Sızma Testi Raporu Örneği: Bölüm Bölüm Şablon

İyi bir sızma testi raporu iki ayrı okura aynı anda hitap eder: bütçeye karar veren yöneticiye ve açığı kapatacak geliştiriciye. Aşağıda bölüm bölüm bir şablon, kurgusal bir yönetici özeti ve kurgusal bir bulgu örneği bulacaksın. Örneklerdeki şirket ve sistem adları uydurmadır; gerçek bir kuruma ait değildir.

Sızma testi raporunda hangi bölümler olur?

Bir sızma testi raporu genelde belge bilgisi, yönetici özeti, kapsam, metodoloji, risk puanlama yöntemi, bulgular ve eklerden oluşur. Sıra kurumdan kuruma değişir, ama bu yedi bölümün hepsi bulunmalıdır.

Test türü bölümünde kara kutu, gri kutu ya da beyaz kutu yaklaşımını açıkça yaz. Kara kutuda testçiye ön bilgi verilmez. Gri kutuda test hesabı gibi sınırlı bilgi verilir. Beyaz kutuda kaynak kod ya da mimari belgeler de paylaşılır. Okur, bulguların hangi koşulda çıktığını buradan anlar.

Yönetici özeti nasıl yazılır?

Yönetici özeti, teknik terim kullanmadan "ne kadar risk altındayız ve ne yapmalıyız" sorusunu bir sayfada cevaplayan bölümdür. Çoğu yönetici raporun yalnız bu kısmını okur.

Bir yönetici özeti şu dört soruyu cevaplamalıdır:

1. Ne test edildi ve ne zaman?
2. Genel risk düzeyi nedir?
3. En önemli bulgular iş açısından ne anlama geliyor?
4. Öncelikli olarak ne yapılmalı?

Aşağıdaki paragraf kurgusal bir örnektir:

KURGUSAL ÖRNEK. Örnek Lojistik A.Ş.'nin müşteri portalı, 6-17 Ekim 2026 arasında gri kutu yaklaşımıyla test edildi.
Testte 1 yüksek, 3 orta ve 4 düşük önemde bulgu tespit edildi. Kritik bulgu yoktur.
En önemli bulgu, oturum açmış bir müşterinin başka müşterilere ait faturaları görebilmesidir.
Bu durum kişisel verilerin yetkisiz kişilere açılması riskini doğurur ve KVKK kapsamında bildirim yükümlülüğü doğurabilir.
Öncelikli öneri, fatura indirme işlevinde sahiplik denetiminin 30 gün içinde eklenmesi ve ardından yeniden test yapılmasıdır.

Dikkat et: örnekte araç adı, istek biçimi ya da teknik ayrıntı yok. Risk, iş diliyle anlatılıyor: "başka müşterinin faturası görülebiliyor". Teknik ayrıntı bulgu kartına aittir.

Bir bulgu nasıl yazılır?

Her bulgu; başlık, önem, CVSS puanı, etkilenen varlık, açıklama, etki, kanıt, tekrar üretim özeti ve öneri alanlarından oluşan ayrı bir kart olarak yazılır. Geliştirici bu kartı tek başına okuyup sorunu düzeltebilmelidir.

Bu örnekte önem "Orta" çıktı, çünkü CVSS yalnız teknik etkiyi ölçer. Raporu yazan kişi, faturalarda kişisel veri bulunduğu için iş riskini yönetici özetinde "yüksek" olarak işaretleyebilir. Bunu yaptığında gerekçeyi açıkça yaz. CVSS puanıyla iş önceliği arasındaki farkı gizleme.

Tekrar üretim alanı teknik ekibin sorunu doğrulaması içindir. Kurum içi raporda burada istek kayıtları da yer alır. Rapor dışarı paylaşılacaksa kanıtlardaki kişisel veriyi maskele.

CVSS ile risk nasıl puanlanır?

CVSS (Common Vulnerability Scoring System), bir açığın teknik önemini 0 ile 10 arasında puanlayan, FIRST'ün yönettiği açık bir standarttır. Güncel sürüm CVSS v4.0, 1 Kasım 2023'te yayımlandı.

Kaynak: FIRST, CVSS v4.0 Specification Document, Tablo 22.

CVSS v4.0 dört metrik grubu kullanır: Base (taban), Threat (tehdit), Environmental (çevresel) ve Supplemental (tamamlayıcı). v4.0 ayrıca hangi grupların hesaba katıldığını gösteren adlandırma getirdi: yalnız taban için CVSS-B, tehdit eklenince CVSS-BT gibi. Birçok kurum ve rapor hâlâ v3.1 kullanıyor. Hangisini seçersen seç, raporda sürümü ve tam vektörü yaz; okur puanı kendisi doğrulayabilsin. Ayrıntılar için CVSS ve CVE yazımıza bak.

Sızma testi raporu ile bug bounty raporu arasındaki fark nedir?

Sızma testi raporu, belirli bir kapsamın tamamını sözleşmeyle test eden ekibin bütüncül çıktısıdır; bug bounty raporu ise tek bir açığı programa bildiren kısa bir belgedir. Okur, kapsam ve uzunluk birbirinden farklıdır.

Tek bir açığı programa nasıl bildireceğini öğrenmek istersen ilk bug bounty raporu yazımız şablonla anlatıyor.

Sızma testi raporunda en sık yapılan hatalar neler?

En sık hata, tarama aracının çıktısını yorumlamadan rapora kopyalamaktır. Okur, araç çıktısı değil, doğrulanmış bulgu ve uygulanabilir öneri bekler.

• Doğrulanmamış bulgu: Aracın "olası" dediği her şeyi bulgu yazmak. Yanlış pozitif raporun güvenini düşürür.
• Genel öneri: "Güvenlik yamalarını uygulayın" gibi her rapora yazılabilecek cümleler. Öneri, o sisteme özgü olmalı.
• Puan ve etki uyumsuzluğu: Yüksek puan verip etkiyi anlatmamak ya da tersi.
• Kapsam belirsizliği: Neyin test edilmediğini yazmamak. Okur, test edilmeyen sistemi de güvenli sanabilir.
• Kişisel veri sızıntısı: Kanıt ekran görüntülerinde gerçek müşteri verisini maskelememek.
• Olumlu gözlem eksikliği: İyi yapılan kontrolleri yazmamak. Bunlar ekibin neyi koruması gerektiğini gösterir.

Türkiye'de sızma testi raporu nerede işe yarar?

Türkiye'de sızma testi raporu hem kurum içi risk yönetiminde hem de bazı sektörlerde düzenleyici denetimde kanıt olarak kullanılır. Örneğin BDDK'nın finansal kiralama, faktoring ve finansman şirketlerinin bilgi sistemlerine ilişkin tebliğinin 6. maddesi, bu şirketlere iki yılda bir sızma testi yaptırma yükümlülüğü getirir.

Raporun hukuki ayağı yetki belgesidir. Test, yazılı izin ve tanımlı kapsam olmadan yapılırsa TCK 243-245 kapsamında suç oluşturabilir. Bu yüzden kapsam bölümünde yetki belgesinin tarihine ve imzalayan kişiye atıf yap. Kendi sektörünün yükümlülükleri için düzenleyicinin güncel metnine bak; bu yazı hukuki danışmanlık değildir.

Rapor yazmayı nasıl öğrenirsin?

Rapor yazmayı öğrenmenin en kısa yolu, izinli bir lab ortamında bulduğun her açığı yukarıdaki kart şablonuyla yazmaktır. Beş bulgu yazdıktan sonra hangi alanı zayıf bıraktığını kendin fark edersin.

AltaySec Akademi'nin Kırmızı Takım yolundaki Raporlama ve Etik modülü kapsam ve yetki belgesini, kanıt toplamayı, CVSS ile puanlamayı ve rapor yazımını sırayla anlatır. Modülün Rapor Teslimi laboratuvarında bir bulguyu rapora dönüştürme pratiği yaparsın.

Sıradaki adım: Rapor Teslimi laboratuvarını aç ve oradaki bulguyu bu yazıdaki kart şablonuyla yaz.

Kaynaklar

• FIRST, CVSS v4.0 Specification Document
• FIRST, CVSS v3.1 Specification Document
• NIST SP 800-115, Technical Guide to Information Security Testing and Assessment
• OWASP Web Security Testing Guide
• Penetration Testing Execution Standard (PTES)
• BDDK, Finansal Kiralama, Faktoring ve Finansman Şirketlerinin Bilgi Sistemlerinin Yönetimine ve Denetimine İlişkin Tebliğ (İngilizce çeviri)