Sızma (Penetrasyon) Testi Nedir?

Belirlenen bilişim sistemlerindeki zafiyetleri tespit ederek, sistemleri daha güvenli hale getirmek maksadıyla gerçekleştirilen güvenlik testleridir.

Pentest Nedir?

Belirlenen bilişim sistemlerindeki mantık hataları ve zafiyetleri tespit ederek, söz konusu güvenlik açıklıklarının kötü niyetli kişiler tarafından istismar edilmesini önlemek ve sistemleri daha güvenli hale getirmek maksadıyla, “yetkili” kişiler tarafından ve “yasal” olarak gerçekleştirilen güvenlik testleridir. Pentest çalışmalarındaki asıl amaç, zafiyeti tespit etmekten öte ilgili zafiyeti sisteme zarar vermeyecek şekilde istismar etmek ve yetkili erişimler elde etmektir.

Sızma (Penetrasyon) Testi Nasıl Yapılır?

Kurumların bilişim altyapısın içerisinde barındırdığı tüm sistemler, alanında uzman kişiler tarafından saldırganın kullanabileceği araç ve yöntemleri kullanarak sızılması ve elde edilen zafiyet sonuçlarının raporlanmasıdır.

Sızma Testi Süreçleri Nasıl Yürütülür?

Testin yapılacağı hedef sistemler müşteri tarafından belirlenir ve test edilecek sistemler hakkında testi yapan kuruma bilgi verilir. Gerekli sözleşmeler imzalandıktan sonra müşteri onayı ile testin yapılacağı IP adresi müşteri ile paylaşılır, böylelikle kuruma farklı IP adresinden gelen saldırıların test olup olmadığı anlaşılması sağlanır. Teste başlanılır, kritik bulgular test esnasında müşteri ile paylaşılırken, düşük seviyeli bulgular/zafiyetler test sonunda kritik bulgularla beraber raporlanır ve test sonlanır.

Sızma (Penetrasyon) testi PCI-DSS, ISO 27001, CoBIT gibi uluslararası standartların yanı sıra Türkiye’de BDDK, EPDK ve SPK gibi regülatörler tarafından da yapılması zorunlu tutulan çalışmalardan biridir.

Sızma Testi Aşamaları Nelerdir?

1. Kapsam Belirlenmesi

Müşteri, testin yapılmasını istediği hedefi/kapsamı belirler. Testin yaklaşım türüne göre (Black Box, White Box, Gray Box) testi yapacak olan firma ile bilgiler paylaşılır.

2. Bilgi Toplama

Kapsam/Hedef hakkında pasif (sistem ile doğrudan etkileşime geçmeden) ve aktif (sistem ile doğrudan etkileşime geçerek) bilgi toplama işlemi gerçekleştirilir. Bunlara; kullanılan teknoloji, uygulama ve versiyon bilgisi, fonksiyonlar gibi bilgiler örnek gösterilebilir.

3. Güvenlik Açığı Tespiti

Toplanan bilgiler ışığında var olan güvenlik açıklıklarının belirlendiği aşamadır. Otomatize araçlar kullanılarak taranan sistemler, tarama sonrasında/esnasında uzmanlar tarafından manuel olarak test edilir. Bilgi toplama aşamasında tespit edilen servis ve versiyon bilgisi araştırılarak var olan bir güvenlik açığı olup olmadığı kontrol edilir.

4. Bilgilerin Analizi ve Planlama

Tespit edilen güvenlik açıklıklarının sömürülmesi için gerekli araştırmalar yapılarak sömürü kodları, zararlı yazılımlar gibi ofansif araçlar hazırlanır.

5. Sömürü Aşaması

Tespit edilen zafiyetler saldırgan bakış açısı ile sömürülmeye çalışılır ve zafiyetin sistem üzerindeki etkileri incelenir. Saldırgan, sisteme yetkisiz giriş yapabiliyor mu? Servisi durdurabiliyor mu? Gibi sorulara cevap aranır.

6. Yetki Yükseltme/Sömürü Sonrası Aşama

Saldırgan sisteme erişim elde ettikten sonraki aşamada halihazırdaki yetkilerini yükseltebilecek mi? Yetkisi olmayan dosyaları görebilecek mi? Veya sızılan sistem/ler kullanılarak nasıl ilerlenebilir? Ne gibi kritik dosyalara erişim sağlanabilir? Gibi sorulara yanıt aranır. Saldırganın sömürü sonrası yapacağı teknik/taktik/prosedürler simüle edilmeye çalışılır.

7. Temizlik

Test edilen sistemlerde yapılan değişiklikler geri alınır. Test için oluşturulan/yüklenen dosyalar sistemden temizlenir.

8. Raporlama

Yukarıdaki adımların özeti çıkarılır. Var olan veya ileride oluşabilecek potansiyel riskler, alınması gereken önlemler gibi bilgiler raporlanır.

Güvenlik Testleri Neden Gerekli?

Sürdürebilirlik

Bilişim altyapısı bir kurumun can damarıdır ve kontrol altında olmaması iş akışlarını durma noktasına getirebilir. Bu nedenle bilişim altyapınıza yapılacak saldırılara önceden hazırlıklı olmalısınız.

Veri ve İtibar Kaybı Riski

Bilişim sistemlerinize yapılacak herhangi bir saldırıda hassas verilerinizi kaybedebilir, marka itibarınız da zarar görebilir. Bu nedenle hassas verilerinizin güvende olduğundan her zaman emin olmalısınız.

Regülatif Zorunluluklar

KVKK, PCI-DSS, ISO27001, TSE-Güven Damgası gibi sertifikasyonlara sahipseniz ya da edinmek istiyorsanız, bilişim sistemlerinizi yetkili bir kurum tarafından düzenli olarak denetletmeli ve raporlamalısınız.