Sızma Testi Sonunda Ne Teslim Edilir? Rapor, PoC ve Re-Test Süreci

Bir Sızma Testinin Değeri Raporun Kalitesiyle Ölçülür

Bir web uygulama sızma testinin amacı yalnızca güvenlik açıklarını bulmak değildir. Asıl amaç, kurumun bu açıkları anlayabilmesini, önceliklendirebilmesini ve kalıcı olarak giderebilmesini sağlamaktır. SecureSys olarak hazırladığımız raporlar, farklı teknik bilgi seviyelerine sahip paydaşların ihtiyaçlarını karşılayacak şekilde yapılandırılır — yazılım geliştiriciler teknik ayrıntılara ulaşabilirken, üst yönetim riskleri iş etkisi açısından değerlendirebilir.

Teslim Paketimiz

1. Yönetici Özeti

Testin kapsamı, genel güvenlik seviyesi, kritik bulgu sayısı, risk dağılımı ve öncelikli aksiyon önerilerini içerir. Amaç, teknik olmayan yöneticilerin birkaç dakika içinde kurumun güvenlik durumunu anlayabilmesini sağlamaktır.

2. Teknik Bulgular Raporu

Her bulgu; adı, risk seviyesi, CVSS puanı, açıklama, teknik analiz, istismar senaryosu, kanıt ekran görüntüleri, ilgili HTTP istek/yanıtları, referans standartlar (OWASP, CWE, CAPEC) ve iyileştirme önerileriyle detaylandırılır.

3. Risk Önceliklendirme

Her güvenlik açığı aynı aciliyete sahip değildir; bulgular kurumun iş süreçlerine etkisi dikkate alınarak önceliklendirilir, sınırlı kaynakların en kritik risklere yönlendirilmesine yardımcı olunur.

4. Kanıtlar (Proof of Concept)

Ekran görüntüleri, HTTP istekleri/yanıtları, parametre örnekleri ve teknik açıklamalar içerir. Kanıtlar hazırlanırken hassas veriler maskelenir veya anonimleştirilir.

5. İyileştirme Önerileri

Güvenli kodlama önerileri, sunucu yapılandırma değişiklikleri, kimlik doğrulama iyileştirmeleri ve mimari önerileri kapsar. Amaç yalnızca problemi göstermek değil, çözüm sürecini de desteklemektir.

6. Re-Test ve Doğrulama

İyileştirme çalışmalarının ardından daha önce tespit edilen bulgular yeniden değerlendirilir; açığın tamamen giderilip giderilmediği ve uygulanan düzeltmenin yeni risk oluşturup oluşturmadığı kontrol edilir. Başarılı şekilde kapatılan bulgular raporda "Doğrulandı" olarak işaretlenir.

Kapanış Toplantısı ve Bilgi Paylaşımı

Teknik raporların yanı sıra, proje sonunda kurumun talebine bağlı olarak bir kapanış toplantısı gerçekleştirilebilir. Bu toplantıda kritik bulgular değerlendirilir, geliştirme ekiplerinin soruları yanıtlanır ve öncelikli iyileştirme planı gözden geçirilir.

Teslim Edilen Çıktılar

Teslim Edilen Çıktı	Amaç
Yönetici Özeti	Üst yönetime genel güvenlik görünümü sunmak
Teknik Bulgular Raporu	Güvenlik açıklarını ayrıntılı şekilde açıklamak
Risk Önceliklendirme Tablosu	İyileştirme çalışmalarını planlamak
Kanıtlar (PoC)	Bulguların doğrulanmasını sağlamak
İyileştirme Önerileri	Açıkların nasıl giderileceğini göstermek
Re-Test Sonuçları	Düzeltmelerin doğrulanması
Kapanış Sunumu (isteğe bağlı)	Teknik ve yönetsel değerlendirme paylaşımı

Öncelik Seviyeleri

Öncelik	Açıklama	Önerilen Aksiyon Süresi
Kritik	Veri ihlali veya sistem ele geçirilmesi riski	En kısa sürede
Yüksek	İş süreçlerini etkileyebilecek güvenlik açığı	Öncelikli planlama ile
Orta	Belirli koşullarda istismar edilebilir	Planlı iyileştirme sürecinde
Düşük	Güvenlik seviyesini artıracak iyileştirmeler	Düzenli bakım kapsamında

Test sürecimizin metodolojisi için sızma testi metodolojisi sayfamızı, hizmetin tamamı için Web Uygulama Sızma Testi Hizmeti sayfamızı inceleyebilirsiniz.