TSE TS 13638 Uyumlu İç Ağ Sızma Testi Süreçleri

TS 13638 Standardı Ne Getiriyor

TS 13638, Türk Standardları Enstitüsü tarafından yayımlanan ve sızma testi yapan personel ile firmalar için şartları tanımlayan bir standart. TSE bu kapsamda firmaları A, B ve C olmak üzere üç seviyede belgelendiriyor. A seviyesi en yüksek yetkinliği temsil ediyor ve genelde kritik sistemlerde tercih ediliyor. B ve C seviyeleri ise daha küçük ölçekli ya da daha az kritik sistemler için yeterli sayılıyor.

Kamu, enerji ve finans sektörleri için TSE onaylı firmalarla çalışmak zorunluluktur. BDDK, EPDK gibi düzenleyici kurumlar da denetimlerinde bu belgeyi arıyor. TS 13638 uyumlu bir test, kurumun bu yükümlülüğü yerine getirdiğinin somut kanıtı sayılıyor. Standart sadece bir belge değil, tüm test sürecini şekillendiren temel bir çerçevedir.

Standardın bir diğer katkısı da ortak bir dil oluşturması. Ortak terim ve süreçlerin kullanımı, beklentileri netleştirip sonuçların kıyaslanmasını kolaylaştırır. Bu ortak çerçeve, tedarikçi seçiminde de kurumlara güvenilir bir kıyaslama zemini sunuyor.

İç Ağ Testi Dış Ağdan Nasıl Ayrılır

Dış ağ testi, internete açık sistemlere odaklanıyor: web siteleri, e-posta sunucuları, VPN girişleri gibi noktalar. İç ağ testi ise kurumun duvarlarının arkasında kalan kısmı inceliyor. Çalışan bilgisayarları, sunucular ve veri tabanları bu testin temel odak noktasıdır. İki test türü de birbirini tamamlıyor; biri olmadan diğerinin ortaya koyduğu tablo eksik kalıyor.

Buradaki temel varsayım şu: bir saldırgan bir şekilde ağa girdi, peki bundan sonra ne kadar ileri gidebilir? Zararlı eklentiler, zayıf parolalar veya hatalı sunucular saldırganlara giriş imkanı tanır. Önemli olan, saldırganın içeride nerelere ulaştığı ve bunun ne kadar sürede fark edildiğidir. TS 13638 da testin bu gerçekçi senaryo üzerinden yürütülmesini şart koşuyor. Böylece test, kağıt üzerinde kalan bir kontrol listesi olmaktan çıkıp gerçek bir tehdide dönüşüyor.

Kör, Yarı Kör ve Beyaz Kutu Yaklaşımı

İç ağ testleri genelde üç farklı yaklaşımla planlanıyor. Hangi yaklaşımın seçileceği, kurumun hedeflerine ve TS 13638 kapsamında belirlenen risk düzeyine göre değişiyor. Çoğu zaman kurumlar, hem gerçekçiliği hem derinliği yakalamak için yarı kör yaklaşımı tercih ediyor. İlk kez test yaptıran kurumlar için de bu orta yol, süreci daha yönetilebilir kılıyor.

Kapsam Belirleme ve Yetkilendirme

Her sızma testi yazılı bir yetkilendirme ile başlıyor. Kurum ve test firması, teste dahil olacak ağ, sunucu ve zaman aralığını baştan belirler. Bu adım atlanmadan hiçbir test başlamıyor.

Taraflar bu aşamada bir gizlilik sözleşmesi de imzalıyor. Ayrıca acil durum protokolü de belirleniyor: beklenmedik bir kesinti yaşanırsa kimin aranacağı, testin nasıl durdurulacağı önceden netleştiriliyor. TS 13638, bu şeffaflığı zorunlu tutarak hem kurumu hem test ekibini koruma altına alıyor.

İç Paydaşlarla Koordinasyon

İç ağ testinin dış ağ testinden bir başka farkı da koordinasyon ihtiyacı. Test, kurumun günlük operasyonlarını aksatmadan yürütülmek zorunda. Dolayısıyla test öncesinde bilgi işlem ekibiyle bir iletişim planı çıkarılıyor: kritik saatler belirleniyor, üretim sistemlerinde hangi işlemlerin riskli sayılacağı netleştiriliyor. Bazı kurumlar, yoğunluğun düşük olduğu gece saatlerini ya da hafta sonlarını tercih ediyor.

Ayrıca kurumun güvenlik ekibi, testin ne zaman başladığını ve bittiğini biliyor. Bu sayede test sırasında oluşan alarmlar gerçek bir saldırıyla karıştırılmıyor. Küçük görünen bu koordinasyon adımı, testin hem güvenli hem de gerçekçi sonuçlar üretmesini sağlıyor.

Keşif ve Bilgi Toplama

Yetkilendirme tamamlandıktan sonra ekip, iç ağın haritasını çıkarmaya başlıyor. Aktif cihazlar, çalışan servisler, kullanılan protokoller ve ağ topolojisi bu aşamada ortaya çıkıyor. Ekip aynı zamanda kullanıcı hesaplarının yetki seviyelerine de bakıyor. Kurumun kendisi bile bazen unuttuğu bir sunucuyla ya da kaydı tutulmamış bir cihazla karşılaşabiliyor.

Bu noktada bakış açısı, saldırgan gibi düşünmek üzerine kurulu. Elde edilen bilgiler bir sonraki aşamaya doğrudan girdi oluşturduğu için ekip bu süreci acele etmeden yürütüyor. Keşif aşaması genelde en çok zaman alan bölümlerden biri. Nitekim sonraki tüm adımlar burada toplanan bulgulara dayanıyor.

Zafiyet Analizi

Toplanan bilgiler ışığında ekip, sistemlerdeki bilinen açıkları taramaya geçiyor. Güncellenmemiş yazılımlar, zayıf parola politikaları ve hatalı yapılandırılmış servisler bu aşamada sıkça karşılaşılan sorunlar arasında yer alıyor.

Otomatik tarama araçları bu süreci hızlandırıyor ama tek başına yeterli sayılmıyor. Bu araçlar bazen gerçekte olmayan bir açığı varmış gibi gösterebiliyor. Bu yüzden her bulgu, uzman personel tarafından elle kontrol ediliyor. TS 13638 bu doğrulama adımını şart koşarak raporun güvenilirliğini yükseltiyor. Bulguların önem sırasına konması da yine bu aşamada başlıyor; hangi açığın acil, hangisinin daha az öncelikli olduğu ilk taslak halinde belirleniyor. Bu öncelik sıralaması, ilerleyen aşamalarda hangi sisteme daha fazla zaman ayrılacağını da şekillendiriyor.

Kontrollü Sızma Denemeleri

Zafiyetler netleştikten sonra ekip, bunları kontrollü şekilde istismar ediyor. Buradaki amaç sistemi çökertmek değil, açığın gerçekten kullanılabilir olduğunu göstermek. Her adım, kurumla önceden belirlenen kurallar çerçevesinde ilerliyor. Bir açığın sadece teoride var olması ile pratikte kullanılabilir olması arasında büyük fark bulunuyor; dolayısıyla bu aşama raporun değerini belirleyen en önemli adımlardan biri.

Kritik sistemlerde ekip ekstra dikkatli davranıyor; gerekirse kurumla anlık iletişim kuruluyor. Bu aşama testin en hassas kısmı sayılıyor, çünkü doğru yönetilmezse canlı sistemlerde kesintiye yol açabiliyor. Bu nedenle deneyimli ve sertifikalı personel bu adımda özellikle önem kazanıyor. Ekip, her denemeyi de ayrıntılı biçimde not alarak ilerliyor; bu kayıtlar hem raporun temelini oluşturuyor hem de gerektiğinde geriye dönük inceleme imkânı sağlıyor.

Yetki Yükseltme ve Yanal Hareket

Bir sisteme erişim sağlandıktan sonra ekip, bu erişimin sınırlarını test ediyor. Yerel yönetici yetkisine ulaşmak, komşu sistemlere geçmek, hatta etki alanı denetleyicisine kadar ilerlemek bu aşamanın konusunu oluşturuyor. Ekip, ilerlerken her adımı belgeliyor; böylece hangi yoldan geçildiği sonradan net biçimde görülebiliyor.

Bu adım, bir saldırganın gerçek hayatta neler yapabileceğini somut olarak gösteriyor. Örneğin tek bir zayıf parola, bazen kurumun tüm ağına açılan bir kapıya dönüşebiliyor. Kurum, bu bulgular sayesinde hangi sistemlerin daha sıkı korunması gerektiğini net biçimde görüyor. Böylece güvenlik yatırımları tahmine değil, somut bulgulara dayanıyor.

Sık Karşılaşılan Bulgular

İç ağ testlerinde tekrar eden bazı sorunlar var. Kurum içinde farklı departmanların aynı yönetici parolasını paylaşması bunlardan biri. Eski hesapların, işten ayrılan personele ait olmasına rağmen sistemde aktif kalması da sık görülen bir başka örnek. Bu tür bulgular teknik olarak karmaşık değil, ama etkileri hiç de küçük değil.

Ağ segmentasyonunun yetersiz olması da önemli bir bulgu başlığı. Yani misafir ağı ile kritik sunucuların aynı ağ üzerinde bulunması, bir noktadaki zayıflığın tüm sisteme yayılmasına zemin hazırlıyor. Benzer şekilde, güncellenmemiş yazılımlar ve varsayılan ayarlarla bırakılmış cihazlar da raporlarda sürekli karşımıza çıkan başlıklar arasında. Bu tekrar eden bulgular, aslında çoğu kurumda benzer alışkanlıkların yerleştiğini de gösteriyor.

Raporlama Süreci

Test tamamlandığında ekip, tüm bulguları yazılı bir rapora dönüştürüyor. TS 13638, raporun belirli bir yapıda hazırlanmasını istiyor: yönetici özeti, teknik detaylar ve risk derecelendirmesi. Rapor, testin tamamlandığı anlamına gelmiyor; asıl çalışma bulgulardan sonra kurum içinde başlıyor.

Yönetici özeti, teknik bilgisi olmayan okuyucu için hazırlanıyor ve genel tabloyu birkaç sayfada özetliyor. Teknik bölüm ise her bulguyu ayrı ayrı ele alıyor; açığın ne olduğunu, hangi sistemi etkilediğini ve nasıl kapatılabileceğini anlatıyor. Bu ayrım sayesinde rapor hem yönetim kuruluna hem de teknik ekibe aynı anda hitap edebiliyor.

Ayrıca risk derecelendirmesi, kurumun önceliklerini belirlemesine yardımcı oluyor. Bu sayede kurum, sınırlı kaynaklarını en doğru yere yönlendirebiliyor.

Doğrulama Testi

Kurum, raporda önerilen düzeltmeleri uyguladıktan sonra genellikle bir doğrulama testi talep ediyor. Bu test, kapatıldığı düşünülen açıkların gerçekten kapandığını kontrol ediyor. Bazen bir düzeltme, farkında olmadan başka bir sorun yaratabiliyor; doğrulama testi bunu da yakalıyor.

TS 13638 bu adımı doğrudan zorunlu tutmasa da iyi bir uygulama olarak öneriyor. Böylece kurum, güvenlik seviyesini tek seferlik bir fotoğraf yerine sürekli bir takip olarak izleyebiliyor.

Ekip ve Firma Yetkinliği

TS 13638, sadece testin adımlarını değil, testi kimlerin yapabileceğini de tanımlıyor. Firma, TSE tarafından belgelendirilmiş olmalı ve kadrosunda belirli sayıda kıdemli uzman bulundurmalı. Bu denetim tek seferlik değil; belge geçerliliğini korumak için firma, belirli periyotlarla yeniden değerlendirmeden geçiyor.

Bunun yanında gizlilik taahhütleri de standardın ayrılmaz bir parçası. Bu şartlar sayesinde test, sadece teknik değil, kurumsal anlamda da güvenilir bir sürece dönüşüyor. Kurumlar, firma seçerken bu belgeyi TSE’nin resmi sorgulama sayfasından doğrulayabiliyor. Bu doğrulama, sözleşme öncesi atılması gereken basit ama gözden kaçan bir adım.

Testin Kurumsal Faydası

TS 13638 uyumlu bir iç ağ testi, sadece bir denetim yükümlülüğünü karşılamıyor. Kurumun gerçek risk seviyesini görmesine, güvenlik yatırımlarını doğru noktalara yönlendirmesine yardımcı oluyor. İhale şartnamelerinde ya da tedarikçi değerlendirmelerinde bu belge, güven veren bir referans olarak da işlev görüyor. Kurum içinde de üst yönetime somut veriyle konuşma imkânı sağladığı için, güvenlik bütçesinin onaylanmasını kolaylaştırıyor.

Sigorta süreçlerinde ve denetimlerde de benzer bir kolaylık sağlıyor. Kurum, güncel ve belgeli bir test raporu sunduğunda, güvenlik konusundaki özen yükümlülüğünü yerine getirdiğini kanıtlamış oluyor. En nihayetinde bu süreç, tek seferlik bir formalite değil, kurumun güvenlik olgunluğunu gösteren sürekli bir gösterge haline geliyor.

Firma Seçerken Nelere Dikkat Edilmeli

Kurumlar firma seçerken sadece belgeye bakmamalı, ekibin geçmiş projelerini ve referanslarını da sorgulamalı. A, B ve C sınıfları arasındaki fark, çoğu zaman ekibin kritik sistemlerde ne kadar deneyimli olduğuyla ilgili. Aynı zamanda raporun örnek bir taslağını görmek de faydalı bir adım; çünkü rapor kalitesi, testin gerçek değerini ortaya koyan en somut gösterge. Metodolojinin hangi çerçeveye dayandığını sormak da faydalı; ciddi firmalar bu konuda net cevap vermekten çekinmiyor.

İletişim hızı da göz ardı edilmemeli. Test sırasında beklenmedik bir durum ortaya çıktığında firmanın ne kadar hızlı geri dönüş yaptığı, kurumun güvenliği açısından belirleyici olabiliyor. Son olarak, sözleşme şartlarının ve gizlilik taahhütlerinin açık, anlaşılır bir dille yazılmış olması da güvenilir bir işbirliğinin ilk şartı sayılıyor.

Sonuç ve Sibertim

İç ağ sızma testi, kurumların çoğu zaman göz ardı ettiği ama en kritik risklerden birini gün yüzüne çıkarıyor. TS 13638 standardı, bu testin belirli bir disiplin içinde, yetkin ekipler tarafından ve şeffaf şekilde yürütülmesini garanti altına alıyor. Kurumlar için bu sadece bir uyum belgesi değil, sistemlerin gerçekte ne kadar güvenli olduğunu öğrenmenin en somut yoludur.

Süreci bir defalık bir formalite olarak değil, kurumun güvenlik kültürünün sürekli bir parçası olarak görmek uzun vadede en büyük farkı yaratır. Sibertim’in TSE standartlarındaki uzman ekibiyle çalışarak zafiyetlerinizi saldırganlardan önce keşfedin ve ağınızı güvence altına alın.

Sık Sorulan Sorular