Kapsam belirleme ve kural seti, bir sızma testinin sınırlarını, izinlerini ve kurallarını önceden tanımlayan çerçevedir. Bir sızma testi, sistemlere kontrollü saldırılar içerir. Bu saldırıların hangi sistemlere, ne zaman ve nasıl yapılacağı önceden belirlenmelidir. Kapsam belirleme ve kural seti, bu sınırları ve kuralları tanımlar. Bu çerçeve, testin güvenli, yasal ve etkin yürütülmesinin temelidir.

Alanın önemi, testin güvenli ve yasal yürütülmesinden gelir. Sınırsız bir test, iş kesintisine ya da yasal sorunlara yol açabilir. Kapsam ve kurallar, bu riskleri önler. Bu çerçeve olmadan, test hem riskli hem de belirsiz olur. Bu tanım, sorumlu sızma testinin bir gereğidir.

Kapsam Belirleme ve Kural Seti Nedir?

Kapsam belirleme ve kural seti, bir sızma testinde hangi sistemlerin test edileceğini, hangi yöntemlerin kullanılacağını ve testin sınırlarını önceden tanımlayan bir çerçevedir.

Kapsam, testin sınırlarını belirler. Hangi sistemlerin test edileceği, kapsamla tanımlanır. Bu sınır, testin nerede duracağını belirler. Sızma testi türleri, kapsamla ilişkilidir. Sınır belirleme, kapsamın özüdür.

Kural seti, testin kurallarını belirler. Hangi yöntemlerin kullanılacağı ve hangi eylemlerin yasak olduğu, kurallarla tanımlanır. Bu kurallar, testin güvenli yürütülmesini sağlar. Kurallar, testin çerçevesini oluşturur. Kural tanımı, kural setinin özüdür.

Neden Gereklidir?

Kapsam ve kurallar, yasal koruma sağlar. Bir sızma testi, izin olmadan yasadışı olabilir. Kapsam ve kurallar, testin izinli ve yasal olmasını sağlar. Bu yasal çerçeve, hem testçiyi hem kurumu korur. Yasal koruma, bu çerçevenin başlıca amacıdır.

Kapsam ve kurallar, iş etkisini yönetir. Test, kritik iş süreçlerini bozabilir. Kurallar, bu etkiyi sınırlar. Örneğin belirli sistemlerin belirli saatlerde test edilmemesi kararlaştırılabilir. İş etkisi yönetimi, bu çerçevenin bir yararıdır.

Kapsam ve kurallar, netlik sağlar. Testin ne olduğu ve ne olmadığı, açıkça tanımlanır. Bu netlik, yanlış anlamaları önler. Belirsiz bir test, sorunlara yol açabilir. Netlik, bu çerçevenin bir katkısıdır.

• Test sınırları
• İzinler
• Kullanılabilir yöntemler
• Yasak eylemler
• İletişim ve zamanlama

Neyi İçerir?

Çerçeve, kapsam sistemlerini içerir. Hangi IP adresleri, alan adları ve uygulamaların test edileceği belirtilir. Bu liste, testin hedeflerini netleştirir. Kapsam dışı sistemler, test edilmemelidir. Sistem listesi, çerçevenin bir bileşenidir.

Çerçeve, izinleri içerir. Testin yürütülmesi için gereken yetkiler, belgelenir. Bu izinler, testin yasal olmasını sağlar. İzinsiz test, ciddi sorunlara yol açar. İzin belgeleme, çerçevenin bir gereğidir.

Çerçeve, iletişim kurallarını içerir. Test sırasında kimin kiminle nasıl iletişim kuracağı belirtilir. Bu iletişim, sorunların hızla ele alınmasını sağlar. Örneğin kritik bir bulgu, derhal bildirilmelidir. İletişim kuralları, çerçevenin bir bileşenidir.

Testin Güvenli Yürütülmesi

Kurallar, testi güvenli kılar. Tanımlı sınırlar ve kurallar, testin kontrollü yürütülmesini sağlar. Bu kontrol, beklenmedik zararları önler. Kuralsız test, riskli olabilir. Güvenli yürütme, kuralların bir amacıdır.

Acil durum prosedürleri, önemlidir. Test sırasında beklenmedik bir sorun oluşursa, ne yapılacağı belirlenmelidir. Bu prosedürler, sorunların hızla ele alınmasını sağlar. Örneğin bir sistem çökerse, test durdurulabilir. Acil durum planı, çerçevenin bir boyutudur.

İzin ve Yetkilendirme

İzin, testin yasal temelidir. Bir sızma testi, açık izin olmadan yasadışıdır. Bu izin, yetkili taraflarca verilmelidir. İzinsiz test, ciddi hukuki sonuçlara yol açar. İzin, sorumlu sızma testinin bir gereğidir.

Yetkilendirme, belgelenmelidir. Testin izinli olduğu, yazılı biçimde belgelenmelidir. Bu belgeleme, testin yasal korumasını sağlar. Sözlü izin, yeterli koruma sağlamaz. Belgeleme, yetkilendirmenin bir gereğidir.

İzin, kapsamla uyumlu olmalıdır. Verilen izin, test edilecek sistemleri kapsamalıdır. Kapsam dışı sistemler, izin dışıdır ve test edilmemelidir. Bu uyum, testin sınırlar içinde kalmasını sağlar. İzin-kapsam uyumu, sorumlu testin bir gereğidir.

Kapsam Dışı Alanlar

Kapsam dışı sistemler, açıkça belirtilmelidir. Hangi sistemlerin test edilmeyeceği, net biçimde tanımlanmalıdır. Bu netlik, istem dışı test yapılmasını önler. Belirsiz sınırlar, riskli hatalara yol açabilir. Kapsam dışı belirleme, çerçevenin bir gereğidir.

Üçüncü taraf sistemleri, dikkat gerektirir. Kurumun kullandığı bazı sistemler, üçüncü taraflara ait olabilir. Bu sistemlerin testi, ayrı izin gerektirir. İzinsiz üçüncü taraf testi, hukuki sorunlara yol açar. Üçüncü taraf dikkati, kapsam belirlemenin bir gereğidir.

Kritik sistemler, özel ele alınmalıdır. Bazı kritik sistemler, testten muaf tutulabilir ya da özel önlemlerle test edilir. Bu özel yaklaşım, iş kesintisini önler. Dikkatsiz kritik sistem testi, ciddi zarara yol açabilir. Kritik sistem dikkati, kapsam belirlemenin bir boyutudur.

Yöntem Kısıtlamaları

Kurallar, kullanılabilir yöntemleri belirler. Hangi test tekniklerinin kullanılabileceği, kurallarla tanımlanır. Bu tanım, testin sınırlarını netleştirir. Bazı yıkıcı teknikler, yasaklanabilir. Yöntem tanımı, kural setinin bir bileşenidir.

Hizmet reddi testleri, çoğu zaman kısıtlanır. Sistemleri çökertebilecek testler, iş kesintisi riski taşır. Bu nedenle bu testler, çoğu zaman kapsam dışı bırakılır ya da özel koşullarla yapılır. Hizmet reddi kısıtlaması, kuralların bir örneğidir. Yıkıcı test kısıtı, kural setinin bir boyutudur.

Veri işleme kuralları, belirlenmelidir. Test sırasında erişilen hassas verilerin nasıl ele alınacağı tanımlanmalıdır. Bu kurallar, veri gizliliğini korur. Dikkatsiz veri işleme, gizlilik ihlaline yol açabilir. Veri kuralları, kural setinin bir gereğidir.

Zamanlama ve İletişim

Zamanlama, kurallarla belirlenir. Testin ne zaman yürütüleceği, kurallarla tanımlanır. Bu zamanlama, iş etkisini yönetir. Örneğin test, yoğun olmayan saatlerde yapılabilir. Zamanlama, kural setinin bir bileşenidir.

İletişim kanalları, tanımlanmalıdır. Test sırasında kimin kiminle iletişim kuracağı belirlenmelidir. Bu kanallar, sorunların hızla ele alınmasını sağlar. Kritik bulgular, derhal bildirilmelidir. İletişim kanalları, kural setinin bir boyutudur.

Kritik bulgu bildirimi, önceliklidir. Test sırasında kritik bir zafiyet bulunursa, derhal bildirilmelidir. Bu bildirim, ciddi risklerin hızla ele alınmasını sağlar. Beklemek, ciddi risk taşıyabilir. Kritik bildirim, iletişim kurallarının bir gereğidir.

Metodolojideki Yeri

Kapsam belirleme, metodolojinin ilk adımıdır. Test, kapsam ve kuralların belirlenmesiyle başlar. Bu adım, sonraki tüm aşamaları çerçeveler. Bilgi toplama gibi aşamalar, bu çerçeve içinde yürütülür. İlk adım rolü, kapsam belirlemenin önemini gösterir.

Kapsam, tüm aşamaları yönlendirir. Bilgi toplama, keşif ve saldırı, kapsam içinde kalmalıdır. Bu yönlendirme, testin sınırlar içinde yürütülmesini sağlar. Numaralandırma bile kapsama tabidir. Kapsam yönlendirmesi, metodolojinin bir gereğidir.

Kapsam, raporlamayı da etkiler. Test raporu, kapsam içindeki bulguları içerir. Bu kapsam, raporun sınırlarını belirler. Kapsam dışı bulgular, ayrı ele alınır. Kapsam-rapor ilişkisi, metodolojinin bir boyutudur.

Sözleşmesel Boyut

Kapsam ve kurallar, sözleşmeye dayanır. Bu çerçeve, çoğu zaman bir sözleşmeyle resmileştirilir. Bu sözleşme, tarafların yükümlülüklerini belirler. Sözleşmesel temel, testin hukuki güvencesini sağlar. Sözleşme, kapsam ve kuralların bir dayanağıdır.

Sözleşme, sorumluluğu netleştirir. Testin sonuçlarından kimin sorumlu olduğu, sözleşmeyle belirlenir. Bu netlik, olası anlaşmazlıkları önler. Belirsiz sorumluluk, sorunlara yol açabilir. Sorumluluk netliği, sözleşmesel boyutun bir gereğidir.

Privia Security olarak sızma testi kapsamı ve kural seti belirleme süreçlerinin ele alınmasını red team hizmeti kapsamında sağlıyoruz.