Kapsam ve yetki belgesi

Teknik beceri testin yarısıdır. Öbür yarısı kapsam toplantısında kurulur. Orada neyi, ne zaman ve hangi sınırla test edeceğini, bir şey ters gittiğinde kimi arayacağını yazarsın.

Belge imzalanmadan tek bir aktif adım atmazsın, çünkü imzasız bir tarama bile seni hukuken savunmasız bırakır. Belgenin her maddesi somut bir riske karşılık gelir. Hedef listesi yanlış adrese dokunmayı önler.

Test penceresi olası kesintiyi yoğun saatlerden uzak tutar. Acil bildirim maddesi, kritik bir açığın rapor gününe kadar açık kalmasını engeller. Her maddenin hangi riski kapattığını bilirsen, yeni bir müşteride de belgeyi eksiksiz kurarsın.

Kapsam toplantısı teknik bir görüşme değildir, bir anlaşmadır. Karşındaki kişi riskleri bilmeyebilir. Ne yapacağını sade bir dille anlatmak ve olası yan etkileri önceden söylemek sana düşer. Sözlü onay seni korumaz; yalnız yazılı yetki hukuki zemin kurar.

Toplantıda konuşulan her madde aynı gün yazıya geçer, karşı taraf onaylar ve belge kesinleşir. Hafızaya dayanan anlaşmalar testin ortasında dağılır. Bir müşteri temsilcisi bugün bir cümle söyler, iki hafta sonra onu başka hatırlar; yazılı belge bu farkı baştan kapatır ve iki tarafı da aynı metne bağlar.

Toplantının bir amacı da süreyi doğru bölmektir. Dar bir kapsama verilen geniş süre boşa gider. Geniş bir kapsama verilen dar süre ise yüzeysel bir test üretir ve müşteriye yanlış güven verir. Bu yüzden kapsam ile süreyi birlikte masaya koyarsın.

Her varlığın kaç gün süreceğini kabaca bölersin, toplamı sözleşmeye yazarsın. Üç günlük bir pencereye on uygulama sığdırmaya çalışmak, her birine yüzeysel bakmak demektir. Doğru yaklaşım, kapsamı daraltıp derin bakmak ya da süreyi gerçekçi tutmaktır. Müşteri neye para verdiğini, sen de hangi derinliğin beklendiğini böyle bilirsin.

Toplantının üçüncü işi beklentiyi hizalamaktır. Kimi müşteri bir rapor değil, bir onay bekler ve her bulguyu kişisel bir kusur sayar. Testin kişiye değil sisteme baktığını baştan söylersin. Bir lojistik firmasının güvenlik ekibiyle oturduğunu düşün.

Altay Kargo'nun BT müdürü çoğu zaman hemen başlayın der. Doğru yanıt, hedef listesini yazılı almadan tuşa dokunmamaktır. Bu bir yavaşlık değil, meslek disiplinidir; kriz anında seni koruyan tek şey o imzalı metin olur.

Belge birkaç başlığı mutlaka taşır. Kapsamdaki alan adları ve IP aralıkları tek tek yazılır. Kapsam dışı varlıklar ayrı bir listede durur; NIST'in kılavuzu bu listeye dışlama listesi der. Test penceresi saat aralığıyla belirtilir.

Belirsiz ifadelerden kaçınırsın: tüm altyapı gibi bir cümle işe yaramaz. Alan adı, IP aralığı ve uygulama adları açık yazıldığında tartışma testten önce biter. Belirsiz bırakılan her kelime, test sonrasına ertelenmiş bir anlaşmazlıktır; sınır testten önce konur.

Yıkıcı teknikler ayrı bir madde ister. Hizmet reddi denemesi, kaba kuvvet ve veri değiştiren yükler öntanımlı olarak kapalıdır. Açılacaksa hangi sistemde, hangi pencerede ve hangi hız sınırıyla açıldığı yazılır. Hız sınırı küçük görünür ama önemlidir: saniyede yüz istek atan bir tarama, zayıf bir uygulamayı canlı saatte çökertebilir.

Belgeye saniyede kaç isteğe kadar gidileceğini yazarsan, kesinti riskini baştan düşürürsün. Acil bildirim maddesi en çok atlanan ve en çok gereken maddedir. Kritik bir bulgu ya da aktif bir saldırı izi görürsen, raporu beklemeden bildirirsin; kanal, kişi ve süre belgede durur.

# kapsam tablosu
Varlık            | Tür       | Pencere     | İzinli teknik        | Not
siparis.example   | Web uyg.  | 02-05 arası | pasif + aktif tarama | canlı sistem
api.example       | REST API  | mesai dışı  | kimlik/yetki testi   | hız sınırı 10 rps
10.0.0.0/24       | iç ağ     | tüm gün     | yalnız keşif         | yük testi kapalı
vpn.example       | -         | -           | -                    | KAPSAM DIŞI

Tabloyu oku. İlk sütun varlığı, ikincisi türünü verir. Üçüncü sütun pencereyi dar tutar: canlı sipariş sistemine yalnız gece dokunursun.

Dördüncü sütun izinli tekniği yazar; iç ağda yalnız keşif açıktır, yük testi kapalıdır. Son sütun notu taşır. En alt satırdaki VPN kapsam dışıdır ve büyük harfle işaretlenir. Böyle bir tablo, elli maddelik düz bir metinden daha hızlı okunur.

Kesinti anında kimse sözleşmenin paragraflarını taramaz; bir satıra bakar ve o varlığa ne yapılabileceğini saniyede görür. Tablo hem test eden hem test edilen için ortak bir harita olur.

Gizlilik ve sorumluluk maddeleri de aynı belgeye girer. Testte gördüğün her şey müşterinin sırrıdır; ekran görüntüleri ve kimlik bilgileri başka yerde paylaşılmaz, sunum örneği olmaz. Bir kesinti olursa zararın nasıl paylaşılacağı önceden yazılır. Bu madde hem müşteriyi hem seni korur ve tartışmayı teknik alandan parasal alana taşır.

Sigorta ve sorumluluk sınırı, bir aksilik anında kimin ne kadar sorumlu olduğunu belgeyle sabitler. Parola gibi gizli bilgiler ise belgeye hiç yazılmaz; ayrı ve şifreli bir kanaldan paylaşılır, çünkü sözleşme dosyası birçok elden geçer.

Kaza olur. Yanlış bir hedef listesi, bir yazım hatası ya da beklenmedik bir yönlendirme, isteğin kapsam dışı bir adrese gitmesine yol açabilir. Bunu fark edersen durursun ve zaman damgasıyla bildirirsin. Şeffaflık, olay kayıtlarında beliren isteğin kaynağını açıklar ve iyi niyetini belgeler.

Kaydı silip devam etmek en kötü seçenektir; bir olay müdahale ekibi o isteği gördüğünde kaynağı açıklanamazsa durum gerçek bir saldırıdan ayrılamaz. O zaman da hem test durur hem de güven zedelenir. Bir satır not, haftalarca sürecek bir soruşturmayı önler.

NIST'in kural koşum çerçevesi tam da bunu ister. Testi durdurma ölçütü, iletişim ağacı ve testi yeniden başlatma yolu baştan yazılır. Bir olay yaşanırsa kimin aranacağı tek bir yerde durur: test ekibi, müşterinin güvenlik grubu ve olay müdahale ekibi için birincil ve yedek kişiler belgeye girer.

Bir saldırgan test sırasında gerçekten içeri girerse, test durur mu, ne zaman ve kimin yetkisiyle yeniden başlar? Bu soruların yanıtı önceden yazıldığında, kriz anında kimse tahminle hareket etmez. Çerçeve kaosu bir prosedüre çevirir; herkes aynı adımı aynı sırayla izler.

Müşterinin izni kendi varlıklarını kapsar, sağlayıcınınkini kapsamaz. Büyük bulut sağlayıcıları kendi test kurallarını yayımlar. Tipik bir politika, listelediği servislerin testi için önceden onay istemez. Ama hizmet reddi, benzetilmiş hizmet reddi ve port, protokol ya da istek seli yasak listede durur.

Komuta kontrol trafiği içeren her test de önceden onaya bağlıdır. Kullandığın aracın arka planda bir yük testi başlatmadığından da sen sorumlu olursun. Paylaşımlı altyapıda bir sunucuyu zorlayan test, aynı donanımı paylaşan başka bir müşteriyi de etkiler. Müşterinin imzası bu sınırı aşamaz; sağlayıcının kuralını ayrıca okur ve bir kopyasını kayda alırsın.

Ödül avcılığı programları da aynı mantıkla çalışır. Program sayfası kapsamı, yasak teknikleri ve bildirim yolunu yazar. O sayfa senin yetki belgendir; dışına çıkan test korumasız kalır. Kurallara uymayan bir deneme, iyi niyetli bile olsa yetki kapsamının dışına düşer.

Programın yasak listesinde hizmet reddi, otomatik tarama ya da üretim verisine dokunma sıklıkla yer alır. Sayfayı okumadan atılan ilk istek bile seni haklı zeminden çıkarabilir. İyi bir avcı, kapsam sayfasını teknik çalışmanın başlangıcı sayar ve her hedefi o metinle doğrular.

Bazı testler ek izin ister. Çalışanlara yönelik oltalama testi kişisel veri işler; insan kaynakları ve hukukun onayını gerektirir. Teknik kapsam bu maddeyi kendiliğinden taşımaz. Test hesapları da ayrı bir maddedir.

Uygulama testi için farklı rollerde hesaplar istersin: normal kullanıcı, yetkili kullanıcı ve yönetici. Rolleri karşılaştırmadan yetki testi eksik kalır, çünkü asıl açık çoğu zaman bir rolün başka bir rolün verisine ulaşmasıdır. Üç hesapla girip birinin diğerinin faturasını görüp göremediğini denemeden, yetki denetimini gerçekten sınamış sayılmazsın.

Kara kutu ile beyaz kutu ayrımı da toplantıda konuşulur. Kara kutu testinde ekip yalnız dışarıdan görüneni bilir. Gerçekçilik arayan müşteri bunu seçer, çünkü bir saldırganın ne görebileceğini merak eder. Beyaz kutu testinde kaynak kod ve mimari belgesi ekibe verilir.

Tahmin yerine okuma geldiği için aynı sürede daha çok bulgu çıkar. İkisinin arasında gri kutu durur: ekip bir kullanıcı hesabı ve sınırlı bir belge alır. NIST'in kılavuzu da iki yöntemin birlikte kullanılmasına gri kutu der. Seçim süreyi ve beklenen derinliği doğrudan değiştirir, bu yüzden belgeye açıkça yazılır.

Kapsam belgesi ayrıca canlı bir belgedir. Test sırasında yeni bir varlık çıkabilir. Örneğin keşif aşamasında Altay Kargo'nun unutulmuş bir test sunucusu görünür. Bu sunucu listede yoksa ona dokunmazsın; önce müşteriye bildirir, yazılı onay istersin.

Onay gelince belge güncellenir, sürüm numarası artar ve değişiklik tarihiyle kayda geçer. Sözlü eklenen hedef sonradan tartışma doğurur. Telefonda verilen bir evet, olay kayıtlarında beliren isteği açıklamaz. E-postayla gelen onayı da belgeye ekler ve aynı gün resmîleştirirsin.

Bu disiplin yalnız dış sızma testinde geçerli değildir. Kurum içi kırmızı takım tatbikatında da aynı belge istenir; iç ekip bile yazılı onay almadan üretim sistemine dokunmaz, çünkü bir kesinti kurumun kendi müşterisini etkiler. Ödül avcılığında ise bu işlevi program sayfası üstlenir.

Hangi biçimde çalışırsan çalış, mantık aynıdır: yetkiyi yazıya geçir, sınırı önceden çiz ve belgeyi testin ortasında değil başında kesinleştir. Belge, teknik beceriyi meşru bir işe çeviren çerçevedir.