Red Team Değerlendirmesi: Tespit Oranı, Süre ve Kapanış Protokolü

Red team değerlendirmesi satın almanın zor kısmı teknik değil, sözleşmesel. Çıktının ne olduğu baştan tanımlanmazsa elinizde "sızdık, geçtik" cümlesiyle biten bir sunum kalıyor; sonraki yıl aynı bütçe yine aynı sunum için harcanıyor. Bu yazı kırmızı takımın neyi ölçtüğünü, o ölçümün hangi aritmetikle savunulabilir hâle geldiğini ve Türkiye'de hukuki çerçevenin nerede başladığını sırayla kuruyor.

Baştan bir şeyi ayırmak gerekiyor: kırmızı takımın ürünü zafiyet listesi değil, bir tespit deneyi. Deneyin sorusu "açık var mı" değil, "fark ediliyor muyuz ve ne kadar sürede fark ediliyoruz". Bu soru sorulmadığında alınan hizmet ne kadar pahalı olursa olsun, kuruma tek bir şey katıyor: bir başkasının sizin ağınızda ne kadar rahat hareket edebildiğinin anlatısı. Anlatı karar verdirmez; ölçüm verdirir.

Bu metnin omurgası üç sayı: tespit oranı, tespit süresi dağılımı ve bu ikisini üretecek kapasite. Üçü de ölçülebilir, üçü de yanlış raporlanabilir. Yazı boyunca aynı yöntem tekrar ediyor: önce birimin tanımı, sonra aritmetiği, sonra o aritmetiğin hangi iddiayı taşıyamayacağı.

Kırmızı takım bir zafiyet listesi değil, bir tespit deneyi satıyor

Sızma testi ile kırmızı takım arasındaki farkı çoğu satın alma görüşmesi "süre" üzerinden anlatıyor: biri üç gün, diğeri üç hafta. Süre farkın sonucu, nedeni değil. Fark, testin sonunda neyin kanıtlanmış olacağında: sızma testi bir sistemin istismar edilebilir olduğunu gösterir, kırmızı takım o istismarın sizin gözetim sisteminizde iz bırakıp bırakmadığını.

Bu yüzden kırmızı takımın teslim paketi dört kalemden oluşmalı. Birincisi zaman damgalı eylem günlüğü: hangi eylem, hangi dakika, hangi hedefe. İkincisi tespit eşleşmesi: her eylem için gözetim tarafında üretilen olay kimliği ya da "olay üretilmedi" kaydı. Üçüncüsü dağılım: tespit edilen eylemlerin süre dağılımı, ortalama değil. Dördüncüsü kapanış planı: tespit edilmeyen her eylem için sahibi, tarihi ve kapanış kanıtı yazılı bir madde.

Dördüncü kalem atlandığında değerlendirme bir rapora dönüşüyor ve rapor arşivleniyor. Oysa ölçümün değeri tam olarak burada: tespit edilmeyen eylem bir başarısızlık değil, düzeltilecek bir kontrol boşluğu ve o boşluğun kapanıp kapanmadığı ancak aynı eylem tekrar denendiğinde görülüyor.

Üç satın alma biçimi ve her birinin kanıtladığı şey

Aynı kelimeyle anılan dört hizmet var ve her biri farklı bir soruya cevap veriyor. Hangisini aldığınızı bilmeden fiyat karşılaştırması yapmak, farklı birimlerle konuşmak gibi:

Biçim	Sorduğu soru	Çıktı	Tipik süre	Neyi kanıtlamaz
Otomatik zafiyet taraması	Hangi bilinen zafiyet var?	Bulgu listesi ve puanlama	Saatler	Fark edilip edilmediğini; yanlış pozitif oranını
Sızma testi	Bu sistem istismar edilebilir mi?	İstismar kanıtı, düzeltme önerisi	3-10 gün	Tespit yeteneğini; zincir hâlinde hareketi
Red team değerlendirmesi	Fark ediliyor muyuz, kaç dakikada?	Eylem-tespit eşleşmesi, süre dağılımı	2-6 hafta	Kaç zafiyet olduğunu; yama durumunu
Varsayılan ihlal testi	Kontrol bugün çalışıyor mu?	Otomatik test sonucu, eğilim	Sürekli	İnsan kararını; yeni saldırı yollarını

Tablodaki son satır son yıllarda en çok karıştırılan kalem. Varsayılan ihlal testi, "saldırgan zaten içeride" kabulüyle belirli kontrollerin çalışıp çalışmadığını sürekli dener; bu bir değerlendirme değil, bir izleme aracı. Aynı bütçeyle ikisini birden almak istiyorsanız en mantıklı sıra şu: önce iki haftalık bir değerlendirme ile nerede kör olduğunuzu ölçün, sonra kör noktalara sürekli doğrulama yerleştirin.

Hedef tek cümlede yazılmadıkça ölçüm başlamıyor

Değerlendirmenin ölçülebilir olması tek bir cümleye bağlı: hedef. Hedef, bir veri sınıfı ile bir eylemi birlikte adlandırmadıkça "sızdık" ifadesi de "sızamadık" ifadesi de kanıtlanamaz. Aşağıdaki dört satır aynı müşteriden alınmış gerçekçi ifadeler; ilk ikisi ölçüm üretmiyor:

Yazılan hedef	Neden ölçülemez ya da ölçülebilir
"Sisteme sızılacak"	Veri sınıfı yok, eylem yok; her sonuç başarı sayılabilir
"Güvenlik zayıflıkları tespit edilecek"	Bu bir sızma testi hedefi; tespit ölçümü üretmez
"Müşteri veritabanından 100 kayıt dışarı çıkarılacak"	Veri sınıfı ve eylem var; sayı sınırı koyduğu için kanıt üretilebilir
"Finans onay akışındaki bir kullanıcı hesabıyla 50.000 TL'lik ödeme talimatı oluşturulacak"	Yetki, işlem ve tutar yazılı; üretimde gerçek işlem yapılmayacağı ayrıca madde olarak eklenir

Hedefin ikinci işlevi sınır koymak. Aynı cümle hem neye ulaşılacağını hem neye ulaşılmayacağını söylemeli: hangi tesis, hangi ağ bloğu, hangi sistemler kapsam dışı, hangi testler yasak. Kapsam dışı listesi kısa olan tekliflerde genellikle ya kapsam okunmamış ya da kapsam çoktan genişletilmiş oluyor; ikisi de sizin riskinize yazılıyor.

Yetki belgesi: on iki madde ve her birinin karşılığı

Türkiye'de yetkisiz erişim Türk Ceza Kanunu'nun 243 ve 244. maddeleri kapsamında suç. Yazılı yetki bu suçları ortadan kaldıran bir belge değil, hukuka uygunluk değerlendirmesinin dayanağı: kimin, hangi sistemde, hangi zaman aralığında ve hangi yöntemle test yapmaya yetkili olduğunu gösteren belge. Yetki belgesi olmadan yapılan bir test, iyi niyetli olsa bile, sizin adınıza işlenmiş bir suça dönüşebiliyor.

Madde	Yazılması gereken	Yazılmazsa ne olur
Taraflar ve imza	Yetkiyi veren kurum, imza yetkilisi, testi yapan ekip listesi	Ekip değişince yetki belirsiz kalır
Kapsam	Alan adları, IP blokları, tesis ve kat listesi	Komşu sistemlere dokunulur
Test penceresi	Gün ve saat aralığı, yoğun saat kısıtı	Üretimde kesinti tartışması başlar
Yasak testler	Hizmet dışı bırakma, fiziksel giriş, çalışanlara sosyal mühendislik	Testin kendisi olay yaratır
İletişim zinciri	Tek temas noktası, yedek kişi, 7/24 numara	Acil durdurma çağrısı kimseye ulaşmaz
Durdurma yetkisi	Müşterinin tek taraflı durdurma hakkı ve kimin verebileceği	Test, müşteri istese de durmaz
Veriyle karşılaşma	Kişisel veriye rastlanırsa ne yapılacağı, kimin bilgilendirileceği	Gereksiz veri kopyalanır
Kişisel veri sorumluluğu	Test ekibinin veri işleyen sıfatı, saklama ve imha taahhüdü	Kanıt dosyaları süresiz kalır
Kanıt saklama	Hangi kanıt, kaç gün, hangi ortamda, kim erişebilir	Kanıt denetimden sonra kaybolur
Gizlilik	Rapor ve bulguların yayınlanamayacağı, referans kullanımı	Bulgular pazarlama malzemesi olur
Rapor teslimi	Biçim, dil, ham eylem günlüğü ve tespit eşleşmesi zorunluluğu	Elinizde yalnızca yönetici özeti kalır
Yeniden test	Kaç gün içinde, kaç bulgu için, ek ücret var mı	Kapanış gösterilemez

İki madde diğerlerinden daha sık atlanıyor. İlki durdurma yetkisi: gerçek bir olayla test aynı anda başladığında testin durması gereken an, kimin karar vereceği belirsizse dakikalar kaybediliyor. İkincisi ham eylem günlüğü: yönetici özeti ile tespit oranı hesaplanamıyor, çünkü oranın paydası olan eylem sayısı yalnızca ham günlükte duruyor. Sözleşmeye "ham eylem günlüğü makine okunur biçimde teslim edilir" maddesi girmiyorsa, değerlendirmenin en değerli çıktısı sözleşmede yok demektir.

Tespit oranı: kırk eylem, bir oran ve o oranın güven aralığı

Tespit oranı basit bir kesir: tespit edilen eylem sayısı bölü toplam eylem sayısı. Sorun paydada. Kırk eylemle ölçülen yüzde 55 ile yüz eylemle ölçülen yüzde 55 aynı şey değil, çünkü küçük örneklemde aynı oran çok daha geniş bir belirsizlik taşıyor. Aşağıdaki tablo, aynı oranın örneklem büyüklüğüne göre hangi aralığa denk geldiğini gösteriyor (yüzde 95 güven, Wilson aralığı):

Tespit / eylem	Ölçülen oran	Yüzde 95 aralık	Doğru cümle
11 / 20	Yüzde 55	Yüzde 34,2 - 74,2	Gerçek oran yüzde 34 ile 74 arasında bir yerde
22 / 40	Yüzde 55	Yüzde 39,8 - 69,3	Aynı oran, daha dar bir aralık
33 / 40	Yüzde 82,5	Yüzde 68,0 - 91,3	Yüksek tespit iddiası için kabul edilebilir alt sınır
66 / 100	Yüzde 66	Yüzde 56,3 - 74,5	Rapor edilebilir bir ölçüm

Aralığın kendisi bir bulgu. Yirmi eylemle yapılan bir değerlendirmede "tespit oranımız yüzde 55" cümlesi, gerçeğin yüzde 34 de olabileceğini saklıyor; yönetim kuruluna sunulacak sayı bu aralığın alt sınırı olmalı, ölçülen oran değil. Aynı mantık ters yönde de çalışıyor: "yüzde 90 tespit ediyoruz" iddiasını kanıtlamak için sıfır kaçırma ile en az otuz eylem gerekiyor, çünkü üç bölü otuz tam olarak yüzde 10 üst sınırına denk geliyor. Yirmi eylemle toplanan veriyle bu iddia kurulamıyor.

İkinci ayrım eylem türünde. Aynı değerlendirmede beş aşama var - ilk erişim, kalıcılık, yatay hareket, yetki yükseltme, hedefe ulaşma - ve tespit oranı aşama başına ayrı raporlanmadıkça hangi kontrolün çalıştığı görünmüyor. Tek bir toplam oran, güçlü uç nokta gözetimini zayıf ağ gözetiminin arkasında saklayabiliyor.

Sıfır tespit ne demek: kural üç ve yirmi eylemin sınırı

En sık karşılaşılan rapor cümlesi: "yirmi eylem denendi, hiçbiri tespit edilmedi". Bu cümle bir sonuç değil, bir üst sınır. Sıfır gözlemle oran sıfır çıkar, ama gerçek oranın sıfır olduğunu söyleyemezsiniz; söyleyebileceğiniz şey, gerçek oranın yirmi eylem için yaklaşık yüzde 16'yı geçemeyeceği. Wilson aralığı yüzde 16,1 veriyor; pratikte kullanılan kural üç de aynı yere işaret ediyor: üç bölü yirmi, yüzde 15.

Bu sınırın pratik karşılığı şu: yirmi eylemle yapılan bir değerlendirme "hiç görmüyoruz" iddiasını kurabilir, "yüzde 90 görüyoruz" iddiasını kuramaz. Aynı sınırı kırk eylemle yüzde 7,5'e indirmek mümkün, yüz eylemle yüzde 3'e. Yani değerlendirmenin bütçesi ile iddianın gücü aynı şeyin iki yüzü; kapsamı büyütmek yerine iddiayı küçültmek de meşru bir tercih, yeter ki raporda hangisinin yapıldığı yazılı olsun.

Sıfır tespitin en yaygın nedeni kural eksikliği değil. Kural var, uyarı üretiyor, ama eşiğin altında kalıyor ya da yalnızca bilinen araç imzalarına bakıyor. Bu yüzden kapanış planı "kural eklenecek" değil, "hangi kural, hangi eşikle, hangi log kaynağı üzerinde" diye yazılmalı; aksi hâlde ikinci turda aynı eylem yine görülmüyor.

Tespit süresi ortalamayla raporlanmaz

Bir değerlendirmede 22 eylem tespit edildiğini ve sürelerin dakika cinsinden şöyle dağıldığını varsayalım: 6, 8, 9, 11, 12, 14, 15, 17, 19, 21, 23, 26, 28, 31, 33, 36, 41, 47, 58, 74, 96, 143. Raporun tek sayı istemesi hâlinde ortalama 34,9 dakika çıkıyor; aynı verinin medyanı 24,5, yüzde 90'lık dilimi 72,4 ve en uzun tespit 143 dakika. Dört sayı da doğru, ama kararı farklı yönde etkiliyor:

Ölçü	Değer	Ne saklıyor
Ortalama	34,9 dakika	Kuyruğu gizler; iki uzun tespit ortalamayı yukarı çekerken çoğu tespitin hızlı olduğu görünmez
Medyan	24,5 dakika	Tipik durumu verir, kötü senaryoyu vermez
Yüzde 90 dilimi	72,4 dakika	22 veriyle bu değer 20. sıradaki gözlem; tek bir olay onu kaydırır
En uzun	143 dakika	Ortalamanın dört katı; fark edilmeye en yakın olduğu anı gösterir

Bu veri setinde 22 tespitin 13'ü yarım saatten, 19'u bir saatten kısa sürede geliyor. Yani "ortalama 35 dakika" cümlesi hem doğru hem yanıltıcı: kurumun üç tespitte iki buçuk saate yakın süre kaybettiği bilgisi ortalamada eriyip gidiyor ve o üç tespit genellikle en yüksek yetkili hesaplarda çıkıyor. Rapor formatı bu yüzden tek sayı değil, dağılım ve örneklem büyüklüğü istemeli. Aynı sözleşme maddesiyle ikinci bir tur yapıldığında karşılaştırma da ancak bu şekilde mümkün oluyor.

Tespit süresini ölçmek kapasite ölçmeden anlamsız

Süre ölçümünün arkasında bir kapasite sorusu var: gelen uyarıyı kim, kaç dakikada ele alıyor. Bu soru bir tercih değil, aritmetik. Deneyimli bir birinci kademe analistin saatte ortalama 10-12 uyarıyı gerçekten inceleyebildiğini kabul edelim; yılda 1.600 verimli saat üzerinden bu, analist başına yılda yaklaşık 19.200 uyarı demek. Aşağıdaki tablo günlük hacme göre gereken triyaj yükünü gösteriyor:

Günlük uyarı	Triyaj yükü (saat/gün)	Tam zaman eşdeğeri (8 saat)	Gerçekte ne olur
50	4,2	0,52	Tek analist mesai içinde kaldırır
200	16,7	2,08	İki tam zaman analist; izin ve hastalıkta kuyruk birikir
500	41,7	5,21	Beş analist; vardiya kurulmadan 24 saate yayılamaz
1000	83,3	10,42	On analist ya da ciddi bir uyarı azaltma projesi

Bu tabloya bir de vardiya gerçeği ekleniyor: tek bir koltuğu yılın her saati açık tutmak 8.760 saat istiyor, bu da 1.600 verimli saat üzerinden 5,47 tam zaman eşdeğeri. Yani "bir kişi bakar" cümlesi matematiksel olarak mümkün değil. Kırmızı takım değerlendirmesinin tespit süresi, bu kapasitenin bir çıktısı: gece 03.00'te tek analist varsa ve o analist 90 uyarıyla boğuşuyorsa ölçülen süre sizin gözetim yeteneğiniz değil, o gecenin nöbet listesi oluyor. Raporda bu nedenle hem ölçümün yapıldığı saat aralığı hem de o saatte görevde olan ekip yazılmalı.

Saklama süresi ölçüm penceresinden kısa olamaz

Değerlendirmenin en sık görmezden gelinen kısıtı saklama. Tespit süresini ölçmek için altı haftalık bir pencereye bakmanız gerekiyorsa, log saklama süreniz altı haftadan kısa olduğunda ölçümün kendisi imkânsız hâle geliyor; elinizde yalnızca gözetim ekibinin hatırladıkları kalıyor. Kişisel verilerin korunması mevzuatı erişim kayıtları için en az iki yıllık saklama öneriyor, sektör düzenlemeleri bunun üzerine çıkabiliyor. Pratik kural şu: sıcak arama penceresi ölçüm penceresinden uzun, arşiv ise ihlal incelemesi süresinden uzun olmalı.

Katman	Tipik süre	Neyi mümkün kılar	Neyi imkânsız kılar
Sıcak arama	7 gün	Anlık uyarı incelemesi	Altı haftalık değerlendirmenin geriye dönük doğrulanması
Sıcak arama	30 gün	Aylık değerlendirme ve tekrar test	Altı aylık eğilim analizi
Arşiv	1 yıl	Yıllık karşılaştırma, denetim sorusu	İki yıllık mevzuat beklentisi
Arşiv	2 yıl ve üzeri	Mevzuat beklentisi, ihlal incelemesi	Maliyet; bu yüzden hacim planı gerekir

Bu tablo bir uyarı: kırmızı takım raporunu okurken "eylem tespit edilmedi" satırının gerçek anlamı bazen "log o gün yoktu" oluyor. Kanıt saklama ve log bütünlüğü konusunun ayrıntısı KVKK teknik tedbirler ve kanıt rehberinde madde madde duruyor; değerlendirme sözleşmesine bu maddelerin en az üçü girmiyorsa ölçüm sonradan savunulamıyor.

Sızma sırasında gerçek veriye rastlamak: protokol

Kırmızı takım çalışması sırasında gerçek müşteri verisine rastlamak istisna değil, kural. Protokolün amacı veriyi gizlemek değil, gereksiz kopyayı önlemek. Dört adım yeterli: dur ve kaydet, kapsamı doğrula, tek noktaya bildir, kanıt dışındaki her şeyi imha et. "Dur ve kaydet" adımı, verinin bulunduğu yeri ve erişim yolunu not etmek anlamına geliyor; veriyi dışarı taşımak anlamına gelmiyor.

Sık yapılan üç hata var. Birincisi, kanıt olsun diye veritabanı dökümünün tamamını almak: 100 kayıt hedefiyle başlayan bir testte 400.000 satırlık döküm, hedefin de saklama taahhüdünün de dışına çıkıyor. İkincisi, ekran görüntüsünde müşteri adı ve kimlik numarasını maskelemeden rapora koymak. Üçüncüsü, test sırasında elde edilen bir parolayı sonraki turda tekrar kullanmak: yetki belgesi o tur için yazılmıştır, sonraki tur için yazılmamıştır. Bu üç hatanın hiçbiri teknik değil; hepsi sözleşmedeki tek bir cümleyle engellenebilir.

Kapanış: aynı eylem tekrar denenmeden "düzeldi" denmez

Değerlendirmenin sonunda en çok tartışılan kalem kapanış. Bir bulgu, sahibi atandığı ve düzeltme yapıldığı için değil, aynı eylem tekrar denendiğinde tespit edildiği için kapanır. Bu kriter yazılı olmadığında altı ay sonra aynı eylemin hâlâ görülmediğini kimse bilmiyor; bilinse de kanıtı olmuyor.

Bulgu tipi	Sahibi	Kapanış kanıtı	Tipik süre
Log kaynağı eksik	Altyapı ekibi	Kaynağın gönderdiği olay sayısı sıfırdan yükseldi	2-4 hafta
Kural eşiği yüksek	Gözetim ekibi	Aynı eylem aynı araçla tekrar denendi, uyarı üretildi	1-3 hafta
Uyarı üretiliyor, kimse bakmıyor	Gözetim yöneticisi	Vardiya planı ve uyarı kuyruğu kapanma süresi	1 hafta
Yanlış pozitif oranı yüksek	Gözetim ekibi	Haftalık yanlış pozitif sayısı düştü	4-8 hafta

Purple team tekrarı bu tabloyu kapatmanın en ucuz yolu: kırmızı takımın eylem listesi, savunma ekibinin önünde tek tek canlandırılıyor ve her eylem için "görüldü / görülmedi / kısmen" notu düşülüyor. Bu oturum genellikle iki gün sürüyor ve bir sonraki değerlendirmenin kapsamını da belirliyor. Olay müdahale tarafındaki eşleşme için olay müdahale planı rehberindeki tespit kolonuna bakın; iki doküman aynı olay kimliğini kullanmıyorsa purple team oturumu da birleştirme işine dönüşüyor.

Maliyet: operatör-günü ile rapor ayrı kalemler

Fiyat karşılaştırmasının doğru birimi gün değil, operatör-günü. Üç günlük bir sızma testi iki operatörle altı operatör-günü ederken, on günlük bir değerlendirme iki operatör ve yarım zaman bir gözetim mühendisiyle yirmi beş operatör-gününe çıkıyor. Aradaki fark 4,2 kat; aynı şeyi almıyorsunuz, farklı bir ölçüm alıyorsunuz.

Kalem	Birim	3 günlük sızma testi	10 günlük değerlendirme
Saldırı ekibi	Operatör-günü	3 gün x 2 = 6	10 gün x 2 = 20
Gözetim mühendisi	Operatör-günü	Yok	10 gün x 0,5 = 5
Rapor ve sunum	Toplamın yüzde 20'si	1,2	5
Ortam ve hazırlık	Operatör-günü	1	2
Toplam	Operatör-günü	8,2	32

Tablodaki son satır tekliflerin neden karşılaştırılamadığını da açıklıyor: aynı başlık altında satılan iki hizmet arasında dört kat iş yükü farkı var. Fiyatı belirleyen üç değişken ekip sayısı, gün sayısı ve hazırlık derinliği; raporun sayfa sayısı değil. Sızma testi tarafında fiyatın nasıl kurulduğunu sızma testi fiyatlarının nasıl belirlendiği yazısında ayrıca açtık, çünkü iki hizmetin maliyet mantığı gerçekten farklı.

Red team almanın yanlış olduğu üç durum

Değerlendirme her derde deva değil. Üç durumda para daha verimli harcanıyor. Birincisi, gözetim verisi hiç yoksa: log kaynağı göndermeyen bir ortamda tespit oranı ölçmek, boş kovaya su dökmek gibi. Önce hangi kaynağın hangi olayı gönderdiğini kurmak gerekiyor. İkincisi, bulguların sahibi yoksa: kapanış maddelerini takip edecek bir ekip kurulmadıysa ikinci tur aynı sonuçları verecek. Üçüncüsü, düzenleyici bir denetim için zafiyet listesi gerekiyorsa: o zaman istenen belge değerlendirme değil, sızma testi raporu.

Bir de kısmi durum var: ekip var, log var, ama ağ ve uç nokta gözetimi aynı takımda değilse değerlendirme yine yarım kalıyor. İki ekibin uyarı kuyruğu birleşmiyorsa tespit süresi iki ayrı sayı olarak çıkıyor ve hangisinin gerçek olduğu tartışılıyor. Bu durumda değerlendirmeden önce tek bir olay kimliği standardı kurmak, bütçenin en verimli dilimi.

Tedarikçiye sormadan önce yazılacak yedi soru

Aşağıdaki yedi soru, teklif aşamasında beş dakikada sorulabiliyor ve hizmetin ölçüm üretip üretmeyeceğini büyük ölçüde gösteriyor:

Soru	İyi cevap	Kırmızı bayrak
Kaç eylem planlanıyor ve payda ne?	40 ve üzeri eylem, aşama başına dağılım yazılı	"Duruma göre değişir"
Ham eylem günlüğü teslim edilecek mi?	Makine okunur, zaman damgalı dosya	Yalnızca yönetici sunumu
Tespit eşleşmesini kim yapacak?	Ortak oturum, olay kimlikleriyle	"Raporu biz yorumlarız"
Ölçüm penceresinde kim nöbette?	Vardiya planı paylaşılır	Cevap yok
Durdurma yetkisi kimde?	Müşteri tarafında, tek imzayla	"Test bitince haber veririz"
Gerçek veriye rastlanırsa ne olur?	Yazılı protokol ve imha taahhüdü	"Sadece okuruz"
Kapanış kriteri nedir?	Aynı eylem tekrar denenip tespit edilmesi	"Düzeltme listesi yeterli"

Bu soruların üçüne bile net cevap alınamıyorsa, teklifin kapsamı büyük olasılıkla sözlü anlaşmaya dayanıyor. Kapsamı sözlü olan bir değerlendirmenin çıktısı da sözlü olur: toplantıda anlatılır, yazıya geçmez, bir sonraki yıl aynı soru yeniden sorulur. Sızma testi, API güvenliği ve kırmızı takım çalışmalarını aynı çatı altında yürüttüğümüz sızma testi hizmeti sayfasında kapsam ve teslim kalemleri yazılı; karşılaştırma yaparken bu iki listeyi yan yana koymak işi kolaylaştırıyor.

Ölçümü kirleten üç şey: eşik değişikliği, ortak test hesabı, eksik baseline

İki değerlendirmeyi karşılaştırmak isteyen her kurum aynı duvara çarpıyor: arada gözetim tarafı değişmiş oluyor. Değerlendirme öncesi hangi kuralın hangi eşikle çalıştığı kaydedilmezse, ikinci turdaki farkın yeni kontrolden mi yoksa test ekibinin daha şanslı olmasından mı geldiği bilinemiyor. Aynı şey yeni log kaynakları için de geçerli: değerlendirme haftasında açılan bir kaynak, o haftanın tespitlerini yapay olarak yukarı çekiyor.

Kirlilik kaynağı	Nasıl anlaşılır	Ne yapılır
Değerlendirme sırasında eşik değişti	Değişiklik kaydı ile eylem tarihleri çakışır	Eşik değişiklikleri dondurulur, acil değişiklik ayrı raporlanır
Test ekibi kendi hesabını açtı	Aynı hesap iki turda da görünür	Her tur için ayrı, süreli test hesabı
Baseline yok	Önceki üç ayın uyarı hacmi bilinmiyor	Değerlendirme öncesi 30 günlük uyarı envanteri

Baseline kalemi en çok atlanan ve en çok işe yarayan kalem. Otuz günlük uyarı envanteri, değerlendirme haftasında görülen artışın testten mi yoksa mevsimsel bir olaydan mı geldiğini ayırıyor. Bu envanterin olmadığı ortamda "tespit oranı yükseldi" cümlesi bir kanıt değil, bir izlenim.

Fiziksel giriş ve sosyal mühendislik: yazılı izin yoksa kapsam dışı

Değerlendirmenin en hassas kalemleri insan içerenler. Çalışanlara yönelik kimlik avı simülasyonu, tesis içinde fiziksel giriş denemesi, telefonla bilgi toplama - hepsi ayrı izin gerektiriyor ve hepsi yetki belgesinde ayrı ayrı yazılmadıkça kapsam dışı sayılmalı. Bir kimlik avı simülasyonunun çalışan üzerinde bıraktığı etki, teknik bir testin bıraktığından farklı: yanlış kurgulanmış bir simülasyon güveni düşürüyor ve sonraki gerçek olayda bildirim oranını azaltıyor.

Bu yüzden sosyal mühendislik kalemi üç koşulla yapılmalı: yazılı izin, insan kaynakları ile önceden mutabakat ve simülasyon sonrası ayrı bir bilgilendirme oturumu. Fiziksel giriş denemesinde ise tesis güvenliği ve gerekiyorsa bina yönetimi önceden bilgilendirilmeli; aksi hâlde test, polis çağrısıyla biten bir olaya dönüşüyor. Kanunen de durum aynı: izin yazılı değilse test değil, ihlal var.

Küçük ekip için hafif sürüm: iki hafta, yirmi eylem, beş kapanış

Her kurum altı haftalık bir değerlendirmeye bütçe ayıramıyor. Hafif sürüm, aynı ölçüm mantığını daha dar tutuyor ve iddiayı da daraltıyor: iki hafta, yirmi eylem, en fazla beş kapanış maddesi. Yirmi eylemle yüzde 16 üst sınırı elde edildiğini yukarıda hesapladık; bu sürümün doğru cümlesi "yüksek oranda görmüyoruz" değil, "ölçtüğümüz yirmi eylemde görülme oranı yüzde 16'yı geçemez".

Kalem	Tam sürüm	Hafif sürüm
Süre	4-6 hafta	2 hafta
Eylem sayısı	40 ve üzeri	20
Aşama kapsamı	Beş aşamanın tamamı	İlk erişim ve yatay hareket
Kapanış maddesi	Bulguların tamamı	En yüksek etkili beş madde
Purple team oturumu	İki gün	Yarım gün
İddia gücü	Yüzde 7,5 üst sınırına kadar	Yüzde 16 üst sınırı

Hafif sürümün en büyük avantajı tekrar edilebilirlik: iki haftalık bir turu yılda iki kez yapmak, altı haftalık bir turu yılda bir kez yapmaktan daha fazla bilgi üretiyor, çünkü eğilim görünüyor. Dezavantajı, aşama kapsamının dar olması: yalnızca ilk erişim ve yatay hareketi ölçen bir tur, yetki yükseltme ve hedefe ulaşma aşamalarında kör kalan bir kurumu sağlam gösterebiliyor.

Yanlış okunan dört rapor cümlesi

Değerlendirme raporları aynı kelimelerle yazıldığı için aynı şeyi söyledikleri sanılıyor. Aşağıdaki dört cümle, satın alma kararını en çok yanlış yöne çeken kalıplar:

Rapor cümlesi	Göründüğü	Gerçekte
"Üç kritik bulgu"	Üç ayrı zafiyet	Çoğu zaman tek bir yolun üç adımı; düzeltme tek noktada
"Tespit oranı yüzde 92"	Neredeyse tamamı görülüyor	Payda 12 eylemse aralık yüzde 62 ile 99 arası
"Ortalama tespit süresi 12 dakika"	Hızlıyız	Beş tespitin ortalaması; kuyruk ve gece saatleri yok sayılmış
"Saldırgan hedefe ulaştı"	Yenilgi	Ölçümün başlangıç noktası; asıl veri ulaşma süresi

Bu dört cümleyi okuyan tarafın tek yapması gereken şey payda sormak. Payda yoksa cümle bir ölçüm değil, bir izlenim. Aynı soru kapanış maddeleri için de geçerli: kaç madde açıldı, kaç tanesinin sahibi ve tarihi var, kaç tanesi kapanış kanıtıyla kapatıldı.

Nereden başlamalı: dört haftalık bir sıra

Değerlendirmeyi bu çeyrek yapmaya karar verdiyseniz sıra şu olabilir. Birinci hafta log envanteri: hangi sistem hangi olayı gönderiyor, hangisi göndermiyor. İkinci hafta hedef cümlesi ve yetki belgesi: on iki madde tamamlanmadan teklif imzalanmıyor. Üçüncü hafta baseline: otuz günlük uyarı hacmi ve kapasite tablosu çıkarılıyor. Dördüncü hafta eylem planı: aşama başına eylem sayısı yazılıyor ve tedarikçiyle payda üzerinde anlaşılıyor.

Bu dört haftanın çıktısı bir değerlendirme raporu değil, değerlendirmeyi ölçülebilir kılan dört belge. Değerlendirme bittikten sonra da iş bitmiyor: purple team oturumu, kapanış maddelerinin takibi ve ikinci tur. İkinci tur genellikle ilkinden daha değerli, çünkü iki ölçüm arasındaki fark kontrolün çalışıp çalışmadığını gösteriyor. Tek tur yapılan bir değerlendirme, tek noktadan çekilmiş bir fotoğraf gibi: neyin değiştiğini göstermiyor.

Teknik tarafta hangi kontrolün ölçüleceğini netleştirmek için API güvenlik testi rehberine ve kablosuz ağın ayrı bir ölçüm gerektirdiği durumlar için kablosuz denetim saha protokolüne bakabilirsiniz; ikisi de aynı payda mantığıyla yazıldı. Kırmızı takım çalışması sırasında kişisel veriyle karşılaşma protokolünün hukuki tarafı ise KVKK teknik tedbirler rehberinde duruyor.