Pentest Metodolojisi 2026: Keşiften Raporlamaya Adım Adım 10-16-2026, 08:18 AM (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)
Sızma Testi Metodolojisi: Keşiften Raporlamaya
Merhaba,
İyi bir pentest "araç çalıştırmak" değil; kapsamı net, kanıtı güçlü, raporu anlaşılır bir süreçtir. Bu rehber PTES ve NIST SP 800-115 çizgisinde, yetkili bir testin aşamalarını özetler.
Konuda Anlatılacaklar
- Sözleşme ve kapsam
- Keşif (Reconnaissance)
- Tarama ve enumerasyon
- Zafiyet analizi ve sömürü (yalnızca izinli lab)
- Post-exploitation ve temizlik
- Raporlama
1) Sözleşme ve Kapsam
Teste başlamadan yazılı olarak netleştirin:
- Hedef IP/alan adı / uygulama listesi
- Yasaklı eylemler (DoS, sosyal mühendislik, üçüncü taraf bulut)
- Zaman penceresi ve iletişim kanalı
- Acil durum kontağı
- Veri işleme ve gizlilik maddeleri
2) Keşif
Kod:
# Pasif: WHOIS, sertifika şeffaflığı, genel DNS
whois ornek.com
dig ornek.com ANY +noall +answer
# Aktif (yalnızca kapsam içi)
nmap -sn 10.10.10.0/243) Tarama ve Enumerasyon
Kod:
sudo nmap -sS -sV -sC -oA kapsam_tarama 10.10.10.0/24
# Web için (izinli hedef)
# whatweb, httpx, nuclei gibi araçlar kapsam ve sözleşme dahilinde4) Zafiyet ve Sömürü
Bulunan her bulgu için: yeniden üretilebilir adımlar, ekran görüntüsü / paket kaydı, CVSS veya benzeri risk skoru, iş etkisi. Sömürü yalnızca yazılı izin ve lab / kapsam içinde.
5) Raporlama İskeleti
- Yönetici özeti (iş dili)
- Kapsam ve metodoloji
- Bulgular (kritik -> düşük)
- Kanıtlar
- Düzeltme önerileri
- Pozitif bulgular (ne iyi yapılmış)
Kaynakça
Görsel: TurkTeam özgün kapak görseli.
Alıntı:Yasal Uyarı: Sızma testi yalnızca yazılı yetkiyle ve kapsam dahilinde yapılır. İzinsiz erişim TCK 243-245 kapsamında suçtur.