Güvenlik denetimi nedir?
Güvenlik denetimi; ağ cihazlarının, sunucuların, uygulamaların ve kullanıcı yetkilerinin güvenlik açısından sistemli şekilde incelenmesidir. Zafiyet taramaları, yapılandırma kontrolleri ve log incelemeleriyle kurumun gerçek risk durumu ortaya çıkarılır.
Sonuç, teknik bulguların yanında yöneticilerin anlayacağı dilde yazılmış, önceliklendirilmiş bir rapordur.
Denetim kapsamı
- İç ve dış ağ zafiyet taraması
- Firewall, switch ve sunucu yapılandırma denetimi
- Active Directory ve yetki denetimi (aşırı yetkili hesaplar)
- Log ve olay kayıtlarının incelenmesi
- Yama ve sürüm durumu analizi
- Yedekleme ve felaket kurtarma hazırlığının kontrolü
KVKK ve ISO 27001 uyumu
Kişisel Verilerin Korunması Kanunu ve ISO 27001, kurumlardan teknik ve idari tedbirlerin alınmasını ve bunların belgelenmesini bekler. Denetim raporumuz, bu tedbirlerin mevcut durumunu ve eksiklerini maddeler halinde gösterir; denetimlerde kanıt olarak kullanılabilir.
Denetimden sonra
Bulguları rapor edip bırakmıyoruz. Kritik açıkları birlikte kapatıyor, düzeltmeleri yeniden tarayarak doğruluyor ve düzenli aralıklarla tekrarlanan denetim takvimi oluşturuyoruz.
Zafiyet taraması ile sızma testi farkı
Zafiyet taraması, sistemlerdeki bilinen açıkları otomatik araçlarla geniş kapsamlı ve düzenli olarak tespit eder. Sızma testi (penetrasyon testi) ise bir saldırganın bakış açısıyla bu açıkların gerçekten istismar edilip edilemeyeceğini elle dener. Düzenli zafiyet taraması ve yapılandırma denetimi güvenliğin sürekli bakımını sağlar; sızma testi ise belirli aralıklarla yapılan derinlemesine bir doğrulamadır.
Denetim raporunda neler var?
- Yönetici özeti: genel risk seviyesi ve öncelikli üç-beş aksiyon
- Bulguların kritik, yüksek, orta ve düşük olarak sınıflandırılması
- Her bulgu için etkilenen sistemler, kanıt ve düzeltme adımları
- KVKK ve ISO 27001 kontrolleriyle eşleştirme tablosu
- Düzeltme sonrası doğrulama taraması sonuçları
ManageEngine ADAudit Plus ile sürekli denetim
Tek seferlik denetimin ardından Active Directory, dosya sunucusu ve Windows sunucu değişikliklerini ManageEngine ADAudit Plus ile gerçek zamanlı izliyoruz. Kim, neyi, ne zaman ve nereden değiştirdi sorusunun yanıtı hazır raporlarla denetimlerde kanıt olarak kullanılabilir.
Active Directory güvenlik denetimi
Saldırıların büyük kısmı Active Directory ele geçirilerek tamamlanır. Aşırı yetkili hesapları, süresi dolmayan şifreleri, eski protokolleri, Kerberos ve delegasyon zafiyetlerini, kullanılmayan bilgisayar ve kullanıcı nesnelerini tespit ediyor; saldırganın izleyebileceği yolları raporluyoruz.
Nasıl çalışıyoruz
1 · ANALİZMevcut altyapıyı, riskleri ve iş hedeflerini çıkarırız.
2 · TASARIMİhtiyaca ve bütçeye uygun mimariyi planlarız.
3 · KURULUMDevreye alır, test eder, ekibinizi eğitiriz.
4 · İŞLETME7/24 izleme, bakım ve SLA'lı destek veririz.
Sık Sorulan Sorular
Güvenlik denetimi ne kadar sürer?
Orta ölçekli bir kurumda saha çalışması genellikle 1-2 hafta sürer; rapor ardından bir hafta içinde teslim edilir. Süre, sistem sayısına ve kapsama göre değişir.
Denetim sırasında sistemlerimiz etkilenir mi?
Taramalar iş saatleri dışında veya düşük yoğunlukta, onaylanmış bir plan dahilinde yapılır. Üretim sistemlerini etkileyebilecek testler önceden sizinle paylaşılır.
Ne sıklıkla denetim yaptırmalıyız?
En az yılda bir kapsamlı denetim, kritik sistemlerde ise üç ayda bir zafiyet taraması öneriyoruz. Büyük altyapı değişikliklerinden sonra da ek tarama yapılmalıdır.
Güvenlik denetimi fiyatı neye göre değişir?
Taranacak IP ve sunucu sayısı, web uygulaması sayısı, Active Directory büyüklüğü, yerinde mi uzaktan mı yapılacağı ve rapor sonrası düzeltme desteği maliyeti belirler.
Denetim raporunu KVKK denetiminde kullanabilir miyiz?
Evet. Rapor, alınan teknik tedbirleri ve bunların düzenli olarak gözden geçirildiğini gösteren belgeler arasında kullanılabilir.
Zafiyet taraması dışarıdan mı yapılır, içeriden mi?
İkisi birden. Dış tarama internetten görünen sistemleri, iç tarama ise bir saldırgan ağa girdiğinde ulaşabileceği sistemleri ortaya koyar.