Bir red team operasyonu, güvenlik duvarında açık aramakla değil, saldırganın kurumu dışarıdan nasıl gördüğünü yeniden üretmekle başlar. Kariyer sitesinde yayımlanan “ERP Basis uzmanı aranıyor” ilanı hangi sürümün kullanıldığını ele verir; aynı hafta muhasebe biriminden bir kişiye gönderilen sahte e-fatura bildirimi ilk oturum bilgisini getirir; üç gün sonra ekip, yedekleme yazılımının servis hesabıyla dosya sunucularında dolaşmaktadır. Bu zincirin her halkası ayrı bir aşamadır ve sıraları keyfî değildir.

Aşamaları karıştıran ya da atlayan tatbikatlar, savunma ekibinin gerçek performansını ölçemez. Kuruma test hesabı, ağ krokisi ve beyaz liste verilerek başlatılan bir çalışma sızma testine benzer; saldırganın gerçekte harcadığı emeği ve savunmanın tepki verme fırsatlarını atlar. Aşağıda beş aşamanın hangi mantıkla sıralandığı, her aşamanın somut çıktısı ve o aşamada savunmadan beklenen ölçülebilir davranış anlatılıyor.

Aşama sırası neden pazarlığa kapalıdır

Sıra, saldırganın bilgi düzeyinin zamanla artmasından doğar. Keşif tamamlanmadan seçilen bir giriş noktası, kurumun en zayıf değil en görünür yüzeyini hedefler; yanal hareket öncesi kalıcılık kurulmazsa tek bir oturum kapanışında tüm erişim kaybedilir. PTES ve benzeri metodolojiler bu sıralamayı tam da bu bağımlılık nedeniyle sabitler.

İkinci gerekçe ölçümle ilgilidir. Savunma tarafının tespit kabiliyeti aşama aşama farklılaşır: bazı kurumlar oltalamayı ilk saatte yakalar ama kimlik bilgisi kötüye kullanımını haftalarca göremez. Aşamalar ayrı ayrı zaman damgalandığında, hangi katmanın kör olduğu tartışmaya yer bırakmadan ortaya çıkar. Bu nedenle olgun bir kurumsal siber güvenlik danışmanlığı süreci, teknik ekiple sahaya inmeden önce yönetimle oturup “bu çalışmada tam olarak neyi kanıtlamak istiyoruz” sorusunu yanıtlar.

Keşif: saldırı yüzeyini dışarıdan haritalamak

İlk aşama açık kaynak istihbaratıyla (OSINT) yürür ve kurumun ağına tek bir paket göndermeden tamamlanabilir. Amaç, teknik ve insan yüzeyinin envanterini çıkarmaktır.

• Alan adı ve alt alan adı envanteri, süresi dolmuş sertifikalar, unutulmuş test ortamları
• Kod depolarına yanlışlıkla yüklenmiş anahtarlar, yapılandırma dosyaları, dahili sunucu adları
• Çalışan isim ve unvan listesinden türetilen e-posta kalıbı ve organizasyon şeması
• Tedarikçi, danışman ve bakım firması ilişkileri; uzaktan erişim veren üçüncü taraflar
• Fiziksel yerleşke bilgileri: giriş turnikeleri, kart tipi, ziyaretçi prosedürü

Keşif aşamasının ne kadar sürdüğü kurumun dış yüzeyinin dağınıklığıyla doğru orantılıdır. Birbirinden habersiz ekiplerin açtığı bulut kaynakları, satın alınan şirketlerden devralınan alan adları ve pazarlama kampanyaları için kurulup kapatılmayan sayfalar, envanterde görünmediği için izlenmeyen bir yüzey oluşturur. Ekibin ilk günlerde bulduğu her kayıt dışı varlık, kurumun varlık yönetimi olgunluğu hakkında da bir bulgudur.

Keşfin çıktısı bir liste değil, önceliklendirilmiş bir hedef haritasıdır: hangi yüzeyin en az izlendiği ve en yüksek getiriyi vaadettiği burada belirlenir.

İlk erişim: giriş noktası nasıl seçilir

İkinci aşamada ekip, haritadaki en verimli halkayı dener. Seçim genellikle üç aileden yapılır: hedefli oltalama, internete açık bir servisteki zafiyetin istismarı ve fiziksel giriş denemesi. Karar, tespit edilme olasılığı ile elde edilecek erişimin değeri arasındaki dengeye göre verilir.

• Oltalama, kimlik doğrulama ikinci faktörü zayıfsa hâlâ en yüksek isabet oranını verir
• Dış yüzeydeki eski VPN veya dosya transfer ürünleri, yamalanmamışsa doğrudan ağ içi erişim sağlar
• Yüklenici kimliğiyle yerleşkeye girip toplantı odasındaki ağ prizini kullanmak, sanılandan sık başarılı olur
• Tedarikçi portalı üzerinden gelen erişimler çoğu kurumda ayrı bir izleme kuralına bağlı değildir

Bu aşamanın başarı ölçütü “içeri girdik” değil, “girdiğimiz kaç dakika sonra fark edildi” sorusunun yanıtıdır.

Yanal hareket ve yetki yükseltme: asıl sınav

Üçüncü aşama, tatbikatın savunma açısından en öğretici bölümüdür. Ekip, elindeki sıradan kullanıcı oturumundan yola çıkarak yanal hareketle (lateral movement) yüksek değerli sistemlere ilerler ve yetki yükseltme fırsatlarını arar. Tipik zincir; bellekte kalan kimlik bilgilerinin toplanması, aşırı yetkilendirilmiş servis hesaplarının keşfi, paylaşımlardaki betiklerde açık metin parola bulunması ve dizin hizmetindeki yanlış yapılandırmaların kullanılmasıdır.

MITRE ATT&CK matrisi bu aşamada ortak dil işlevi görür: kullanılan her teknik bir taktik başlığı altında kodlanır, böylece savunma ekibi hangi tekniğe karşı kör olduğunu kesin biçimde görür. Kurumların çoğunda sorun tekniklerin egzotikliği değil, uzun süredir devralınan yetki birikimidir.

Hedef tamamlama: iddianın kanıtlanması

Dördüncü aşamada, sözleşmede önceden yazılmış “kron mücevher” hedeflerine ulaşılıp ulaşılamadığı gösterilir. Bu hedef bir ödeme talimatı sisteminde işlem başlatma yetkisi, müşteri veri tabanından örnek kayıt çıkarma ya da üretim hattını yöneten sistemde okuma erişimi olabilir. Veri sızdırma gerçek veriyle değil, işaretlenmiş sahte kayıtlarla simüle edilir; amaç zarar vermek değil, kanalın açık olduğunu kanıtlamaktır.

Hedef tamamlamada sıkça gözden kaçan bir ayrıntı, erişimin sürdürülebilirliğidir. Tek seferlik bir bağlantıyla ulaşılan sistem ile haftalarca fark edilmeden korunan bir erişim, risk açısından aynı şey değildir; rapor bu ikisini ayırmalıdır.

Bu aşama aynı zamanda savunmanın son savunma hattını sınar: veri kaybı önleme kuralları, çıkış trafiği denetimi ve ayrıcalıklı işlem onay mekanizmaları burada devreye girmiyorsa, önceki katmanların tespit başarısı tek başına yeterli değildir.

Raporlama: çift katmanlı çıktı

Beşinci aşama, çalışmanın kuruma kalan tek kalıcı ürünüdür ve iki ayrı okuyucu kitlesine yazılır. Yönetici özeti; iş etkisini, hangi kritik varlığa ne kadar sürede ulaşıldığını ve karar gerektiren maddeleri sayfa sınırını aşmadan anlatır. Teknik detay bölümü ise saldırı zincirini adım adım, komut ve zaman damgası düzeyinde belgeler.

Satın alınan bir red team hizmetinin asıl değeri, uzun zafiyet listesi değil, bu zincirin hangi halkasında durdurulabildiğinin ve neden durdurulamadığının kaydıdır. İyi rapor, her bulguyu tespit önerisiyle eşler: hangi log kaynağı olsaydı bu adım görülürdü, hangi kural yazılırsa tekrarı yakalanır.

Aşama geçişlerinde savunmadan beklenen tepki

Tatbikat öncesi kurum içi hazırlık: adım adım

1. Kapsam ve yasak alanları yazılı olarak belirleyin; üretim kesintisine tolerans seviyesini net yazın.
2. Hedefleri iş diliyle tanımlayın: “sunucuya eriş” değil, “şu tutarın üzerinde ödeme talimatı oluştur”.
3. Bilgilendirilecek kişileri en aza indirin; savunma ekibi haberdarsa ölçtüğünüz şey tatbikat değil provadır.
4. Çatışmayı önleyecek bir irtibat kanalı ve acil durdurma parolası tanımlayın.
5. Tatbikat penceresinde log saklama sürelerini uzatın; sonradan geriye dönük analiz yapılamayan kayıtlar bulguyu değersizleştirir.
6. Bitişte purple team oturumu planlayın; bulguların tespit kuralına dönüşmesi bu oturumda olur.

Sık sorulan sorular

Red team operasyonu ne kadar sürer?

Kapsamın genişliğine ve istenen gizlilik seviyesine göre tipik olarak 2-6 hafta arasında planlanır. Belirli bir uygulamanın teknik zafiyetlerine odaklanan sızma testi ise çoğunlukla 1-2 haftalık bir takvimle yürütülür. Süre kısaldıkça ekip gürültülü tekniklere yönelmek zorunda kalır ve gerçekçilik düşer.

Savunma ekibine haber verilmeli mi?

Tespit ve yanıt kabiliyetini ölçmek istiyorsanız hayır. Yalnızca yönetimden sınırlı sayıda kişi bilgilendirilir. Haberli yürütülen çalışmalar purple team formatına daha uygundur ve amacı ölçmek değil, birlikte kural geliştirmektir.

Aşamalardan biri atlanabilir mi?

Kurum daha önce hiç test edilmemişse ilk erişim aşaması varsayılarak başlanabilir; buna varsayılan ihlal yaklaşımı denir. Bu bir atlama değil, bilinçli bir kapsam kararıdır ve raporda açıkça belirtilmelidir.

Tatbikat üretim sistemlerini durdurur mu?

Amaç kesinti yaratmak değildir; yıkıcı teknikler ve hizmet dışı bırakma denemeleri kapsam dışı tutulur. Yine de kritik sistemlerde bakım pencereleri ve geri dönüş planı önceden yazılır.

Bulgular kapatıldıktan sonra tekrar test gerekir mi?

Evet. Kapatma doğrulaması, özellikle yetki yapılandırması ve tespit kuralı değişikliklerinde şarttır. Aynı saldırı zincirinin dar kapsamlı tekrarı, iyileştirmenin gerçekten işe yaradığını gösterir.

Sonuç

Beş aşama, bir kontrol listesi değil, saldırganın bilgi kazanma sürecinin doğal sırasıdır; her aşama bir öncekinin ürettiği erişimi girdi olarak kullanır. Bu sırayı koruyan bir çalışma, kuruma yalnızca zafiyet listesi değil, savunmanın hangi noktada gördüğünü, hangi noktada kör kaldığını ve müdahalenin kaç dakikada başladığını gösteren bir kayıt bırakır. Tatbikatı planlarken sorulacak doğru soru “kaç açık bulunacak” değil, “saldırı zincirini nerede kesebiliyoruz” olmalıdır.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.