Birçok kişi hala sızma testi yapanların (pentesterlerin) herhangi bir sistemi alıp kıracağına, güvenlik açığı bulacağına inanmıyor. Gerçekte yapamazlar, sadece çeşitli raporlar ve tavsiyelerde bulunurlar gibi bir mantık yürütüyor. Ama hiç kimse gerçek bir pentest uzmanının neler yapacağı konusunda bilgi sahibi değil. Bir sızma testi uzmanı her zaman dikkatli bir şekilde hazırlanarak ana aşamaları uygular.
Ortak Aşamalar
Planlama aşamasında müşteri, penetrasyon testini yapacak yükleniciyi seçer ve gelecekteki doğrulamanın tüm nüanslarını kabul eder. Seçim aşamasında mutlaka test sonrası bilgi, birikim ve ürün yelpazesi ile hizmet verecek, kendisini kanıtlamış uzman personele sahip bir firma seçilmelidir.
Güvenlik Açığı Tanımlaması aşamasında, iç ve dış güvenlik açıklarının tespiti yapılır. Sistemler, hizmetler, sürümler ve kullanıcılar hakkında bilgi toplanır.
Bilgisayar korsanlığı girişimi aşamasında, daha net olarak uygulama aşamasında, keşfedilen güvenlik açıklarını kullanılarak sisteme sızma gerçekleştirilir. Yönetici hakları elde etmek için şifrelerin kırılması, DDoS saldırıları yapmak veya ağda kötü amaçlı yazılımlar başlatmak bu aşama içindedir.
Sistemin güvenlik seviyesinin en objektif değerlendirmesinin, hem teknik güvenlik açıklarından hem de insan faktörünün kullanıldığı kapsamlı bir sızma testi tarafından verildiğine inanılmaktadır.
Son aşama ise raporların ve tavsiyelerin sunulduğu değerlendirme aşamasıdır. Aslında tek bir soruya cevap verilir: “Sisteme sızmak yada daha amiyane tabirle hacklemek mümkün mü?”.
Ancak, unutulmamalı ki sızma testindeki ana şey, hackleme gerçeği değil, bu hacklemeyi mümkün kılan güvenlik açıklarının analizidir. Bu nedenle, doğrulamadan sonra yüklenici, kendisi tarafından keşfedilen ve kullanılan tüm güvenlik açıklarını açıklayan ayrıntılı bir rapor hazırlar ve ayrıca sistem güvenliği seviyesini iyileştirmek için çeşitli önerilerde bulunur.
Değerlendirme ve Raporlamanın önemi
Güvenlik açıklarının planlanması, tanımlanması, bilgisayar korsanlığı ve raporlama sızma testinin gerçekleştirildiği genel şemadır. Ancak, iyi bir denetimin evrensel bir denetim olamayacağını unutmamalıyız, bu nedenle test şeması her sistem için ayrı ayrı seçilmelidir. Saldırganlar da her gün yeni teknikler geliştirmekte ve sistemlere sızmak için farklı yazılımlar, yollar kullanmaktadır.
Ayrıca sızma/penetrasyon testi için farklı standartlar (KVKK, GDPR, BDDK, TSE, PCI DSS, ISO 27001) kullanılabilir.
Hacking, Etik Hacking ve Sızma testi birbirine benzeyen fakat belirgin çizgileri olan konulardır. Yakında blog sayfamızda bu karşılaştırma ile ilgili bir makale bulabilirsiniz.
Secromix, çeşitli düzeylerdeki işletmelerde bilgi güvenliği sistemleri oluşturma konusunda uzman kadrosu (CEH, LPT vb sertifikalı) ile geniş deneyime sahiptir. Mevcut sistemlerinizin etkinliğini değerlendirmek için sızma testi veya diğer adıyla penetrasyon testi (pentest) akabinde SIEM, E-posta, Anti virüs, Ticket, Kimlik ve erişim yönetim sistemleri ile firmanızın tüm bilgi güvenliği aşamalarında yanınızdayız.
