Sızma Testi (Pentest) Nedir? Türleri, Aşamaları ve Yasal Sınırı

Sızma testi nedir sorusunun kısa cevabı şu: sistem sahibinin yazılı izniyle, gerçek bir saldırganın yöntemlerini kullanarak açık arayan ve bulduğu açığı kontrollü biçimde kanıtlayan güvenlik testi. İngilizcesi penetration testing, kısaca pentest. Bu yazıda taramadan ve red team'den farkını, kutu türlerini, NIST ve PTES'e göre aşamaları, yetki belgesini ve Türkiye'deki TSE belgesini bulacaksın.

Sızma testi nedir, ne işe yarar?

Sızma testi, bir açığın kâğıt üstünde değil gerçekte ne kadar zarar verebileceğini gösterir. NIST'in 2008'de yayımladığı ve hâlâ geçerli olan SP 800-115 kılavuzu onu, değerlendiricilerin gerçek saldırıları taklit ederek güvenlik önlemlerini aşmanın yollarını aradığı test olarak tanımlar. Test çoğu zaman tek bir açıkla ilerlemez. Küçük bir yapılandırma hatası eski bir sürümle birleşince, ikisinin tek başına vermediği erişim ortaya çıkabilir.

NIST'e göre sızma testi şu soruların cevabını bulmaya da yarar:

• Sistem gerçek saldırı kalıplarına ne kadar dayanıyor?
• Saldırganın içeri girmek için ne kadar beceriye ihtiyacı var?
• Hangi ek önlem bu tehdidi azaltır?
• Savunma ekibi saldırıyı fark edip doğru tepki verebiliyor mu?

Kurgusal bir örnek düşün. Bir e-ticaret sitesinin otomatik taramasında yalnız "eski kütüphane sürümü" uyarısı çıkıyor. Sızma testi yapan uzman ise test hesabıyla girip başka bir müşterinin faturasını görebildiğini kanıtlıyor. Rapor artık yalnız "eski sürüm" demiyor, "müşteri adresleri okunabiliyor" diyor. Yönetimin hızlı karar vermesini sağlayan fark budur.

Sızma testi, zafiyet taraması, red team ve bug bounty farkı nedir?

Dördü de açık arar, ama derinlikleri, izin biçimleri ve amaçları farklıdır.

NIST'in ayrımı nettir: tarayıcı bir açığın yalnız var olabileceğini kontrol eder, sızma testinin saldırı aşaması ise açığı istismar ederek varlığını doğrular. Red team'i ise NIST sözlüğü olası bir rakibin saldırı yeteneğini taklit eden yetkili bir grup olarak tanımlar. Amacı, başarılı bir saldırının etkisini ve mavi takımın neyi iyi yaptığını göstermektir.

Bunlar birbirinin yerine geçmez. NIST'in önerdiği düzen, düzenli ağ ve zafiyet taramasının arasına periyodik sızma testi koymaktır.

Kara kutu, gri kutu ve beyaz kutu test arasındaki fark nedir?

Fark, test ekibine başta ne kadar bilgi verildiğidir. Bilgi arttıkça ekip keşfe daha az zaman harcar ve daha derine iner.

Bütçe sınırlıysa gri kutu çoğu kurum için iyi bir başlangıçtır. Ekip giriş kapısında gün harcamaz, girişten sonraki yetki hatalarına odaklanır.

Teklifte kutu türünün yanında iki eksen daha görürsün:

• Dış ve iç test: Dış test internetten, iç test kurum ağının içinden yapılır. NIST, ikisi birden yapılacaksa dış testin önce yapılmasını önerir. Böylece ekip, dışarıdaki saldırganın bilemeyeceği iç bilgiyi baştan öğrenmemiş olur.
• Haberli ve habersiz test: Haberli testte BT ekibi testi bilir ve etkiyi sınırlamaya yardım eder. Habersiz testte yalnız üst yönetim bilir ve ölçülen şey ekibin olayı fark edip etmediğidir. NIST, habersiz testin daha pahalı olduğunu ve her açığı bulmayı hedeflemediğini belirtir.

Sızma testi türleri: hangi hedef test edilir?

Sızma testi türleri, kutu modelinin yanında hedefe göre de ayrılır. Teklifte ve yetki belgesinde bu adlar geçer:

• Dış ağ testi: İnternete açık sunucular, VPN, e-posta ve uzak erişim kapıları.
• İç ağ testi: Bir çalışan bilgisayarından başlayan senaryo. Yetki yükseltme ve dizin hizmetleri sık hedeftir.
• Web uygulaması testi: Oturum, yetkilendirme, girdi doğrulama ve iş mantığı. OWASP WSTG bu testi bilgi toplamadan istemci tarafı ve API testlerine kadar kategorilere ayırır.
• Mobil uygulama ve API testi: Uygulamanın konuştuğu arka uç çoğu zaman asıl risktir.
• Kablosuz ağ testi: Misafir ağının kurum ağından gerçekten ayrı olup olmadığı.
• Sosyal mühendislik testi: Oltalama e-postası ya da telefonla bilgi isteme. NIST, sonuçların kişileri teşhir etmek için değil, farkındalık eğitimini iyileştirmek için kullanılmasını ister.
• Fiziksel test: Binaya ve sistem odasına girişin denenmesi. NIST, güvenlik görevlilerinin test ekibinin yetkisini bir iletişim kişisi ya da belgeyle doğrulayabilmesini önerir.
• Bulut testi: Müşterinin izni, sağlayıcının ortak altyapısını kapsamayabilir. Sağlayıcının kendi test kurallarına ayrıca bakılır.

Sızma testi aşamaları nelerdir?

Aşama sayısı baktığın çerçeveye göre değişir. NIST SP 800-115 dört aşama, PTES yedi ana bölüm sayar. NIST, dörtlü yapının yalnız bir örnek olduğunu ve işi gruplamanın başka kabul edilebilir yolları bulunduğunu açıkça yazar. Bu yüzden beş ya da altı aşama sayan kaynaklar da yanlış değildir.

NIST SP 800-115'e göre dört aşama:

1. Planlama: Kurallar belirlenir, yönetim onayı yazılı hale gelir, test hedefleri konur. Bu aşamada hiçbir test yapılmaz.
2. Keşif: İki parçadır. İlki bilgi toplama ve taramadır: açık portlar, çalışan servisler, sürüm bilgisi. İkincisi zafiyet analizidir. Bulunan servisler NVD gibi zafiyet veritabanlarıyla ve ekibin kendi bilgisiyle karşılaştırılır.
3. Saldırı: Olası açık istismar edilerek doğrulanır. Başarılı bir adım yeni bilgi verirse ekip keşfe geri döner. Yetki yükselirse hangi verinin okunup değiştirilebileceği incelenir.
4. Raporlama: Diğer üç aşamayla aynı anda yürür. Test boyunca kayıt tutulur. Sonunda açıklar, risk derecesi ve kapatma önerisi rapora yazılır.

PTES aynı akışı daha ince böler:

Web uygulamasında ayrıntılı test listesi için OWASP WSTG kullanılır. Ekim 2026 itibarıyla kararlı sürümü 4.2'dir, 5.0 ise geliştirme aşamasındadır.

Test bitince kurum açıkları kapatır. NIST'e göre düzeltme ancak ilk testin birebir tekrarıyla doğrulanabilir. Raporun bölümlerini ve bir bulgunun nasıl yazıldığını sızma testi raporu örneği yazısında görebilirsin.

Sızma testinde hangi araçlar kullanılır?

Araç, aşamaya göre seçilir. Keşifte Nmap gibi port ve servis tarayıcıları, web testinde tarayıcıyla sunucu arasındaki trafiği yakalayan Burp Suite ya da OWASP ZAP, saldırı aşamasında Metasploit gibi istismar çatıları sık kullanılır. Araç işi hızlandırır, ama yanlış alarmı ayıklayan ve riski yorumlayan uzmandır. Ayrıntısını pentest araçları rehberinde bulursun.

Sızma testi yetki belgesi nedir, içinde ne olur?

Yetki belgesi, sistem sahibinin test ekibine neyi, ne zaman ve nasıl test edebileceğini yazılı olarak verdiği izindir. NIST bu belgeye angajman kuralları (rules of engagement) der. Belge testten önce hazırlanır ve ekibe tanımlı işler için ayrıca izin istemeden çalışma yetkisi verir. NIST şablonuna göre belgede şunlar bulunur:

1. Amaç ve taraflar: Test edilen kurum ve testi yapan ekip ya da firma.
2. Kapsam, varsayımlar ve riskler: Hangi işlemlerin yapılacağı, nelerin ters gidebileceği ve riskin nasıl azaltılacağı.
3. Personel ve iletişim listesi: Test ekibi, yönetim ve olay müdahale ekibinin iletişim bilgileri.
4. Takvim ve saatler: Testin hangi gün ve saat aralığında yapılacağı.
5. Test yeri ve araçlar: Testin nereden yapılacağı, hangi cihaz ve araçların kullanılacağı.
6. Olay anında durdurma: Test bir sistemi etkilerse kimin aranacağı, testin nasıl durdurulup yeniden başlatılacağı.
7. Hedefler ve hariç liste: İzinli IP adresleri, alan adları ve uygulamalar ile dokunulmayacak sistemlerin listesi.

NIST'in bir uyarısı daha var. Sana verilen internete açık IP adreslerinin gerçekten o kuruma ait olduğunu testten önce WHOIS gibi kayıtlarla doğrula. Yanlış yazılmış tek bir adres, başkasının sistemine izinsiz girmek anlamına gelir.

Bu belge olmadan yapılan deneme suç oluşturabilir. Türk Ceza Kanunu 243. maddede bir bilişim sistemine hukuka aykırı girmeyi, 244. maddede sistemi engellemeyi, bozmayı ve verileri değiştirmeyi cezalandırır. Sözlü onayı sonradan kanıtlamak zordur. "Açığı bildirecektim" niyeti ise izin yerine geçmez. Hukuki ayrıntılar hacking yasal mı yazısında. Belgeyi örnekle hazırlamak için kapsam ve yetki belgesi dersine bak.

Türkiye'de TSE sızma testi belgesi ne demek?

TSE sızma testi belgesi, testi yapan firmanın yeterliliğini gösterir. Testin yasal iznini vermez. TSE, sızma testi firmalarını TS 13638 standardına göre A, B ve C olmak üzere üç seviyede belgelendirir. Ekim 2026 itibarıyla TSE'nin sayfasındaki şartlar şöyledir:

Üst seviyedeki uzman alt seviyenin yerini tutabilir. Denetim bir gün sürer ve firmanın TS 13638'e uygun yaptığı en az iki sızma testi projesi incelenir.

Bu belge bazı düzenlemelerde şarttır. Elektronik ticarette Güven Damgası almak isteyen site, başvurudan en fazla üç ay önce ve her takvim yılında en az bir kez TSE onaylı A ya da B sınıfı bir firmaya sızma testi yaptırır. Sektöre özel kurallar da vardır. BDDK'nın 6 Nisan 2019'da yayımlanan finansal kiralama, faktoring ve finansman şirketlerine yönelik tebliğinin 6. maddesi bu şirketlerden iki yılda bir sızma testi ister.

Firma seçerken TSE belgesinin seviyesini sor. Neyin test edileceğini ise yalnız yetki belgesi belirler.

Sızma testi neyi garanti etmez?

Sızma testi, test günündeki durumun fotoğrafıdır. Sistemin güvenli olduğunu garanti etmez. Raporu okurken şu sınırları bil:

• Kapsamla sınırlıdır. Kapsam dışında kalan eski bir alt alan adı ya da tedarikçi sistemi test edilmez.
• Süreyle sınırlıdır. Birkaç günlük testte bulunmayan açık, olmadığı anlamına gelmez.
• Risksiz değildir. NIST, test sırasında sistemlerin zarar görebileceğini, deneyimli ekibin bu riski azaltsa da hiçbir zaman sıfırlayamayacağını yazar. Bu yüzden riskli testler yetki belgesinde ayrıca yazılır ve gerekirse yoğun olmayan saatlere alınır.
• Yeni kodla eskir. Her büyük sürüm, yeni sunucu ya da yeni tedarikçi yeni bir yüzey açar.

Sıklık için NIST, kurum ağında yılda bir testin ve arada düzenli taramanın yeterli olabileceğini söyler. Sektörünün kuralı varsa o geçerlidir.

Sızma testi yapmayı nasıl öğrenirsin?

Önce kendi laboratuvarında, sonra izinli platformlarda başlarsın. Gerçek bir kurumun sistemini "denemek için" taramak bu yolun parçası değildir.

AltaySec laboratuvarında keşiften rapora kadar aynı aşamaları yasal ve izole hedeflerde çalışabilirsin. Sertifika tarafında giriş seviyesi için eJPT nedir, uygulamalı ve daha ağır bir sınav için OSCP sertifikası nedir yazılarına bak. Çözdüğün her lab'ı bir sayfalık kısa bir raporla bitir. Gerçek bir sızma testinde müşterinin eline geçen tek şey rapordur.

Kaynaklar

• NIST SP 800-115: Technical Guide to Information Security Testing and Assessment
• PTES: Penetration Testing Execution Standard ana bölümleri
• OWASP: Web Security Testing Guide proje sayfası
• TSE: Sızma Testi Yapan Firmaların Belgelendirilmesi
• Güven Damgası: Güvenlik Testi şartları (PDF)