Önce modelle, sonra inşa et,
sürekli test et.
Tek ürünle güvenlik olmaz. Pentexa; tehdit modelinden mimariye, testten izlemeye kapalı döngü bir program işletir.
Pentexa güvenlik döngüsü
- 1 · Tehdit Modelleme
Varlık, saldırgan profili ve kötüye kullanım senaryoları çıkarılır. STRIDE + iş etkisi analizi.
- 2 · Güvenli Tasarım
Zero Trust ilkeleriyle mimari: en az yetki, segmentasyon, şifreli veri, denetlenebilir erişim.
- 3 · Güvenli İnşa
DevSecOps: SAST/SCA/container/IaC taramaları her PR'da, imzalı artefakt ile dağıtım.
- 4 · Saldırgan Gözüyle Test
Pentest + mor ekip tatbikatı ile tasarım varsayımları sahada doğrulanır.
- 5 · 7/24 İzle & Avla
SOC korelasyonu + haftalık hunting. Bulgular backlog'a, kurallar SOC'a döner.
- 6 · Ölç & Öğret
Risk skoru, MTTD/MTTR ve farkındalık metrikleriyle program her çeyrekte iyileşir.
Vazgeçmediğimiz 5 ilke
Hiçbir insan, servis veya cihaz gerekenden fazlasına erişemez.
Yeni servis kapalı başlar, izinle açılır. Açık S3, açık DB kabul edilmez.
Kim, neye, ne zaman erişti? Log yoksa olay yok sayılır — loglama zorunludur.
Tek bulgu değil, saldırı yolu kapatılır. Yanal hareket yüzeyi daraltılır.
Teknoloji + süreç + eğitim birlikte ilerler. Phishing testi kültürü besler.
Hangi çerçevelere yaslanıyoruz?
OWASP (Testing Guide, MASVS, API Top 10) · NIST SP 800-115 & CSF · PTES · CIS Benchmarks · MITRE ATT&CK · ISO 27001 Annex A. Denetimde kabul gören formatta raporluyoruz.
Yaklaşımı kendi sisteminizde görün.
30 dakikalık ücretsiz tehdit modelleme ön görüşmesiyle başlayın.