Otomatik analizler
Her hafta kapsamda belirlenen sistemleri ve ortamları analiz ediyoruz. Bir uzman sonuçları inceler; siz de açıkları düzeltmek için kanıtlar, öncelikler ve yönlendirmeler alırsınız.
Kapsamı belirle
Ofansif güvenlik ekibiniz, sürekli olarak.
Pentesty, uzmanları ve kendi teknolojilerimizi ürününüze ve işinize göre uyarlanmış bir ofansif güvenlik programında bir araya getirir. Pentestleri, Red Team’i, otomatik analizleri ve portföydeki diğer hizmetleri risklerinize ve hedeflerinize göre birleştirir; ürün değişikliklerini ve düzeltmelerin ilerleyişini takip ederiz.
Güvenlik programınızı oluşturalımKapsamı ürününüz belirler.
Her çalışma sizin bağlamınızla başlar: ürününüz, riskleriniz ve öncelikleriniz. Buradan yola çıkarak kişiselleştirilmiş bir kapsam oluşturur, testleri operasyonunuzu, verilerinizi ve müşterilerinizin güvenini tehlikeye atabilecek noktalara yöneltiriz.
Pentest
WebUygulamalar, kimlik doğrulama, izinler ve iş mantığı. Operasyonunuzu ayakta tutan akışları değerlendiriyoruz.
APIYetkilendirme, veri ifşası, entegrasyonlar ve kullanıcılar ile kuruluşlar arası izolasyon.
MobilAndroid ve iOS uygulamaları, yerel depolama, iletişim ve kapsamdaki entegrasyonlar.
Altyapıİç ve dış ağlar, hizmetler, kimlikler ve kameralar ile turnikeler dahil bağlı cihazlar. Kapsamda belirlenen ağ varlıklarının güvenliğini değerlendiriyoruz.
BulutBulut hesapları ve projeleri, izinler, açıkta kalan kaynaklar ve hizmetler arası güven ilişkileri.
Red Team
- Sürekli Red TeamEkibimiz düzenli saldırı simülasyonları yürütür, hedefleri ekibinizle gözden geçirir ve tatbikatlar arasında düzeltmeleri doğrular.
- Saldırgan emülasyonuSavunmalarınızın tatbikatta öngörülen tekniklere nasıl yanıt verdiğini değerlendiren, önemli tehditlere dayalı senaryolar.
- Sosyal mühendislikEkibinizin manipülasyon ve dolandırıcılık girişimlerini nasıl tanıyıp tepki verdiğini, kararlaştırılan senaryo ve sınırlarla değerlendiren simülasyonlar.
- Fiziksel sızmaKonumları, hedefleri ve sınırları ekibinizle kararlaştırılan, Red Team senaryolarına entegre fiziksel erişim testleri.
- Oltalama kampanyalarıDolandırıcılık girişimlerinin tanınmasını ve bildirilmesini ölçen, insanlar, süreçler ve kontrollerde iyileştirmelere yön veren kararlaştırılmış simülasyonlar.
Nasıl çalışıyoruz
01
Bağlam ve öncelikler
Ürününüzü, işinize yönelik riskleri ve hedeflerinizi anlıyoruz. Birlikte hizmetleri seçiyor; programın kapsamını, erişimlerini, sınırlarını ve sıklığını belirliyoruz.
02
Uzmanlar ve kendi teknolojilerimizle testler
Kapsamda öngörülen testleri ve tatbikatları yürütüyoruz. Kendi teknolojilerimiz araştırmayı destekler; uzmanlarımız kanıtları doğrular ve işinize etkisini değerlendirir.
03
Bulgular ve düzeltme yönlendirmesi
Bulguları sunar ve düzeltmeleri etkiye göre önceliklendiririz. Ekibiniz değişiklikleri uygulamak için kanıtlar ve yönlendirmeler alır; her bulgu için bir düzeltme istemi de buna dahildir.
04
Yeniden testler ve sonraki döngü
Düzeltmeleri kararlaştırılan yeniden testlerde doğrular ve bulguların gelişimini kaydederiz. Sonraki döngüyü planlamak ve ürün değişikliklerini hesaba katmak için öncelikleri ekibinizle gözden geçiririz.
Güvenlik programınızı oluşturalım
Hizmetlerin bileşimi, sıklık ve testlerin derinliği program kapsamında belirlenir ve riskler ile öncelikler değiştikçe ekibinizle birlikte gözden geçirilir.
Karar vermek için netlik. Düzeltmek için kanıt.
Uzmanlarca doğrulanmış kanıtlar ve işletmenize etkisine bağlı düzeltme öncelikleri alırsınız; derinlik ve format programınıza veya projenize göre belirlenir.
Metodolojimizi tanıyınYönetici özetiÖrnek platform
Bu tur için üç öncelik
Aşağıdaki riskler müşteri verilerini ve sözleşme görüşmelerini etkiliyor. İlk maddenin düzeltmesi bir sonraki sürümden önce yapılmalıdır.
- Erişim denetimi olmadan veri dışa aktarımıMüşteri verilerinin açığa çıkma riskiYüksek
- Parola değişikliğinden sonra oturumlar geçerli kalıyorHesap ele geçirme riskiOrta
- Bir hizmet hesabında geniş izinlerOlası yetkisiz erişimin etkisini artırırOrta
Teknik raporÖrnek bulgu · CVSS 8.6
Kuruluşlar arasında erişilebilen veri dışa aktarımı
Kimliği doğrulanmış bir kullanıcı, istekteki tanımlayıcıyı değiştirerek başka bir kuruluşun kayıtlarını dışa aktarabiliyor.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <2093 numaralı kuruluşun token'ı> HTTP/2 200 başka bir kuruluşun kayıtları
Öneri: dışa aktarımı oluşturmadan önce kullanıcının istenen kuruluşa ait olduğunu sunucuda doğrulayın.
Kapsam ve sınırlamalarÖrnek platform
Neler, hangi koşullarda değerlendirildi
- Web uygulaması ve kimlik doğrulamaİki erişim profiliyle test edildiDeğerlendirildi
- Herkese açık API v2Test ortamıDeğerlendirildi
- Ödeme webhook'larıTest penceresinde iş ortağı kimlik bilgileri yoktuSonuçsuz
- Android uygulamasıBu turun kapsamı dışındaDahil değil
Düzeltmelerin doğrulanmasıÖrnek yeniden test
Son turdan bu yana neler değişti
- Kuruluşlar arası veri dışa aktarımıİstek artık 403 döndürüyorDüzeltildi
- Parola değişikliğinden sonra oturumlarMobil oturumlar hâlâ etkinDikkat gerektiriyor
- Hizmet hesabı izinleriİzinler gerekli olanla sınırlandıDüzeltildi
Düzeltme promptuÖrnek bulgu
Ekibiniz veya yapay zekâ aracınız için hazır
Bağlam: GET /api/v2/orgs/:id/export yolu, kullanıcının istenen kuruluşa ait olup olmadığını kontrol etmiyor. Görev: dışa aktarımı oluşturmadan önce sunucuya kontrolü ekleyin ve kullanıcı üye değilse 403 döndürün. Doğrulama: isteği başka bir kuruluşun token'ıyla tekrarlayın ve 403'ü doğrulayın. Ardından yetkili üyelerin normal şekilde dışa aktarmaya devam ettiğini doğrulayın.
Ekibiniz değişikliği inceler ve uygular. Yeniden test, sonucu sözleşme koşullarında doğrular.
Örnek içerik. Derinlik ve format programınıza veya projenize göre belirlenir.
Sık sorulan sorular
Sorunuz mu var? Bize yazın: support@pentesty.co
Pentesty hangi hizmetleri sunuyor?
Web, API, Mobil, Altyapı ve Bulut pentestleri, otomatik analizler ve saldırgan emülasyonu, sosyal mühendislik ile oltalamayı içeren Red Team tatbikatları sunuyoruz. Hizmetleri, kararlaştırılan kapsama göre tekrarlayan bir programda veya tek seferlik bir projede birleştiriyoruz.
Pentest ile Red Team arasındaki fark nedir?
Pentest, belirli bir kapsamdaki güvenlik açıklarını inceler. Red Team, ekiplerinizin ve kontrollerinizin nasıl yanıt verdiğini değerlendirmek için bir saldırganın eylemlerini simüle eder. Sürekli programda hedefleri ekibinizle gözden geçirir, kararlaştırılan kampanyaları yürütür ve düzeltmeleri takip ederiz. Tatbikatlar saldırgan emülasyonu, sosyal mühendislik, oltalama ve fiziksel sızmayı birleştirebilir.
Pentesty kendi teknolojilerini nasıl kullanıyor?
Kendi teknolojilerimiz, uzmanları güvenlik açıklarını incelemede ve analizleri derinleştirmede destekler. Uzmanlar kanıtları doğrular, ürününüz üzerindeki etkiyi değerlendirir ve düzeltmeleri işletmenize yönelik risklere göre önceliklendirir.
Çalışmanın sonunda ne alırım?
Bir yönetici özeti ve bir teknik rapor alırsınız. Her bulgu kanıt, öncelik ve düzeltme önerileri içerir. Ekibiniz değişiklikleri inceler ve uygular. Sonuçları sunarız; Red Team'de ayrıca saldırı yollarını ve ekipleriniz ile kontrollerinizin testlere nasıl yanıt verdiğini paylaşırız.
Maliyeti nedir ve ne kadar sürer?
Yatırım, süreler ve sıklık; sistemlere, risklere, hedeflere ve çalışmanın derinliğine bağlıdır. Hizmetleri, kapsamı, takvimi, teslimatları ve yeniden test koşullarını başlamadan önce teklifte belirleriz.
Tekrarlayan program nasıl işliyor?
Portföyümüzdeki hangi hizmetlerin her aşamada anlamlı olduğunu belirlemek için işletmenizin riskleri ve hedefleriyle başlarız. Program boyunca öncelikleri ekibinizle gözden geçirir, güvenlik açıklarını inceler ve kararlaştırılan düzeltmeleri doğrularız. Hizmet bileşimi, çalışmaların sıklığı ve yeniden testler teklifte belirlenir.
Tek seferlik proje alabilir miyim?
Evet. Bir sistemi değerlendirmeniz, belirli bir riski incelemeniz veya tanımlı bir tatbikat yapmanız gerekiyorsa tek seferlik bir proje oluşturabiliriz. Kapsam, süre, teslimatlar ve yeniden test koşulları teklifte kararlaştırılır.
Yeniden test dahil mi?
Yeniden test, kararlaştırılan bulguların düzeltmelerini doğrular. Dahil olup olmadığı, süresi, tur sayısı ve sınırları teklifte belirlenir. Yeni varlıklar veya önemli değişiklikler yeni bir kapsam gerektirebilir.
Rapor denetimlerde ve uyumlulukta yardımcı olur mu?
Kanıtlar denetimleri ve uyumluluk değerlendirmelerini destekleyebilir. Kabul; gerekliliğe, kapsama ve denetçinin değerlendirmesine bağlıdır. Rapor uyumluluğu belgelendirmez ve ISO 27001, SOC 2, PCI DSS veya LGPD onayını garanti etmez.
Testler nasıl yetkilendirilir ve yürütülür?
Uygulamadan önce yetkilendirmeyi, varlıkları, izin verilen teknikleri, zaman aralıklarını, iletişim kişilerini ve durdurma koşullarını netleştiririz. Sosyal mühendislik ve fiziksel faaliyetlerin kendi sınırları vardır. Kanıtların işlenmesi müşteriyle kararlaştırılır.
Ürününüz için kapsamı oluşturalım mı?
Ürününüz, riskleriniz ve öncelikleriniz hakkında uzmanlarımızla konuşun. İşletmeniz için anlamlı olan çalışmayı birlikte belirleyelim.
Programımı oluştur