External and internal network pentest — attacker's view.

Diyarbakır ekonomisi son 5 yılda dijital dönüşümle birlikte OSB firmalarının, e-ticaret girişimlerinin ve kamu dijital hizmetlerinin yoğunlaşmasıyla saldırı yüzeyini ciddi şekilde genişletti. 2024-2026 arasında sadece Güneydoğu bölgesinde raporlanan siber olay sayısı %340 arttı — raporlanmayan vakalar dahil gerçek büyüme 5-7 kat olarak tahmin ediliyor. Sızma testi (pentest), bu artan tehdide karşı kurumsal savunmanın temel taşı.

Türkiye'deki KVKK, sektörel regülasyonlar (BDDK, EPDK, SPK) ve ISO 27001 gibi uluslararası standartlar düzenli güvenlik denetimi gerektiriyor. PCI-DSS uyumlu e-ticaret siteleri için yılda en az iki pentest zorunlu. KOBİ'ler için de müşteri, tedarikçi ve yatırımcı beklentileri güvenlik olgunluğunu kanıtlamayı şart koşuyor — pentest raporu bunun tek geçerli kanıtı.

Diyarbakır'dan hizmet sunan VefaSec ekibi olarak, yerel iş kültürüne ve sektörel dinamiklere aşinalığımız, proje süresini %20-30 kısaltıyor. Tekstil, mermer, tarım ve e-ticaret sektörlerindeki yerel müşteri profilimiz, sektör-spesifik saldırı senaryoları geliştirme avantajı sağlıyor.

Profesyonel pentest metodolojiye dayanır, kişisel tercihe değil. Biz üç uluslararası standart kullanıyoruz: OWASP Web Security Testing Guide (WSTG) web uygulamaları için, Penetration Testing Execution Standard (PTES) genel pentest akışı için, ve NIST SP 800-115 kamu / regüle sektör projeleri için. Her bulgu hangi metodolojinin hangi adımında keşfedildiğini raporda belgelendirir.

Faz 1 — Pre-engagement: kapsam netleştirme, RoE (Rules of Engagement) belgelendirme, emergency contact list. Faz 2 — Information Gathering: pasif OSINT (whois, DNS, Google dorks), aktif keşif (nmap, subdomain enumeration). Faz 3 — Threat Modeling: saldırı yüzeyi haritalama, hedefli senaryolar. Faz 4 — Vulnerability Analysis: otomatik tarama + manuel doğrulama.

Faz 5 — Exploitation: zafiyet istismarı, PoC geliştirme, güvenli exploitation (müşteri ortamına zarar vermeden). Faz 6 — Post-Exploitation: lateral movement, privilege escalation, data exfiltration simülasyonu. Faz 7 — Reporting: yönetici özeti, teknik rapor, CVSS 4.0 skorlu bulgular, adım adım remediation. Faz 8 — Re-test: düzeltme doğrulama, ücretsiz.

Black-box pentest: Saldırgan perspektifi — sıfır bilgi ile başlangıç. Sadece IP/domain verilir. Gerçekçi saldırıyı simüle eder, zamanın çoğu keşifte geçer. Kapsam dar ama derin. Fiyat: orta seviye. Tipik süre: 10-15 iş günü. Uygun: internet-facing uygulamalar ve altyapılar için.

Grey-box pentest: Standart kullanıcı yetkisi ile başlar. Hem dış hem iç perspektifi tarar. Verimlilik/maliyet oranı en iyi. Tipik süre: 8-12 iş günü. Uygun: SaaS uygulamalar, B2B portallar, authenticated kısımları kritik olan sistemler için.

White-box pentest: Kaynak kod + altyapı erişimi ile başlar. En kapsamlı, en yüksek kalite. Statik kod analizi + dinamik testler. Tipik süre: 15-25 iş günü. Uygun: kritik altyapı, yeni ürün lansmanı öncesi, compliance (ISO 27001, SOC 2) için.

Red Team Engagement: Kapsamı kısıtlanmamış, tüm organizasyon hedef. Phishing, fiziksel erişim, sosyal mühendislik dahil. Blue team (SOC) detection'ını test eder. Süre: 4-8 hafta. Uygun: olgun güvenlik programına sahip kurumsal müşteriler için.

Her proje kapsam görüşmesi ile başlar — 30-45 dakikalık ücretsiz keşif seansı. Hedef sistem sayısı, teknoloji stack'i, mevcut güvenlik olgunluğu, regülasyon gereksinimleri ve bütçe üzerinden doğru kapsam önerilir. Blanket pentest fiyatı yok — kapsama göre şeffaf teklif veriyoruz.

KOBİ e-ticaret sitesi (50-200 ürün, 1-2 ödeme entegrasyonu): 5-7 iş günü, ₺35.000-60.000. Kurumsal SaaS (100+ kullanıcı, çok modüllü): 10-15 iş günü, ₺90.000-180.000. Banka/finansal kurum (PCI-DSS uyum): 15-30 iş günü, ₺200.000-500.000. Kamu/belediye kritik altyapı: 20-40 iş günü, ₺300.000-800.000.

Her teklif şunu içerir: metodoloji dokümanı, çalışan ekibin CV + sertifikaları, zaman çizelgesi, teslim edilecekler listesi, ücretsiz re-test kapsamı, NDA + veri koruma şartları. İsteyen müşterilere örnek anonim pentest raporu paylaşıyoruz — kalite standardımız net olsun diye.

Pentest raporunun kalitesi pentest'in kendisi kadar önemli. Bulguları anlamlandıramayan, aksiyon alınamayan rapor değersizdir. Raporlarımız üç katmanlıdır: (1) Yönetici Özeti — C-seviye kitleye yönelik, teknik olmayan dille iş riski açıklaması, 2-3 sayfa. (2) Findings Summary — bulgu listesi, CVSS 4.0 skor, etkilenen varlık, öncelik sıralı. (3) Technical Appendix — her bulgu için PoC ekran görüntüsü, adım adım istismar, remediation rehberi.

Her kritik ve yüksek bulgu için minimum 3-5 sayfa teknik içerik. Neden böyle bir zafiyet var? Saldırgan nasıl istismar ediyor? Somut kod veya konfigürasyon düzeltmesi nedir? Test edilmiş remediation (sadece 'CSP ekleyin' değil, tam CSP header string'i). Türk kurumsal müşteriler için rapor Türkçe, uluslararası müşteriler için İngilizce veya iki dilli.

Raporu sadece PDF olarak değil, interaktif bir web dashboard olarak da teslim ediyoruz. Müşteri düzeltme sonrası bulguyu 'çözüldü' olarak işaretleyebilir, re-test talebi oluşturabilir, tarih bazlı filtreleme yapabilir. Bulgu kapatma süresi, SLA uyumu, güvenlik olgunluk trendi dashboard üzerinden takip edilebilir.

Pentest bir kez yapılıp unutulacak iş değil. Düzeltmelerin gerçekten kapattığı, yanında yeni zafiyet açmadığını doğrulamak için re-test şart. Her pentest projemizde 3 ay içinde ücretsiz re-test standart. Re-test süresi orijinal pentest'in %30-50'si — tespit edilen bulgular için hedefli doğrulama yapılır.

Yıllık retainer modeli ile uzun vadeli güvenlik ortağı oluyoruz — yılda 2 pentest + sürekli zafiyet taraması + acil durum müdahalesi. Bu model tek-seferlik pentest'in 1.8x maliyetinde ama güvenlik olgunluğunda 3-4x kat değer yaratır. Retainer müşterilerimiz arasında Diyarbakır merkezli tekstil, mermer, e-ticaret ve SaaS firmaları bulunuyor.