Güvenlik Test Hizmetleri

E-ticaret yapan firmaların Güven Damgası başvurusuna bulunmadan en fazla üç ay önce ve her takvim yılı içinde en az bir defa yaptırması gerekli olan teknik denetimlerden birisi olan Güven Damgası Sızma Testi hizmetidir. Detaylı bilgi almak için buradan e-posta gönderebilirsiniz.

Kurum Kuruluş veya Firmanın İnternetten erişilebilen kapsam dahilindeki bilgi sistem bileşenlerinin; zafiyetlerinin tespiti, manuel yöntemlerle denenmesi, analiz edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamında talep edildiğinde doğrulanması faaliyetlerini de içeren güvenlik test hizmetidir.

Bu test hizmetinin sunulduğu kurum, kuruluş veya firmanın internet üzerinden ulaşılabilen bilgi sistemlerinin;

• Güvenlik açıklıklarının belirlenmesi,
• Tespit edilen açıklıkların istismarının manuel yöntemler kullanılarak denenmesi,
• Zafiyetlere ait bulguların analiz edilerek kritiklik durumlarının belirlenmesi,
• Tespit edilen her bir bulgu için gerekli açıklamaları ve çözüm önerilerini de içerecek şekilde sonuçların raporlanması,
• Hizmet kapsamında doğrulama kontrolü de istendiği durumlarda; kurumun tespit edilen bulgular kapsamında aldığı tedbirlerin tekrar bulgular üzerinden doğrulanarak raporlanması yapılır.
• Bu hizmet hizmetin sunulduğu kurum/kuruluşun isteği üzerine siyah, gri ve beyaz kutu testleri şeklinde icra edilebilir.
• Sadece İnternet güvenlik testi hizmeti sunulduğunda web uygulamaları da bu kapsamda test edilir. Ancak ayrıca web uygulama güvenlik testi hizmeti verilecekse Internet üzerinde hizmet veren uygulamaların testleri web uygulama güvenlik testleri kapsamında değerlendirilir.
• İnternet güvenlik testleri Barikat ofisinden uzaktan gerçekleştirilir. Bu testlerin icrası safhasında hizmetin sunulduğu kurum/kuruluşun tesislerine gidilmesine gerek bulunmamaktadır.
• İnternet Güvenlik Testleri “Barikat İnternet Güvenlik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın Yerel Ağlarında bulunan kapsam dahilindeki bilgi sistem bileşenlerinin; zafiyetlerinin tespiti, manuel yöntemlerle denenmesi, analiz edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamında talep edildiğinde doğrulanması faaliyetlerini de içeren güvenlik test hizmetidir.

Bu test hizmetinin sunulduğu Kurum Kuruluş veya Firman tarafından yerel ağları üzerinde hizmet veren ve kapsamı hizmeti satın alan kurum/kuruluş tarafından belirlenen bilgi sistemlerinin;

• Güvenlik açıklıklarının belirlenmesi,
• Tespit edilen açıklıkların istismarının manuel yöntemler kullanılarak denenmesi,
• Zafiyetlere ait bulguların analiz edilerek kritiklik durumlarının belirlenmesi,
• Tespit edilen her bir bulgu için gerekli açıklamaları ve çözüm önerilerini de içerecek şekilde sonuçların raporlanması,
• Hizmet kapsamında doğrulama kontrolü de istendiği durumlarda; kurumun tespit edilen bulgular kapsamında aldığı tedbirlerin tekrar bulgular üzerinden doğrulanarak raporlanması gerçekleştirilir.
• Bu hizmet hizmetin sunulduğu kurum/kuruluşun isteği üzerine siyah, gri ve beyaz kutu testleri şeklinde icra edilebilir.
• Sadece Yerel Ağ güvenlik testi hizmeti sunulduğunda web uygulamaları da bu kapsamda test edilir. Ancak ayrıca web uygulama güvenlik testi hizmeti verilecekse Internet üzerinde hizmet veren uygulamaların testleri web uygulama güvenlik testleri kapsamında değerlendirilir.
• Yerel Ağ güvenlik testleri hizmetin sunulduğu kurum/kuruluşun tesislerinde icra edilmektedir.
• Yerel Ağ Güvenlik Testleri “Barikat Yerel Ağ Güvenlik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın kapsam dahilindeki web uygulamalarının farklı kullanıcı profilleriyle zafiyetlerin tespiti, manuel yöntemlerle denenmesi, analiz edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamında talep edildiğinde doğrulanması faaliyetlerini de içeren güvenlik test hizmetidir.

Bu test hizmetinin sunulduğu Kurum Kuruluş veya Firma tarafından İnternet ve Yerel Ağları üzerinde hizmet veren ve kapsamı hizmeti satın alan kurum/kuruluş tarafından belirlenen uygulamaların;

• Güvenlik açıklıklarının belirlenmesi,
• Tespit edilen açıklıkların istismarının manuel yöntemler kullanılarak denenmesi,
• Zafiyetlere ait bulguların analiz edilerek kritiklik durumlarının belirlenmesi,
• Tespit edilen her bir bulgu için gerekli açıklamaları ve çözüm önerilerini de içerecek şekilde sonuçların raporlanması,
• Hizmet kapsamında doğrulama kontrolü de istendiği durumlarda; kurumun tespit edilen bulgular kapsamında aldığı tedbirlerin tekrar bulgular üzerinden doğrulanarak raporlanması gerçekleştirilir.
• Bu hizmet hizmetin sunulduğu kurum/kuruluşun isteği üzerine siyah, gri ve beyaz kutu testleri şeklinde icra edilebilir. Ayrıca uygulamalardaki kullanıcı profillerine göre farklı kullanıcı profillerine göre testler tekrarlanabilir.
• Güvenlik testi istenen uygulamalar İnternet üzerinden erişilebiliyorsa, Barikat ofisinden gerçekleştirilebilir. Ancak test edilmesi gereken uygulamalar içerisinde İnternet üzerinden erişilemeyen ve sadece Yerel Ağ’da hizmet veren uygulamalar var ise bu tür uygulamaların testleri güvenlik testleri hizmetinin sunulduğu kurum/kuruluşun tesislerinde icra edilir.
• Web Uygulama Güvenlik Testleri “Barikat Web Uygulama Güvenlik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın ağlarına bağlı kapsam dahilindeki kablosuz ağların, erişim kontrollerinin, yapılandırmalarının ve kullanıcılarının davranışlarının değerlendirilmesi, parola kırma testleri, erişim sağlanan kablosuz ağlar üzerinden kurum ağına gerçekleştirilebilecek saldırıların test edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamı dahilinde talep edildiğinde doğrulanması faaliyetlerini içeren güvenlik test hizmetidir.

Bu test hizmetinin sunulduğu Kurum Kuruluş veya Firma kablosuz ağlarının;

• Güvenlik açıklıklarının belirlenmesi,
• Tespit edilen açıklıkların istismarının manuel yöntemler kullanılarak denenmesi,
• Zafiyetlere ait bulguların analiz edilerek kritiklik durumlarının belirlenmesi,
• Tespit edilen her bir bulgu için gerekli açıklamaları ve çözüm önerilerini de içerecek şekilde sonuçların raporlanması,
• Hizmet kapsamında doğrulama kontrolü de istendiği durumlarda; kurumun tespit edilen bulgular kapsamında aldığı tedbirlerin tekrar bulgular üzerinden doğrulanarak raporlanması gerçekleştirilir.
• Testler hizmetinin sunulduğu kurum/kuruluşun tesislerinde icra edilir.
• Kablosuz Ağ Güvenlik Testleri “Barikat Kablosuz Ağ Güvenlik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın kapsam dahilindeki mobil uygulamalarının farklı kullanıcı profilleriyle zafiyetlerin tespiti, manuel yöntemlerle denenmesi, analiz edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamında talep edildiğinde doğrulanması faaliyetlerini de içeren güvenlik test hizmetidir.

Bu test hizmetinin sunulduğu kurum/kuruluş tarafından belirlenen mobil uygulamaların;

• Güvenlik açıklıklarının belirlenmesi,
• Tespit edilen açıklıkların istismarının manuel yöntemler kullanılarak denenmesi,
• Zafiyetlere ait bulguların analiz edilerek kritiklik durumlarının belirlenmesi,
• Tespit edilen her bir bulgu için gerekli açıklamaları ve çözüm önerilerini de içerecek şekilde sonuçların raporlanması,
• Hizmet kapsamında doğrulama kontrolü de istendiği durumlarda; kurumun tespit edilen bulgular kapsamında aldığı tedbirlerin tekrar bulgular üzerinden doğrulanarak raporlanması gerçekleştirilir.
• Bu hizmet hizmetin sunulduğu kurum/kuruluşun isteği üzerine siyah, gri ve beyaz kutu testleri şeklinde icra edilebilir. Ayrıca uygulamalardaki kullanıcı profillerine göre farklı kullanıcı profillerine göre testler tekrarlanabilir.
• Mobil uygulama güvenlik testleri güvenlik testleri Barikat ofisinde icra edilir.
• Mobil Uygulama Güvenlik Testleri “Barikat Mobil Uygulama Güvenlik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın Endüstriyel Kontrol Sistemlerinde (EKS) bulunan kapsam dahilindeki EKS ve bilgi sistem bileşenlerinin; zafiyetlerinin tespiti, manuel yöntemlerle denenmesi, analiz edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamında talep edildiğinde doğrulanması faaliyetlerini de içeren güvenlik test hizmetidir.

Bu test hizmetinin sunulduğu Kurum Kuruluş veya Firma tarafından belirlenen Endüstriyel Kontrol Sistemleri’nin;

• Güvenlik açıklıklarının belirlenmesi,
• Tespit edilen açıklıkların istismarının manuel yöntemler kullanılarak denenmesi,
• Zafiyetlere ait bulguların analiz edilerek kritiklik durumlarının belirlenmesi,
• Tespit edilen her bir bulgu için gerekli açıklamaları ve çözüm önerilerini de içerecek şekilde sonuçların raporlanması,
• Hizmet kapsamında doğrulama kontrolü de istendiği durumlarda; kurumun tespit edilen bulgular kapsamında aldığı tedbirlerin tekrar bulgular üzerinden doğrulanarak raporlanması gerçekleştirilir.
• Bu testler ideal olarak gerçek ortamdaki yapının bir benzeri olan test ortamında icra edilmelidir.
• Test ortamı yok ise gerçek sistemler üzerinde pasif yöntemler kullanılarak testler gerçekleştirilir.
• EKS Güvenlik testleri hizmet verilen kurum/kuruluşun tesislerinde icra edilir.
• EKS Güvenlik Testleri “Barikat EKS Uygulama Güvenlik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın çalışanlarının tamamına ya da örnekleme usulü seçilen bir kısmına yönelik gerçekleştirilen ve çeşitli aldatma teknikleri kullanarak, personelin bilgi güvenliği konusundaki bilinç seviyesini ölçmeyi hedefleyen test hizmetidir.

Bu test hizmetinin sunulduğu Kurum Kuruluş veya Firma tarafından belirlenen kullanıcılara;

• Kurum Kuruluş veya Firma tarafından belirlenecek olan; E-posta ile yemleme, Telefonla arama yoluyla bilgi isteme, taşınabilir veri depolama ortamlarının çeşitli bölgelere bırakılması vb. yöntemlerden biri veya birkaçı ile gerçekleştirilir.
• Tespit edilen sonuçlar istatistiksel raporlar şeklinde sunulur.
• Kişileri doğrudan adresleyecek bilgiler paylaşılmaz.
• Bu testlerin tipine göre uzaktan veya yerinde icra edilir.
• Sosyal Mühendislik Testleri “Barikat Sosyal Mühendislik Test Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın Dağıtık Servis Dışı bırakma (DDoS) Saldırılarına yönelik aldığı önlemlerin etkinliği ve gerçek hayat senaryoları karşısındaki durumunu test etmeye yönelik hizmettir.

Hizmet Dışı Bırakma (Distributed Denial-of-Service - DDoS) testleri hizmetinin sunulduğu Kurum Kuruluş veya Firma tarafından belirlenen sistemlerin;

• Bant genişliği, işlemci ve bellek gibi kaynaklarını tüketerek, o kaynakları kullanıcılar tarafından erişilemez duruma getirmek amacıyla yapılan testlerdir.
• Testlerde işlem yapılacak olan bot bilgisayar sayısı ve testlerde kullanılacak olan bant genişliklerine göre hazırlanacak olan senaryoların uygulanması ve testler sonucunda elde edilen sonuçların raporlanması şeklinde icra edilir.
• Testler Kurum Kuruluş veya Firmanın belirleyeceği saatlerde ve Barikat ofisinde icra edilir.
• DDoS Testleri “Barikat DDoS Testi Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın ortamında mevcut olan veya kurulacak olan yeni bir sürekli zafiyet analiz aracı ile kapsam dahilindeki sunucu ve ağ bileşenlerindeki zafiyetlerin bulunması ve ayda bir gün yapılan GTH personelinin ziyaretiyle tespit edilen bulguların ve çözüm önerilerinin değerlendirilmesini içeren bir hizmettir.

Sürekli Zafiyet Analiz hizmetinin sunulduğu Kurum Kuruluş veya Firma tarafından belirlenen sistemlerin;

• Zafiyet tarama uygulaması ile belirli periyotlarla taranarak, tarama sonuçlarının raporlanması hizmetidir.
• Bu hizmette iki türlü araç kullanım yöntemi uygulanabilir. Birincisinde Kurum Kuruluş veya Firmanın kendisine ait zafiyet tarama uygulaması kullanılabilir. İkincisinde ise Barikat tarafından hizmet süresince kurulacak olan ve lisansı Barikat’a ait olan bir açıklık tarama aracı kullanılır.
• Her iki yöntemde de kullanılan açıklık tarama araçlarının güncellemeleri yeni çıkan zafiyet bilgilerini içermesi maksadıyla güncellenir.
• Sürekli Zafiyet Analizi “Barikat Sürekli Zafiyet Analiz Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın güvenlik bileşenlerinin etkinliğini ölçmek maksadıyla, Picus ürününü kullanarak, İnternet üzerinde bulunan saldırgan rolündeki Picus bileşeninden, yerel ağda arzu edilen ağ bölümlerine konumlandırılmış yerel Picus bileşenlerine önceden tanımlanmış ve sürekli sayısı artan, atak senaryoları ile saldırarak, güvenlik cihazlarının üreticilerden bağımsız olarak etkinliklerinin ölçülmesi ve raporlanması hizmetidir.

Kurum Kuruluş veya Firmanın kullandıkları ya da kullanma aşamasında oldukları web uygulamaları üzerinde, kapsam dahilinde belirlenen sayıda kullanıcı davranışlarının, gerçek bir senaryoya bağlı olarak uygulanması sonucunda, söz konusu uygulamanın performans ve erişilebilirliğine etki edebilecek tüm bilgi sistemlerin test edilmesi hizmetidir.

WEB Uygulama Yük testi hizmeti Kurum Kuruluş veya Firma tarafından belirlenen uygulamaların, yine kendileri tarafından belirlenen çeşitli kullanıcı sayılarında;

• Erişilebilirlik durumunun test edilmesini amaçlayan,
• Belirlenecek senaryo kapsamında testlerin icra edilerek ve sonucunun raporlanması şeklinde icra edilen bir hizmettir.
• Bu testler Barikat ofisinden gerçekleştirilir.
• WEB Uygulama Yük Testleri “Barikat WEB Uygulama Yük Testi Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın yazılımlarının, statik kaynak kod analiz yöntemleri kullanılarak kod içerisinde bulunan açıklıkların tespiti, analiz edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamında talep edildiğinde doğrulanması faaliyetlerini de içeren güvenlik test hizmetidir.

• Kaynak kod analizi kurum kodları verdiği müddetçe Barikat ofisinde icra edilir. Aksi durumda yerinde statik kod analiz aracının geçici olarak kurulması şeklinde gerçekleştirilir.
• Yazılım Kaynak Kod Analizi “Barikat Yazılım Kaynak Kod Analizi Metodolojisi” ne uygun olarak icra edilir.

Kurum Kuruluş veya Firmanın ağında, belirlenen bir süre boyunca ağ trafiğinin izlendiği, tarik içerisinde tespit edilen dosyaların kum sandığı (sandbox) teknolojisi ile sanal makinalar üzerinde çalıştırılarak davranışlarının analiz edildiği, bu sayede sıfır gün (zero-day) açıklığı ve hedefli saldırı kapsamında hazırlanmış zararlıların tespitinin, engellenmesinin ve raporlamasının yapıldığı bir hizmettir.

• Barikat Zararlı Trafik Analiz Hizmeti Metodolojisine uygu olarak icra edilir.

Kurum/kuruluştaki mevcut siber güvenlik altyapısını, kurumun olay tespit, müdahale ve geri dönüş yeterlilikleri ve yeteneklerini insan, süreç ve teknoloji eksenlerinde ölçmek ve değerlendirmek amacıyla -masa başı ve simülasyon yöntemleri ile- tatbikat şeklinde verilen bir Barikat hizmetidir.

Amacı; Kurum/Kuruluşun bir güvenlik olayı meydana geldiği zaman;

• Karşılaşılabilecek sorunları önceden görebilmek,
• Olayın sonuçlarını ve Kurumu nasıl etkileyebileceği hakkında fikir sahibi olmak,
• Olaya "Yönetimsel" olarak nasıl müdahale edileceği ve nasıl yönetileceği hakkında alıştırma yapmak,
• Olay tespit yeterliliklerini ve yeteneklerini ölçmek,
• Olay müdahale yeterliliklerini ve yeteneklerini ölçmek,
• Geri dönüş yeterliliklerini ve yeteneklerini ölçmek,
• Kurumsal SOME ve Sektörel SOME rehberine olan uyumluluğu test etmek, insan/süreç ve teknoloji eksenlerinde değerlendirmektir.

Hedefler: Kurum/Kuruluşun gerçek bir siber güvenlik olayı karşısında;

• Hangi rollere, faaliyetlere ve süreçlere ihtiyacınız olduğunu fark etmek,
• Ne tür ikilemlerle karşı karşıya kalabileceğiniz hakkında fikir sahibi olmak,
• Kurumun ihtiyaçlarını daha sağlıklı bir şekilde görmektir.

Siber Güvenlik Tatbikatı aşağıda listelenen şekilde üç farklı grupta icra edilir:

• Gerçek saldırı senaryoları,
• Masa başı senaryoları,
• Simülasyon ortamı senaryoları.

Siber Güvenlik Tatbikat Hizmetinin detayları hizmet dokümanında açıklanmıştır.

Zafiyet tarama ve sızma testi gibi faaliyetler kurum/kuruluş bünyesinde, ön tanımlı kapsam dahilindeki zafiyetleri ve açıklıkları tespit etmek için yapılmaktadır. Bu faaliyetler genellikle kurum/kuruluşun maruz kalabileceği iç ve dış tehditler çok fazla analiz edilmeden yapıldığından dolayı yapılan çalışmalar sınırlı bir alanı kapsar ve sadece bu kapsam içerisindeki zafiyetler belirlenebilir. Ancak gerçek saldırganların motivasyonu sızma testi yapan uzmanlardan farklılık göstermektedir. Bu nedenle sızma testleri sonucu ortaya çıkan zafiyetler kapatılsa dahi saldırganlar başarılı olabilmektedir.

Bu nedenle kırmızı takım hizmeti kurum/kuruluşun maruz kalabileceği iç ve dış tehditler tespit ederek, bu tehditlere yönelik gerçekçi ve kontrollü testler düzenlemeyi hedefler. Bu sayede gerçek saldırganların kullandıkları araç, teknik ve taktikler dışında motivasyonları da simüle edilmiş olur. Ayrıca kırmızı takım hizmeti ile kurum/kuruluş bünyesinde siber güvenliği tesis etmek için oluşturulmuş olan ve işletilen SOME ve SGOM gibi yapıların gerçek bir olay karşısındaki davranışı ve yeterlilikleri belirlenir ve gerekli önlemler alınır. Bu sayede gerçek bir saldırıyı beklemek yerine gerçekçi bir saldırıyı tatbik ederek insan/süreç/teknoloji bazındaki zafiyetler tespit edilebilir.

Özetle Kırmızı Takım Hizmeti; gerçek saldırgan bakış açısıyla belirlenen bir hedefe yönelik veya bir kapsam verilmeden kurum/kuruluş bünyesinde bulun tüm IT/OT/IOT sistemlerini de kapsayacak şekilde insan, süreç, teknoloji ve fiziksel güvenlik tedbirlerini hedef alacak şekilde gerçekleştirilen, kurumun güvenliğinden sorumlu birimlerinin tespit ve önleme yeteneklerini de ölçmeyi hedefleyebilen bir test hizmetidir.

Nesnelerin İnterneti olarak isimlendirilen ve İnternete bağlı olan bünyesinde sensörleri bulunan, yazılıma ve ağ bağlantısına sahip, gerekli bilgileri toplayabilen ve bu bilgileri işleyerek iletebilen, nesnelerin/cihazların/gömülü sistemlerin güvenliğine yönelik gerçekleştirilen güvenlik test hizmetidir. Bu testler kapsamında bu cihazların;

• Web ara yüzlerinin güvenlik durumu,
• Yetkilendirme mekanizmalarının durumu,
• Sundukları ağ servislerinin durumu,
• İletişimde kullandıkları şifreleme mekanizmaları,
• Özel (Kişisel) verilerin güvenliği,
• Bulut ara yüzünün güvenliği
• Yapılandırma güvenliği
• Yazılım ve aygıt yazılımı(firmware) güvenliği
• Fiziksel güvenlik konuları test edilir.