PenTest Yaptıran Firmalar Dikkat !!!

Yüksek Güvenlik Tehlikesi; Ucuz ve Bilinçsizce Yaptırdığınız PenTestler Mutlaka Size Zarar Verecektir.

PenTest hizmetlerinde, firmaların sadece fiyat odaklı seçimler yapmak yerine, güvenilir deneyimli ve sertifikalı pentest hizmet sağlayıcıları ile çalışmalarının önemine dikkat çekmek için bu yazıyı kaleme alma ihtiyacı duydum.

Teknoloji dünyasında güvenlik tehditleri her geçen gün artıyor. Pentest hizmeti sunan MetaGuard vb nitelikli Uzman Personel istihdam eden, personel eğitimlerine yatırım yapan firmalar müşterilerinin dijital güvenliklerini sağlamak ve kaliteli iş çıkarmak için azami çaba göstermektedirler. Ancak yaşadığım son olayda, Pentest hizmetini ucuza ve kaliteli bir şekilde aldığını sanan ve Pentest hizmetini müşterisine ucuza ve kaliteli verdiğini sanan her iki firmanın yüksek güvenlik tehlikesi yaşadığını bizzat gözlemledim. 

Olayı anlatmadan önce söylemek isterim ki; Ucuz etin yahnisi sert olur, siber güvenlik alanında ise ucuza mal olan Pentest Hizmetleri direk olarak kalitesizdir. Ucuz ve kalite yan yana gelmez, eğer geldiği iddia ediliyorsa orada bir çapanoğlu vardır veya dolandırılıyorsunuz demektir. 

Şimdi gelelim yaşadığım olaya;

A firmasına, Pentest hizmeti sunan MetaGuard vb nitelikli Uzman Personel istihdam eden, personel eğitimlerine yatırım yapan firmalar, 12 ile 15 gün çalışma zaman aralığı olan, en az 3 sertifikalı uzman personelin görev alacağı bir Pentest işi için ortalama 7 birim fiyat teklifi sunmuşlardır.

A firması aldığı bu 7 birim fiyat teklifi sonrası, aynı işi daha ucuza yapacak Pentest firması arayışlarına devam etmiş ve ucuza pentest yaptığının reklamını yapan X firması ile iletişime geçmiştir.

A firmasına, herhangi bir nitelikli Uzman Personel istihdam etmeyen, ancak Uzman personel istihdam ettiğini ve TSE Onaylı Sızma Testi Firması olduğunu sözlü ifade ile söyleyen, ayrıca bu taahhüdünü yazıya da döken, X firması; normal şartlarda 12 ile 15 gün çalışma zaman aralığı olan işi sadece 3 günde yapabileceğini bildirmiş ve 1 birim fiyat teklifi sunmuştur.

A firması da, X firmasının sunduğu gayet ucuz teklifi, TSE Onaylı Sızma Testi Firması olması ve işi sadece 3 günde yapabileceğini taahhüt etmesi sebebiyle kabul etmiş ve çalışmalara başlanmıştır. Çalışma için X firmasının 2 personeli sadece 2 gün çalışarak (3 günde değil) gerekli raporları hazırlamış ve 1 birim fatura keserek A firmasından ayrılmışlardır.

Ancak, ucuz etin yahnisinin sert olması sebebiyle alınan hizmete ait kusurlar kısa sürede gün yüzüne çıkmış, A firması yönetimi güvenli olduğu raporlanan katmanlarda çeşitli siber saldırılara maruz kalmaya başlamış, üstüne birde deep webde verilerinin satışa çıkarıldığı paylaşımlara rastlamışlardır. 

Bunun üzerine A firması yönetimi konuyu biraz araştırınca aşağıdaki şok edici gerçeklerle yüz yüze kalmışlardır. 

• X firmasının TSE Onaylı Sızma Testi Firması olmadığı, verilen teklifteki TSE numarasının 2013 yılında alınmış bir FOTOKOPİ TAMİR hizmeti için alınmış TSE belgesine ait olduğunu tespit etmişler.
• X firmasına pentest için gelen iki kişiden sadece birinin X firması sigortalı çalışanı olduğu, onunda pentest yapabilecek ne sertifikasının ne de yeterliliğinin olduğunu, diğerinin ise çalışan dahi olmadığı, bir hack forumunda takılan moderatör gençlerden biri olduğunu tespit etmişler. Aynı kişinin geçmişte birçok veri tabanı paylaşımı yaptığını da ayrıca görmüşler.
• X firmasına hazırlanan pentest raporunun Nessus tarafından üretilen, logosu değiştirilmiş otomatik bir rapor olduğunu tespit etmişler.
• Daha da vahimi, pentest işi için firmaya çalışmaya gelen iki kişiden biri olan ve geçmişte hack forumların da veri tabanı paylaştığı bilgisine ulaşılan genç hakkında A firması X firmasını bilgilendirdiğinde; X firması, bu bilgilere sahip olmadığını iddia etmiş ve bu hususta sorumluluk almaktan raporda imzası olmadığı için kaçınmıştır.

X firmasının nasıl böyle bir sorumluluğun altına girdiğini aklım almıyor. Hadi A firması ucuza iş yaptırmak isteyen bir firma ama sen X firması olarak TSE Onaylı Sızma Testi Firması olmadığın halde öyleymiş gibi yazılı teklif veriyorsun, hatta 15 günlük işi 3 günde yaparım diyorsun, piyasa fiyat politikasını kendi çıkarların için baltalıyorsun, bir de üstüne iş için uzman olmayan 2 kişiyi gönderiyorsun, gönderdiklerinden birisi de senin personelin dahi değil. Hatta o kişi hakkındaki gerçekleri bilmediğini de iddia ediyorsun. O kişinin sorumluluğunu almaktan kaçınıyorsun. Tam bir rezillik, tam bir sorumsuzluk tam bir edepsizlik tam bir yüzsüzlük örneği.

Güvenlik, dijital çağın en önemli sorunlarından biridir ve güvenilir pentest hizmet sağlayıcılarını ve çalışanlarını seçmek, verilerinizi ve müşterilerinizi korumak için hayati öneme sahiptir. Bu olay, pentest alanında iş seçimlerinin de titizlikle yapılması gerektiğini gösteriyor ve tüm şirketleri dijital güvenlik konusunda ki hizmet alımlarında daha dikkatli olmaya çağırıyorum.

MetaGuard tarafından müşterilerine verilen siber güvenlik hizmetlerine ilişkin çalışmalar, bilgi güvenliği konusunda tecrübeli ve aşağıda listelenen sertifikalara sahip uzman personel(ler) tarafından gerçekleştirilmektedir.

Global Sertifikalar

– Licensed Penetration Tester (LPT Master)

– Certified Penetration Testing Professional (CPENT)

– Certified Ethical Hacker (CEH Master)

– Certified Ethical Hacker (CEH Practical)

– Certified Ethical Hacker (CEH)

– Certified Red Team Professional (CRTP)

– eLearnSecurity Web Application Penetration Tester eXtreme (eWPTX)

– eLearnSecurity Certified Professional Penetration Tester (eCPPTv2)

– eLearnSecurity Mobile Application Penetration Tester (eMAPT)

Türkiye Sertifikaları

– TSE (Türk Standartları Enstitüsü) – Web Uygulamaları ve Veri Tabanları – Kıdemli Sızma Testi Uzmanı

– TSE (Türk Standartları Enstitüsü) – Ağ ve Sistem Altyapısı – Kıdemli Sızma Testi Uzmanı

– TSE (Türk Standartları Enstitüsü) – Web Uygulamaları ve Veri Tabanları – Sertifikalı Sızma Testi Uzmanı

– TSE (Türk Standartları Enstitüsü) – Ağ ve Sistem Altyapısı – Sertifikalı Sızma Testi Uzmanı

Sonuç Olarak;

Pentest yaptırmak isteyen firmalardan ricam şudur; Eğer ilk kez bir siber güvenlik firması ile çalışacaksanız, lütfen Global ve Ülke kaynaklı çalışan sertifikalarını sorgulayınız ve doğrulayınız, daha önce çalıştıkları bir firmadan referans isteyiniz, gelen pentest görevlilerinin ilgili firmanın çalışanı olduğunu doğrulayınız, Ucuz Pentest yaptırma peşinde koşarsanız mutlaka zarar göreceğinizi iyi biliniz.

https://www.linkedin.com/pulse/pen-test-yapt%25C4%25B1ran-firmalar-dikkat-sava%25C5%259F-y%25C3%25B6ndem/

#pentest #metaguard #metaguardsoc #DarkWeb #cyberrisk #DataBreach #DeepWeb #cyber #security #cybersecurity #hack #hacked #hacker #leaked #data #fraud #cryptolocker #ransomware #soc