Sızma Testi Raporu Nasıl Okunur?

Sızma testi satın alırken karşılaştırdığınız şey aslında rapordur. Test sırasında ne yapıldığını doğrudan göremezsiniz; elinizde kalan tek şey teslim edilen dokümandır. Bu yüzden teklif aşamasında örnek pentest raporu istemek, sorulabilecek en verimli sorudur.

Bu yazıda bir raporun bölümlerini ve her birinde neye bakmanız gerektiğini anlatıyoruz.

Yönetici özeti

Raporun ilk bölümü teknik olmayan paydaşlar içindir. Burada aranan şey, teknik detay değil karardır: kaç kritik bulgu var, en büyük risk nedir, önce ne yapılmalı.

Zayıf raporun işareti: yönetici özetinin tarayıcı istatistiklerinden ibaret olması. “142 bulgu tespit edildi” cümlesi bir yöneticiye hiçbir şey söylemez. “Müşteri veritabanına kimlik doğrulaması olmadan erişilebiliyor” cümlesi söyler.

Kapsam ve metodoloji beyanı

Raporun neyi kapsadığı, neyi kapsamadığı kadar önemlidir. Bu bölümde şunlar açıkça yazılı olmalıdır:

Test edilen sistemler ve IP aralıkları
Test tarihleri
Kullanılan yaklaşım (black box, gray box, white box)
Takip edilen metodoloji (OWASP WSTG, PTES, NIST vb.)
Kapsam dışı bırakılan sistemler ve nedeni

Bir denetçi raporu incelerken ilk bakacağı yer burasıdır. Kapsam beyanı olmayan bir rapor, denetimde ne kadar sistemin test edildiğini kanıtlayamaz.

Bulgular

Raporun gövdesi budur. Her bulgu için şu alanlar bulunmalıdır.

CVSS skoru

CVSS, zafiyetin ciddiyetini 0 ile 10 arasında standart bir ölçekte ifade eder. v4.0 sürümü, önceki v3.1’e göre saldırı gereksinimlerini ve ardıl sistem etkisini daha ayrıntılı modeller.

Skorun kendisinden çok, vektörün görünür olması önemlidir. Sadece “Yüksek” yazan bir rapor, skorun nasıl hesaplandığını gizler. Vektör yazılıysa, sizin ortamınızda skorun neden farklı olabileceğini tartışabilirsiniz.

CWE sınıflandırması

CWE, zafiyetin türünü tanımlar (örneğin CWE-89 SQL injection, CWE-79 XSS). Sınıflandırma, aynı kök nedene sahip bulguları gruplamanızı sağlar. Beş ayrı bulgunun hepsi CWE-89 ise, sorun beş ayrı hata değil, tek bir kodlama pratiğidir.

Kavram kanıtı (PoC)

En kritik alan budur. PoC, bulgunun gerçek olduğunu ve nasıl doğrulanacağını gösterir: hangi istek gönderildi, hangi cevap alındı, ekran görüntüsü veya istek/cevap çıktısı.

Zayıf raporun en net işareti: PoC bölümünün genel bir açıklamayla geçiştirilmesi. “Uygulamada SQL injection zafiyeti tespit edilmiştir” cümlesi kanıt değildir. Geliştirici ekibiniz bunu doğrulayamazsa, düzeltip düzeltmediğini de anlayamaz.

İş etkisi

Teknik bulgunun ne anlama geldiği. “Yetkisiz kullanıcı, diğer müşterilerin fatura kayıtlarını görüntüleyebiliyor” cümlesi hem geliştiriciye hem yöneticiye aynı şeyi anlatır.

Çözüm önerisi

Öneri, o sisteme özel olmalıdır. “Girdi doğrulaması yapılmalıdır” genel bir tavsiyedir ve işe yaramaz. “Bu endpoint’te kullanıcı kimliği oturumdan alınmalı, istek gövdesinden okunmamalıdır” uygulanabilir bir öneridir.

Önceliklendirme

İyi bir rapor bulguları yalnızca listelemez, sıraya koyar. Sıralama CVSS skoruna değil, sizin ortamınızdaki gerçek riske göre yapılmalıdır.

İnternete kapalı bir iç sistemdeki “Yüksek” bulgu, internete açık bir uygulamadaki “Orta” bulgudan daha az acil olabilir. Bu değerlendirmeyi yapmak, raporu yazanın işidir.

Uyumluluk eşlemesi

KVKK, ISO 27001 veya PCI-DSS kapsamındaysanız, raporun bulgularını ilgili kontrollere eşlemesi gerekir. ISO 27001 için Annex A kontrolleri, PCI-DSS için Requirement numaraları, KVKK için 12. madde teknik tedbir referansı.

Bu eşleme yoksa, raporu denetimde kullanabilmek için işi siz yaparsınız.

Doğrulama testi sonucu

Rapor tek seferlik bir belge değildir. Bulgular kapatıldıktan sonra yapılan doğrulama testinin sonucu da rapora eklenmelidir. Denetimde asıl sorulan soru budur: açıklar bulundu mu değil, kapatıldı mı?

Örnek rapor isterken

Teklif aşamasında örnek rapor istemek standart bir uygulamadır ve ciddi bir firma bunu sorun etmez. Anonimleştirilmiş bir örnek, NDA imzası karşılığında paylaşılabilir.

Örneği alırken şu üç şeye bakın: PoC bölümleri gerçekten doğrulanabilir mi, çözüm önerileri sisteme özel mi, yönetici özeti bir karar veriyor mu? Üçü de varsa, muhtemelen manuel test yapılmıştır. Üçü de yoksa, elinizdeki bir tarayıcı çıktısıdır.

Testin aşamalarını Sızma Testi Aşamaları yazısında, raporun KVKK denetiminde nasıl kanıt oluşturduğunu ise KVKK sızma testi sayfamızda anlattık.