Örnek Sızma Testi Raporu: Hangi Bölümler Olmalı?
Rapor neden bu kadar önemli?
Sızma testinin elle tutulur çıktısı rapordur. Testi yapan ekip ne kadar yetkin olursa olsun, rapor anlaşılmaz veya eksikse bulgular kapanmaz. Aşağıda iyi bir raporun bölümlerini örnek bir yapı üzerinden anlatıyoruz.
1. Yönetici özeti
Teknik olmayan okuyucu için bir sayfayı geçmeyen bölümdür. Testin amacı, genel risk durumu, kritik ve yüksek bulgu sayısı ve öncelikli üç aksiyon burada yer alır. Örnek: “Test edilen müşteri portalında yetkisiz veri erişimine yol açan 1 kritik, 2 yüksek seviyeli bulgu tespit edilmiştir; öncelikle yetkilendirme kontrolleri düzeltilmelidir.”
2. Kapsam ve kısıtlar
- Test edilen alan adları, IP adresleri, uygulama sürümleri
- Test tarihleri ve saatleri
- Kapsam dışı sistemler ve yasaklanan yöntemler (örneğin hizmet engelleme)
- Test türü: kara, gri veya beyaz kutu
3. Metodoloji
Referans alınan standartlar belirtilir: OWASP Web Security Testing Guide, OWASP Top 10, PTES veya NIST SP 800-115 gibi. Kullanılan araçlar ve elle yapılan kontroller kısaca yazılır.
4. Bulgular
Raporun kalbi bu bölümdür. Her bulgu için şu alanlar olmalıdır:
- Başlık: “Sipariş detayında yetkisiz kayıt erişimi (IDOR)” gibi
- Risk seviyesi: Kritik / Yüksek / Orta / Düşük / Bilgi; tercihen CVSS puanıyla
- Etkilenen varlık: URL, parametre, sunucu
- Açıklama: Açığın ne olduğu ve neden oluştuğu
- Kanıt: İstek-yanıt örnekleri, ekran görüntüleri; hassas veriler maskelenmiş olarak
- Etki: Bir saldırgan bununla ne yapabilir?
- Çözüm önerisi: Geliştiricinin uygulayabileceği somut adımlar
- Referanslar: CWE numarası, OWASP bağlantısı
5. Risk özeti tablosu
Tüm bulguların seviye, durum ve sorumlu sütunlarıyla tek tabloda listelenmesi takibi kolaylaştırır. Bu tablo düzeltme sürecinde yapılacaklar listesi gibi kullanılır.
6. Tekrar testi sonuçları
Düzeltmelerden sonra yapılan kontrolün sonucu ayrı bölümde belirtilir: “Kapandı”, “Kısmen kapandı”, “Açık”.
Kötü raporun işaretleri
- Otomatik tarayıcı çıktısının olduğu gibi kopyalanması
- Kanıtı olmayan, doğrulanmamış bulgular
- “Güncel sürüm kullanın” gibi genel geçer çözüm önerileri
- Yönetici özetinin olmaması
Sonuç
Rapor, testin değerini belirler. Hizmet alırken örnek bir rapor şablonu istemek iyi bir seçim kriteridir. siber güvenlik testleri hizmetimizi inceleyebilir veya teklif alabilirsiniz.