Teknolojinin gelişimi ile birlikte gelişen siber saldırılar, pandemi ile birlikte her geçen gün daha da artmakta. Buna paralel olarak kişi ve kurumların siber güvenlik ihtiyaçları da artmakta.

Erik Medya, kişi ve kurumların siber güvenlik ihtiyaçlarını uzman ekibi ile birlikte gidermekle kalmaz, kuruluş misyonu gereği siber güvenlik hizmetini temel bir ihtiyaç olarak görür, siber güvenlik danışmanlığı hizmetini yalnızca büyük şirketlerin alabileceği pahalı bir hizmet olmaktan çıkarıp, kobi ve startup’ların da alabileceği bir kurguda hareket eder.

Neler Yapıyoruz?

1- Sızma Testleri (Penetrasyon Testleri)

Sızma testi (pentest), belirli bir sistemin t anındaki mantık hataları ve zafiyetlerini tespit etmek, tespit edilen güvenlik açıklarının kapatılması için gereken detaylı bilgilendirmeleri yapmak ve kötü niyetli kişilerin ilgili sisteme zarar vermesini engellemek amacıyla uzman kişilerce ve yasal olarak gerçekleştirilen güvenlik testleridir.

Yapmış olduğumuz tüm sızma testleri KVKK uyumludur.

Sızma Testi (Penetration Test) Çeşitleri

• Web Uygulama (Web Application) Sızma Testi Hizmeti

Kurumun internete açık servislerinin (website, mail, FTP, DNS vb.) web güvenliğini sağlamaya yönelik olarak yapılan sızma testi (pentest) hizmetidir.

• Yerel Ağ (Network) Sızma Testi Hizmeti

Kurumun yerel ağı üzerinde yapılan, yerel ağa bağlı herhangi bir istemcinin güvenliğinin test edilmesini sağlayan lokal testtir.

• Mobil Uygulama (Mobil Application) Sızma Testi Hizmeti

Gerektiğinde kaynak kod denetimi de yapılarak iOS ve Android işletim sistemine sahip mobil uygulamaların zafiyetlerini tespit etmek amacıyla yapılan güvenlik testidir.

• Bulut (Cloud) Sızma Testi Hizmeti

Kurumunuzun cloud (bulut) sunucuları üzerindeki zafiyetlerin tespiti için yapılan güvenlik testidir.

• Kablosuz Ağ (Wireless) Sızma Testi Hizmeti

Kurumunuzun iç ağlarındaki kablosuz ağ üzerinde yapılan ve kablosuz ağ altyapısı üzerindeki zafiyetlerin belirlenmesi amacıyla gerçekleştirilen güvenlik testidir.

• IoT Sızma Testi Hizmeti

IoT (Nesnelerin İnterneti), fiziksel nesnelerin birbirleriyle veya daha büyük sistemlerle bağlantılı olduğu iletişim ağıdır. IoT sızma testi, sistemdeki internete bağlı olan tüm cihazların daha güvenli olmasına yardımcı olmak için bir IoT cihaz çözümünde bulunan çeşitli bileşenlerin değerlendirilmesi, kullanılması ve ilgili sistemdeki zafiyetlerin belirlenmesi için yapılan güvenlik testidir.

• Scada Sızma Testi Hizmeti

Scada (Supervisory Control And Data Acquisition), çok kapalı sistemler olmakla birlikte tesisleri ve endüstriyel sistemleri kontrol etmek ve izlemek için kullanılan bir elektronik sistemdir. Bu sistemler savunma sanayi, nükleer tesisler, enerji dağıtım alt yapıları, hava ulaşımı kontrolü, sağlık sistemleri altyapıları gibi kritik alanlarda kullanılır. Scada sızma testi, ilgili sistemlerdeki zafiyetlerin tespit edilmesi amacıyla yapılan güvenlik testidir.

• DDoS Sızma Testi Hizmeti

Kurumun sistemlerinin devre dışı bırakılması amaçlanarak saldırı yapılmasıdır. DDoS testlerimiz 50 Mbps – 5 Gbps arasında gerçekleştirilmektedir.

• Sosyal Mühendislik/Phishing Güvenlik Testi Hizmeti

Kurum çalışanlarına ait e-postalar hedeflenerek, kurum için bilgi güvenliği farkındalığını arttırma amacı ile yapılan güvenlik testidir.

2- Red Teaming Hizmeti

Red teaming, bir kurumu gerçek hayattaki saldırılara karşı ne düzeyde dayanabileceğinin tespit edilmesi için yapılan, çok kapsamlı bir saldırı simülasyonudur. Bu simülasyon, kurumun ağlarını, güvenlik cihazlarını, uygulamalarını, çalışanlarını ve fiziksel güvenlik kontrollerini kapsar.

Temel olarak takip edilen standartlar NATO Cooperative Cyber Defence Centre of Excellence (NATO CCDCOE), Open Web Application Security Project (OWASP), The Penetration Testing Execution Standard (PTES), ABD Ordusu Red Team El Kitabı v7 (US Army Red Teaming Handbook v7) olarak sıralanabilir.

Red Teaming ile Sızma Testi Arasındaki Farklar Nelerdir?

Birbirine çok karıştırılan bu iki kavram aslında birbirine benzer gibi görünse de büyük farklılıklara sahiptir.

Sızma testi, kurumun bilgisi dahilinde yapılan kontrollü güvenlik testidir. Gerçek hayattaki saldırılara karşı eksiksiz bir koruma sağlayamayabilir.

Red teaming ise ilgili kurumdaki 1 ya da 2 yetkili haricinde kimsenin bilgisi olmadan yapılan işlemler bütünüdür. Bu sayede gerçek hayattaki saldırılara karşı test yapılan sistemin güvenlik durumu çok daha isabetli bir şekilde ölçümlenebilir.

Ayrıca red teaming yalnızca güvenlik testlerini kapsayan bir hizmet değildir. Red teaming hizmeti sayesinde kurumunuz çalışanlarını, kullandığınız güvenlik sistemlerini, uygulamalarınızı, fiziki güvenlik katmanlarınızı da ölçümleme şansına sahip olursunuz.

Red Teaming Metodolojisi

• Keşif (Reconnaissance)

İlk ve en önemli aşama olan bilgi toplama aşamasıdır.

• Silahlanma (Weaponization)

Toplanan bilgilerle hedefe özel stratejiler geliştirilir, yazılımsal ve donanımsal zararlılar geliştirilir, sosyal mühendislik senaryoları hazırlanır, sahte kişi ve şirketler oluşturulur.

• Gönderim (Delivery)

Silahlanma aşaması sonra aktif olarak saldırıya başlangıç aşamasıdır. Read team ekipleri belirlemiş oldukları stratejileri hedef kişi ya da kişilere yönelik uygularlar. Bu eylemler yüz yüze ya da online iletişim kanalları kullanılarak yapılabilmektedir. Bu aşama sayesinde bir çok analiz yapılmaktadır.

• İstismar (Exploitation)

Bu aşamada sisteme girilmiştir. Girilen sistemde nereye kadar ilerlenebilindiği ölçümlenir.

• Komuta ve Kontrol (Command & Control)

Geliştirilen zararlıların sistem içerisinde Red Team ekibi yönetiminde olduğu aşamadır. Zararlıların oluşturduğu ağ trafiğinin legal ağ trafiği gibi görünmesi de bu aşamada amaçlanır.

• Hedefe İlerleme (Actions on Objective)

Bu aşamada en kısa sürede ve açığa çıkmadan kurum tarafından belirlenmiş hedefe/hedeflere erişmek için çaba sarf edilir.

3- Siber Güvenlik Farkındalığı Eğitimleri

Hacklenme olaylarının önemli bir bölümü çalışanların yeterli siber güvenlik bilgisine sahip olmamaları sebebiyle gerçekleşmektedir. Bu eğitimler, kurum/şirket çalışanlarının siber güvenlik farkındalıklarını arttırmaya yönelik verilen eğitimlerdir.

Erik Medya, pratik ve teoriyi bir araya getirerek eğitim katılımcılarının sıkılmadan, hatta keyif alarak farkındalıklarını arttırmalarını sağlar ve eğitimler sonrası ölçüm ve değerlendirme sınavı yapar ve katılımcıları sertifika ile ödüllendirir.

4- Siber Güvenlik Tatbikatı (Siber Tatbikat) Hizmeti

Siber tatbikat hizmeti, kurumun gerçek saldırılara karşı durumunun en iyi şekilde analiz edilebilmesini sağlayan siber güvenlik hizmetidir. Sızma testinden en büyük farkı, kurumun yaptığı tüm siber güvenlik yatırımlarının ne kadar işe yaradığının somut bir şekilde ortaya konuluyor olmasıdır.

Siber tatbikat hizmeti, kurumun ölçeğine göre bir çok farklı senaryo ile gerçekleşebilmektedir.

5- Siber Güvenlik Danışmanlığı

Erik Medya, gelişen teknoloji ve gün geçtikçe artan siber saldırılara karşı kurumlara ihtiyaç duydukları konularda siber güvenlik danışmanlığı hizmeti ile destek vermektedir.

Siber güvenlik danışmanlığı hizmetinde, kurum ile yapılan görüşmeler sonucunda çıkacak danışmanlık kapsamı çerçevesinde bir yol haritası çizilir.

Öncelikle olarak kuruma bir sızma testi yapılır. Yapılacak sızma testi çeşidi/çeşitleri kurumun ihtiyaçlarına göre ortak bir karar ile belirlenir. Daha sonra kurumun siber güvenlik risk haritası çıkarılır ve yapılması gereken siber güvenlik yatırımları ile ilgili gerekli detaylı bilgilendirmeler Erik Medya tarafından verilir. Oluşturulması planlanan güvenlik katmanları ve alınması/kurulması gereken siber güvenlik ürünleri ile ilgili minimum maliyet, maksimum fayda gözetilir.

Erik Medya, hiçbir koşulda müşterilerine ürün satma gibi bir strateji gütmez. Siber güvenlik alanına yeni yatırım yapmaya başlamış kurumlar özelinde olabildiğince ücretsiz ürünlerin kullanılması teşvik edilir.

6- Network/Regülasyon Hizmetleri

Erik Medya sisteminizi olabilecek en güvenli ve tabi olduğunuz regülasyonlara uyumlu hale getirmek için hiçbir detayı atlamaz, güvenliği tüm ayrıntılara taşır.

Network/Regülasyon Hizmetleri Kapsamı Neleri İçermekte?

• Port Bazlı Erişim Sıkılaştırmaları
• Dış Dünya Erişim Sıkılaştırmaları
• Dış ve 3rd Applerin Erişim Kayıtlarının Tutulması
• OS ve APP Session Kontrolleri
• MFA Yapılabilecek Tüm Sistemler İçin MFA’nın Aktif Edilmesi
• Veritabanı Erişim Rollerinin Oluşturulması
• Veritabanı Erişim Bağımsız Kullanıcılarının ve Kontrol Prosedürlerinin Oluşturulması
• Veritabanı Bağlantı Bilgilerinin Görünür Yerlerden Kaldırılıp Şifreli Saklanması
• Veritabanı Bağlantı Bilgilerinin Görünür Yerlerden Kaldırılıp Şifreli Saklanması
• Hassas Veri Erişimleri İçin Alert Sisteminin Oluşturulması
• Backupların KVKK’ya Uygun Şekilde Store Edilmesi
• Erişimlerin IPS, AV ve SSL Inspection ile Korunması
• Sistemde AV, DLP, EDR vb. Güvenlik Ürünleri için Kural ve Korelasyon İyileştirmeleri
• İnternete Çıkışı Gerekmeyen Sunucuların Belirlenmesi/ İnternet Erişimlerinin Kesilmesi
• Web Hosting Sunucusu Varsa WAF-IPS Devreye Alınması
• Sistemde Proxy Web Filter Yoksa Proxy Web Filter’ın Devreye Alınması
• EOL Sunucuların Belirlenmesi ve Mümkün Olan En Güncel OS Sürümlerine Güncellenmeleri
• 5651 Loglamanın KVKK’ya Uyumluluğunun Denetlenmesi
• Sistemde Aktif Değil ise 802.1x Aktif Edilmesi

Siber güvenlikte %100 güvenlik diye bir şey yoktur. Siber güvenlik danışmanlığı hizmeti almayı düşünüp bu alana yatırım yapacak kurumların bütçelerinin kontrollü bir şekilde bu alana kaydırılması konusu Erik Medya’nın en büyük önceliğidir.

Uzman ekibimizle, uluslararası standartlarda ve en mantıklı fiyatlara siber güvenlik hizmetlerinden faydalanmak istiyorsanız Erik Medya yanınızda.