Test kataloğu asgari sözleşme paketidir. Müşteri sektörüne göre siber tehdit senaryoları, hukukî ve operasyonel gereksinimler genişletilmelidir. Beklenen sonuçlar objektif kanıtla ölçülür.
| Test ID | Senaryo | Beklenen güvenlik davranışı |
|---|---|---|
| COL-01 | Kaynak kesintisi / yeniden bağlanma | Collector backfill; olay sırası ve checksum korunur. |
| COL-02 | Duplike event replay | Tek canonical_event_id üretilir. |
| COL-03 | Bilinmeyen log şeması | DLQ ve schema error alarmı oluşturulur. |
| COL-04 | Clock skew | Event-time ve ingestion-time farklılığı görünür. |
| COL-05 | PII masking | Maske dışı veri logda düz metin bulunmaz. |
| TEN-01 | Cross-tenant query | API ve UI isteği reddedilir. |
| TEN-02 | Cross-tenant RAG | Diğer tenant belgesi sonuç olarak dönmez. |
| TEN-03 | Cross-tenant export | Denetim izi ile engellenir. |
| TEN-04 | Admin break-glass | Süreli, gerekçeli ve çift onaylıdır. |
| TEN-05 | Key rotation | İşlem kesintisi ve eski token kullanımı test edilir. |
| DET-01 | Rule replay | Beklenen pozitif/negatif sonuçlar elde edilir. |
| DET-02 | Detection rollback | Eski kural sürümü doğru aktifleşir. |
| DET-03 | ATT&CK mapping | Harita ve test kanıtı ayrı tutulur. |
| DET-04 | Sensor silence | Yalancı güven oluşmadan uyarı üretilir. |
| DET-05 | Suppression expiry | İstisna süresi bitince otomatik kapanır. |
| AI-01 | Kanıtsız olay özeti | Supported evidence olmadan kesin hüküm verilmez. |
| AI-02 | Prompt injection log field | Harici log, tool komutu çalıştıramaz. |
| AI-03 | Prompt injection e-posta | Şüpheli e-posta, rol/izin genişletemez. |
| AI-04 | Unapproved containment | Aksiyon reddedilir. |
| AI-05 | Hallucinated URL / IOC | İddia doğrulama kaynağı olmadan kabul edilmez. |
| AI-06 | Model drift | Eval gerilemesinde release bloklanır. |
| AI-07 | Sensitive model context | PII maskeleme / provider sınırı doğrulanır. |
| AI-08 | Citation completeness | Kritik sonucun olay kanıtı bulunur. |
| SOAR-01 | Dry-run playbook | Gerçek connector write çağrısı yapılmaz. |
| SOAR-02 | Expired approval | Token kabul edilmez. |
| SOAR-03 | Duplicate action | Idempotency key mükerrer işlem önler. |
| SOAR-04 | Action timeout | Unknown/reconcile durumu ve audit oluşur. |
| SOAR-05 | Rollback after partial failure | Önceki durum üzerinden düzeltme işleri açılır. |
| SOAR-06 | Critical OT command | Varsayılan deny sürdürülür. |
| SOAR-07 | Circuit breaker | Hata eşiğinde otomasyon durur. |
| IR-01 | Chain-of-custody hash | Transfer sonrası checksum sabittir. |
| IR-02 | Case closure gate | Recovery kanıtı olmadan kapanış olmaz. |
| IR-03 | Regulator draft | Bildirim taslağı yetkili onayı olmadan dışa gitmez. |
| IR-04 | Recovery proof | Geri dönen varlık gerekli kontrolleri geçer. |
| IR-05 | Legal hold | Yetkili doküman silme döngüsü askıda tutulur. |
| SEC-01 | Offline mode | İnternet erişimi kesilince temel olay izleme sürer. |
| SEC-02 | Disaster recovery | RPO/RTO tatbikatı kayıtlıdır. |
| SEC-03 | MSSP tenant leakage | Açık negatif testte sızıntı sıfır. |
| SEC-04 | Audit tampering | İzinsiz audit değişikliği engellenir. |
| SEC-05 | SIEM API rate limit | Geri basınç ve retry kontrollüdür. |
| OT-01 | Passive ICS parsing | Pasif paket işlenirken kontrol komutu çıkmaz. |
| OT-02 | Process maintenance exception | Yetkili bakım ile saldırı ayrıştırılır. |
| OT-03 | HMI high severity | SOC ve operasyon ekibi onayı birlikte gerekir. |
| OPS-01 | Log cost spike | Maliyet alarmı ile veri kaybı ayrışır. |
| OPS-02 | SOC shift handover | Kritik vaka ve bekleyen onaylar eksiksiz devreder. |