Sızma Testi Güvenlik Olgunluğunda Nerede Konumlanır?
Siber güvenlikte olgunluk, mümkün olan en karmaşık saldırı senaryosunu uygulamak değil; kurumun yanıt aradığı soruya doğru değerlendirme yöntemiyle yaklaşabilmektir.
Kurumların savunma kontrollerini doğrulamak için kullanabileceği yöntemler zaman içinde çeşitlendi. Zafiyet taraması, sızma testi, Purple Team ve Red Team çalışmaları aynı güvenlik programı içinde farklı ihtiyaçlara yanıt verebilir.
Bu yaklaşımları birbirinin daha gelişmiş sürümleri olarak görmek yanıltıcıdır. Bir web uygulamasındaki açığın gerçek etkisini anlamak isteyen kurum ile SOC ekibinin gerçek bir saldırıyı ne kadar hızlı fark ettiğini ölçmek isteyen kurumun ihtiyacı aynı değildir.
Bu nedenle temel soru “hangi yöntem daha gelişmiş?” değil, “hangi güvenlik kararını doğrulamak istiyoruz?” olmalıdır.
Verizon 2026 Data Breach Investigations Report, zafiyet sömürüsünün saldırganların ilk erişim elde etmek için kullandığı önemli yöntemlerden biri olmaya devam ettiğini gösteriyor. Bu durum yalnızca açıkların bulunmasını değil, gerçek koşullarda yaratabilecekleri etkinin anlaşılmasını da önemli hale getiriyor.
Zafiyet Taraması ile Kontrollü Saldırı Doğrulaması Arasındaki Fark
Teknik değerlendirmenin ilk adımlarından biri genellikle varlıkları ve bilinen açıkları görünür hale getirmektir. Ancak otomatik tarama ile saldırgan bakış açısıyla yapılan doğrulama aynı sorulara yanıt vermez.
Zafiyet Taraması: Nerede Açık Olabilir?
Zafiyet taraması; ağ, sistem ve uygulamalarda bilinen güvenlik açıklarını geniş ölçekte tespit etmeyi amaçlayan, ağırlıklı olarak otomasyona dayanan bir yöntemdir.
Düzenli tekrar edilebilmesi kurumun teknik risk görünürlüğünü korumasına yardımcı olur. Ancak tespit edilen bir bulgunun gerçekten istismar edilip edilemeyeceğini veya başka açıklarla birleştiğinde nasıl bir saldırı zinciri oluşturabileceğini tek başına her zaman göstermez.
Açık Gerçekten Kullanılabilir mi?
Kontrollü saldırı yaklaşımında belirlenen kapsamdaki güvenlik açıkları saldırgan bakış açısıyla değerlendirilir ve uygun bulgular kontrollü koşullarda doğrulanır.
Amaç yalnızca teknik bir bulgu listesi oluşturmak değildir. Bir açığın hangi koşullarda kullanılabileceği, saldırganın erişimini ne kadar ilerletebileceği ve bunun kurum açısından oluşturabileceği etki incelenir.
İnternete açık sistemler, iç ağ, web ve mobil uygulamalar, API'ler, kablosuz ağlar ve diğer kritik altyapılar farklı kapsamlar içerisinde ele alınabilir.
NIST SP 800-115 de otomatik zafiyet taraması ile kontrollü teknik doğrulama yöntemlerini farklı değerlendirme yaklaşımları olarak ele alır. Kullanılacak yöntemin, çalışmanın amacı ve ihtiyaç duyulan doğrulama seviyesine göre belirlenmesi gerekir.
Purple Team: Savunma Kontrolleri Gerçekten Çalışıyor mu?
Bir kurum düzenli teknik değerlendirmeler gerçekleştiriyor ve kritik açıklarını kapatıyor olabilir. Ancak bu durum güvenlik operasyonlarının gerçek bir saldırıyı mutlaka tespit edebileceği anlamına gelmez.
Purple Team çalışmalarında saldırı ve savunma tarafları birlikte hareket eder. Belirlenen saldırı teknikleri kontrollü biçimde uygulanırken savunma tarafı bu aktivitelerin güvenlik altyapısında nasıl göründüğünü analiz eder.
Bu süreçte aşağıdaki soruların yanıtları aranabilir:
- Aktivite uç nokta veya ağ kayıtlarında görülebiliyor mu?
- SIEM veya diğer güvenlik ürünleri doğru alarmı oluşturuyor mu?
- SOC analisti alarmı doğru şekilde yorumlayabiliyor mu?
- Olay müdahale süreci yeterince hızlı devreye giriyor mu?
- Mevcut kontrol veya korelasyon kuralı geliştirilmeli mi?
MITRE ATT&CK gibi çerçeveler saldırgan davranışlarının ortak bir dil üzerinden tanımlanmasına yardımcı olur. Böylece çalışma yalnızca “saldırı başarılı oldu mu?” sorusuna değil, “savunma bu davranışı görebildi mi?” sorusuna da yanıt verir.
Red Team Nedir ve Teknik Doğrulamadan Nasıl Ayrılır?
Red Team operasyonu, belirli teknik açıkların doğrulanmasından daha geniş bir hedefe sahiptir. Kurumun gerçek bir saldırgana karşı teknoloji, insan ve süreç bileşenleriyle birlikte nasıl tepki verdiğini ölçmeye odaklanır.
Geleneksel teknik değerlendirmeler çoğunlukla önceden belirlenen sistem veya uygulamalardaki açıkları incelerken Red Team, tanımlanan bir hedefe ulaşmak için farklı saldırı yollarını birlikte kullanabilir.
Dış saldırı yüzeyinin araştırılması, kimlik bilgilerinin ele geçirilmesi, sosyal mühendislik, iç ağda yatay hareket, yetki yükseltme ve kalıcılık gibi farklı teknikler aynı senaryonun parçaları haline gelebilir.
Buradaki başarı yalnızca hedef sisteme erişilip erişilmediğiyle ölçülmez. Kurumun saldırıyı hangi aşamada fark ettiği, ekiplerin nasıl tepki verdiği ve saldırganın ilerlemesini hangi kontrollerin durdurabildiği de değerlendirilir.
Lostar'ın bu alandaki yaklaşımını incelemek için Kırmızı Takım (Red Team) Hizmetleri sayfasını ziyaret edebilirsiniz.
Her Kurum Red Team Çalışmasına Hazır mı?
Red Team operasyonları kapsamlı ve gerçekçi olsa da her kurum için ilk değerlendirme yöntemi olarak tercih edilmeleri doğru olmayabilir.
Temel kontroller henüz yeterince görünür değilse veya bilinen kritik açıklar düzenli biçimde kapatılmıyorsa kapsamlı bir saldırı simülasyonu, kurumun hangi alanı geliştirmesi gerektiğine ilişkin beklenen ölçüde fayda üretmeyebilir.
Bir kurumun bu tür bir çalışmadan ölçülebilir değer elde etmeye hazır olduğunu gösteren başlıca işaretler şunlardır:
- Güncel ve güvenilir bir varlık envanterinin bulunması
- Düzenli zafiyet yönetimi süreçlerinin yürütülmesi
- Önceki kritik bulgular için takip ve kapatma mekanizmasının bulunması
- Merkezi loglama ve yeterli güvenlik telemetrisinin sağlanması
- SIEM, EDR veya benzeri izleme yeteneklerinin aktif biçimde kullanılması
- SOC ve olay müdahale rollerinin açık biçimde tanımlanması
- Eskalasyon ve kriz iletişim süreçlerinin belirlenmiş olması
- Hedef, kapsam ve durdurma kriterlerinin yönetim tarafından onaylanması
Bu temeller olmadan gerçekleştirilen bir saldırı simülasyonunda sonuç yalnızca “saldırıyı tespit edemedik” seviyesinde kalabilir. Oysa olgun bir çalışma, hangi kontrolün nerede başarısız olduğunu ve savunmanın nasıl geliştirilebileceğini gösterebilmelidir.
Kurumunuz İçin Hangi Yaklaşım Daha Uygun?
Doğru yöntemin seçimi kurumun büyüklüğünden çok, cevaplanmak istenen güvenlik sorusuna bağlıdır.
Güvenlik açıklarınızı henüz tam olarak bilmiyorsanız
Öncelik saldırı yüzeyini görmek ve bilinen zafiyetleri tespit etmek olmalıdır. Düzenli taramalar ve güncel varlık görünürlüğü bu aşamanın temelini oluşturur.
Bir açığın gerçek riskini görmek istiyorsanız
Sızma testi, teknik bulguların gerçekten kullanılabilir olup olmadığını ve oluşturabilecekleri etkinin kontrollü biçimde doğrulanmasını sağlar.
SOC ekibinin tespit yeteneğini geliştirmek istiyorsanız
Purple Team yaklaşımı, belirli saldırı davranışlarının savunma tarafında oluşturduğu izleri incelemek ve tespit mekanizmalarını iyileştirmek için kullanılabilir.
Uçtan uca savunma kapasitesini sınamak istiyorsanız
Temel kontroller ve operasyon süreçleri yeterli olgunluğa ulaştığında Red Team, teknoloji, insan ve süreçlerin birlikte ne kadar dayanıklı olduğunu değerlendirmeye yardımcı olur.
Güvenlik Olgunluğu Doğrusal Bir Merdiven Değildir
Zafiyet taraması, teknik doğrulama, Purple Team ve Red Team çalışmalarını kesin çizgilerle ayrılmış ardışık seviyeler olarak değerlendirmek doğru değildir.
Büyük bir kurum aynı anda farklı alanlarda farklı olgunluk düzeylerine sahip olabilir. Kritik bir web uygulamasında düzenli teknik doğrulama yapılırken belirli saldırı teknikleri için Purple Team çalışmaları yürütülebilir. Daha olgun bir iş birimi ise hedef odaklı saldırı simülasyonuna dahil edilebilir.
Benzer şekilde ileri seviye bir saldırı simülasyonunun gerçekleştirilmiş olması, uygulama ve altyapıların düzenli kontrole artık ihtiyaç duymadığı anlamına gelmez. Sistemler ve saldırı yüzeyi sürekli değiştiği için bu yöntemler birbirlerinin alternatifi değil, tamamlayıcısıdır.
Doğru Yöntem, Doğru Güvenlik Kararını Doğrulamalı
Siber güvenlik değerlendirmelerinde amaç mümkün olan en gelişmiş veya en dikkat çekici saldırı senaryosunu gerçekleştirmek değildir.
Amaç, kurumun aldığı güvenlik kararlarının gerçek dünyada çalışıp çalışmadığını ölçebilmektir.
Sızma testi kritik bir uygulamadaki açığın gerçek etkisini gösterebilir. Purple Team aynı saldırı davranışının güvenlik operasyonları tarafından görülüp görülmediğini ortaya çıkarabilir. Red Team ise kurumun uçtan uca savunma yapısını gerçekçi bir hedef karşısında sınayabilir.
Bu nedenle doğru soru “Red Team yapmalı mıyız?” değil, “hangi güvenlik kararını doğrulamak istiyoruz?” olmalıdır.
Risk profili, saldırı yüzeyi, görünürlük seviyesi, müdahale kapasitesi ve iş hedefleri birlikte değerlendirildiğinde doğru yöntem seçilebilir. Böylece bu çalışmalar yalnızca teknik bir kontrol faaliyeti olmaktan çıkar ve ölçülebilir bir güvenlik geliştirme aracına dönüşür.
Kaynaklar ve Referanslar
Bu içerik hazırlanırken aşağıdaki kaynak ve metodolojilerden yararlanılmıştır:
- Verizon — 2026 Data Breach Investigations Report (DBIR)
- NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment
- MITRE ATT&CK — Adversary Emulation and Red Teaming Resources
- MITRE ATT&CK — Purple Teaming ve Detection Engineering kaynakları