Bir red team raporlama oturumunda en sık yaşanan kopuş şudur: ekip, alan yöneticisi (Domain Admin) yetkisine dördüncü günde ulaştığını anlatır, ekrana saldırı zinciri diyagramı gelir, yönetim kurulu üyeleri sessizce birbirine bakar. Teknik olarak kusursuz olan bulgu karar mekanizmasında hiçbir şey değiştirmez, çünkü kurulun sorduğu soru “hangi komut çalıştırıldı” değil, “bu bize neye mal olurdu, kim ne zamana kadar kapatacak” sorusudur.
Tatbikat raporunun görevi saldırıyı anlatmak değil, kurumun tespit ve yanıt kabiliyetinin nerede kırıldığını iş diliyle göstermektir. Aşağıda bir tatbikat çıktısını kurula sunulabilir hale getiren yapı, kullanılabilecek ölçütler, sunum sırası ve sık tekrarlanan anlatım hataları somut biçimde ele alınıyor.
Kurulun rapordan beklediği üç cevap
Yönetim kurulu üyelerinin çoğu teknik geçmişten gelmez; buna karşılık risk, maliyet ve sorumluluk kavramlarını çok iyi bilir. Rapor bu üç eksene oturduğunda tartışma teknik detayda boğulmaz:
- Ne kaybedebilirdik? Erişilen veri kümesi, durdurulabilecek süreç, etkilenecek müşteri sayısı gibi somut karşılıklar.
- Fark eder miydik? Saldırı zincirinin hangi adımında alarm üretildi, hangi adımlar tamamen sessiz geçti.
- Ne zamana kadar kapanacak? Her bulgunun sahibi, tahmini eforu ve hedef tarihi.
Bu üç cevabı ilk sayfada veremeyen rapor, uzunluğundan bağımsız olarak eksiktir.
Aynı bulgunun iki dilde yazılması
Çift katmanlı rapor yaklaşımı, tek bir bulguyu iki farklı okuyucu için ayrı ayrı ifade etmek demektir. Yönetici özeti katmanında “ayrıcalıklı hesap yönetimindeki boşluk nedeniyle bordro veritabanına dört gün içinde erişildi ve bu erişim fark edilmedi” cümlesi yer alır. Teknik detay katmanında ise aynı bulgu; istismar edilen servis hesabı, kullanılan MITRE ATT&CK tekniği, komut çıktıları ve ekran görüntüleriyle belgelenir.
Deneyimli bir kurumsal siber güvenlik danışmanlığı ekibi bu iki katmanı birbirinin özeti gibi değil, birbirinin kanıtı gibi kurgular: kurulun okuduğu her iddianın teknik ekte doğrulanabilir bir karşılığı bulunur. Böylece “abartılıyor mu” tartışması daha başlamadan kapanır.
Saldırı zincirini iş etkisine çevirmek
Keşif, ilk erişim, yanal hareket (lateral movement) ve yetki yükseltme adımlarının her biri kurul için ayrı bir teknik başlık değil, tek bir hikâyenin halkalarıdır. Zinciri anlatırken şu kalıp işe yarar: “Kurumsal e-posta adresleri açık kaynaklardan toplandı, muhasebe biriminden bir kullanıcı sahte fatura ekiyle kimlik bilgilerini paylaştı, aynı parola VPN’de de geçerliydi, oradan yedekleme sunucusuna ulaşıldı.”
Zinciri sunarken her halkanın yanına o adımın hangi kontrolü aştığını yazmak da işe yarar: e-posta filtreleme, çok faktörlü doğrulama, ağ segmentasyonu, uç nokta izleme. Böylece kurul, yatırımı yapılmış kontrollerin hangilerinin gerçek koşulda çalıştığını tek bakışta görür.
Bu anlatım tek bir zafiyetin değil, kontrol boşlukları zincirinin sonucu olduğunu gösterir. Kurulun çıkarması gereken sonuç “şu sunucu yamalanmalı” değil, “kimlik doğrulama katmanımız tek başına çalışıyor, ikinci bir bariyer yok” olmalıdır.
Ölçülebilir hale getiren metrikler
Tatbikatın değeri, savunmanın önceki durumuyla karşılaştırılabilmesinden gelir. Aşağıdaki tablo, kurula sunulan raporda yer alması beklenen ölçütleri ve nasıl yorumlanacağını özetliyor.
| Ölçüt | Ne anlatır | Raporda gösterimi |
|---|---|---|
| MTTD (ortalama tespit süresi) | Saldırgan faaliyetinin fark edilmesi ne kadar sürdü | Aşama bazında saat/gün cinsinden |
| MTTR (ortalama yanıt süresi) | Tespitten izolasyona geçen süre | Olay kaydı açılışından müdahaleye |
| Tespit oranı | Denenen tekniklerin kaçı alarm üretti | Uygulanan teknik sayısına oran |
| Yanlış negatif teknikler | Hangi TTP’ler hiç görülmedi | MITRE ATT&CK matrisi üzerinde işaretli |
| Kapatma performansı | Önceki tatbikat bulgularının durumu | Kapandı / kısmen / açık |
Bu ölçütler bir sonraki tatbikatta aynı yöntemle yeniden hesaplandığında, güvenlik bütçesinin karşılığı somut biçimde görünür hale gelir.
Sunumu adım adım kurgulamak
Kurul sunumu için ayrılan süre çoğunlukla yirmi dakikayı geçmez. Bu süreyi verimli kullanmanın sırası şudur:
- Tek cümlelik sonuçla başlayın: hedefe ulaşıldı mı, ulaşıldıysa ne kadar sürede.
- Kapsamı ve kuralları hatırlatın: hangi sistemler dahildi, hangi teknikler kapsam dışı bırakıldı.
- Saldırı zincirini tek slaytta, en fazla beş halka ile gösterin.
- Savunmanın çalıştığı noktaları da söyleyin; yalnız başarısızlık anlatan rapor güvenilirliğini kaybeder.
- Bulguları iş etkisine göre sıralı biçimde, sahibi ve tarihiyle birlikte verin.
- Karar isteyen tek bir slaytla bitirin: onay bekleyen bütçe, kaynak veya politika değişikliği.
Soru-cevap için sürenin dörtte birini boş bırakmak, teknik ekin hazırlıklı olmasını gerektirir.
Bulgular hangi ölçütle önceliklendirilir
Yalnız teknik ciddiyet derecesine bakan önceliklendirme yanıltıcıdır. İnternete açık bir sistemdeki orta seviyeli zafiyet, iç ağdaki yüksek seviyeli bir bulgudan daha acil olabilir. Sıralama yapılırken istismar edilebilirlik, etkilenen varlığın iş kritikliği, mevcut telafi edici kontroller ve düzeltmenin operasyonel maliyeti birlikte değerlendirilir.
Kurumların önemli bir bölümünde ilk tatbikat sonrası liste onlarca maddeye ulaşır. Bu listeyi ilk otuz gün, ilk çeyrek ve yıl içi olarak üç dalgaya bölmek, ekiplerin gerçekçi taahhüt vermesini sağlar. Bir red team hizmeti alınırken sözleşmeye yazılması gereken maddelerden biri de raporun bu önceliklendirme mantığıyla teslim edilmesidir.
Rapor sonrası: doğrulama ve tekrar test
Kapatıldı denilen bulguların bir bölümü uygulamada kapanmaz; kural yazılır ama devreye alınmaz, yama test ortamında kalır. Bu nedenle rapor teslimi süreç sonu değil, takip döngüsünün başlangıcıdır.
- Kritik bulgular için 30-60 gün içinde hedefli doğrulama testi planlanır.
- Tespit boşlukları için yazılan yeni kurallar, aynı teknik tekrar denenerek sınanır.
- Kapanmayan maddeler risk kabul kaydına bağlanır ve kurul tutanağına işlenir.
- Bir sonraki kapsamlı tatbikat, önceki senaryonun tekrarını değil, farklı bir başlangıç noktasını hedefler.
Raporlamada tekrarlanan hatalar
Zayıf raporların ortak özellikleri şaşırtıcı biçimde benzerdir: araç çıktılarının ham haliyle eklenmesi, otomatik tarayıcı bulgularının tatbikat bulgusu gibi sunulması, her maddenin “kritik” işaretlenmesi ve savunma ekibinin yaptığı doğru müdahalelerin hiç anılmaması. Raporun teslim biçimi de sonucu etkiler: yüzlerce sayfalık tek bir dosya, hiçbir birimin sahiplenmediği bir belgeye dönüşür. Bulguların ekiplere göre ayrıştırılmış görev listesi halinde de paylaşılması, kapatma oranını doğrudan yükseltir. Bir diğer yaygın hata, saldırı senaryosunun kurulun anlamadığı kısaltmalarla anlatılmasıdır; ilk geçtiği yerde açılmayan her kısaltma dinleyicinin dikkatini kaybettirir.
Sık sorulan sorular
Red team raporu kaç sayfa olmalı?
Sabit bir sayfa sayısı yoktur; belirleyici olan katmanların ayrılmasıdır. Yönetici özeti iki-üç sayfayı geçmemeli, teknik detay ise bulguların yeniden üretilebilmesine yetecek kadar ayrıntılı olmalıdır. Ekler bölümü uzun olabilir, çünkü kurul onu okumaz, teknik ekipler okur.
Rapor kurula kim tarafından sunulmalı?
Sunumu genellikle bilgi güvenliği yöneticisi yapar, tatbikatı yürüten ekip teknik soruları yanıtlamak üzere odada bulunur. Bu ayrım, bulguların kurum içinde sahiplenildiğini gösterir ve tartışmanın “dış ekip abarttı” noktasına kaymasını engeller.
Tatbikat başarısız olursa yani hiçbir hedefe ulaşılamazsa rapor ne anlatır?
Hedefe ulaşılamaması savunma açısından değerli bir çıktıdır. Bu durumda rapor, denenen tekniklerin hangi kontrolde durduğunu, alarmların ne kadar sürede üretildiğini ve müdahale ekibinin adımlarını belgeler. Böyle bir rapor MTTD ve MTTR ölçümleri için en temiz veri kaynağıdır.
Bulgular denetim ve uyum süreçlerinde kullanılabilir mi?
Evet. ISO 27001 kapsamındaki teknik uygunluk gözden geçirmeleri ve KVKK’nın gerektirdiği idari-teknik tedbirlerin etkinlik değerlendirmesi için tatbikat raporu destekleyici kanıt olarak kullanılabilir. Bunun için raporda tarih, kapsam, yöntem ve kısıtların açıkça yazılı olması gerekir.
Rapor kurum dışına, örneğin müşterilere paylaşılabilir mi?
Tam rapor paylaşılmamalıdır; içinde istismar edilebilir teknik ayrıntı bulunur. Bunun yerine kapsamı, yöntemi ve genel sonucu özetleyen, bulgu detayı içermeyen bir doğrulama mektubu hazırlanır. Paylaşım öncesi hukuk ve bilgi güvenliği birimlerinin onayı alınmalıdır.
Sonuç
Bir tatbikat, raporu okunabilir olduğu ölçüde değer üretir; en yaratıcı saldırı zinciri bile karar vericinin gündemine giremediğinde masrafa dönüşür. Yönetici özetini iş etkisi üzerine kuran, teknik ekiyle her iddiayı kanıtlayan, ölçütleri tekrar edilebilir biçimde tanımlayan ve bulguları sahibi ile tarihe bağlayan bir rapor hazırlayın; kurul o zaman güvenlik yatırımını maliyet kalemi olarak değil, ölçülen bir risk azaltımı olarak değerlendirir.
Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.
