), yedekleme güvenliği ve audit loglama yapılandırmaları doğrulanır.
- Günlük İzleme ve Tehdit Algılama (CloudTrail, GuardDuty, Config): CloudTrail log bütünlüğü, GuardDuty bulgularının doğruluğu, Config kurallarının uygulanması ve anomali tespiti yetenekleri test edilir.
AWS Uyumlu Sızma Testi İçin Uygulama Adımları
AWS ortamlarında güvenlik testi yürütmek, teknik uzmanlık kadar platform politikalarına hakimiyet gerektirir. Başarılı bir süreç için aşağıdaki adımlar izlenmelidir:
- AWS Pentest Politikası ve İzin Sürecinin Yönetimi: Test öncesi AWS’nin güncel sızma testi politikası incelenir. Yasaklı aktiviteler (DDoS, port flooding, AWS altyapısına yönelik testler) kapsam dışı bırakılır. Gerekli durumlarda AWS Support üzerinden ön bildirim yapılır.
- Kapsam ve Kuralların Netleştirilmesi: Test edilecek AWS hesapları, bölgeler (regions), hizmetler ve kaynak etiketleri dokümante edilir. “Test edilmeyecek” üretim verileri ve kritik iş yükleri net olarak tanımlanır. Rules of Engagement yazılı hale getirilir.
- Bulut Odaklı Araç ve Metodoloji Seçimi: Geleneksel ağ tarayıcılarının yanı sıra, AWS-native araçlar (Prowler, ScoutSuite, Pacu) ve bulut pentest framework’leri kombine edilir. Access key güvenliği, IAM enumeration ve S3 bucket keşfi gibi buluta özgü senaryolar ön planda tutulur.
- Kimlik Odaklı Keşif ve Yetki Analizi: AWS’de saldırı yüzeyinin merkezinde kimlikler yer alır. IAM kullanıcıları, roller ve politikalar detaylı şekilde analiz edilir. Privilege escalation yolları, assume role zincirleri ve cross-account erişim riskleri simüle edilir.
- Bulguların Bulut Bağlamında Önceliklendirilmesi: Teknik açıklar, yalnızca CVSS skorlarına göre değil; veri hassasiyeti, iş sürekliliği etkisi, AWS Well-Architected Framework prensipleri ve remediation maliyeti bağlamında derecelendirilir.
- Düzeltme, Doğrulama ve Infrastructure as Code Entegrasyonu: Tespit edilen yapılandırma hataları, Terraform, CloudFormation veya CDK şablonları üzerinden kod seviyesinde düzeltilir. Tüm kritik bulgular bağımsız retest ile doğrulanır.
- Denetime Hazır Raporlama ve Sürekli İzleme: Test metodolojisi, kapsam, bulgular, düzeltme aksiyonları ve retest sonuçları yönetimsel özet ve teknik detay içeren formatta raporlanır. Bulgular, AWS Security Hub veya SIEM entegrasyonu ile sürekli izleme döngüsüne dahil edilir.
AWS Güvenliğini Güçlendirmek İçin Temel Prensipler
Sızma testi bulgularını kalıcı güvenlik iyileştirmelerine dönüştürmek için aşağıdaki prensipler benimsenmelidir:
- Least Privilege ve IAM Hijyeni: Tüm kimliklere yalnızca ihtiyaç duydukları minimum yetki verilmeli, unused access key’ler düzenli olarak temizlenmeli ve MFA zorunlu kılınmalıdır.
- Security by Design ve IaC Güvenliği: Infrastructure as Code şablonları, güvenlik kontrolleri (Checkov, tfsec) ile otomatik taranmalı, “secure default” konfigürasyonlar standart hale getirilmelidir.
- Veri Şifreleme ve S3 Bucket Politikaları: Hassas veriler hem at-rest hem de in-transit şifrelenmeli, S3 bucket’ları varsayılan olarak private olmalı ve public erişim engellenmelidir.
- Merkezi Loglama ve Anomali Tespiti: CloudTrail, VPC Flow Logs ve servis logları merkezi bir SIEM platformunda toplanmalı, GuardDuty ve Detective gibi native araçlarla anomali tespiti otomatize edilmelidir.
- Düzenli Test ve DevSecOps Entegrasyonu: Sızma testleri “yıllık zorunluluk” değil, CI/CD pipeline’larına entegre edilmiş sürekli güvenlik kontrolü olarak kurgulanmalıdır.
Tags :
#AWSLambda,#AWSSecurity,#CloudPentest,#CloudSecurity,#IAM,#Pentest,#S3Bucket,#SiberSavunma
Share This :