EresusSecurity
Mobile Security

Mobil uygulama, API ve cihaz güven sınırlarını birlikte test edin.

Eresus; iOS, Android ve mobil backend akışlarını token yönetimi, veri saklama, transport, jailbreak/root bypass, API yetkilendirme ve reverse engineering riskleriyle birlikte inceler.

Güvenlik görüşmesi planlaTüm hizmetler
Kimin için uygun

Bu program en çok aşağıdaki ekiplerde hızla değer üretir.

Güvenlik ve mühendislik liderleri

Uygulama, API, bulut veya kimlik işlerini yeniden önceliklendirmeden önce exploit kanıtı görmek isteyen ekipler.

Müşteri yüzeyi taşıyan ürün ekipleri

Yetki, tenant ayrımı, regülasyon veya internete açık maruziyet taşıyan sistemlerde çalışan ürün ekipleri.

Uyarı hacmi değil, kanıt isteyen alıcılar

Tarayıcı gürültüsü yerine yeniden üretilebilir bulgular, düzeltme yönü ve kapanış akışı isteyen programlar.

Kapsam

iOS ve Android client analizi
Mobil API ve auth akışları
Token, secret ve storage kontrolleri
Root/jailbreak ve reverse engineering kontrolleri

Risk sinyalleri

Hardcoded secret ve token sızıntısı
API authorization bypass
Zayıf TLS ve pinning modeli
Client-side iş mantığı suistimali

Teslimatlar

Mobil bulgu kanıtları
API replay ve suistimal senaryoları
Düzeltme kontrol listesi
Yeniden test için doğrulama adımları
Çalışma modeli

Tarayıcı çıktısı değil, kanıt üreten ofansif süreç.

01

Kapsam ve hedef

Varlıkları, iş akışlarını, kullanıcı rollerini, test pencerelerini ve güvenli çalışma sınırlarını birlikte netleştiririz.

02

Uzman doğrulaması

Eresus analistleri otomatik çıktıyı değil, gerçek istismar edilebilirliği ve iş etkisini kanıtlayan kontrollü testleri yürütür.

03

Kanıt, düzeltme, yeniden test

Her bulgu kanıt, etki, çözüm yolu ve yeniden test adımlarıyla teslim edilir; kapanış doğrulaması aynı akışta yapılır.

Sık sorulanlar

Alıcıların ilk konuşmada netleştirmek istediği başlıklar.

Bu çalışma kapsamı nasıl belirleniyor?+
Kapsamı varlıklar, iş akışları, yetki sınırları ve maddi risk yaratabilecek saldırı yollarına göre çıkarırız. Liste değil, istismar edilebilirlik odaklı ilerleriz.
Fiyatlandırma ve çalışma modelleri nasıl belirlenir?+
Fiyatlandırma; varlık büyüklüğü, API uç nokta karmaşıklığı, kullanıcı rol matrisi ve ortam kısıtlarına göre şeffaf olarak belirlenir. Tek seferlik proje bazlı testlerin yanı sıra sürekli CI/CD sürümleri için periyodik ofansif doğrulama modelleri sunuyoruz.
Tipik test süresi ve teslimat takvimi ne kadardır?+
Standart web ve API testleri kapsama göre 5 ile 15 iş günü arasında tamamlanır. Kritik ve yüksek seviyeli bulgular raporun tamamlanması beklenmeden, test devam ederken anlık olarak güvenli kanaldan iletilir.
Çalışma sonunda hangi teslimat ve rapor formatlarını alıyoruz?+
Yönetim için iş etkisi özeti, geliştiriciler için adım adım PoC istismar adımları (cURL/HTTP istekleri), CVSS v3.1 skorları, kod seviyesinde çözüm rehberi ve denetimler için geçerli resmi güvenlik doğrulama mektubu teslim edilir.
Düzeltmelerimizin kontrolü için yeniden test (retest) dahil mi?+
Evet. Tüm çalışmalarımız, rapor tesliminden sonraki 30 gün içinde uygulanan düzeltmelerin güvenilirliğini doğrulamak ve regresyon riskini kapatmak için ücretsiz retest (yeniden doğrulama) sürecini kapsar.
Raporlarınız DORA, NIS2, SOC 2 ve KVKK denetim gereksinimlerini karşılar mı?+
Evet. Metodolojimiz OWASP Top 10, PTES ve NIST SP 800-115 standartlarını temel alır. Raporlarımız DORA Madde 25, NIS2 Madde 21, SOC 2 Type II ve KVKK teknik tedbirler denetimlerinde talep edilen teknik kanıt ve metodoloji gereksinimlerini tam olarak karşılar.

Riskleri iş etkisine bağlarız.

Bulgular sadece CVSS skoru olarak kalmaz. Hangi müşteri akışını, hangi veri sınıfını, hangi operasyonel hedefi etkilediği açıkça yazılır.

Teslimat geliştirici ve yönetici için ayrı okunur.

Teknik ekipler yeniden üretilebilir kanıt ve düzeltme yönü alır; liderlik tarafı ise risk hikayesini, önceliği ve kapanış durumunu net görür.

İlgili içerik

Bu hizmeti açıklayan araştırma ve güvenlik bültenleri.

Güvenlik bülteni

yargi-mcp Üzerinde JWT İmza Doğrulaması Kapalı Olduğu İçin Kritik Kimlik Doğrulama Atlatma

yargi-mcp OAuth callback akışında Clerk JWT token'ları imza doğrulaması kapalı şekilde decode edildiği için saldırganlar sahte kimlik ve scope üreterek korumalı MCP endpointlerine erişebilir.

Sonraki adım

Bu kapsamı gerçek risk yüzeyinize göre birlikte netleştirelim.

Pilot, tek uygulama, kritik API, AI ajan akışı veya daha geniş program fark etmez; önce iş etkisi yüksek yüzeyden başlarız.

Güvenlik görüşmesi planlaKapsam iste