Hızlı cevap: Bir sızma testi raporu, teknik bir liste değil bir karar belgesidir. Onu okurken üç şeye bakın: her bulgunun önem derecesi (kritik, yüksek, orta, düşük), CVSS skoru (0 ile 10 arası standart bir risk puanı) ve en önemlisi istismar edilebilirlik kanıtı (bulgunun gerçekten sömürülebildiğini gösteren PoC). İyi bir rapor her bulguyu "ne bulundu, neden önemli, nasıl düzeltilir" üçlüsüyle anlatır. Kritik hata, bir raporu yalnızca skorlara göre okumak ve iş bağlamını göz ardı etmektir: düşük CVSS'li bir bulgu sizin ortamınızda kritik olabilir, yüksek CVSS'li bir bulgu erişilemeyen bir sistemde olabilir. Rapor, önceliklendirmenin başlangıç noktasıdır, sonu değil.

Bir sızma testi yaptırdınız ve elinize 60 sayfalık bir rapor geldi. İçi kırmızı ve turuncu kutularla dolu, teknik terimlerle örülü. Şimdi ne yapacaksınız? Bu, çoğu kurumun en çok zorlandığı andır: testi yaptırmak kolay, raporu doğru okuyup doğru işi doğru sırayla yapmak zordur. Bu yazı, bir sızma testi raporunu nasıl okuyacağınızı ve CVSS skorlarını nasıl yorumlayacağınızı anlatıyor.

Raporun bölümleri

İyi yapılandırılmış bir sızma testi raporu şu bölümlerden oluşur:

  • Yönetici özeti. Teknik olmayan yöneticiler için. Genel risk durumu, en kritik bulgular ve iş etkisi. Karar vericilerin okuduğu bölüm budur.
  • Kapsam ve metodoloji. Neyin test edildiği, neyin test edilmediği, hangi standardın (PTES, OWASP) izlendiği. Bu bölüm raporun sınırlarını belirler.
  • Bulgu detayları. Her açık için açıklama, önem derecesi, CVSS skoru, istismar kanıtı ve çözüm önerisi.
  • Ekler. Ham çıktılar, ekran görüntüleri, taranan varlık listesi.

En sık yapılan hata yalnızca bulgu listesine atlamak ve yönetici özetini atlamaktır. Oysa iş etkisini anlamadan teknik listeyi doğru önceliklendiremezsiniz.

Metodoloji bölümünün neden önemli olduğunu anlamak için PTES metodolojisi yazımıza bakabilirsiniz.

CVSS nedir, skorlar ne anlama gelir

CVSS (Common Vulnerability Scoring System), bir güvenlik açığının ciddiyetini 0 ile 10 arasında puanlayan uluslararası bir standarttır. Amacı, farklı açıkları ortak bir ölçekte karşılaştırılabilir kılmaktır.

CVSS aralığı Önem Kabaca anlamı
9.0 ile 10.0 Kritik Acil, genelde uzaktan ve kolay sömürülebilir
7.0 ile 8.9 Yüksek Ciddi, öncelikli düzeltme gerektirir
4.0 ile 6.9 Orta Planlı düzeltme, tek başına düşük etki
0.1 ile 3.9 Düşük Sınırlı etki, sıra gelince
0.0 Bilgi Risk değil, farkındalık notu

CVSS skoru, temel metrikler üzerinden hesaplanır: saldırı vektörü (uzaktan mı, yerel mi), saldırı karmaşıklığı, gereken yetki, kullanıcı etkileşimi gerekip gerekmediği ve gizlilik, bütünlük, erişilebilirlik üzerindeki etki. Bu metrikler bir formülle birleşip tek bir sayı üretir.

CVSS'in sınırı: skor iş bağlamını bilmez

En kritik nokta budur. CVSS bir açığın teknik ciddiyetini ölçer, ama sizin ortamınızdaki gerçek riski bilmez. İki örnek:

  • Düşük CVSS, yüksek gerçek risk. CVSS 4.0'lık bir bilgi ifşası, tek başına önemsiz görünür. Ama o ifşa müşteri veri tabanınıza giden yolu açıyorsa, sizin için kritiktir.
  • Yüksek CVSS, düşük gerçek risk. CVSS 9.0'lık bir açık, internete hiç açık olmayan, yalnızca yetkili yöneticilerin eriştiği bir iç test sunucusundaysa, aciliyeti çok daha düşüktür.

Bu yüzden olgun kurumlar CVSS'in temel skoruna ek olarak iki katman kullanır: çevresel metrikler (açığın sizin ortamınızdaki konumu) ve tehdit istihbaratı (bu açık şu an gerçekten sömürülüyor mu). CVSS 4.0 sürümü bu bağlamsal değerlendirmeyi daha da öne çıkarır.

Kısacası: CVSS önceliklendirmenin başlangıcıdır. Asıl karar, skoru iş bağlamıyla birleştirdiğinizde çıkar.

Asıl kanıt: istismar edilebilirlik

Bir raporda en değerli şey skor değil, bulgunun gerçekten sömürülebildiğinin kanıtıdır. Otomatik tarayıcılar çok sayıda "potansiyel" açık bildirir ve bunların önemli kısmı yanlış pozitiftir. İyi bir sızma testi, bulguyu doğrular: gerçekten istismar eder ve kavram kanıtı (PoC) sunar.

Raporu okurken her kritik bulgu için şunu sorun: bu gerçekten sömürüldü mü, yoksa yalnızca bir tarayıcının işaretlediği bir olasılık mı? Doğrulanmış bir bulgu ile doğrulanmamış bir uyarı, tamamen farklı öncelik taşır. Tespit ile doğrulama arasındaki bu fark, sızma testini otomatik taramadan ayıran şeydir. Zafiyet tarama ile sızma testinin farkı için zafiyet tarama ve zafiyet yönetimi yazımıza bakabilirsiniz.

Bulguları nasıl önceliklendirmeli

Raporu aldıktan sonra düzeltme sırasını şu üç soruyla kurun:

  1. İstismar edilebilir mi ve doğrulandı mı? Doğrulanmış kritik bulgular listenin başındadır.
  2. İş etkisi ne? Açık, en değerli varlığınıza mı yoksa önemsiz bir sisteme mi dokunuyor?
  3. Sömürmek ne kadar kolay? İnternete açık ve tek adımda sömürülen bir açık, karmaşık bir zincire göre daha acildir.

Pratik bir yaklaşım: internete açık, doğrulanmış, kritik varlığı etkileyen bulgular ilk 48 saatte; yüksek olanlar bir hafta içinde; orta ve düşük olanlar planlı bakım döngüsünde ele alınır.

Rapor sonrası: yeniden test

Bulguları düzelttikten sonra iş bitmez. Düzeltmenin gerçekten işe yaradığını doğrulamak için yeniden test (retest) yapılmalıdır. İyi bir sızma testi hizmeti, düzeltme sonrası doğrulamayı kapsam içinde sunar. Yeniden test yapılmadan "düzelttik" demek, kanıtsız bir iddiadır.

Sızma testinin tüm süreci, fiyatı ve ne zaman gerektiği için sızma testi süreci ve kapsamı yazımıza bakabilirsiniz.

Sık yapılan hatalar

  • Yalnızca kritik ve yüksek bulgulara bakmak. Zincirlenen düşük bulgular birlikte kritik olabilir.
  • CVSS skorunu tek doğru kabul etmek. Skor iş bağlamını bilmez, kararı siz verirsiniz.
  • Doğrulanmamış tarayıcı bulgusunu kritik sanmak. İstismar kanıtı olmayan bulgu, doğrulanmış bir bulguyla aynı öncelikte değildir.
  • Yeniden test yapmamak. Düzeltmenin çalıştığı ancak retest ile kanıtlanır.
  • Yönetici özetini atlamak. İş etkisini anlamadan teknik önceliklendirme yapılamaz.
  • Raporu bir defalık belge sanmak. Sistem değişince risk de değişir, sızma testi tekrarlanmalıdır.

Sık sorulan sorular

CVSS 10 olan bir açığı hemen mi düzeltmeliyim? Genelde evet, ama önce sizin ortamınızda istismar edilebilir olup olmadığını teyit edin. İnternete kapalı bir sistemdeyse aciliyeti değişebilir.

Rapordaki tüm bulguları düzeltmek zorunda mıyım? İdeal olan hepsini ele almaktır, ama gerçekçi yaklaşım risk temelli önceliklendirmedir. Kritik ve yükseklerden başlayın.

Yanlış pozitif ne demek? Bir aracın açık olarak işaretlediği ama gerçekte sömürülemeyen bulgu. İyi bir sızma testi bunları eler.

CVSS ile gerçek risk aynı şey mi? Değil. CVSS teknik ciddiyeti ölçer, gerçek risk iş bağlamıyla ortaya çıkar.

Yeniden test ücretli mi? Sağlayıcıya göre değişir, ama iyi bir hizmet düzeltme sonrası doğrulamayı genelde kapsam içinde sunar.

Raporu ne sıklıkla güncellemeliyim? Sistem büyük değişiklik geçirdiğinde ve düzenli olarak, tipik olarak yılda en az bir kez yeni bir test yapılmalıdır.

Kaynaklar

Sızma testi raporunuzu doğru okuyup bulguları iş bağlamına göre önceliklendirmek ya da doğrulanmış bir test yaptırmak isterseniz DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan sızma testi, önceliklendirme danışmanlığı ve yeniden test hizmeti veriyoruz.