Sızma testi nedir?
Sızma testi (penetration test), yetkili uzmanların bir sistemin güvenlik açıklarını gerçek bir saldırgan gibi bulup kontrollü biçimde istismar etmeye çalıştığı planlı güvenlik değerlendirmesidir. Amaç, saldırganlardan önce zayıf noktaları görmek ve bunların gerçek etkisini ortaya koymaktır.
Açık taramasından farkı, sızma testinde bulunan açıkların çoğunlukla doğrulanması ve zincirlenerek gerçek bir saldırı senaryosuna dönüştürülmesidir. Test sonunda bulgular, etkileri ve düzeltme önerileri ile birlikte raporlanır.
Nasıl çalışır?
Süreç tipik olarak şu aşamalardan oluşur: kapsam ve kuralların yazılı olarak belirlenmesi, bilgi toplama, açık tespiti, istismar, sistemde ilerleme ve sonuçların raporlanması. Test siyah kutu (saldırgan gibi hiçbir bilgi olmadan), beyaz kutu (tam bilgiyle) veya gri kutu (kısmi bilgiyle) yaklaşımıyla yapılabilir.
Testin yasal ve etik olması için mutlaka yazılı izin ve net kapsam gerekir. Hangi sistemlerin, hangi saatlerde ve hangi yöntemlerle test edileceği önceden anlaşılmalıdır.
Sunucu ve hosting ortamında
Bir sunucu veya web uygulaması için sızma testi; açık portlar ve servisler, web uygulaması zafiyetleri, kimlik doğrulama ve yetkilendirme, yapılandırma hataları, güncel olmayan yazılımlar ve yönetim paneli güvenliği gibi alanları kapsayabilir.
Paylaşımlı hosting veya bulut ortamında test yapmadan önce sağlayıcının kurallarını ve izin prosedürlerini kontrol etmek gerekir; başka müşterilerin etkilenmemesi ve sözleşme ihlali yaşanmaması için kapsam dikkatle çizilmelidir. Canlı sistemlerde yedek almak ve test saatlerini planlamak da iyi uygulamadır.
Nasıl uygulanır?
- Kapsamı, kuralları ve izinleri yazılı olarak belirleyin
- Testi bağımsız ve deneyimli bir ekibe yaptırın
- Canlı sistemde yedek alın ve acil durum iletişim kanalı belirleyin
- Raporu risk derecesine göre önceliklendirin ve sorumluları atayın
- Düzeltmeler sonrası yeniden test yapın
- Testi büyük değişikliklerden sonra ve düzenli aralıklarla tekrarlayın
Sık yapılan hatalar
- Yalnızca otomatik tarama sonucunu sızma testi sanmak
- Kapsamı belirsiz bırakmak
- Raporu alıp bulguları düzeltmemek
- Testi tek seferlik görüp sistemler değiştiğinde tekrarlamamak
Sık sorulan sorular
Sızma testi nedir, ne işe yarar?
Yetkili uzmanların sisteminize kontrollü bir saldırı simülasyonu yaparak açıkları bulmasıdır. Böylece gerçek saldırganlardan önce zayıf noktalarınızı görüp kapatabilirsiniz.
Sızma testi ile açık taraması arasındaki fark nedir?
Açık taraması otomatik araçlarla bilinen zafiyetleri listeler. Sızma testi ise bulguları doğrular, birleştirir ve gerçek etkisini insan uzmanlığıyla gösterir.
Sızma testi ne sıklıkla yapılmalı?
Genellikle yılda bir ve büyük altyapı ya da uygulama değişikliklerinden sonra önerilir. Gereken sıklık, sistemin kritikliğine ve uyum gerekliliklerine göre değişir.
İlgili terimler
- Sorumlu ifşa (responsible disclosure)Açığın önce üreticiye bildirilip düzeltme için süre tanındıktan sonra açıklanması.
- Tehdit modellemeBir sistemi kimlerin, neden ve nasıl hedef alabileceğini tasarım aşamasında sistemli biçimde çıkarma ve önceliklendirme çalışması.
- TLS / SSLİnternet trafiğini şifreleyen ve sunucuyu doğrulayan protokol.
- WAF (Web uygulama güvenlik duvarı)HTTP trafiğini inceleyip web saldırılarını engelleyen güvenlik katmanı.
- Yama (patch)Bir açığı kapatan yazılım düzeltmesi.
- Zafiyet yönetimi (vulnerability management)Sistemlerdeki güvenlik açıklarının sürekli biçimde bulunması, önceliklendirilmesi, giderilmesi ve doğrulanması döngüsü.