Offensive Security
Uzmanlar tarafından yönetilen ve etken (agentic) yapay zekâ ile desteklenen sızma testleri ve güvenlik değerlendirmeleri. Bir saldırganın sistemlerinizde ne bulacağını, o bulmadan önce biz öğreniriz.
Bugün “tarama çalıştırmak” artık yeterli değil. Geleneksel bir sızma testi de öyle.
Bir web sitesi, web uygulaması, SaaS platformu veya API iyi görünebilir; oysa yetkisiz erişimi, açıkta kalan verileri ve atlatılabilecek iş mantığını gizliyor olabilir. Amaç alarm vermek değil: gerçekten önemli olanı bulmak ve kanıtlamaktır.
Ucuz ama kör
İş mantığını göremez ve yanlış pozitiflerle doludur. Yüzlerce uyarı bırakır ve gerçekte neyin istismar edilebilir olduğu konusunda sıfır kesinlik sağlar
Kapsamlı ama yavaş
Pahalıdır ve ölçeklenmesi zordur. Nadir uzmanlığa ve çok az kuruluşun karşılayabileceği zaman çizelgelerine bağlıdır.
Kapsamlı ve ölçeklenebilir
Uzman bir ekibin derinliği; etken yapay zekânın mümkün kıldığı hız ve kapsamla birlikte. Her bulgu bir insan tarafından doğrulanır.
İnsan komutası. Ölçekli bir red team.
Her sızma testi, güvenlik ekibimizin teknik sorumluluğu altında insan komutasıyla yürütülür. Uzman neyin test edileceğine karar verir ve sonuçları onaylar; yapay zekâ ajanları ise tüm saldırı yüzeyi boyunca paralel çalışır.
Komutadaki sızma testi uzmanı
Stratejiyi belirler, neyin test edileceğine karar verir, bağlamı yorumlar, gerçek zafiyetleri gürültüden ayırır ve raporu imzalar. Makine keşfeder; insan karar verir.
İleri düzey ajanlar
Exploit zincirleme, etki analizi, çok adımlı senaryolar, bulut ve çok kiracılı ortamlar, karmaşık API'ler ve kritik işlevler.
Kıdemli ajanlar
Yetkilendirme, kimlik doğrulama, iş mantığı, BOLA / IDOR, iş akışı kötüye kullanımı ve sinyal korelasyonu.
Junior ajanlar
Keşif, haritalama, uç noktalar ve parametreler, OWASP kontrol listeleri, bilinen yanlış yapılandırmalar ve tekrarlayan örüntüler.
Neden etken yapay zekâ
Gerçek dünya ağları üzerine yapılan bağımsız çalışmalar, etken yapay zekâ çerçevelerinin kapsam açısından sertifikalı insan sızma testi uzmanlarıyla eşdeğer olduğunu, yargı konusunda ise hâlâ geride kaldığını gösteriyor — bu yüzden son karar her zaman bir kişiye aittir. Kaynak: J. W. Lin et al., arXiv:2512.09882.
Tek hizmet, tüm saldırı yüzeyiniz
Web uygulamalarından altyapıya, yapay zekâ modellerinden kaynak koduna: tek yöntem, altı kapsam alanı, sizinle üzerinde anlaştığımız kapsama göre boyutlandırılır.
Web & SaaS
Web siteleri, portallar, web uygulamaları ve SaaS platformları: kimlik doğrulama, yetkilendirme, iş mantığı, veri ifşası.
API'ler
REST, GraphQL ve makineden makineye hizmetler: BOLA / IDOR, iş akışı kötüye kullanımı, girdi doğrulama ve hız sınırlama.
Mobil uygulamalar
OWASP MASVS'a uygun olarak iOS ve Android: yerel depolama, iletişim, istemci tarafı sıkılaştırma ve bağlı arka uç.
Altyapı & ağ
Harici ve dahili çevre, bulut ve çok kiracılı yüzeyler, segmentasyon, yanlış yapılandırmalar ve ifşalar.
YZ / LLM güvenliği
Yapay zekâ modelleri ve yapay zekâ destekli uygulamalar: prompt injection, veri sızıntısı, ajan kötüye kullanımı, çıkarım kontrolleri.
Güvenli kod incelemesi
Saldırgan odaklı kod incelemesi: kaynak düzeyindeki zafiyetler, bağımlılıklar ve derleme hattı.
Azami derinlik, sıfır doğaçlama
Gelişmiş yapay zekâ modellerini, verilerinizin düz metin olarak dışarı çıkmasına asla izin vermeden kullanıyoruz. Her çalışma kapalı bir döngüyü izler: veri korumalı girer, izolasyon içinde yaşar ve iş bittiğinde yok edilir. Hiçbir koşulda müşteri verileri modelleri eğitmek için kullanılmaz.
Kimliksizleştirme
Sunucular, kimlik bilgileri, tanımlayıcılar ve hassas referanslar, herhangi bir harici işlemeden önce takma adlandırılır. Modeller yalnızca anonimleştirilmiş sürümü görür.
Özel şifreli ortam
Her müşteri, İtalya'daki ACN onaylı bulut altyapısında barındırılan kendi şifreli ve izole ortamına sahip olur. Erişim yalnızca oturum belirteçleriyle yapılır — asla kalıcı kimlik bilgileriyle değil.
Çalışma sonunda imha
Rapor tesliminin onaylanmasının ardından ortam; tüm veriler, günlükler ve belirteçlerle birlikte yok edilir. DORA ve NIS2'nin gerektirdiği izlenebilirlik için yalnızca asgari bir yürütme kaydı saklanır.
Yönetiminizin okuyabileceği ve teknik ekibinizin harekete geçebileceği bir rapor
- Her zafiyet kanıtlarla desteklenir: istek ve yanıt, ekran görüntüleri, zaman damgası, önem derecesi (CVSS 3.1) ve etki.
- Doğrulanmış olanlarla hâlâ doğrulanması gerekenler arasında net bir ayrım. Gürültü yok.
- Düzeltme öncelikleri ve düzeltme planınız için somut bir temel.
- Düzeltmeleri zaman içinde doğrulamak için yeniden test ve periyodik değerlendirme planları mevcuttur.
Metodolojiler ve çerçeveler
Üç model. Tek yöntem.
Aynı komuta zinciri, saldırı yüzeyinize ve kapsamanız gereken riske göre boyutlandırılır. Nihai teklif, üzerinde anlaşılan kapsama dayanır.
Küçük İşletme
Tanıtım siteleri, açılış sayfaları, WordPress siteleri, küçük e-ticaret mağazaları, basit uygulamalar veya hafif API'ler.
Orta Ölçekli İşletme
Dijital platformlar, karmaşık e-ticaret, müşteri portalları, web tabanlı iş yönetim sistemleri ve kimlik doğrulamalı kurumsal API'ler.
Kurumsal
Şirket grupları, karmaşık altyapılar, çok kiracılı SaaS, API ekosistemleri ve NIS2 veya DORA gerekliliklerine tabi kuruluşlar.
Sabit fiyat listesi yok: her çalışma, gerçek kapsamına (çevre, derinlik, kısıtlar) göre fiyatlandırılır. Teklif için bizimle iletişime geçin.
Düzenlemeler araçlarınız olup olmadığını sormaz. Kanıt ister.
NIS2, DORA, ISO/IEC 27001 ve GDPR'ın tümü kanıt, kontrol ve risk yönetimi gerektirir. Belgelenmiş bir sızma testi, sunabileceğiniz en somut kanıt biçimlerinden biridir.
NIS2
Güvenlik ve olay yönetimi yükümlülüklerini destekleyen testler ve risk değerlendirmeleri.
DORA
Dijital operasyonel dayanıklılık: finans sektörü için düzenli testler ve tam faaliyet izlenebilirliği.
ISO/IEC 27001
Yönetim sistemi kontrollerini ve sertifikasyon süreçlerini destekleyen kanıtlar.
GDPR
Kişisel verileri koruyan teknik önlemlerin doğrulanması ve veri ihlali riskinin azaltılması.
Karar veren insanlar, ölçeklenen teknoloji
Hizmet, saldırı odaklı güvenlik ve denetim sertifikalarına sahip, bir ISO/IEC 27001 Baş Denetçisi tarafından koordine edilen sızma testi uzmanları ve güvenlik mühendislerinden oluşan bir ekip tarafından sunulur. Magellano Tech'in sertifikalı bir entegre yönetim sistemi elde etmesini sağlayan güvenlik ve uyumluluk kültürü de budur.
Certified Offensive AI Expert (Hack The Box)
Ekibimiz dünya çapında verilen ilk HTB COAE sertifikalarından birine ve İtalya'daki ilklerden birine sahiptir: gerçek yapay zekâ altyapısı üzerinde 7 günlük uygulamalı bir çalışmayla kazanılan ve ticari düzeyde bir teknik raporla sonuçlanan yapay zekâ red teaming yetkinliği. Yapay zekâ ve LLM sistemlerine yönelik testlerimizi ve saldırı ajanlarımızın orkestrasyonunu yönlendiren uzmanlık budur.
Yalnızca denetçi değil, bir yazılım evi
Yazılım, SaaS platformları ve yapay zekâ çözümleri geliştiriyoruz. Kodu içeriden biliyoruz: bir uygulamayı test ettiğimizde nereye bakacağımızı biliriz, çünkü her gün bunun gibi uygulamalar geliştiriyoruz.
İtalya'daki ACN onaylı bulut üzerinde altyapı; sertifikalı bilgi güvenliği ve yapay zekâ yönetim sistemleriyle. Uyumluluk bir ek değil: çalışma biçimimizdir.
Bir saldırganın ne bulacağını, o bulmadan önce keşfedin
Neyi korumanız gerektiğini bize söyleyin: kapsamı birlikte belirleyelim ve herhangi bir taahhüt olmadan nasıl çalıştığımızı size gösterelim.