Sızma testi (Pentest) Türleri
Bilişim teknoloji sistemlerindeki mantık hataları ve zafiyetleri öğrenmek hayati derecede önemli olabilir. Bunları anlamanın en iyi yöntemi ise yasal ve yetkili kişilerce sisteminizi sızma testine tabi tutmanızdır. Sızma testi / penetrasyon testi 2 türde yapılır:
1) Dış Ağ Sızma Testleri (External Penetration Test):
Bu tarz penteste, DMZ‘de bulunan dışa dönük tüm sınır kaynakları (web siteleri, uzaktan erişim olanakları, SIP telefon ve konferans sunucuları), güvenlik duvarları ve genel IP adreslerinden erişilebilen tüm diğer cihazlar kontrol edilir.
Davetsiz misafirin amacı iç ağa nüfuz etmek ve dış kaynaklar üzerinde kontrol elde etmektir.
2)İç Ağ Sızma Testleri (Internal Penetration Test)
Bu durumda, dahili sunucular, kullanıcıların AWP’si, ağ donanımı, sanallaştırma araçları kontrol edilir. Ağ oluşturmadaki eksiklikler belirlenir, ağın konuk bölümleri ve Wi-Fi ağları kontrol edilir.
Harici pentest ile aynı kaynaklar kontrol edilir, ancak dahili ağdan (dahili IP adresleri) erişimle, yani davetsiz misafir bir yerel ağ kesiminden hareket eder.
Davetsiz misafirin amacı altyapıyı veya bireysel ağ hizmetlerini kontrol etmektir.
Pentest tipine bakılmaksızın, uygulama oldukça standarttır. Toplam 4 aşamada yürütülür. Aynı zamanda, ortaya çıkan güvenlik açıkları 4 sınıfa ayrılabilir:
- bilgi güvenliğini sağlama süreçlerinde örgütsel güvenlik açıkları ve zayıflıklar;
- sistem genelindeki yazılım açıkları;
- uygulama yazılımı güvenlik açıkları;
- ağ altyapısı güvenlik açıkları.
Hem planlama hem de uygulama sırasında, pentest üzerindeki çalışmaların önceden belirlenen standart yöntemler ile yönlendirilmesi önerilir. En kapsamlı olanları PTES (Penetrasyon Test Yürütme Standardı), OWASP (Açık Web Uygulaması Güvenlik Projesi), OSSTMM (Açık Kaynak Güvenlik Test Metodolojisi Kılavuzu) metodolojileridir. Ancak, hiç birisi diğer standartlara ve metodolojilere, örneğin NIST SP 800-115’e (Bilgi Güvenliği Test ve Değerlendirme Teknik Kılavuzu) veya ISSAF’a (Bilgi Sistemleri Güvenlik Değerlendirme Çerçevesi) atıfta bulunmayı engellemez. Pentest için ayrı gereksinimler sunulmaktadır.
Güvenlik açıklarını belirlerken ve bir rapor hazırlarken, bilinen güvenlik açıklarının veritabanlarını (CVE, OSVDB, Microsoft Güvenlik Bültenleri) veya yazılım zayıflıklarının açıklamasını (CWE) kullanmanız ve tanımlanan güvenlik açıklarını değerlendirmeniz için NVD veritabanlarına veya CVSS metriklerine bakmak gerekir.
Bu yaklaşımlar, raporun kalitesini artırmaya olanak tanır ve bu nedenle, tanımlanmış güvenlik açıklarını düzeltmek için yöntemler önermek daha doğrudur.
Secromix’in kendini siber güvenlik alanında geliştirmiş, sertifikalı uzmanlarımız sisteminizin zafiyetler ve risklerini ortaya çıkarsın. Kaynaklarınızı ve altyapınızı test etmekten korkmayın. Bu, kurumsal bilgi sisteminizin güvenliğindeki sorunları belirlemenin en etkili ve güvenli yollarından biridir. Ve unutmayın, tüm bilgi sisteminin güvenliği en zayıf bağlantının güvenliği kadar olduğunu unutmayın.
