Sızma testi yeniden test aşaması, çoğu kurumda projenin en kolay feda edilen kalemidir; bütçe biterken ilk çizilen satır burasıdır. Sonucu ise şu tabloda görülür: bir bankacılık uygulamasında yetkilendirme hatası için düzeltme yayınlanır, ilgili ekip bulguyu “kapandı” olarak işaretler, altı ay sonraki testte aynı hata farklı bir uç noktada geri gelir. Düzeltme aslında yalnızca raporda örneklenen adres için uygulanmış, aynı kontrolü kullanan diğer uç noktalar dokunulmadan bırakılmıştır.

Yeniden test, düzeltmenin uygulandığını değil, zafiyetin gerçekten ortadan kalktığını kanıtlayan çalışmadır. Bu ayrım hem denetim kayıtları hem de gerçek risk açısından belirleyicidir. Aşağıda yeniden testin doğrulama taramasından farkını, hangi olayların yeniden testi tetiklemesi gerektiğini, kapsamın nasıl çizileceğini ve sözleşmeye hangi maddelerin yazılacağını ele alıyoruz.

Yeniden test ile doğrulama taraması aynı şey değil

Doğrulama taraması otomatik bir araçla yapılır ve genellikle sürüm bilgisi, açık port ya da yanıt başlığı üzerinden karar verir. Yeniden test ise ilk testte kullanılan istismar adımlarının aynısını tekrarlar ve sonucun değiştiğini kanıtla gösterir. Aradaki fark şu örnekte netleşir: bir web arayüzünde yetki aşımı bulunmuş, düzeltme olarak arayüzdeki düğme gizlenmiştir. Tarama temiz sonuç verir, çünkü sunucu yanıtı değişmemiştir; yeniden testte ise aynı istek elle gönderildiğinde yetki aşımının sürdüğü görülür.

Bu nedenle yeniden testin çıktısı bir tarama raporu değil, bulgu bazlı bir durum tablosudur: kapandı, kısmen kapandı, kapanmadı, doğrulanamadı. Doğrulanamadı durumu da bir sonuçtur ve gerekçesiyle yazılır; örneğin test ortamı erişime kapalıysa bulgu kapanmış sayılmaz.

Hangi olaylar yeniden testi tetikler

Yeniden test yalnızca rapor sonrası bir formalite değildir. Şu durumlar tetikleyici sayılmalıdır:

• Kritik ve yüksek seviyeli bulgular için düzeltme yayınlandığında.
• Uygulamada kimlik doğrulama, yetkilendirme veya ödeme akışını etkileyen büyük bir sürüm çıktığında.
• Altyapıda dizin hizmetleri, ağ segmentasyonu veya uzak erişim mimarisi değiştiğinde.
• Bulut ortamında yeni bir hesap, abonelik ya da dışa açık servis devreye alındığında.
• Bir güvenlik olayı sonrasında, olay müdahale raporunda tanımlanan kök nedene yönelik düzeltmeler tamamlandığında.
• Tedarikçi veya iş ortağı entegrasyonu eklendiğinde; yeni entegrasyon çoğu zaman yeni bir güven sınırı demektir.

Bu tetikleyicileri değişiklik yönetimi sürecine bağlamak, doğru zamanlamayı kişilerin hatırlamasına bırakmaktan çok daha güvenilirdir. Süreci kurum içi işleyişe oturtmak, kurumsal siber güvenlik danışmanlığının kalıcı fayda ürettiği başlıklardan biridir; çünkü tek seferlik bir test değil, tekrarlanabilir bir doğrulama döngüsü kurulur.

Kapsam yalnızca kapatılan bulgularla sınırlı kalmamalı

Yeniden testin kapsamı üç halkadan oluşur. Birinci halka, düzeltildiği bildirilen bulguların kendisidir. İkinci halka, aynı kök nedene bağlı diğer noktalardır: raporda tek bir örnek verilmişse, aynı kontrolü kullanan tüm uç noktalar denetlenmelidir. Üçüncü halka ise düzeltmenin yan etkisidir; bir yetkilendirme kontrolü sıkılaştırıldığında başka bir rolün erişimi bozulabilir ya da yeni bir hata mesajı bilgi ifşasına yol açabilir.

Üçüncü halka en sık atlanan halkadır. Düzeltmeler acil takvimle yazıldığında gözden geçirme adımı kısalır ve yeni kod, ilk testte olmayan bir açık getirebilir. Bu nedenle yeniden test kapsamına, değişen bileşenin çevresindeki temel kontrollerin hızlı bir gözden geçirmesi de eklenmelidir.

Kapsam kararı için başvuru tablosu

Yeniden test süreci adım adım

1. Düzeltme kayıtlarını toplayın: hangi bulgu için ne yapıldı, hangi sürümle yayınlandı, hangi sistemlere uygulandı. Bu kayıt olmadan test ekibi neyin değiştiğini bilemez.
2. Kapsamı üç halkaya göre yazın ve hangi bulguların kapsam dışı bırakıldığını gerekçesiyle belirtin.
3. Test ortamını ilk testteki koşullara eşitleyin. Farklı ortamda yapılan doğrulama, üretimdeki durumu kanıtlamaz.
4. İlk testteki istismar adımlarını birebir tekrarlayın, ardından aynı zafiyetin varyasyonlarını deneyin. Yalnızca birebir tekrar, dar bir yamayı başarı gibi gösterebilir.
5. Sonuçları dört durumdan biriyle işaretleyin, kısmen kapanan bulgular için kalan riski ayrıca yazın ve düzeltmenin dokunduğu bileşende yeni bir bulgu olup olmadığını kontrol edin.
6. Kapanış raporunu ilk raporun bulgu numaralarıyla eşleyerek teslim edin ve kapanmayan maddeler için yeni hedef tarih belirleyin.

Regresyon riski: düzeltmenin kendisi açık yaratabilir

Sahada karşılaşılan tipik örnekler bu riski somutlaştırır. Bir dosya yükleme zafiyeti için uzantı kontrolü eklenir, ancak kontrol yalnızca istemci tarafında yapılır ve sunucu tarafı kontrolü unutulur. Bir başka örnekte oturum süresi kısaltılır, buna karşılık geliştirici test kolaylığı için eklediği kalıcı bir belirteci kaldırmayı unutur. Üçüncü bir örnekte erişim denetimi sıkılaştırılırken hata mesajları ayrıntılandırılır ve kullanıcı numaralandırmasına imkân veren bir fark ortaya çıkar. Yeniden testin regresyon halkasını içermesi, bu üç durumun raporlanmadan üretimde kalmasını engeller.

Ölçüm: kapanma oranı yeterli bir gösterge mi

Kapanma oranı tek başına yanıltıcıdır çünkü kolay bulguların kapatılmasıyla da yükselir. Anlamlı gösterge seti şu maddelerden oluşur:

• Kritik ve yüksek seviyeli bulgularda ortalama kapanma süresi.
• İlk testte kanıtlanan saldırı zincirlerinden kaçının kırıldığı.
• Kısmen kapanan bulguların toplam içindeki payı.
• Bir önceki teste göre tekrar eden bulgu oranı.
• Kabul edilen risklerin sayısı ve toplam ağırlığı.

Bu göstergeler dönemsel olarak takip edildiğinde, güvenlik yatırımının etkisi bulgu sayısından bağımsız biçimde gösterilebilir.

Doğrulama döngüsü oturduktan sonra sıradaki soru savunmanın bu zafiyetler kullanılırken ne yaptığıdır; bu noktada bir red team hizmeti ile senaryo tabanlı ölçüm yapmak, kapanma oranının göremediği tespit ve yanıt boşluklarını ortaya çıkarır.

Sözleşmeye yazılması gereken maddeler

• Yeniden test hakkının süresi: rapor tesliminden itibaren kaç ay içinde kullanılabileceği açıkça yazılmalıdır.
• Kaç tur yeniden test hakkı olduğu ve kısmen kapanan bulgular için ek turun koşulları.
• Kapsamın hangi halkaları içerdiği; yalnızca bulgu doğrulaması mı, regresyon gözden geçirmesi de dahil mi.
• Çıktı formatı: bulgu numaralarıyla eşlenmiş durum tablosu ve güncellenmiş yönetici özeti.
• Test ortamı ve erişim koşulları; kurumun hangi hesapları ve erişimleri hangi sürede sağlayacağı.
• Kapanmayan bulgularda izlenecek yükseltme yolu ve yeni hedef tarih belirleme yöntemi.

Sık sorulan sorular

Yeniden test için ne kadar süre beklenmeli?

Beklenmesi gereken tek şey düzeltmenin üretime alınmış olmasıdır. Düzeltmeler parça parça yayınlanıyorsa yeniden testi tek seferde yapmak yerine kritik bulgular yayınlandıkça turlara bölmek daha etkilidir. Genel uygulamada rapor tesliminden sonraki üç aylık pencere, çoğu düzeltme takvimi için yeterlidir.

Yeniden test ayrı ücretlendirilir mi?

Çoğu sözleşmede ilk tur yeniden test proje kapsamına dahildir; ek turlar ve kapsam genişlemeleri ayrı değerlendirilir. Bu nedenle satın alma aşamasında kaç tur hakkınız olduğunu ve hakkın hangi tarihte sona erdiğini yazılı hale getirmek gerekir. Kapsamı belirsiz bırakılmış bir yeniden test maddesi, pratikte kullanılamaz.

Otomatik tarama yeniden testin yerini tutar mı?

Tutmaz. Tarama, sürüm ve yapılandırma kaynaklı bulguların bir kısmını doğrulayabilir; yetkilendirme, iş mantığı ve zincir bulgularında ise sonuç üretmez. Tarama, iki test arasındaki dönemde görünürlüğü sürdürmek için değerlidir ancak düzeltme kanıtı olarak kabul edilmemelidir.

Kapanmayan bulgular denetimde sorun yaratır mı?

Bulgunun açık kalması değil, yönetilmemesi sorun yaratır. Gerekçesi yazılmış, telafi edici kontrolü tanımlanmış, sahibi ve yeniden değerlendirme tarihi belirlenmiş bir açık bulgu, olgun bir risk yönetimi göstergesidir. Kayıtsız biçimde açık bırakılan bulgular ise hem denetimde hem olay sonrası incelemede zayıflık oluşturur.

Yeniden testi ilk testi yapan ekip mi yapmalı?

İlk testi yapan ekip zincirleri ve ortamı bildiği için genellikle daha hızlı ve tutarlı sonuç üretir. Bağımsız bir gözle bakılması isteniyorsa, bu tercih yeniden test için değil bir sonraki tam kapsamlı test için değerlendirilmelidir. Önemli olan, yeniden testin ilk testteki adımlara erişimi olan bir ekip tarafından yapılmasıdır.

Sonuç

Düzeltme yapıldığını göstermek ile zafiyetin ortadan kalktığını kanıtlamak farklı şeylerdir ve aradaki farkı yalnızca yeniden test kapatır. Bir sonraki test sözleşmesinde yeniden test turlarının sayısını, süresini ve regresyon gözden geçirmesini kapsam metnine yazın; bu tek madde, raporun rafta kalmasıyla riskin gerçekten azalması arasındaki farkı belirler.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.