Güvenlik Açığı Taraması ve Sızma Testi: Nasıl Farklılaşır?

Yazılım güvenliği hayati öneme sahiptir. Bu yazılımın internete erişmesine izin verirseniz, güvenlik gereksinimi hayal edilemeyecek boyutlarda artar.

Yazılımın ve varlıklarının başarılı bir şekilde korunması, güvenlik açığı taraması ve sızma testi dahil (ancak bunlarla sınırlı olmamak üzere) çok yönlü bir yaklaşım gerektirir. Bu terimler BT endüstrisinde sıklıkla karıştırılır ve bunun iyi bir nedeni vardır.

Sızma testleri ve güvenlik açığı taramaları birbiriyle karıştırılmaktadır.

Güvenlik açığı değerlendirmeleri ve arama sistemlerini ve profillerini, beklediğiniz şey için tarar: güvenlik açıkları. Bir ortamı aktif olarak zayıflatmaya çalışan tehditlere yönelik penetrasyon testi testleri. İkisi arasındaki kritik fark, sızma testinin çeşitli düzeylerde uzmanlık gerektirdiği durumlarda güvenlik açığı taramasının otomatikleştirilebilmesidir.

Ölçeği ne olursa olsun tüm ağlar potansiyel olarak tehdit riski altındadır. Bir ağı güvenlik sorunlarına karşı kapsamlı bir şekilde izlemek ve test etmek, tehditleri ortadan kaldırmanıza ve genel riski azaltmanıza olanak tanır. Veriye dayalı testlerden ziyade varsayımlara dayalı olarak ağınızın güvenli olduğuna inanmak her zaman yanlış bir güvenlik duygusu sağlar ve feci sonuçlara yol açabilir.

Güvenlik Açığı Taraması Nedir?

Güvenlik açığı taraması, diğer yazılımları, ağ işlemlerini veya uygulamaları değerlendirmek için tasarlanmış yazılımlar için kullanılan bir terimdir. Bu güvenlik açığı test yazılımı, kod veya yapıdaki potansiyel zayıflıkları tarayacaktır. Bir üretim mühendisinin ürününü yapısal bütünlük açısından izlemesi gibi, güvenlik açığı testleri de aynısını yapar ve zayıf noktaları veya kötü yapıyı arar. Taramalar, sistemin saldırıya açık olabileceği alanları belirler.

İki tür tarama vardır: kimliği doğrulanmış ve kimliği doğrulanmamış. Aradaki fark, kimliği doğrulanmış taramaların, güvenli kabuk (SSH) veya uzak masaüstü protokolü (RDP) gibi uzak protokolleri kullanarak doğrudan ağ erişimine izin vermesidir. Kimliği doğrulanmamış bir tarama yalnızca herkese açık olarak görülebilen bilgileri inceleyebilir ve varlıklar hakkında ayrıntılı bilgi sağlayamaz. Bu tür tarama genellikle bir ağın güvenlik durumunu belirlemeye çalışan güvenlik analistleri tarafından kullanılır.

Modern tarama yazılımı, web tabanlı arayüz uygulamaları oluşturan belirli sağlayıcılar tarafından genellikle Hizmet Olarak Yazılım (SaaS) olarak mevcuttur. Bu uygulamalar, yüklü yazılımı tarama, bağlantı noktalarını açma, sertifikaları doğrulama ve çok daha fazlasını yapma özelliklerine sahiptir.

Tarayıcılar, yaygın olarak kullanılan yazılımlar için mevcut olan, bilinen güvenlik açıklarının yayınlanmış ve düzenli olarak güncellenen listelerine güvenir. Dikkate değer bir düzeltme bulunana kadar (sıfır gün tarzı saldırılar için zorluklar yaratabilecek) güvenlik açıkları listeye girmiyor. Yazılım bir anormallik tespit ettiğinde bir yama gönderilir. Yazılım, sürüm bilgileri için yazılımı sorgulayarak ve yazılımın belirli isteklere verdiği yanıtları gözlemleyerek sorunları tespit edecek şekilde tasarlanmıştır.

Güvenlik açıkları önceliğe göre sınıflandırılır. Kritik güvenlik açıkları, bir saldırganın zayıf noktalardan yararlanarak hasar verme olasılığının yüksek olduğunu gösterir. Düşük öncelikli tehditler davetsiz misafirlerin bilgi toplamasına yardımcı olabilir ancak ihlallere doğrudan izin vermez.

İnternet Güvenliği Merkezi (CIS), sürekli güvenlik açığı taramasını etkili siber savunma için kritik bir gereklilik olarak görmektedir.

Sızma Testi Nedir?

Güvenlik açığı taramasının aksine, sızma testi ("kalem testi" olarak da bilinir), bir bilgisayar sistemi üzerinde simüle edilen ve sistemin güvenliğini değerlendirmek için tasarlanmış yetkili bir saldırıdır. Testler, bir sistemin özelliklerine veya verilerine erişim sağlama yetenekleri gibi zayıflıkları (güvenlik açıklarını) belirlemek için yapılır. Ayrıca tüm sistemin risk değerlendirmesini derler.

Sızma testi, bir sistemin saldırıya karşı savunmasız olup olmadığını, mevcut savunma sistemlerinin yeterli olup olmadığını, yeterli değilse hangi savunmaların mağlup edildiğini belirlemeye yardımcı olabilir.

Sızma testleri, uygulamalardaki bilinen güvenlik açıklarını veya birçok uygulamada ortaya çıkan ortak kalıpları hedefleyebilir. Yalnızca yazılım kusurlarını değil, uygulama ve ağ yapılandırmasındaki zayıflıkları da bulabilir.

Sızma testinin genellikle beş aşaması vardır:

Keşif - Hedeflenecek sistem hakkında bilgi toplamak.
Tarama - Saldırganın sistem hakkındaki bilgisini artırmak için kullanılan sızma testi araçları.
Erişim Kazanmak - Saldırgan, önceden toplanan verileri kullanarak sistemdeki bir istismarı hedefleyebilir.
Erişimi Sürdürmek - Mümkün olduğu kadar çok veri toplamak amacıyla hedef ortamda kalmak için adımlar atmak.
İzleri Kapatma - Saldırganın, anonim kalabilmek için toplanan her türlü veri veya günlüğe kaydedilen olaylar da dahil olmak üzere saldırının tüm izlerini sistemden silmesi gerekir.

“Bulanık” paketler popüler bir tekniktir. Bunlar, bir veya birkaç karakterin rastgele değiştirildiği uygulamalara yönelik meşru isteklerdir. Sistemin hatalı girişi temiz bir şekilde ele alma yeteneğini kullanırlar.

Güvenlik açığı taramalarında olduğu gibi, testler de kimlik doğrulamalı veya kimlik doğrulamasız olabilir. Kimliği doğrulanmış bir test, dahili ağda kayıtlı ve oturum açmış bir kullanıcı olarak çalıştırılırken, kimliği doğrulanmamış bir test, ağ ayrıcalıkları olmayan harici bir kaynaktan yapılır.

Bazı durumlarda test, veri gönderip almanın ötesine geçer ve bir kuruluşun iş süreçlerini inceler. Test uzmanları, kendilerine atanan kapsam dahilindeyse, kullanıcıların sahte istekleri yakalama yeteneğini test etmek için kimlik avı mesajları gönderebilir. Hatta fiziksel güvenliği test etmek için tesislere gizlice girmeye bile çalışabilirler.

Güvenlik uzmanları kalem testlerini “beyaz kutu” veya “kara kutu” olarak sınıflandırıyor. ” Beyaz kutu testi, hedef sistem hakkında mümkün olduğunca fazla bilgiden yararlanır. Bu, çalıştırdığı yazılımı, ağ mimarisini ve hatta bazen kaynak kodunu içerir. Kara kutu testi yalnızca kamuya açık bilgileri kullanır.

Beyaz kutu testi, daha fazla bilgiye sahip olduğundan prensip olarak daha fazla sorun bulmalıdır. Ancak bir penetrasyon testçisinin sistem hakkında bildiklerine bağımlı hale gelmesi ve hayal gücünü fazla kullanmaması kolaydır. Kara kutu testçileri dışarıdan davetsiz misafirle aynı pozisyondan başlar ve yardım almadan zayıf yönleri bulmak zorundadır. Beyaz kutu testçilerinin aklına gelmeyecek yaklaşımlar geliştirebilirler. Her iki yöntemin de artıları ve eksileri vardır.

Pen testleri tek bir güvenlik çözümü değil, tam bir güvenlik denetiminin bir bileşenidir. Örneğin, PCI Uyumluluğunu sürdürmek için Ödeme Kartı Endüstrisi Veri Güvenliği Standardı, özellikle sistem değişikliklerinden sonra düzenli olarak planlanmış güvenlik sızma testlerini gerektirir.

Güvenlik Testi Raporlarını Anlama

Her iki test türü için de çıktı, bulunan sorunlarla ilgili ayrıntılı bir rapordur. Güvenlik açığı raporları uzun ama basittir. Raporda her sorun için bir kaynak, önem derecesi, açıklama ve çözüm eylemi listelenir. Tipik çözüm bir yama yüklemektir. Yazılımın zayıf yönleri varsa ve yayıncısı artık yazılımı sürdürmüyorsa, onu daha güvenli bir şeyle değiştirmek gerekli olabilir. InfoSec personelinin, güvenlik açığının çok az risk oluşturduğu veya hiç risk oluşturmadığı durumlarda eylemi ortadan kaldırarak veya erteleyerek listede ayrıntılı önceliklendirme yapması gerekir.

Sızma testi raporunda daha az öğe listelenir ancak bunların açıklanması ve düzeltilmesi o kadar kolay değildir. Genellikle belirsiz olan saldırı tekniğini açıklayacaktır. Potansiyel etkileri açıklayacaktır. Çözüm, erişimi kısıtlamak gibi basit bir çözüm olabilir. Diğer durumlarda bir çözüm bulmak ciddi bir analiz gerektirebilir. Güçlü bir rapor, sonuçları bağlamına oturtacak ve iyileştirme için ayrıntılı öneriler sunacaktır.

Sızma testi ile güvenlik açığı tarama süreci arasındaki fark

Sızma testi çalıştırmanın, güvenlik açığı taramasından daha zorlu veya en azından kapsayıcı olduğu düşünülmektedir.

Sızma testi, bir güvenlik sistemine sızmaya çalışır. Sistemin yeterli savunması varsa bu durum alarmları tetikleyecektir. Yöneticilerin bir test ile gerçek bir tehdit arasındaki farkı bilmeleri gerekse de, aynı anda gerçekleşebilecek güvenilir saldırılara karşı gardlarını düşüremezler.

İdeal olarak, bir sızma testi yılda bir kez yapılmalı, güvenlik açığı testi ise sürekli olarak çalıştırılmalıdır.

Sızma testi, işin olağan akışından yararlanmanın yollarını aradığı için güvenlik açığı taramasından daha fazla yaratıcılık gerektirir. Örneğin bir CEO, dahili LDAP ile aynı şifreyi kullanarak kendi şifresini web postasına iletebilir. Test sırasında yeni stratejiler bulmak için yaratıcı ama aynı zamanda teknik olarak saldırıyı gerçekleştirebilecek kapasiteye sahip insanlarla çalışmak isteyeceksiniz.

Güvenlik açığı taraması, bilgi ve ağ güvenliğinin korunmasında önemli bir süreçtir. Dağıtılan her yeni eklenen ekipman veya yazılım parçasına karşı, bir ay içinde bir güvenlik açığı taraması yapılmalıdır. Düzenli olarak güncellenen ve bakımı yapılan temel ekipmanlardan oluşan bir temel oluşturmak önemlidir. Tarama sonrasında bulunan tüm açık bağlantı noktaları veya değişiklikler araştırılmalı ve ciddi olduğu değerlendirilmelidir.

Güvenlik Açığı Taraması ve Sızma Testleri Önemlidir

Bir ağda ayrıntılı ve iyi korunan bir güvenlik seviyesi sağlamak için hem zafiyet taramalarının hem de sızma testlerinin yapılmasına yönelik ayrıntılı adımların atılması gerekir. Güvenlik açıklarını araştırmak, yama yapılmamış ve bakımı kötü yapılmış yazılımları bulur. BT personelini sorunlarla veya olası zayıflıklarla karşılaşan yazılımları yükseltmeye yönlendirir. Bu mümkün değilse ekibin geçici bir çözüm bulması veya yazılımı değiştirmesi gerekir.

Tarama tüm sorunları bulmaz. Bir sistemin güvenli olup olmadığına karar vermenin en kesin yolu onu kırmaya çalışmaktır. Bu, yalnızca yazılım kusurlarını değil aynı zamanda güvenli olmayan bağlantıları, yapılandırma zayıflıklarını ve açıkta kalan verileri de bulacaktır.