Saldırganın yapacağını biz önce yaparız.

Otomatik tarayıcı (Nessus, ZAP, Acunetix vb.) imza tabanlıdır: bilinen örüntüleri arar, sonuçların büyük çoğunluğu false-positive olur ve iş mantığı açıklarını asla yakalayamaz. Pentester ise sizin uygulamanıza özgü hipotezler kurar, zayıf üç noktayı birleştirip kritik bir zincire dönüştürür, yetki sıçramasını elle dener ve yakaladığı her bulguyu reprodüklenebilir adımlarla kanıtlar. Pratikte bir tarayıcı raporundaki "10 critical"ın yarısı yanlış uyarıdır; pentest raporundaki her bulgu sömürülmüş ve kanıtlanmıştır — geliştirme ekibinin tartışmaya gerek kalmaz, doğrudan yamaya geçer.

Üçü de mümkün ve farklı şeyleri ölçer. Black-box, saldırganın sizinle ilgili hiçbir bilgisi yokmuş gibi başlar — gerçek saldırgan deneyimine yakın, ancak zaman ve kapsam maliyeti yüksek. White-box'ta size kaynak kod, mimari diyagramı ve admin hesaplar verilir — birim zamanda en derin testtir, üretim öncesi en uygun. Gray-box ise ortadadır: sıradan kullanıcı hesabı ve genel mimari bilgisiyle başlar; çoğu kurumsal pentest için en pratik orta yoldur çünkü hem dış hem iç saldırgan modellerini aynı engagement'ta kapsayabilir. Doğru seçim hedefe bağlı; ilk toplantıda sizinle birlikte karar veriyoruz.

Doğru yönetilirse hayır. Rules of Engagement (RoE) belgesinde izin verilen saatler, eş zamanlı bağlantı sınırı, kullanılacak izole test hesapları ve yasaklı eylemler (DoS, kalıcı veri silme vb.) net olarak yazılır. Çoğu engagement'ta yıkıcı testler (örn. brute-force kilidi tetikleyen denemeler, payload upload'ları) yalnızca staging'de yapılır; üretimde yalnızca okunabilir kanıt toplanır. Yedek planı her zaman vardır: testten önce snapshot alınır, anomali durumunda mühendiniz aranır. 280+ engagement'ta üretim kesintisi yaşanmadı çünkü disiplin bu disiplini gerektirir.

Kapsama göre değişir. Tek bir web uygulaması için tipik süre 5–10 iş günü; orta büyüklükte bir API engagement'ı 7–12 iş günü; mobil uygulama 8–14 iş günü; tam bir red-team senaryosu 4–8 hafta sürebilir. Bunlara ek olarak yamalar yayınlandıktan sonra (genelde 4–8 hafta içinde) ücretsiz yeniden test yaklaşık 2–3 iş günü alır. Süreyi belirleyen üç şey vardır: kapsamın genişliği, kontrol edilecek role/permission sayısı ve test ortamının erişilebilirliği. İlk toplantıda kapsamı netleştirip net iş günü ve net fiyat veriyoruz; bir daha değişmez.

Rapor üç katmandır. Birincisi, yönetici özeti: 1–2 sayfa, teknik olmayan bir okuyucu için risk tablosu, bulgu sayıları ve genel duruş. İkincisi, teknik bulgu detayları: her bulgu için açıklama, etkilenen bileşen, sömürü adımları ekran görüntüleriyle, CVSS 3.1 skoru ve önerilen düzeltme (örnek kod dahil). Üçüncüsü, öncelikli aksiyon planı: hangi düzeltme önce, hangi sonra — sprint planlamasına uyacak şekilde. Tüm rapor Markdown + PDF formatında teslim edilir; tekrar testten sonra "remediated" notuyla yeniden yayımlanır. Müşterilerimiz bu raporu ISO 27001, SOC 2, PCI-DSS denetimlerine doğrudan sunabiliyor.

Hayır. Ana engagement'ta tespit edilen tüm Critical ve High bulgular için yeniden test ücretsizdir ve sözleşme bedeline dahildir. Tek koşul: yamaların 4–8 hafta içinde (anlaşmaya göre 12 haftaya kadar uzatılabilir) deploy edilmiş olması ve test edilebilir bir ortamın hazır olması. Yeniden test sonunda kapatılan bulgular "remediated" işaretlenir, hâlâ açık olanlar yeniden raporlanır. Bu bizim açımızdan kalite garantisidir: rapor verip ortadan kaybolmuyoruz, kapanışa kadar sahibiz. Medium ve Low bulgular için yeniden test isteğe bağlıdır; ana engagement'ın küçük bir oranı kadar ek bir maliyet çıkar.

Üçünü de aynı engagement'ta kullanıyoruz. Web uygulamaları için OWASP Top 10 (2021) ve OWASP ASVS Level 2; API için OWASP API Top 10; mobil için OWASP MASVS. Metodoloji olarak PTES (Penetration Testing Execution Standard) aşamalarını izliyoruz: pre-engagement, intel gathering, threat modelling, vuln analysis, exploitation, post-exploitation, reporting. Risk skorlaması için CVSS 3.1; raporlama formatında NIST SP 800-115 referansları. ISO 27001, SOC 2, PCI-DSS uyumlu — yani raporumuz denetçinin bekleyeceği yapıdadır. Tek bir standart yerine üçünün birlikte uygulanması, hem teknik derinliği hem audit-kabulünü garantiler.

Evet, her engagement'ta lider mühendisin sektörce tanınmış en az bir sertifikasyonu olur: OSCP (Offensive Security Certified Professional), OSWE (Offensive Security Web Expert), CEH (Certified Ethical Hacker), CRTP (Certified Red Team Professional) veya GPEN (GIAC Penetration Tester). Mobil için ayrıca eMAPT, bulut için AWS Security Specialty veya AZ-500 tercih ediyoruz. Sertifikalar mecburi değildir — ama açıkça müşteri talep ettiğinde (özellikle finans ve kamu projelerinde) belgeleri tedarik dökümanlarına ekleyebiliyoruz. Daha önemli olan, ekibin gerçekten reprodüklenebilir bulgu çıkartmasıdır; sertifikalar bunun bir göstergesidir, garantisi değildir — ama biz ikisini birden sunuyoruz.