Saldırganlardan önce biz buluyoruz.

Dijital varlıklarınızı gerçek saldırgan bakış açısıyla test ediyoruz.

Saldırganlardan önce biz buluyoruz: peki bu pratikte nasıl işliyor?

İlk görüşmelerde en sık karşılaştığımız sorular ve dürüst cevapları. Aradığınızı bulamazsanız doğrudan yazın, 24 saat içinde dönüş yapıyoruz.

Sızma testi ne kadar sürer?

Süre tamamen kapsama bağlıdır. Tek bir web uygulaması için aktif test genellikle bir ile iki hafta arasında sürer. Birden fazla uygulama, API ve ağ altyapısını kapsayan kurumsal projeler dört haftaya kadar uzayabilir. Buna ek olarak raporlama için üç ile beş iş günü ayırıyoruz. Kapsamı ilk görüşmede birlikte belirlediğimiz için, teklif aşamasında net bir zaman çizelgesi paylaşıyoruz.

Sızma testi ile zafiyet taraması arasındaki fark nedir?

Zafiyet taraması otomatik araçlarla bilinen açıkları listeler ve yüzeysel kalır. Sızma testinde ise bir saldırganın yapacağını yapıyoruz: bulduğumuz açığı gerçekten sömürüp iş üzerindeki etkisini kanıtlıyoruz. Bir tarayıcı SQL injection ihtimalini raporlayabilir; biz o açığı kullanarak müşteri veritabanınıza erişilebildiğini gösteriyoruz. Aradaki fark, bir listeyle kanıtlanmış bir risk arasındaki farktır.

Test sırasında sistemlerimiz zarar görür mü?

Hayır. Çalışma kuralları dokümanında hangi testlerin yapılacağı ve hangilerinin yapılmayacağı yazılı olarak belirlenir. Servis kesintisine yol açabilecek testler yalnızca sizin açık onayınızla ve planlanan bir zaman diliminde uygulanır. Mümkün olduğunda test ortamını tercih ediyor, üretim ortamını koruyoruz. Kritik bir bulgu tespit ettiğimizde raporu beklemeden dört saat içinde size bildiriyoruz.

Raporunuzu KVKK ve ISO 27001 denetimlerinde kullanabilir miyiz?

Evet. Raporlarımız teknik kanıt olarak kullanılabilecek biçimde hazırlanır. Her bulgu CVSS v4.0 skoru, CWE sınıflandırması ve ISO 27001 Annex A kontrol eşlemesi ile birlikte sunulur. KVKK'nın 12. maddesi kapsamındaki teknik tedbir yükümlülüğü için de doğrudan delil oluşturur. Uyumluluk danışmanlığı vermiyoruz, ancak denetiminizde ihtiyaç duyacağınız teknik dokümanı üretiyoruz.

Ne sıklıkla sızma testi yaptırmalıyız?

Genel kural yılda en az bir kez kapsamlı bir test yaptırmaktır. Bunun yanında yeni bir özellik yayınladığınızda, altyapınızı değiştirdiğinizde veya bir güvenlik olayı yaşadığınızda tekrar test edilmesi gerekir. Saldırganlar sisteminizi sürekli tarıyor; yılda bir kez bakan bir savunma, sürekli bakan bir saldırgana karşı geride kalır. Düzeltme sonrası doğrulama testi proje ücretine dahildir.

Fiyatlandırma nasıl belirleniyor?

Sabit bir liste fiyatı vermiyoruz, çünkü tek bir web uygulaması ile onlarca sistemi olan bir holdingin ihtiyacı aynı değildir. Fiyat, test edilecek varlık sayısına, testin derinliğine ve kaynak kod erişimi olup olmadığına göre belirlenir. İlk teknik değerlendirme görüşmesi ücretsizdir; kapsamı birlikte netleştirdikten sonra 48 saat içinde sabit fiyatlı bir teklif sunuyoruz. Sonradan ek kalem çıkarmıyoruz.

Yapay zeka ve LLM sistemlerini de test ediyor musunuz?

Evet, bu alanda çalışan az sayıdaki ekipten biriyiz. Chatbot'larınızı, RAG pipeline'larınızı ve otomasyon akışlarınızı prompt injection, veri sızıntısı ve model manipülasyonu açısından test ediyoruz. Geleneksel güvenlik testleri bu saldırı vektörlerini yakalamaz. Yapay zeka güvenliği alanında hakemli akademik yayınlarımız bulunuyor ve testlerimizi OWASP Top 10 for LLM ile MITRE ATLAS çerçevelerine dayandırıyoruz.