Telefon: 0850 346 41 09 | Hafta içi 10:00–18:00 · Teknik destek 7/24
Siber güvenlik danışmanlığı, sistemlerinizdeki açıkları gerçek bir saldırgandan önce bulup kapatmanızı sağlar. Kapsamı yazılı olarak belirlenmiş sızma testi ve zafiyet taraması yapıyor, web uygulamalarını ve fabrika ağlarını (IoT/OT) inceliyor; bulguları risk sırasına koyup her biri için uygulanabilir düzeltme adımını raporluyoruz.
Saldırganlar hedef seçerken şirketin büyüklüğüne değil, kapının açık olup olmadığına bakar. Güncellenmemiş bir sunucu, varsayılan parolayla bırakılmış bir kamera ya da internete açık bir yönetim paneli; veri sızıntısı, fidye yazılımı veya üretimin durması için yeterlidir.
Bu hizmet; müşteri verisi tutan, internete açık bir web uygulaması ya da portalı olan, uzaktan erişim kullanan veya üretim ağını ofis ağına bağlamış işletmeler ve kurumlar için. Çalışmanın sonunda elinizde "güvenli miyiz?" sorusuna verilmiş genel bir yanıt değil, hangi açığın hangi sırayla ve nasıl kapatılacağını gösteren bir iş listesi olur. 2013'ten beri yazılım ve donanımı aynı ekipte geliştiriyoruz; kendi IoT cihazlarımızı ve endüstriyel yazılımlarımızı ürettiğimiz için yalnızca ofis BT'sini değil, fabrika ağları, PLC ve SCADA sistemleri gibi operasyonel teknolojiyi de tanıyoruz.
Web uygulamaları, API'ler, ağ altyapısı ve kablosuz ağlar üzerinde, kapsamı önceden yazılı olarak belirlenmiş kontrollü saldırı denemeleri. OWASP Top 10 ve bilinen CVE kayıtlarına dayalı senaryolar.
Sunucu, ağ cihazı ve IoT cihazlarındaki bilinen açıklar taranır, CVSS puanına göre sıralanır. Hangi yamanın önce uygulanacağı ve olası etkisi raporlanır.
Akıllı cihazlar, PLC'ler, SCADA sistemleri ve endüstriyel ağlarda saldırı yüzeyi incelenir: güncel olmayan yazılımlar, şifresiz haberleşen protokoller, ofis ve üretim ağı arasındaki ayrım.
SQL enjeksiyonu, XSS, CSRF, zayıf kimlik doğrulama ve hatalı yapılandırma kontrolü. İstenirse kaynak kod ve güvenlik mimarisi incelemesi.
Kişisel verilerin tutulduğu sistemlerde erişim, şifreleme ve kayıt tedbirleri değerlendirilir. Kapsamlı uyum çalışması için KVKK uyum danışmanlığı sayfamıza bakın.
Oltalama (phishing) simülasyonu, sosyal mühendislik örnekleri ve olay bildirme prosedürü. BT ekibi için ayrıca teknik güvenlik eğitimi.
Test edilecek sistemler, zaman aralığı ve sınırlar yazılı olarak belirlenir; gizlilik ve yetki sözleşmesi imzalanır.
Dışarıdan ve içeriden görünen sistemler, açık portlar ve bilinen zafiyetler tespit edilir.
Bulunan açıkların gerçekten istismar edilebilir olup olmadığı, hizmeti kesmeden kontrollü biçimde doğrulanır.
Bulgular kritiklik sırasıyla raporlanır; her biri için düzeltme adımı ve öncelik verilir. İsterseniz düzeltme sonrası yeniden test edilir.
Üretim tesislerinde sık karşılaşılan bir risk şöyle işler: Muhasebedeki bir bilgisayara oltalama e-postasıyla bulaşan zararlı yazılım, ofis ve üretim ağı birbirinden ayrılmamışsa PLC'lere ve SCADA sunucusuna kadar ulaşabilir. Değerlendirmede bu yolun sizin tesisinizde gerçekten açık olup olmadığını kontrollü biçimde doğruluyor; ağ ayrımı, erişim kuralları ve varsayılan parolalar için hangi adımın önce atılacağını raporluyoruz. Böylece güvenlik bütçesi, en çok riski kapatan işe gider. Tesisiniz için bir OT güvenlik değerlendirmesi planlayabilirsiniz.
Geliştirdiğimiz yazılım ve IoT sistemlerinde güvenli geliştirme ilkelerini uyguluyoruz: parametreli sorgular, OWASP kontrolleri ve güvenli kimlik doğrulama standart pratiğimizdir. Örneğin Smart360 giriş ekranlarında insan doğrulaması kullanır, posta kutusu parolalarını AES-256-GCM ile şifreli saklar; SmartMail gelen her e-postayı kimlik (SPF, DKIM, DMARC), yapı (benzer alan adı, görünen ad taklidi, bağlantı uyuşmazlığı) ve içerik açısından gerekçeli olarak değerlendirir. Oltalama riskini e-posta tarafında azaltmak isterseniz SmartMail'i Smart360 üzerinden çevrimiçi satın alabilirsiniz.
Konuyu derinlemesine incelemek isterseniz rehberlerimize göz atın: sızma testi nedir, nasıl yapılır ve raporu nasıl okunur, zafiyet taraması ile sızma testinin farkı, fabrikalarda OT ve SCADA güvenliği ve KOBİ'ler için siber güvenlik kontrol listesi. Tüm yazılar Güvenlik ve KVKK rehberleri sayfasında.
Kapsamı birlikte belirleyelim: hangi sistemlerin, hangi zaman aralığında ve hangi sınırlar içinde test edileceğini konuşuyor, ardından kapsamı, aşamaları ve bedeli belli yazılı bir teklif hazırlıyoruz. Sunucularınızı ya da uygulamalarınızı buluta taşımayı planlıyorsanız güvenlik değerlendirmesini bulut geçiş ve altyapı danışmanlığıyla birlikte ele alabiliriz.
Sızma testi, sistemlerinize saldırgan gözüyle, izinli ve kontrollü biçimde yapılan saldırı denemesidir. Kapsam, zaman aralığı ve sınırlar önceden yazılı olarak belirlenir. Web uygulamaları, API'ler, ağ altyapısı ve kablosuz ağlar OWASP Top 10 ve bilinen CVE kayıtlarına dayalı senaryolarla test edilir; amaç açıkları gerçek bir saldırgandan önce bulmaktır.
Zafiyet taraması, sunucu, ağ cihazı ve IoT cihazlarındaki bilinen açıkları tarayıp CVSS puanına göre sıralar. Sızma testi bir adım ileri gider: bulunan açıkların gerçekten istismar edilebilir olup olmadığını, hizmeti kesmeden kontrollü biçimde doğrular. İkisi birlikte, hangi yamanın önce uygulanacağını gösteren önceliklendirilmiş bir düzeltme listesi verir.
Dört adımda ilerler: test edilecek sistemler ve sınırlar yazılı olarak belirlenir, gizlilik ve yetki sözleşmesi imzalanır; dışarıdan ve içeriden görünen sistemler, açık portlar ve bilinen zafiyetler taranır; açıkların istismar edilebilirliği kontrollü biçimde doğrulanır; bulgular kritiklik sırasıyla, her biri için düzeltme adımı ve öncelikle raporlanır.
Evet. IoT ve OT güvenlik denetiminde akıllı cihazlar, PLC'ler, SCADA sistemleri ve endüstriyel ağlarda saldırı yüzeyi incelenir: güncel olmayan yazılımlar, şifresiz haberleşen protokoller ve ofis ile üretim ağı arasındaki ayrım. Digital Bridge kendi IoT cihazlarını ve endüstriyel yazılımlarını geliştirdiği için operasyonel teknolojiyi yakından tanır.
Evet. Oltalama (phishing) simülasyonu, sosyal mühendislik örnekleri ve olay bildirme prosedürünü kapsayan farkındalık eğitimi verilir. BT ekibi için ayrıca teknik güvenlik eğitimi düzenlenir. Varsayılan parolayla bırakılmış bir cihaz ya da tıklanan bir sahte bağlantı, teknik önlemleri boşa çıkarabileceği için insan tarafı değerlendirmenin parçasıdır.
Sızma testinin bedeli büyük ölçüde kapsama bağlıdır: test edilecek web uygulaması, API, sunucu ve ağ cihazı sayısı, testin dışarıdan mı içeriden mi yapılacağı, kimlik bilgisiyle yetkili kullanıcı senaryolarının dahil olup olmadığı ve fabrika ağları gibi OT sistemlerinin kapsama girip girmediği süreyi belirler. Bu yüzden önce kapsamı birlikte netleştiriyor, ardından aşamaları ve bedeli belli yazılı bir teklif hazırlıyoruz.
Genel kabul gören yaklaşım, sızma testini en az yılda bir kez ve önemli her değişiklikten sonra yapmaktır: yeni bir web uygulaması ya da portal yayına aldığınızda, sunucuları buluta taşıdığınızda, uzaktan erişim açtığınızda veya ofis ve üretim ağlarını birleştirdiğinizde. Arada düzenli zafiyet taraması yapmak, yeni çıkan açıkları bir sonraki teste kadar beklemeden fark etmenizi sağlar.
Sorunuz burada yok mu? Bize Sorun