Geleneksel sızma testleri, belirli bir tarihte ağı tarar, açıkları bulur, raporlar ve sonra sessizce geçerliliğini yitirir. Oysa ortam sürekli değişir: yeni bir kontrol eklenir, bir güncelleme yapılır, tehdit aktörleri yeni teknikler geliştirir. Rapor, artık var olmayan bir ağı anlatır. İşte bu karar boşluğu –bir açığı bulup onunla ilgili verdiğiniz kararın hâlâ doğru olduğuna güvenememek– güvenlik ekiplerinin en büyük sorunudur. Gartner’ın yeni araştırması, bu boşluğu kapatmak için takvim bazlı testlerden sürekli saldırı testi (COST) modeline geçilmesi gerektiğini savunuyor.
Eskiden ayda bir veya üç ayda bir yapılan sızma testleri yeterliydi. Ancak yapay zekâ (AI) bu denklemi kökünden değiştirdi. Artık AI modelleri, güvenlik açıklarını otonom olarak keşfedip silah haline getirebiliyor. Sıfır Gün Saati (Zero Day Clock) verilerine göre, bir açığın kamuya duyurulmasından saldırgan tarafından kullanılmasına kadar geçen süre iki yıl önce ortalama 53 gün iken 2026’da 10 saatin altına düştü. Üstelik 2025’te 49.183 yeni CVE yayınlandı –günde yaklaşık 135– ve bunların yalnızca %0,5’i yamalandı. Bu hız karşısında üç aylık sızma testi raporları daha sunulmadan güncelliğini yitiriyor.
Gartner’ın COST modeli üç temel ayağa dayanıyor. Birincisi, doğrulama takvime değil değişikliğe göre tetiklenir: yeni bir internet açık varlık, sıfır gün uyarısı, kritik kontrol güncellemesi veya kod commit’i gibi olaylar risk seviyesine göre saatler içinde doğrulanır. İkincisi, sürekli bir algılama katmanı sayesinde maruziyet, saldırı yüzeyi, tehdit istihbaratı ve kontrol sinyalleri birleştirilerek önemli değişiklikler gürültüden ayrılır. Üçüncüsü, tek bir yöntem tüm işi kapsayamaz; bu nedenle sızma testi, kontrol doğrulama, kırmızı takım, hata ödülü ve saldırı simülasyonu gibi yöntemler orkestre edilmelidir. Gartner, 2028 yılına kadar kurumsal sızma testi programlarının %60’ından fazlasının yıllık döngüden çıkıp sürekli doğrulamaya geçeceğini öngörüyor.
Peki, canlı istismar testi yapamadığınız sistemler ne olacak? Kritik iş sistemleri, kısıtlı ağlar veya hava boşluklu segmentlerde gerçek bir istismar zincirini çalıştıramazsınız. Tipik bir kuruluşta güvenle test edilebilir kısım maruziyet resminin yalnızca %10-15’ini oluşturur. Geri kalan %85-90 için çözüm, TTP zincir doğrulamasıdır. Bir roketi fırlatmadan önce her bileşenini ayrı ayrı test ettiğiniz gibi, bir istismarı da teknik adımlarına ayırıp her adımı mevcut kontrollerinize karşı doğrulayabilirsiniz. Eğer ortamınız zincirin herhangi bir halkasını kırıyorsa, açık o ortamda istismar edilemez demektir. Bu yaklaşım, hem dokunamadığınız varlıkları hem de henüz silah haline gelmemiş tehditleri kanıtlarla değerlendirmenizi sağlar.
