Red team tatbikat süresi, teklif alırken sorulan ilk sorulardan biridir ve yanıtı çoğu zaman “duruma göre” olduğu için tatmin etmez. Oysa süre keyfî değildir: iki haftalık bir çalışmayla altı haftalık bir çalışma, aynı işin ucuz ve pahalı versiyonları değil, farklı soruların yanıtlarıdır. Kısa takvim “bu sisteme girilebiliyor mu” sorusuna, uzun takvim “savunmamız fark eder mi ve ne kadar sürede müdahale eder” sorusuna hizmet eder.

Bu yazı, tipik 2-6 haftalık aralığın hangi değişkenlerle şekillendiğini, haftaların pratikte nasıl bölündüğünü ve takvimi gereksiz yere uzatan kurum kaynaklı gecikmeleri ele alıyor. Amaç, teklif karşılaştırırken sürenin neyi ifade ettiğini doğru okuyabilmek ve iç planlamayı gerçekçi yapmaktır.

Takvimi belirleyen değişkenler

Süre tahmini, aşağıdaki başlıkların birlikte değerlendirilmesiyle çıkar. Tek başına çalışan sayısı ya da sunucu sayısı yeterli bir ölçüt değildir.

• Hedef sayısı ve türü: tek bir iş süreci mi, birden fazla iş birimi mi, operasyonel teknoloji ağı dahil mi
• Başlangıç varsayımı: sıfırdan dış keşifle mi başlanacak, yoksa varsayılan ihlal noktasından mı
• Gizlilik beklentisi: fark edilmeden ilerleme zorunluluğu var mı
• Fiziksel giriş ve sosyal mühendislik bileşenlerinin kapsama dahil olup olmadığı
• Coğrafi dağılım: birden fazla lokasyon, farklı ülke mevzuatı, farklı çalışma saatleri
• Bulut ve şirket içi ortamların bir arada test edilip edilmeyeceği

Bu değişkenlerden üçü aynı anda üst sınırdaysa takvim kaçınılmaz olarak altı haftaya yaklaşır. Kapsamı daraltmak süreyi kısaltır; ancak neyin ölçülmeyeceğini de bilinçli olarak kabul etmek gerekir. Deneyimli bir kurumsal siber güvenlik danışmanlığı ekibi, teklif aşamasında bu ödünleşimi yazılı hale getirir.

Haftalar pratikte nasıl bölünür

Tablodaki en büyük genişleme yanal hareket satırındadır ve bunun nedeni basittir: kurum büyüdükçe hedefe giden yol değil, denenmesi gereken yol sayısı artar. Raporlama süresini takvimden kısmak ise en maliyetli tasarruftur; yazılmamış bulgu kuruma hiçbir şey kazandırmaz.

Kapsam genişliği takvimi nasıl büyütür

Kapsam iki eksende genişler: yüzey ve derinlik. Yüzey genişlemesi, yeni bir iş birimi veya lokasyon eklemektir ve süreyi doğrusala yakın artırır. Derinlik genişlemesi, aynı hedefe farklı zincirlerden ulaşılmasını istemektir ve süreyi doğrusaldan hızlı büyütür; çünkü her alternatif zincir kendi keşif ve doğrulama çevrimini gerektirir.

Derinlik talebi çoğu zaman kurum tarafından fark edilmeden büyür. “Bir de şu senaryoyu deneyin” cümlesi kapsam listesine tek satır ekler, ancak sahada yeni bir keşif turu, yeni bir erişim denemesi ve ayrı bir doğrulama çevrimi anlamına gelir.

Somut bir örnek: yalnızca merkez ofisin kimlik altyapısını kapsayan bir çalışma üç haftada tamamlanabilirken, aynı çalışmaya iki üretim tesisinin ağ segmentleri eklendiğinde takvim beş haftaya çıkar. Eklenen şey sunucu sayısı değil, geçilmesi gereken sınır ve öğrenilmesi gereken farklı işletim mantığıdır.

Gizlilik seviyesi tempo ile ters orantılıdır

Fark edilmeden ilerleme talebi, süreyi en çok etkileyen tek kalemdir. Sessiz kalmak isteyen ekip; tarama hızını düşürür, bilinen araç imzalarından kaçınır, işlemleri mesai trafiğinin içine yayar ve her adımdan sonra tepki olup olmadığını gözlemek için bekler.

• Gürültülü tempoda bir gün süren keşif, sessiz tempoda bir haftaya yayılabilir
• Her yeni erişim sonrası bekleme süresi, savunmanın gecikmeli alarm üretip üretmediğini görmek için gereklidir
• Fiziksel giriş denemeleri ziyaretçi yoğunluğuna göre belirli günlere sıkışır
• Sosyal mühendislik dalgaları arasında, hedeflerin birbirini uyarmaması için ara verilir

Bu nedenle “iki haftada gizli bir tatbikat” talebi çoğunlukla iç tutarsızlık taşır: takvim ekibi hızlanmaya zorlar, hızlanma ise gizliliği bozar ve ölçülen şey savunmanın gerçek kabiliyeti olmaktan çıkar.

Sızma testiyle arasındaki fark nereden geliyor

Sızma testi, belirli sistem veya uygulamalardaki teknik zafiyetleri bulmayı hedefler; kapsam listesi bellidir, ekip fark edilmekten çekinmez ve tarama araçlarını tam kapasite kullanabilir. Bu yüzden 1-2 haftalık takvim çoğu durumda yeterlidir ve çıktı, önem derecesine göre sıralanmış bir bulgu listesidir.

Buna karşılık bir red team hizmeti, hedefe giden herhangi bir yolu arar ve asıl ölçtüğü şey savunmanın tespit ile yanıt performansıdır. Bekleme, gözlem ve iz bırakmama zorunluluğu takvimi kendiliğinden uzatır. İki çalışmayı fiyat ya da gün sayısı üzerinden karşılaştırmak, farklı sorulara verilen yanıtları kıyaslamak anlamına gelir.

Takvimi uzatan kurum kaynaklı gecikmeler

Sahada süre aşımlarının önemli bölümü teknik zorluktan değil, hazırlık eksikliğinden kaynaklanır.

• Kapsam ve yasak alanların çalışma başladıktan sonra değişmesi
• Yasal izin ve sözleşme eklerinin geç imzalanması, bulut sağlayıcı bildirimlerinin yapılmamış olması
• Acil durdurma için tanımlı irtibat kişisinin tatilde olması ve yedeğinin belirlenmemesi
• Log saklama süresinin kısa olması nedeniyle geriye dönük doğrulamanın yapılamaması
• Tatbikat penceresiyle çakışan büyük sistem göçleri veya dönemsel iş yoğunlukları
• Bulguların doğrulanması için gereken kurum içi teknik kişinin ulaşılamaz olması

Bu maddelerin tamamı sözleşme öncesinde bir saatlik bir toplantıyla kapatılabilir; kapatılmadığında ise takvime kolayca bir hafta ekler.

Süreyi sıkıştırmanın bedeli

Takvim zorla kısaltıldığında ekip önce gizlilikten, sonra alternatif zincirlerden, en sonunda raporlama derinliğinden ödün verir. Ortaya çıkan tablo şudur: kurum bir tatbikat yaptırmıştır ancak savunmanın gerçek tespit performansına dair güvenilir bir ölçüm elde edememiştir. Yanal hareket aşamasında yeterli süre tanınmadığında, kurumun en riskli alanı olan ayrıcalık birikimi hiç sınanmamış olarak kalır.

Bütçe ya da takvim gerçekten sınırlıysa doğru hamle süreyi kısaltmak değil, kapsamı daraltıp derinliği korumaktır. Tek bir kritik iş süreci üzerinde uçtan uca yürütülen üç haftalık bir çalışma, beş iş birimine yayılmış iki haftalık bir çalışmadan çok daha fazla bilgi üretir.

Sözleşme öncesinde netleştirilecek maddeler

1. Tatbikatın yanıtlaması istenen soruyu tek cümleyle yazın; süre tartışması bu cümleden sonra anlam kazanır.
2. Başlangıç varsayımını belirleyin: dış keşiften mi başlanacak, yoksa bir uç noktada erişim verilerek mi.
3. Gizlilik seviyesini ve bunun takvime etkisini teklif üzerinde açıkça gösterin.
4. Bilgilendirilecek kişi listesini ve acil durdurma prosedürünü yedekleriyle birlikte tanımlayın.
5. Yasak sistemleri, bakım pencerelerini ve kesintiye tolerans seviyesini yazılı hale getirin.
6. Raporlama ve değerlendirme oturumu için ayrılan süreyi takvimde ayrı bir kalem olarak tutun.
7. Bulgu kapatma doğrulamasının ne zaman ve hangi kapsamda yapılacağını baştan planlayın.

Sık sorulan sorular

Red team tatbikat süresi neye göre teklif edilir?

Teklif; kapsam genişliği, gizlilik beklentisi, başlangıç varsayımı ve fiziksel bileşenin dahil olup olmadığına göre şekillenir. Bu dört başlık netleşmeden verilen gün sayısı tahmini, uygulama sırasında büyük olasılıkla revize edilir.

İki haftalık bir çalışma anlamlı sonuç verir mi?

Kapsam tek bir iş sürecine daraltılırsa evet. Geniş kapsamla birleşen kısa takvim ise ekibi yüzeysel kalmaya zorlar ve savunmanın en zayıf noktası olan yanal hareket aşaması yeterince sınanamaz.

Tatbikat sırasında iş sürekliliği etkilenir mi?

Yıkıcı teknikler kapsam dışında tutulduğu için kesinti beklenmez. Yine de kritik sistemlerde işlem yapılmadan önce bakım pencereleri ve geri dönüş planı belirlenir; şüpheli bir durumda çalışma önceden tanımlı prosedürle durdurulur.

Ne sıklıkla tekrarlanmalı?

Yılda bir kapsamlı tatbikat, arada ise belirli senaryolara odaklanan dar kapsamlı tekrarlar yaygın bir düzendir. Büyük mimari değişiklikler, birleşme veya yeni bir bulut ortamına geçiş sonrasında takvim beklenmeden yenilenmesi önerilir.

Süre uzarsa maliyet nasıl kontrol edilir?

Kapsam değişikliği için yazılı bir talep süreci tanımlayın ve her değişikliğin gün etkisini onay öncesinde görün. Çalışma ortasında sözlü olarak genişletilen kapsamlar, hem takvimi hem bütçeyi öngörülemez hale getirir.

Sonuç

Süre, satın alınan bir mal değil; kapsam, gizlilik ve derinlik tercihlerinin toplamıdır. Aynı kuruma verilen iki haftalık ve altı haftalık iki teklif, farklı fiyat etiketleri taşıyan aynı hizmet değil, birbirinden farklı iki soruya verilen yanıttır. Takvimi belirlerken önce yanıtlamak istediğiniz soruyu netleştirin; gün sayısı bu sorunun doğal sonucu olarak ortaya çıkacaktır.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.