# Red Teaming Hizmeti **URL:** https://securesys.com.tr/tr/hizmetler/red-teaming-hizmeti #### Red Teaming Nedir? **Red** **Teaming**, kurumların siber güvenlik seviyesini gerçek saldırganların kullandığı teknik, taktik ve prosedürleri taklit ederek ölçmeyi amaçlayan ileri seviye bir güvenlik testidir. Klasik sızma testlerinden farklı olarak Red Team çalışmalarında amaç yalnızca güvenlik açıklarını tespit etmek değil, kurumun mevcut savunma mekanizmalarının gerçek bir hedefli saldırı karşısındaki etkinliğini değerlendirmektir. Red Team operasyonlarında test ekibi, gerçek bir saldırgan gibi hareket eder. Kurumun dış saldırı yüzeyi araştırılabilir, çalışanlara yönelik sosyal mühendislik senaryoları uygulanabilir, teknik zafiyetler istismar edilebilir, kullanıcı hesapları ele geçirilebilir ve kurum ağı içerisinde kontrollü biçimde ilerleme senaryoları gerçekleştirilebilir. Bu nedenle Red Teaming, yalnızca teknik bir güvenlik testi değildir. Aynı zamanda kurumun; **insan, süreç ve teknoloji** bileşenlerinin birlikte test edildiği kapsamlı bir siber saldırı simülasyonudur. SecureSys tarafından sunulan **Red** **Teaming****Hizmeti**, kurumların saldırgan bakış açısıyla değerlendirilmesini ve mevcut güvenlik yatırımlarının gerçek saldırı senaryoları karşısındaki etkinliğinin ölçülmesini amaçlar. ### Red Teaming Hizmeti Neden Gereklidir? Kurumlar siber güvenlik altyapılarına önemli yatırımlar yapmaktadır. Firewall, EDR, [XDR](/tr/hizmetler/xdr-guvenlik-hizmeti), [SIEM](/tr/hizmetler/siem-soar-guvenlik-hizmeti), NDR, WAF, DLP, PAM, e-posta güvenlik sistemleri, MFA çözümleri ve SOC hizmetleri kurumların savunma mimarisinin önemli parçalarıdır. Ancak bu teknolojilerin satın alınmış olması, gerçek saldırılar karşısında etkili şekilde çalıştıkları anlamına gelmez. Bir güvenlik ürününün teknik olarak devrede olması ile gerçek bir saldırıyı tespit edip durdurabilmesi farklı konulardır. Red Team operasyonlarının temel amacı bu farkı ortaya çıkarmaktır. Örneğin kurumda EDR kullanılmasına rağmen belirli saldırı tekniklerinin alarm üretmeden uygulanabilmesi mümkün olabilir. SIEM altyapısı çok sayıda log topluyor olabilir ancak saldırı zincirinin tamamını ilişkilendirecek korelasyon kuralları bulunmayabilir. SOC ekibi alarmı görüyor olabilir ancak doğru aksiyonu almakta gecikebilir. Bu nedenle Red Teaming, kurumun yalnızca güvenlik açıklarını değil, **savunma kapasitesini** de test eder. ### Red Teaming ile Sızma Testi Arasındaki Fark Red Teaming ve Penetrasyon Testi sıklıkla birbirine karıştırılır. Her iki çalışma da saldırgan bakış açısıyla gerçekleştirilmesine rağmen amaçları ve kapsamları farklıdır. Sızma testinde temel hedef belirlenen sistemlerde bulunan güvenlik açıklarının tespit edilmesi ve raporlanmasıdır. Örneğin bir web uygulama sızma testinde uygulamadaki SQL Injection, XSS, Broken Access Control veya kimlik doğrulama problemleri araştırılır. Red Team çalışmasında ise soru daha farklıdır: **“Gerçek bir saldırgan bu kuruma saldırmak isteseydi hedeflediği kritik sisteme veya bilgiye ulaşabilir miydi?”** Bu nedenle Red Team operasyonu tek bir sistemle sınırlı kalmayabilir. Bir saldırı dış ağdan başlayabilir, sosyal mühendislik ile devam edebilir, kullanıcı hesabının ele geçirilmesiyle kurum ağına taşınabilir ve Active Directory üzerinden kritik sunuculara kadar ilerleyebilir. Red Teaming'in değeri, tam olarak bu saldırı zincirlerini test edebilmesinden kaynaklanır. ### Red Teaming Nasıl Gerçekleştirilir? Profesyonel bir Red Team operasyonu rastgele saldırı tekniklerinin uygulanmasından oluşmaz. Test öncesinde kurumla birlikte operasyonun kapsamı, hedefleri ve kuralları belirlenir. Bu süreç genellikle **Rules of****Engagement****–****RoE** olarak adlandırılır. Red Team ekibinin hangi sistemlere müdahale edebileceği, hangi saldırı tekniklerinin kullanılabileceği, hangi sistemlerin kapsam dışında tutulacağı ve operasyonun ne zaman sonlandırılacağı önceden belirlenir. Ardından saldırı senaryosu oluşturulur. Bu senaryo gerçek tehdit aktörlerinin çalışma şekline benzer biçimde kurgulanabilir. Örneğin; **Keşif → İlk Erişim → Yetki Yükseltme → Kalıcılık → Yatay İlerleme → Kimlik Bilgisi Toplama → Kritik Sisteme Erişim → Hedefin Gerçekleştirilmesi** şeklinde ilerleyen bir saldırı zinciri oluşturulabilir. ### Red Team Operasyonunun Temel Aşamaları #### \1. Kapsam ve Hedef Belirleme Red Team operasyonunun ilk aşaması kurumla birlikte hedeflerin belirlenmesidir. Amaç yalnızca mümkün olduğunca fazla güvenlik açığı bulmak değildir. Başarılı bir Red Team operasyonu net hedeflere sahip olmalıdır. Örneğin test hedefi; kritik bir sunucuya erişmek, belirli bir veri setine ulaşmak, bir kullanıcı hesabını ele geçirmek, Active Directory üzerinde yüksek yetkili erişim elde etmek veya SOC ekibinin saldırıyı ne kadar sürede tespit ettiğini ölçmek olabilir. Bu hedefler kurumun risk profiline göre belirlenir. #### \2. Açık Kaynak İstihbaratı ve Keşif Gerçek saldırganlar hedef aldıkları kuruma saldırmadan önce detaylı bilgi toplar. Bu aşama **OSINT – Open Source****Intelligence** olarak adlandırılabilir. Kurumun internete açık varlıkları, domain yapıları, alt domainleri, kullanılan teknolojiler, çalışan bilgileri ve kamuya açık teknik bilgiler değerlendirilebilir. Amaç kurumun saldırı yüzeyini anlamaktır. Bu aşama saldırının sonraki adımlarının planlanmasında önemli rol oynar. #### \3. Saldırı Yüzeyinin Analizi Kurumun internet üzerinden erişilebilir sistemleri analiz edilir. Web uygulamaları, VPN servisleri, uzak erişim sistemleri, e-posta altyapısı, API servisleri ve diğer internet servisleri değerlendirilebilir. Saldırgan açısından kullanılabilecek zafiyetler veya yanlış yapılandırmalar araştırılır. Bu aşamada elde edilen bulgular sonraki saldırı adımlarının başlangıç noktası olabilir. #### \4. İlk Erişim Red Team operasyonlarının en kritik aşamalarından biri **Initial****Access**, yani ilk erişimdir. Saldırganların kurum altyapısına ilk erişimi sağlaması için farklı yöntemler kullanılabilir. Örneğin; güvenlik açığı bulunan internet servisi, web uygulama zafiyeti, phishing saldırısı, kullanıcı bilgilerinin ele geçirilmesi veya yanlış yapılandırılmış uzaktan erişim sistemi ilk erişim noktası olabilir. Bu aşamada kullanılacak yöntemler operasyon öncesinde belirlenen kapsam ve izinler dahilinde gerçekleştirilir. #### \5. Yetki Yükseltme Saldırgan kurum içerisindeki ilk erişimi elde ettikten sonra sahip olduğu yetkileri artırmaya çalışır. Bu süreç **Privilege** **Escalation** olarak adlandırılır. Yerel kullanıcı hesabının yönetici yetkisine yükseltilmesi veya kurum içerisinde daha yüksek erişim yetkisine sahip hesapların ele geçirilmesi saldırı zincirinin ilerlemesini sağlayabilir. Red Team ekibi sistemlerde bulunan yanlış yapılandırmaları, zayıf erişim kontrollerini ve yetkilendirme problemlerini değerlendirir. #### \6. Kimlik Bilgilerinin Ele Geçirilmesi Modern kurumsal saldırılarda kullanıcı hesapları en değerli hedeflerden biridir. Bir kullanıcının kullanıcı adı ve parola bilgilerinin ele geçirilmesi saldırganın kurum içerisinde normal kullanıcı gibi hareket etmesini sağlayabilir. Red Team operasyonlarında kapsam dahilinde parola hash'leri, token bilgileri, servis hesapları veya diğer kimlik doğrulama bilgilerine yönelik riskler değerlendirilebilir. Bu aşama özellikle Active Directory ortamlarında saldırı zincirinin ilerlemesini kolaylaştırabilir. #### \7. Yatay İlerleme Saldırgan ilk erişim sağladığı sistemde kalmak istemez. Amaç kurum içerisinde farklı sistemlere doğru ilerlemektir. Bu süreç **Lateral****Movement** olarak adlandırılır. Örneğin ele geçirilen bir kullanıcı bilgisayarından dosya sunucusuna, ardından uygulama sunucusuna ve daha sonra Active Directory altyapısına doğru ilerleyen bir saldırı zinciri oluşabilir. Yatay ilerleme, kurumun ağ segmentasyonu ve erişim kontrol yapılarının ne kadar etkili olduğunu ortaya çıkarır. ### Active Directory ve Red Teaming Active Directory, Red Team operasyonlarının en kritik hedeflerinden biridir. Çünkü birçok kurumda kullanıcılar, bilgisayarlar ve erişim yetkileri Active Directory üzerinden yönetilmektedir. Saldırganın domain ortamında yüksek yetki elde etmesi kurum altyapısının büyük bölümünü kontrol edebilmesine neden olabilir. Red Team operasyonunda Active Directory yapısı içerisinde bulunan saldırı yolları analiz edilebilir. Kapsama göre; **Kerberoasting****, AS-REP****Roasting****,****Pass-the-Hash****,****Pass-the-Ticket****,****delegation** **abuse****,****privilege** **escalation****ve lateral****movement** gibi tekniklerin uygulanabilirliği değerlendirilebilir. Buradaki amaç yalnızca belirli saldırı tekniklerini uygulamak değildir. Asıl amaç kurumun kimlik ve yetkilendirme mimarisinde saldırganların kullanabileceği zincirleri ortaya çıkarmaktır. ### Sosyal Mühendislik ve Red Teaming Siber saldırıların önemli bir bölümü insan faktörünü hedef almaktadır. Teknik güvenlik kontrolleri güçlü olsa bile çalışanların kandırılması saldırganların kuruma ilk erişim sağlamasına neden olabilir. Bu nedenle Red Team operasyonlarında kapsam dahilinde **sosyal mühendislik senaryoları** kullanılabilir. Phishing e-postaları, sahte giriş sayfaları veya kuruma özel hazırlanmış sosyal mühendislik senaryoları kullanılarak çalışanların güvenlik farkındalığı test edilebilir. Bu çalışmalar yalnızca çalışanların hata yapıp yapmadığını ölçmek için gerçekleştirilmemelidir. Asıl amaç kurumun; e-posta güvenlik sistemlerinin, kullanıcı farkındalığının, MFA mekanizmalarının, SOC süreçlerinin ve olay müdahale kapasitesinin birlikte değerlendirilmesidir. ### Red Teaming ve MITRE ATT&CK Red Team operasyonlarında saldırgan davranışlarının modellenmesi için en yaygın kullanılan yapılardan biri **MITRE ATT&CK** çerçevesidir. MITRE ATT&CK, gerçek saldırganların kullandığı teknik ve taktikleri kategorize eden kapsamlı bir bilgi tabanıdır. Red Team operasyonlarında MITRE ATT&CK kullanımı test senaryolarının daha sistematik hazırlanmasına yardımcı olabilir. Operasyon sırasında kullanılan teknikler farklı saldırı aşamalarıyla ilişkilendirilebilir. Bunlar arasında; **Reconnaissance****,****Initial****Access,****Execution****,****Persistence****,****Privilege** **Escalation****,****Credential****Access,****Discovery****, Lateral****Movement****,****Command** **and****Control ve****Exfiltration** gibi taktikler bulunur. Bu yaklaşım sayesinde kurum yalnızca “hangi güvenlik açığı bulunduğunu” değil, saldırganın hangi tekniklerle ilerleyebildiğini de görebilir. ### Red Team ve Blue Team Siber güvenlik operasyonlarında **Red****Team**, saldırgan rolünü üstlenen ekip olarak tanımlanabilir. **Blue Team** ise kurumun savunma ekibidir. Blue Team içerisinde SOC analistleri, güvenlik mühendisleri, sistem yöneticileri ve olay müdahale ekipleri bulunabilir. Red Team operasyonu sırasında saldırı ekibi kontrollü saldırılar gerçekleştirirken Blue Team bu aktiviteleri tespit etmeye ve engellemeye çalışır. Bu yaklaşım kurumun gerçek saldırılar karşısındaki savunma kapasitesinin ölçülmesine yardımcı olur. ### Purple Team Nedir? Red Team ve Blue Team ekiplerinin iş birliği içerisinde çalışması **Purple** **Teaming** yaklaşımını oluşturur. Purple Team çalışmalarında amaç saldırgan ve savunmacı ekiplerin birbirinden tamamen bağımsız çalışması değildir. Red Team kullandığı saldırı tekniklerini Blue Team ile paylaşabilir. Blue Team ise bu teknikleri SIEM, EDR, XDR, NDR veya diğer güvenlik sistemlerinde nasıl tespit edeceğini analiz eder. Bu sayede saldırı simülasyonu doğrudan savunma geliştirme çalışmasına dönüşür. Örneğin Red Team belirli bir credential dumping tekniği uygular. Blue Team mevcut EDR sisteminin bu aktiviteyi tespit edip etmediğini kontrol eder. Alarm oluşmuyorsa detection rule geliştirilebilir. Ardından aynı teknik tekrar uygulanarak yeni kural doğrulanabilir. Bu döngü kurumun güvenlik operasyonlarının olgunlaşmasını sağlar. ### Red Teaming ile SOC Performansının Ölçülmesi Red Team operasyonlarının önemli kullanım alanlarından biri SOC ekiplerinin performansının değerlendirilmesidir. Kurumda çok sayıda güvenlik ürünü ve merkezi SOC yapısı bulunabilir. Ancak gerçek bir saldırı gerçekleştiğinde; **saldırının ne kadar sürede tespit edildiği, hangi alarmın oluştuğu, analistin saldırıyı doğru yorumlayıp yorumlamadığı, olayın****eskale****edilip edilmediği ve müdahale süresinin ne olduğu** ölçülmelidir. Red Team operasyonları bu süreçlerin kontrollü ortamda test edilmesine imkân sağlar. Bu sayede SOC yatırımlarının yalnızca teknolojik değil operasyonel etkinliği de değerlendirilebilir. ### Red Teaming Hangi Kurumlar İçin Uygundur? Red Teaming özellikle belirli bir siber güvenlik olgunluğuna ulaşmış kurumlar için yüksek değer sağlayabilir. Finans kuruluşları, savunma sanayii şirketleri, kamu kurumları, telekomünikasyon şirketleri, enerji kuruluşları, büyük holdingler, teknoloji şirketleri ve kritik altyapı işleten organizasyonlar Red Team operasyonlarından faydalanabilir. Ancak Red Team yalnızca büyük ölçekli kurumlara yönelik değildir. Kritik veriler işleyen veya siber saldırıların iş sürekliliğini ciddi şekilde etkileyebileceği kurumlarda da uygulanabilir. ### Red Teaming Hangi Sistemleri Kapsayabilir? Red Team operasyonları kurumun belirlediği hedeflere göre farklı sistemleri kapsayabilir. Bunlar arasında; **internet sistemleri, dış ağ altyapısı, web uygulamaları, API servisleri, VPN sistemleri, Active Directory, kullanıcı bilgisayarları, e-posta altyapısı, kablosuz ağlar, bulut sistemleri ve kritik sunucular** bulunabilir. Kapsam kurumun risk profiline göre belirlenmelidir. ### Red Team Operasyonunda Gizlilik Red Team operasyonları kurumların kritik sistemleri ve çalışanları üzerinde gerçekleştirildiğinden yüksek gizlilik gerektirir. Operasyon öncesinde test kapsamı ve yetkiler açık şekilde belirlenmelidir. Hangi sistemlerin test edilebileceği, hangi tekniklerin yasak olduğu ve acil durumda kimlerle iletişime geçileceği dokümante edilmelidir. Test sırasında elde edilen bilgiler yalnızca proje amacıyla kullanılmalı ve kurumun bilgi güvenliği politikalarına uygun biçimde korunmalıdır. SecureSys Red Team çalışmalarında kontrollü test yaklaşımını ve operasyonel sürekliliği önceliklendirir. ### Red Teaming Sonrasında Raporlama Red Team raporları klasik pentest raporlarından farklı bir yapıya sahip olabilir. Çünkü Red Team operasyonunun en önemli çıktısı yalnızca bulunan zafiyetlerin listesi değildir. Raporlama içerisinde saldırının nasıl ilerlediği adım adım gösterilebilir. Örneğin: **İlk erişim sağlandı → kullanıcı hesabı ele geçirildi → iç ağa erişildi →****credential****elde edildi → yatay ilerleme gerçekleştirildi → Active Directory yetkisi yükseltildi → kritik hedefe erişildi.** Bu saldırı zinciri kurumun en kritik güvenlik zafiyetlerini anlamasını kolaylaştırır. Ayrıca güvenlik ürünlerinin hangi aşamalarda alarm ürettiği ve hangi saldırı tekniklerinin tespit edilemediği değerlendirilebilir. ### Red Teaming Sonrasında Kurum Ne Kazanır? Başarılı bir Red Team operasyonunun çıktısı yalnızca bir güvenlik raporu değildir. Kurum gerçek saldırganların sistemlerinde nasıl ilerleyebileceğini görür. Mevcut güvenlik yatırımlarının ne kadar etkili olduğunu ölçer. SOC ve olay müdahale süreçlerinin performansını değerlendirir. Kritik saldırı yollarını belirler. EDR, XDR, SIEM ve NDR gibi güvenlik sistemlerinin detection kapasitesini test eder. Ağ segmentasyonu ve kimlik güvenliği problemlerini tespit eder. Çalışan farkındalığını ölçebilir. Sonuç olarak Red Teaming, kurumun **gerçek siber dayanıklılığını** ölçmeye yardımcı olur. ### Red Teaming Ne Sıklıkla Yapılmalıdır? Red Teaming çalışmasının sıklığı kurumun risk seviyesine, sektörüne ve güvenlik olgunluğuna göre belirlenmelidir. Yüksek riskli kurumlarda Red Team çalışmalarının periyodik olarak gerçekleştirilmesi faydalı olabilir. Özellikle; büyük altyapı değişiklikleri, yeni kritik sistemlerin devreye alınması, önemli güvenlik yatırımları, SOC dönüşüm projeleri veya ciddi güvenlik olayları sonrasında Red Team operasyonu planlanabilir. Amaç yalnızca bir defa test yapmak değil, güvenlik seviyesinin zaman içerisindeki gelişimini ölçmektir. ### Red Teaming ve Siber Dayanıklılık Siber güvenliğin temel hedeflerinden biri saldırıların tamamen engellenebileceğini varsaymak değildir. Modern yaklaşım saldırının gerçekleşebileceğini kabul ederek kurumun saldırıyı tespit etme, sınırlandırma ve müdahale etme kapasitesini artırmayı hedefler. Bu yaklaşım **Cyber** **Resilience****– Siber Dayanıklılık** kavramının temelini oluşturur. Red Team operasyonları kurumun siber dayanıklılığını gerçek saldırı senaryolarıyla test eden en etkili yöntemlerden biridir. Bir saldırganın sisteme erişip erişemediği kadar; **ne kadar ilerleyebildiği, ne kadar süre tespit edilmeden kalabildiği ve hangi güvenlik kontrollerinin saldırıyı durdurabildiği** de ölçülür. ### Neden SecureSys Red Teaming Hizmeti? Red Teaming, klasik güvenlik taramalarından daha yüksek uzmanlık gerektiren bir çalışmadır. Operasyonu gerçekleştiren ekibin ağ güvenliği, web güvenliği, Active Directory, sosyal mühendislik, saldırı simülasyonu ve güvenlik ürünleri konusunda tecrübeli olması gerekir. **SecureSys** **Red** **Teaming****Hizmeti**, kurumların gerçek saldırgan davranışlarına karşı savunma kabiliyetlerini değerlendirmeyi hedefler. Çalışmalarda kapsam dahilinde **MITRE ATT&CK tabanlı saldırı senaryoları**, manuel saldırı teknikleri ve kurumun risk profiline özel operasyon planları kullanılabilir. SecureSys yaklaşımında amaç mümkün olduğunca fazla sisteme zarar vermek veya yalnızca çok sayıda bulgu üretmek değildir. Amaç kurumun en kritik saldırı yollarını ortaya çıkarmak ve savunma ekiplerinin bu saldırılara karşı daha hazırlıklı hale gelmesini sağlamaktır. **SecureSys****;****Red** **Teaming****, Penetrasyon Testi, Active Directory güvenlik testleri, sosyal mühendislik, saldırı simülasyonu ve diğer ofansif güvenlik hizmetleri sunan Türkiye merkezli bir siber güvenlik şirketidir.** ### Sık Sorulan Sorular #### Red Teaming nedir? Red Teaming, gerçek saldırganların tekniklerini taklit ederek kurumun insan, süreç ve teknoloji bileşenlerinin güvenliğini test eden kapsamlı bir saldırı simülasyonudur. #### Red Team ile [sızma testi](/tr/hizmetler/sizma-testi-penetrasyon-testi-hizmeti) aynı mıdır? Hayır. Sızma testi belirli sistemlerdeki güvenlik açıklarını bulmaya odaklanırken Red Teaming belirlenen kritik hedefe ulaşmak için uçtan uca saldırı senaryosu gerçekleştirir. #### Red Team çalışması ne kadar sürer? Operasyonun süresi kapsam ve hedeflere bağlıdır. Küçük kapsamlı çalışmalar birkaç hafta sürerken kapsamlı Red Team operasyonları daha uzun sürebilir. #### Red Team testi üretim ortamında yapılabilir mi? Evet, ancak operasyonun riskleri önceden değerlendirilmelidir. Kritik üretim sistemlerinde hangi tekniklerin kullanılacağı Rules of Engagement kapsamında açık şekilde belirlenmelidir. #### Red Teaming çalışanları da test eder mi? Kapsama dahil edilmesi halinde phishing ve diğer sosyal mühendislik senaryoları kullanılabilir. #### MITRE ATT&CK Red Team çalışmalarında kullanılır mı? Evet. MITRE ATT&CK saldırganların kullandığı teknik ve taktiklerin modellenmesinde yaygın olarak kullanılan referans yapılardan biridir. #### Red Team raporu neleri içerir? Raporda saldırı zinciri, kullanılan teknikler, erişilen sistemler, tespit edilen güvenlik problemleri, savunma sistemlerinin performansı ve iyileştirme önerileri yer alabilir. #### Red Teaming hangi güvenlik ürünlerini test eder? Operasyon dolaylı olarak SIEM, EDR, XDR, NDR, firewall, WAF, e-posta güvenliği ve SOC süreçlerinin gerçek saldırılar karşısındaki etkinliğinin değerlendirilmesini sağlayabilir. ### Gerçek Bir Saldırgan Kurumunuzda Ne Kadar İlerleyebilir? Güvenlik ürünlerinin kurulu olması güçlü bir savunma için önemlidir. Ancak asıl soru bu sistemlerin gerçek bir saldırı sırasında saldırganı tespit edip durdurup durduramayacağıdır. **SecureSys** **Red** **Teaming****Hizmeti** ile kurumunuzun güvenlik mimarisini gerçek saldırgan teknikleri karşısında test edebilir, kritik saldırı yollarını ortaya çıkarabilir ve SOC ile güvenlik ekiplerinizin savunma kapasitesini ölçebilirsiniz. **Kurumunuza özel****Red****Team operasyonu kapsamı oluşturmak ve****Red** **Teaming****Hizmeti hakkında bilgi almak için****SecureSys****ile [iletişime geçin](/tr/iletisim).**