Sızma testi red team farkı, çoğu zaman “biri daha kapsamlı, diğeri daha dar” gibi yanlış bir eksende anlatılır. Gerçek ayrım kapsam genişliğinde değil, sorulan soruda yatar. Sızma testi “bu sistemde hangi zafiyetler var ve istismar edilebilir mi?” sorusunu yanıtlar. Kırmızı takım operasyonu ise “belirlenmiş bir hedefe ulaşmaya çalışan gerçekçi bir saldırgan karşısında savunmam ne yapıyor?” sorusunu yanıtlar. Birinci sorunun cevabı bir bulgu listesidir; ikincisinin cevabı bir zaman çizelgesidir.

Bu farkı somutlaştıran tipik bir tablo şudur: bir enerji şirketinde yapılan sızma testi altı yüksek seviyeli bulgu üretir, hepsi düzeltilir. Dört ay sonra yürütülen bir saldırı simülasyonunda ekip, hiçbiri bu altı bulguda yer almayan bir yolla ilerler; oltalama ile alınan bir hesap, açık bir dosya paylaşımı ve izlenmeyen bir yönetim arayüzü. Kritik veri tabanına erişildiğinde geçen süre iki gün, ilk alarmın üretilmesi ise hiç gerçekleşmemiştir. İki çalışma da doğru sonuç üretmiştir; ancak farklı şeyleri ölçmüşlerdir.

İki çalışmanın sorduğu soru ve ürettiği kanıt

Sızma testinde başarı ölçütü kapsama derinliğidir: tanımlanan sistemlerdeki kontroller sistematik biçimde denenir, bulunanlar kanıtlanır ve raporlanır. Kırmızı takım çalışmasında başarı ölçütü ise hedefe ulaşma yolunun gerçekçiliği ve bu yol boyunca savunmanın verdiği tepkidir. Bu nedenle kırmızı takım, bulduğu her zafiyeti istismar etmez; hedefe götüren en sessiz yolu seçer ve gerisini raporda not düşer.

Bu yaklaşım farkı satın alma tarafında sık karıştırılır. Kapsamlı bir zafiyet envanteri isteyen bir kurum, kırmızı takım çalışmasından “az bulgu çıktı” sonucuyla ayrılabilir. Beklentinin doğru kurulması, kurumsal siber güvenlik danışmanlığının proje başlamadan önce çözmesi gereken ilk konudur.

Kırmızı takım operasyonunun beş aşaması

Operasyon, gerçek bir saldırı zincirinin akışını izler:

1. Keşif: açık kaynak istihbaratı toplanır; alan adları, sertifika kayıtları, çalışan profilleri, tedarikçi ilişkileri ve saldırı yüzeyi haritalanır.
2. İlk erişim: hedefe uygun yöntem seçilir; oltalama kampanyası, dışa açık bir zafiyetin istismarı veya fiziksel giriş denemesi.
3. Yanal hareket ve yetki yükseltme: elde edilen erişimden yüksek değerli sistemlere doğru ilerlenir; kimlik bilgisi toplama ve yanal hareket (lateral movement) teknikleri devreye girer.
4. Hedef tamamlama: kritik sisteme erişim gösterilir ve veri sızdırma, işaretli sahte verilerle simüle edilir.
5. Raporlama: saldırı zinciri adım adım anlatılır, kullanılan taktik ve teknikler (TTP) MITRE ATT&CK çerçevesine eşlenir, savunmanın hangi adımda ne yaptığı yazılır.

Bu beş aşamanın hepsi tek bir hikâyeye bağlanır. Rapor, bulgu listesi değil bir olay anlatısıdır; bu yüzden yönetim kurulu düzeyinde çok daha kolay anlaşılır.

Kapsam, süre ve gizlilik farkları

Hangi kurum hangisine hazır: karar adımları

1. Kurumda merkezî bir günlük toplama ve izleme yapısı var mı? Yoksa önce bu yapı kurulmalı; izleme olmadan tespit ölçmenin anlamı olmaz.
2. Son on iki ayda kapsamlı bir sızma testi yapıldı mı ve kritik bulgular kapatıldı mı? Kapatılmamış temel zafiyetler varken yapılan simülasyon, bilinen sonucu pahalı biçimde tekrarlar.
3. Bir olay müdahale prosedürü yazılı ve tatbik edilmiş mi? Simülasyonun değeri, tetiklediği müdahale sürecinin gözlemlenebilmesinden gelir.
4. Yönetim, çalışmanın sınırlı sayıda kişiye haber verilerek yürütülmesini onaylıyor mu? Onay yoksa gizlilik boyutu düşer ve ölçüm gerçekçiliğini kaybeder.
5. Hedef net biçimde tanımlanabiliyor mu? “Genel güvenliği test edin” bir hedef değildir; “müşteri veri tabanından örnek kayıt çıkarılabildiğini gösterin” hedeftir.
6. Sonuçlara göre bütçe ve takvim ayarlanabilecek mi? Simülasyon çıktısı çoğunlukla izleme kurallarında ve süreçlerde değişiklik gerektirir.

Bu adımların çoğunda cevap olumsuzsa doğru sıra önce sızma testi, ardından iyileştirme, sonra simülasyondur.

Purple team: iki yaklaşımın kesişimi

Kırmızı ve mavi takımın aynı masada çalıştığı mor takım yaklaşımı, gizlilik yerine öğrenme hızını önceler. Saldırı ekibi bir tekniği uygular, savunma ekibi aynı anda kendi konsolunda ne gördüğünü söyler; alarm üretilmiyorsa kural o gün yazılır ve teknik yeniden denenir. Bu döngü, tespit kapsamını kısa sürede genişletmek isteyen kurumlar için verimlidir.

Mor takım oturumundan çıkması beklenen somut çıktılar şunlardır:

• Hangi taktik ve teknik için görünürlük olduğunu gösteren kapsama matrisi.
• Oturum sırasında yazılan veya eşiği düzeltilen tespit kuralları.
• Kayıt toplanmayan kaynakların listesi ve kayıt açma planı.
• Bir sonraki bağımsız simülasyonda ölçülecek başlıklar.

Çıktıların okunma biçimi neden farklı

Sızma testi raporu düzeltme odaklıdır; her bulgunun sahibi, ciddiyeti ve önerilen çözümü vardır. Simülasyon raporu ise zaman odaklıdır: hangi adım saat kaçta yapıldı, hangi kayıt üretildi, alarm hangi eşikte tetiklendi, ekip ne zaman müdahale etti. İkinci raporun asıl değeri, savunma tarafının kör noktalarını takvimle birlikte göstermesidir.

Bir red team hizmeti satın alınırken raporun çift katmanlı olması özellikle önemlidir: yönetici özeti riski iş diliyle anlatır, teknik ek ise her adımın komut, kayıt ve zaman damgası düzeyinde izini verir. İki katman arasında tutarlılık yoksa, bulgular kurum içinde farklı biçimlerde yorumlanır.

Satın alırken netleştirilmesi gereken maddeler

• Hedefin tanımı ve hedefe ulaşıldığının nasıl kanıtlanacağı.
• Yasak bölgeler: hangi sistemlere dokunulmayacak, hangi teknikler kullanılmayacak.
• Gizlilik seviyesi: kimlerin haberdar olacağı ve acil durumda hangi telefonun aranacağı.
• Yetkilendirme mektubu; özellikle fiziksel giriş denemesi kapsamdaysa ekipte taşınacak yazılı izin.
• Ölçüm tanımları: tespit süresi hangi andan itibaren sayılacak, yanıt süresi hangi eylemle tamamlanmış sayılacak.
• Sonrasında yapılacak ortak değerlendirme oturumu; savunma ekibinin adımları kendi kayıtlarıyla eşleştirebilmesi.

Sık sorulan sorular

Sızma testi yaptırdık, ayrıca simülasyona ihtiyacımız var mı?

Sızma testi zafiyetin varlığını gösterir, simülasyon savunmanın o zafiyet kullanılırken ne yaptığını gösterir. İzleme ve müdahale yapınız çalışır durumdaysa ve kritik bulgular kapatıldıysa, bir sonraki adım tespit yetkinliğini ölçmektir. Aksi halde önce temel zafiyetleri kapatmak daha yüksek getiri sağlar.

Operasyon üretim ortamında risk yaratır mı?

Doğru kurgulanmış bir çalışmada risk kontrol altındadır. Hizmet kesintisi yaratacak teknikler kapsam dışına alınır, gerçek veri yerine işaretli sahte kayıtlar kullanılır, ekip ile kurum arasında kesintisiz bir iletişim kanalı açık tutulur. Çalışmanın anında durdurulmasını sağlayacak bir mekanizma da baştan tanımlanır.

Çalışma sırasında güvenlik ekibi neden haberdar edilmiyor?

Çünkü ölçülmek istenen şey tam olarak haberdar olmayan bir ekibin tepkisidir. Yalnızca sınırlı sayıda yetkili bilgilendirilir; böylece alarmların gerçekten üretilip üretilmediği, üretilenlerin fark edilip edilmediği ve müdahalenin ne kadar sürdüğü gerçekçi biçimde ölçülür. Yasal ve kurumsal koruma yetkilendirme mektubuyla sağlanır.

Bu çalışmalar ne sıklıkla tekrarlanmalı?

Sızma testleri için yaygın yaklaşım yılda en az bir kez ve önemli değişikliklerden sonra tekrarlamaktır. Savunma yetkinliğini ölçen simülasyonlar ise genellikle yıllık planlanır; aradaki dönemde mor takım oturumlarıyla tespit kapsamı adım adım genişletilir.

Küçük ölçekli bir kurum için simülasyon anlamlı mı?

Kendi izleme ekibi olmayan, güvenlik operasyonlarını dış kaynaktan alan kurumlarda çalışma yine anlamlıdır; bu durumda ölçülen şey, hizmet sağlayıcının tespit ve bildirim performansıdır. Ancak hiçbir izleme yapısı yoksa bütçenin önce görünürlük yatırımına ayrılması daha doğrudur.

Sonuç

İki çalışma birbirinin alternatifi değil, olgunluk merdiveninin iki basamağıdır: sızma testi zafiyeti kapatır, simülasyon savunmanın çalıştığını kanıtlar. Kurumunuzda merkezî günlük toplama ve yazılı bir müdahale prosedürü varsa bir sonraki bütçe döneminde hedef odaklı bir simülasyon planlayın; yoksa önce bu iki temeli kurun, ölçüm anlamını ancak o zaman kazanır.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.