On-Premise ve Air-Gap Sızma Testi Platformları: Satın Alma Rehberi

Alıcıların çoğu sızma testi platformlarını neler bulduklarına göre karşılaştırır. Regüle edilen kurumlar için ilk filtre çoğu zaman başka bir yerdedir: platformun kontrol düzleminin ve yapay zekâsının nerede çalıştığı, dolayısıyla bulguların, kimlik bilgilerinin ve kanıtların nereye gittiği. Bu tercih, bir risk komitesinin önem verdiği üç şeyi belirler:

• Kim üçüncü taraftır?

  Bulgularınızı alan bir üretici bulutu, kendi lokasyonları, alt yüklenicileri ve personeliyle güvenlik verinizi işleyen bir hizmet sağlayıcıdır.

• Neler değerlendirilmeli ve sözleşmeye bağlanmalı?

  Bu tür her sağlayıcı; durum tespiti, sözleşme maddeleri, izleme ve bir çıkış planı ekler.

• Üretici durursa ne olur?

  Testler bir üretici bulutuna bağlıysa, bir askıya alma, kesinti ya da iflas sizin testlerinizi de durdurur.

Aşağıdaki kuralların hiçbiri bulutta barındırılan bir sızma testi platformunu yasaklamaz ve pek çok kurum bu çalışmayı yaptıktan sonra böyle bir platform kullanır. Bu rehber, bu çalışmayı satın almadan önce görünür kılar ve bir on-premise ya da air-gap seçeneğinin bu yükü ortadan kaldırmak için neler sunması gerektiğini gösterir.

• Savunma, silahlı kuvvetler ve savunma sanayii

  Gizli ve kontrollü bilgiler, kural gereği air-gap ile izole edilmiş ağlar ve ABD savunma tedarikçileri için CUI ile güvenlik verilerinin nereye gidebileceğine dair CMMC kapsam kuralları. Bkz. savunma ve air-gap ile izole ağlar ve ABD savunma sanayii tabanı (CMMC).

• Kamu yönetimi ve devlet

  İtalya'nın ulusal siber güvenlik çevresi gibi ulusal güvenlik ve veri sınıflandırma kuralları ile devleti savunan araçların devletin kontrolünde kalması ilkesi.

• Bankalar, sigorta şirketleri ve piyasa altyapıları

  AB'de DORA kapsamındaki BİT üçüncü taraf riski, yoğunlaşma riski ve çıkış stratejileri; başka ülkelerde ise ulusal denetim otoritelerinin dış kaynak kullanımı ya da veri yerleşimi kuralları.

• Sağlık ve yaşam bilimleri

  GDPR Mad. 9 kapsamındaki özel nitelikli kişisel veriler, ABD'de HIPAA iş ortağı (business associate) yükümlülükleri ve NIS2 kapsamında temel kuruluş sayılan hastaneler.

• OT ve endüstriyel ağ işletmecileri

  Bilinçli olarak izole edilmiş tesis, enerji ve kamu hizmeti ağları; buralarda sürekli internet bağlantısı gerektiren bir araç hiç kurulamaz.

Ortak nokta büyüklük değil, güvenlik verisinin hassasiyeti ve ağın izolasyonudur. Her sektörün düzenleyici gerekçesiyle birlikte tam liste on-premise yapay zekâ red team sayfasında yer alıyor.

Üç kural, bir sızma testi platformunun çalıştığı yeri bir uyum sorusuna dönüştürür. Hiçbiri bulutu yasaklamaz; her biri, bulgularınız binadan çıktığında ek iş getirir.

• DORA (AB finansal kuruluşları)

  Sözleşme, verinin nerede işlendiğini ve saklandığını belirtmelidir (Mad. 30(2)(b)); kritik ya da önemli işlevleri destekleyen hizmetler için test edilmiş bir çıkış stratejisi gerekir (Mad. 28(8)).

• NIS2 (temel ve önemli kuruluşlar)

  Tedarik zinciri güvenliği zorunlu bir önlemdir (Mad. 21(2)(d)) ve her tedarikçinin kendine özgü zafiyetleri ile güvenlik uygulamaları dikkate alınmalıdır (Mad. 21(3)).

• CMMC (ABD savunma yüklenicileri)

  Bulgularınızı ya da test kimlik bilgilerinizi alan bir bulut hizmeti Security Protection Data işler; bu da onu değerlendirme kapsamınızda bir External Service Provider yapar (32 CFR 170.4).

Üreticiler on-premise ifadesini çok farklı mimariler için kullanıyor: bir bulut konsolundan yönetilen yerel bir sensör, bir bulut yapay zekâ modelini çağıran yerel bir motor ya da kendi içinde bütün bir appliance. Terimi sözleşmede madde madde tanımlayın:

• Varsayılan olarak telemetri yok

  Ürünün normal çalışmada kurduğu her dışa giden bağlantıyı, hedefini ve taşıdığı veriyi listeleyin. Bu listenin dışındaki her şey isteğe bağlı (opt-in) ve belgelenmiş olmalıdır.

• Yerel yapay zekâ modelleri

  Çıkarımın (inference) nerede çalıştığını belirtin. Herhangi bir prompt, bulgu ya da kimlik bilgisi harici bir model uç noktasına ulaşabiliyorsa, o sağlayıcı bir üçüncü taraftır ve değerlendirmenize dahil edilmelidir. Bkz. siber güvenlikte özel yapay zekâ.

• Çevrimdışı lisanslama

  Platform üreticiye ulaşamadığında da çalışmaya devam etmeli, lisans süresi yerelde kontrol edilmelidir; böylece bir üretici kesintisi, anlaşmazlığı ya da iflası testlerinizi kapatmaz.

• Kontrollü bir güncelleme süreci

  Üretici tarafından imzalanmış, kurulumdan önce doğrulanabilen, ağın izole olduğu yerlerde çevrimdışı uygulanabilen ve sizin karar verdiğiniz zaman kurulan güncellemeler.

• Yerel kanıt depolama

  Bulgular, kanıtlar ve kimlik bilgileri sizin donanımınızda saklanmalı; bütünlükleri üreticiye ihtiyaç duymadan doğrulanabilmeli ve sözleşme bittikten sonra da saklayabileceğiniz dışa aktarma biçimleri sunulmalıdır.

• Veri silme

  Sözleşme sona erdiğinde ya da donanım onarım veya değişim için geri gönderildiğinde verinin nasıl silindiği ve hangi imha kanıtının sağlandığı.

• Uzaktan destek

  Üreticinin uzaktan erişime hiç ihtiyaç duyup duymadığı, bunu kimin onayladığı ve nasıl kayıt altına alındığı.

• Air-gap davranışı

  Hangi özelliklerin internete bağlı olduğu ve platform tamamen izole edildiğinde kaybolduğu; böylece test kapsamı bunlara göre planlanabilir.

Dağıtım seçenekleri, kategori etiketlerinin düşündürdüğünden daha fazla farklılık gösterir. Karşılaştırma sayfalarımız için incelediğimiz belgelere göre:

• Horizon3.ai NodeZero

  Müşterinin barındırdığı bir sunucudan çalışır, ancak Horizon3'ün bulutundan yönetilir; bu sunucunun bir test sırasında sürekli dışa doğru erişime ihtiyacı vardır. AB'de barındırılan bir portal mevcuttur; air-gap sürümü belgelenmemiştir.

• Pentera

  Pentera Core sizin altyapınıza kurulur; Pentera Surface ise AWS'de barındırılır ve üretken yapay zekâ özellikleri bir bulut LLM hizmetini çağırır. Tamamen air-gap ortamında çalışma belgelenmemiştir.

• Cymulate

  Yalnızca SaaS: hafif test noktaları sizin ağınızda çalışır, platform ve yapay zekâsı ise Cymulate'in bulutunda çalışır.

• XM Cyber

  Varsayılan olarak SaaS; AB barındırma seçenekleri ve BSI C5 mevcuttur. Belgelenmiş, tamamen on-premise ya da air-gap bir sürüm bulamadık.

• XBOW

  Üçüncü taraf öncü (frontier) modeller üzerinde SaaS olarak sunulur; internete açık web uygulamalarını ve API'leri hedefler.

• Picus Security

  Öncelikli olarak SaaS sunan bir breach and attack simulation (BAS) üreticisidir, ancak on-premise ve air-gap dağıtımı belgeliyor.

Buradan iki adil sonuç çıkıyor. SaaS platformlar daha hızlı devreye alma ve yönetilecek donanım olmaması gibi gerçek avantajlar sunar ve yukarıdaki kısıtlara sahip olmayan kurumlar için doğru tercih olabilir. Ayrıca on-premise ya da air-gap seçenekleri tek bir üreticiye özgü değildir: kısa listenizdeki her üreticiye aşağıdaki soruları sorun ve yanıtları ürün bilgi föyünde değil, sözleşmede okuyun. Üretici belgeleri değişir; bu yüzden her noktayı satın alma sırasında üreticiyle doğrulayın. Yan yana karşılaştırma sayfaları alternatifler bölümünde.

Bu soruları kısa listenizdeki her üreticiye gönderin ve yanıtları sözleşmeyle birlikte saklayın.

1. 1Platformun normal çalışmada kurduğu her dışa giden bağlantıyı hedefi ve taşıdığı veriyle birlikte listeleyin. Her biri kapatılabiliyor mu?
2. 2Yapay zekâ modelleri nerede çalışıyor? Herhangi bir prompt, bulgu ya da kimlik bilgisi harici bir çıkarım uç noktasına ulaşabiliyor mu ve modellerin sahibi kim?
3. 3Platform hiçbir internet bağlantısı olmadan tam olarak çalışıyor mu? Air-gap modunda hangi özellikler kayboluyor?
4. 4Kullanım, çökme ya da güncelleme durumu bildirimi dahil herhangi bir telemetri var mı? Varsayılan olarak kapalı mı ve içeriğinde ne var?
5. 5Lisans nasıl uygulanıyor? Platform üreticiye ulaşamadığında çalışmaya devam ediyor mu ve sürenin sonunda ne oluyor?
6. 6Güncellemeler nasıl dağıtılıyor, imzalanıyor ve doğrulanıyor; sizin seçtiğiniz bir zamanda çevrimdışı uygulanabiliyor mu?
7. 7Güncellemeler neler içeriyor ve kurulumdan önce sürüm notlarını görebiliyor musunuz?
8. 8Bulgular, kanıtlar ve test kimlik bilgileri nerede saklanıyor ve bütünlüklerini üreticiye ihtiyaç duymadan doğrulayabiliyor musunuz?
9. 9Kanıtlar ve raporlar, sözleşme sona erdikten sonra da kullanılabilir kalacak hangi biçimlerde dışa aktarılabiliyor?
10. 10Sözleşme sonunda ya da donanım iade edildiğinde veriler nasıl siliniyor ve hangi imha kanıtı sağlanıyor?
11. 11Destek hiç uzaktan erişim gerektiriyor mu? Bunu kim onaylıyor, nasıl sınırlandırılıyor ve kayıt altına alınıyor?
12. 12Hangi alt yükleniciler, barındırma sağlayıcıları ya da yapay zekâ sağlayıcıları verilerinize hangi ülkelerde temas ediyor (DORA Mad. 29(2) ve 30(2)(b))?
13. 13Platform için bir yazılım malzeme listesi (SBOM) mevcut mu ve platformun kendisindeki zafiyetler nasıl ele alınıyor ve açıklanıyor?
14. 14Üreticiyi ve ürünü hangi bağımsız güvenceler kapsıyor: sertifikalar ve durumları ile platformun üçüncü taraf sızma testleri?
15. 15Platform yetkilendirilmiş kapsamın içinde nasıl kalıyor, riskli eylemleri kim onaylıyor ve nasıl durduruluyor? Alıcılar için OWASP APTS rehberi bu soruyu yapılandırılmış bir değerlendirmeye dönüştürüyor.

DORA kapsamında yanıtlar bilgi kaydını ve çıkış planını; NIS2 kapsamında tedarikçi değerlendirmesini; CMMC kapsamında ise varlık envanterini ve sistem güvenlik planını besler.

Zero Hunt, ağlar ve altyapı için appliance olarak sunulan otonom bir yapay zekâ red team'dir: küçük lokasyonlar için masaüstü bir birim ya da kurumsal yapılar ve veri merkezleri için 2U bir rack. Sitenin dağıtım hakkında belirttikleri:

• Dışa giden bağlantılar ve telemetri: yapay zekâ modelleri, kanıt deposu ve konsol dahil tüm yığın appliance üzerinde çalışır ve hiçbir müşteri verisi appliance'tan çıkmaz. Bağlı olduğunda appliance dışarıya yalnızca imzalı ürün güncellemelerini, kamuya açık tehdit istihbaratını ve gray-box analiz için test edilen yazılım sürümünün yayımlanmış kaynak kodunu almak üzere bağlanır; bu sonuncusu kapatılabilir ya da sizin kendi kaynak kod aynanıza (mirror) yönlendirilebilir. Güncelleme durumu bildirimi (sürüm kimliği, durum, zaman damgası) isteğe bağlıdır (opt-in).
• Yapay zekâ modelleri: Zero Hunt'ın kendi ZeroHunt Apex modelleri appliance GPU'su üzerinde çalışır; harici bir yapay zekâ API'si yoktur.
• Air-gap modu: dışarıya hiçbir şey çıkmaz; güncellemeler imzalı çevrimdışı paketler, tehdit istihbaratı ise çevrimdışı içe aktarmalar olarak gelir. Kamuya açık OSINT keşfi ve yayımlanmış kaynak kodun indirilmesi bu modda kapalıdır; bu nedenle appliance sizin kendi kaynak kod aynalarınıza erişemiyorsa söz konusu değerlendirmeler black-box olarak yürütülür.
• Lisanslama: çevrimdışı bir lisansla appliance süresini yerelde kontrol eder ve çalışmaya devam etmek için Zero Hunt'a bağlanması gerekmez.
• Kanıtlar: her saldırı denemesi, appliance üzerinde tutulan imzalı ve hash zinciriyle bağlı bir kanıt kaydına işlenir; dışa aktarılan raporlar imzalıdır.
• Güvence: Trust Center güncel durumu açıkça belirtir: appliance imajı her yıl bağımsız bir firma tarafından sızma testine tabi tutulur, ISO/IEC 27001 süreci devam etmektedir ve SOC 2 Type II planlanmaktadır. Bkz. Trust Center.

İki dürüst uyarı. On-premise olmak Zero Hunt'ı bir DORA kaydının dışına çıkarmaz: güncelleme gönderen bir üretici Madde 3(21) kapsamında bir BİT hizmeti sunar, bu nedenle yine kaydedilmesi ve değerlendirilmesi gerekir; ancak verinin bulunduğu yer sizin kendi tesisinizdir. Ayrıca sözleşme sonunda ya da donanım iadesinde veri silme gibi konular sözleşmenin konusudur; her üreticiden isteyeceğiniz gibi bunları yazılı olarak isteyin. Ortamınıza uygunluğu kontrol etmek için demo talep edin.