L4/L7 yük testi ile network pentest kavramları sıkça karıştırılıyor ama aslında tamamen farklı şeylerdir.
L4 (transport katmanı) ve L7 (uygulama katmanı) testleri, sistemin yüksek trafik altında ne kadar dayanıklı olduğunu ölçmek için yapılır. Yani aslında bu bir performans testi ya da en fazla DDoS simülasyonudur. Bu tür testler sadece trafik üretir; sistemin güvenlik zafiyetlerini analiz etmez, sızma yapılmaz, açıklar tespit edilmez.
Gerçek bir network pentest ise çok daha kapsamlıdır. Port taraması, firewall geçişi, servis analizi, protokol zafiyetleri, kullanıcı ve kimlik doğrulama sistemlerinin test edilmesi, şifreleme analizleri, zafiyetlerin sömürülmesi gibi birçok farklı aşamayı kapsar. Ayrıca OSSTMM, NIST, PTES gibi kabul görmüş güvenlik standartlarına göre yapılır.
Kısaca özetlemek gerekirse:
✅ Pentest = Güvenlik testi
❌ L7 testi = Trafik yükü testi
Bu ikisini karıştırmak teknik olarak yanlış yönlendirici olduğu gibi, etik ve hukuki riskler de doğurur. Çünkü izinsiz yapılan L7 testleri doğrudan DDoS saldırısı kapsamına girebilir.
Dolayısıyla “site kurup pentest ile para kazanıyorum” gibi açıklamalarda bu farkı net şekilde belirtmek gerekiyor. Gerçek pentest işi yapan insanlar için bu fark oldukça önemlidir.

İletişim 101 e davet ediyorum. Malum önemli konu. Hele ki ticari faliyetlerde.