Açık Servisler Üzerinden Sızma Teknikleri
Kurumsal ağların internete veya iç ağa açılan kapıları olan servisler (web sunucuları, veri tabanları, uzak masaüstü bağlantıları vb.), iş sürekliliği için şart olsa da yanlış yapılandırıldıklarında siber saldırganlar için en verimli sızma vektörlerine dönüşür. Açık servisler üzerinden sızma süreci; Uzaktan Kod Çalıştırma (RCE) gibi kritik yazılım açıklarının istismar edilmesini, Brute Force ile zayıf parolaların kırılmasını ve varsayılan (default) ayarlarla bırakılmış yönetim panellerinin ele geçirilmesini içerir. Bu zafiyetler, kurumları fidye yazılımı (ransomware) yayılımı ve veri sızıntısı gibi yıkıcı sonuçlarla karşı karşıya bırakır. Bu tehditleri bertaraf etmek için servislerin sıkılaştırılması (Hardening), yamaların hızla uygulanması, erişimlerin sınırlandırılması (ACL/Mikrosegmentasyon) ve Çok Faktörlü Kimlik Doğrulama (MFA) gibi “Savunma Derinliği” (Defense in Depth) prensiplerinin eksiksiz uygulanması gerekmektedir.
PLC Cihazlarında Güvenlik Testleri: Saldırı Vektörlerini Anlamak ve Savunma Stratejileri
Endüstriyel otomasyonun temel taşı olan PLC (Programlanabilir Mantık Denetleyici) cihazları, fiziksel süreçleri dijital komutlarla yönetir. Bu cihazların güvenliği; kimlik doğrulama barındırmayan eski protokoller (Modbus, DNP3), varsayılan parolalar ve güncellenemeyen firmware yapıları nedeniyle büyük risk altındadır. PLC’ye yönelik bir saldırı, sadece veri hırsızlığı değil; sahte sensör verisi göndererek fiziksel bir felaketi tetikleme (Man-in-the-Middle) veya mantık programını (Logic) değiştirerek üretimi sabote etme amacı taşır.
PLC güvenlik testleri, üretimi aksatmamak adına Pasif Trafik Analizi ile başlar. Bu aşamada ağdaki komut kalıpları ve cihaz envanteri, sisteme paket göndermeden tespit edilir. Aktif testler ise ancak izole edilmiş test ortamlarında veya onaylı bakım pencerelerinde gerçekleştirilir. Savunma tarafında ise Purdue Modeli’ne uygun ağ segmentasyonu, mühendislik portlarının fiziksel ve mantıksal olarak kısıtlanması ve firmware bütünlük kontrolleri hayati önem taşır.
IEC 62443 gibi uluslararası standartlar nezdinde PLC’lerin düzenli olarak denetlenmesi, kritik altyapıların siber direncini artırır. Modern savunma stratejileri, PLC’leri sadece birer “kara kutu” olarak görmemeli; onları merkezi loglama (SIEM) ve anomali tespit sistemleriyle (IDS) sürekli izlenen, şifreli haberleşme protokollerini destekleyen ve fiziksel erişimi sıkı denetlenen güvenli düğümler haline getirmelidir.
Fabrika Ağlarında Sızma Testi Senaryosu
Fabrika ağlarında geleneksel sızma testleri, üretim sürekliliği ve can güvenliği riskleri nedeniyle yetersiz kalmaktadır. Senaryo Tabanlı Sızma Testi, saldırganların gerçek dünyada kullandığı taktik ve teknikleri (TTP) temel alarak, fabrikanın IT sınırından en alt seviyedeki proses kontrol cihazlarına (PLC/RTU) kadar olan erişim zincirini test eder. Bu süreçte temel amaç, sadece “açık bulmak” değil; ağ segmentasyonunun (VLAN/DMZ) ve algılama sistemlerinin (IDS/SIEM) bir saldırı anında ne kadar dirençli olduğunu ölçmektir.
Senaryo tasarımı, fabrikanın mimarisine göre dört aşamada kurgulanır: Sınır Keşfi (VPN/Dış yüzey), Yatay Hareket (Segmentasyon ihlali), Proses Katmanı Müdahalesi (PLC/HMI manipülasyonu) ve Olay Müdahale Testi. Testler sırasında üretimin aksamaması için Pasif İzleme (Packet Capture) ile başlanır ve aktif simülasyonlar sadece onaylanmış bakım pencerelerinde gerçekleştirilir.
IEC 62443 ve NIS2 gibi uluslararası standartlar, bu tür senaryo odaklı testleri “makul teknik tedbirlerin” bir kanıtı olarak kabul eder. Bulgular, sadece teknik risk puanına (CVSS) göre değil; “üretim hattının durma süresi” ve “fiziksel güvenlik etkisi” gibi operasyonel metriklerle önceliklendirilir. Akıllı fabrikalarda siber direnç, veriyi korumaktan öte; hammadde girişinden ürün çıkışına kadar olan fiziksel döngünün dijital bir saldırıyla sabote edilmesini engelleyen aşılmaz bir savunma mimarisi inşa etmektir.
Bir Şirkete Fark Edilmeden Nasıl Sızılır?
Siber güvenlik dünyasında bir şirkete fark edilmeden sızmak, yalnızca teknik zafiyetleri bulmaktan ziyade, tespit sistemlerini ve insan faktörünü sessizce atlatmayı gerektiren karmaşık bir süreçtir. Yetkili Red Team operasyonları kapsamında uygulanan “fark edilmeden sızma” (stealth infiltration) yaklaşımı; OSINT ile pasif keşif, hedefli oltalama, sistemdeki yasal araçları kötüye kullanma (Living off the Land – LotL) ve anti-forensik iz silme gibi gizlilik odaklı taktikleri içerir. Bu operasyonların temel amacı, kurumların güvenlik ihlallerini tespit etme süresini (dwell time) ölçmek ve savunma ekiplerinin (Blue Team) reaksiyon kapasitesini gerçek dünya şartlarında test etmektir. Etkili bir kurumsal savunma için imza tabanlı standart tespitlerden ziyade davranışsal analize (UEBA), Sıfır Güven (Zero Trust) prensiplerine ve proaktif tehdit avcılığına (Threat Hunting) dayalı çok katmanlı bir mimari kurgulanmalıdır.
ISO 27001 İçin Sızma Testi Gereksinimleri
SO/IEC 27001 standardı, bilgi güvenliğini bir yönetim süreci olarak ele alırken, teknik kontrollerin etkinliğinin düzenli olarak doğrulanmasını şart koşar. Özellikle ISO 27001:2022 revizyonu ile güncellenen Annex A.8.8 (Teknik Zafiyetlerin Yönetimi), kurumların sistemlerindeki zafiyetleri tespit etmesini ve bunlara karşı önlem almasını bekler. Sızma testi, bu gereksinimi karşılayan, teorik güvenlik politikalarının gerçek dünya saldırı senaryoları karşısındaki başarısını ölçen en güçlü kanıttır.
ISO 27001 denetimlerinde kabul görecek bir sızma testi; Ağ/Altyapı, Uygulama, Sosyal Mühendislik ve Fiziksel Güvenlik katmanlarını kapsamalıdır. Standart, testlerin sadece “yılda bir kez” değil, sistemde önemli bir değişiklik (mimari değişim, yeni uygulama vb.) yapıldığında da tekrarlanmasını öngörür. Test sonuçları, kurumun Risk Tedavi Planı’na (Risk Treatment Plan) girdi sağlamalı ve tespit edilen her teknik bulgu için düzeltici bir faaliyet başlatılmalıdır.
Denetçiler için bir sızma testi raporu, kurumun sadece kapıları kilitlediğinin değil, o kilitlerin siber korsanlar tarafından zorlandığında açılıp açılmadığını bizzat kontrol ettiğinin bir göstergesidir. ISO 27001 uyumlu bir sızma testi süreci, kurumu sadece sertifika denetimlerinden başarıyla geçirmekle kalmaz, aynı zamanda bilgi varlıklarını sürekli gelişen tehditlere karşı proaktif bir şekilde koruyan “öğrenen bir savunma mimarisi” inşa eder.
KVKK Denetimi Öncesi Pentest Checklist
6698 sayılı KVKK kapsamında veri sorumluları, işledikleri kişisel verilerin güvenliğini sağlamak için “yeterli teknik tedbirleri” almakla yükümlüdür. Bir KVKK denetimi öncesinde gerçekleştirilen Sızma Testi (Pentest), bu tedbirlerin kağıt üzerinde kalıp kalmadığını belirleyen en nesnel kanıttır. Etkili bir KVKK Pentest Checklist’i; Ağ İzolasyonu, Uygulama Güvenliği (OWASP), Erişim Yönetimi (MFA/RBAC), Veri Maskeleme/Şifreleme ve Log Bütünlüğü gibi kritik katmanları kapsamalıdır.
Süreç sadece teknik açıkların bulunmasıyla sınırlı değildir; her bulgunun KVKK’nın veri koruma ilkeleriyle ilişkilendirilmesi ve riskin “kişisel veri ihlali potansiyeli” üzerinden puanlanması gerekir. Denetçiler, özellikle “stajyer veya yetkisiz bir kullanıcı hassas verilere ulaşabiliyor mu?” (Privilege Escalation) veya “veriler yurt dışına kontrolsüz çıkıyor mu?” gibi senaryoların test edilip edilmediğine bakar. Test sonrası yapılan Retest (Doğrulama Testi) ise kurumun “makul özen” gösterdiğinin ve tespit edilen riskleri kapattığının resmi belgesidir.
Denetim öncesi bu hazırlık, kurumu sadece milyonluk idari para cezalarından korumakla kalmaz, aynı zamanda siber güvenlik duruşunu “uyumluluk odaklı” bir yapıdan “güvenlik odaklı” bir kültüre dönüştürür. Unutulmamalıdır ki; denetlenmeyen güvenlik, sadece bir varsayımdan ibarettir.
PCI DSS Sızma Testi Nasıl Yapılır (Gerçek Senaryo)
Finansal sektörde kart verilerini işleyen kurumlar için PCI DSS Sızma Testi, altyapının gerçek dünya saldırılarına karşı direncini ölçen en kritik denetim mekanizmasıdır. PCI DSS v4.0 gereklilikleri uyarınca; sadece dış ağdan değil, aynı zamanda iç ağdan da yılda en az bir kez veya sistemde önemli bir değişiklik yapıldığında bu testlerin tekrarlanması zorunludur. Süreç; kart veri ortamının (CDE) sınırlarını belirleyen Dış Ağ, yanal hareketleri sınırlayan İç Ağ ve SQL Injection gibi zafiyetleri avlayan Uygulama Katmanı testlerinden oluşur.
Saldırı Simülasyonu (BAS)
Bu makale, modern siber güvenlik stratejilerinin en kritik bileşenlerinden biri haline gelen Saldırı Simülasyonu (Breach and Attack Simulation – BAS) teknolojisini ve bu teknolojinin geleneksel sızma testlerinden ayrılan yönlerini ele almaktadır. Kurum ağlarında 7/24 çalışan otomatik ajanlar aracılığıyla, gerçek saldırganların kullandığı MITRE ATT&CK tekniklerini güvenli bir ortamda taklit eden BAS araçlarının; güvenlik duvarları, EDR ve SIEM çözümlerindeki yapılandırma hatalarını nasıl tespit ettiği detaylandırılmaktadır. Manuel testlerin aksine süreklilik ve ölçeklenebilirlik sunan BAS sistemlerinin, siber dayanıklılığı artırmadaki rolü ve savunma hattındaki “kör noktaları” nasıl aydınlattığı teknik bir perspektifle sunulmaktadır.
Reverse Engineering (Tersine Mühendislik) Teknikleri
Bu makale, kapalı kaynak kodlu yazılımların işleyişini çözmek, güvenlik açıklarını tespit etmek ve siber tehditleri anlamak için kullanılan Tersine Mühendislik (Reverse Engineering) sürecini derinlemesine incelemektedir. Derlenmiş bir yazılımın kaynak koduna giden yolda kullanılan Statik Analiz ve Dinamik Analiz yöntemleri arasındaki farkların ele alındığı yazıda; Disassembler, Debugger ve Decompiler gibi temel araçların siber güvenlikteki kritik rolü vurgulanmaktadır. Özellikle zararlı yazılım (malware) analizi ve telif haklarının korunması gibi alanlarda hayati önem taşıyan bu disiplin, karmaşık binary (ikili) dosyaların nasıl anlamlı verilere dönüştürüleceğini ve “kodun karanlık tarafının” nasıl aydınlatılacağını teknik bir perspektifle sunmaktadır.
Kerberoasting ve AS-REP Roasting: Active Directory Ortamlarında Parola Saldırıları
Kurumsal ağların kalbi olan Active Directory ortamlarında kimlik doğrulama süreçleri Kerberos protokolü üzerine inşa edilmiştir. Ancak bu güvenli protokol, zayıf parola politikaları ve hatalı yapılandırmalarla birleştiğinde Kerberoasting ve AS-REP Roasting gibi sinsi saldırı vektörlerine zemin hazırlar.
Kerberoasting, bir ağda geçerli bir kullanıcı hesabı olan saldırganın, servis hesaplarına (SPN) ait biletleri (TGS) talep edip bu biletleri kendi sistemine indirerek şifrelenmiş hash değerlerini çevrimdışı kırma işlemidir. Servis hesapları genellikle yüksek yetkilere sahip olduğundan, bu saldırı başarılı olursa saldırgan tüm domain yapısını ele geçirebilir.
AS-REP Roasting ise “Pre-Authentication” (Ön Doğrulama) özelliği devre dışı bırakılmış kullanıcı hesaplarını hedef alır. Bu zafiyette saldırgan, parola bilmesine gerek kalmadan sunucudan şifreli bir yanıt (AS-REP) alır ve bu yanıtı yine kendi bilgisayarında kırmaya çalışır.
Bu saldırılara karşı en güçlü savunma; servis hesapları için Grup Yönetimli Servis Hesapları (gMSA) kullanmak, parolaları minimum 25-30 karakterden oluşturmak ve Active Directory envanterinde pre-authentication özelliği kapalı kullanıcıları düzenli olarak denetlemektir. Kerberos güvenliği, sadece protokolün kendisiyle değil, o protokolü taşıyan hesapların “parola kalitesi” ile ölçülür.