Sızma Testi Nedir? {Adımlar, Yöntemler, Türler}

Sistemlerden ve uygulamalardan zayıf noktaların kaldırılması bir siber güvenlik önceliğidir. Şirketler yazılım kusurlarını keşfetmek için çeşitli tekniklere güvenirler, ancak hiçbir test yöntemi bir penetrasyon testinden daha gerçekçi ve çok yönlü bir analiz sağlamaz.

Bu makale, penetrasyon testine giriş niteliğindedir. Pen testinin nasıl çalıştığını ve şirketlerin pahalı ve zarar verici ihlalleri önlemek için bu testleri nasıl kullandığını öğrenmek için okumaya devam edin.

Sızma Testi Tanımı

Sızma testi (veya kalem testi), bir bilgisayar sistemini, ağı veya uygulamayı güvenlik zayıflıkları açısından test eden bir siber saldırı simülasyonudur. Bu testler, gerçek bilgisayar korsanlarının bir işletmeyi ihlal etmek için kullanacağı araç ve tekniklerin bir karışımına dayanır.

Sızma testinin diğer yaygın adları beyaz şapka saldırıları ve etik bilgisayar korsanlığı'dır.

Pen test uzmanları, bir saldırıyı simüle etmek için genellikle otomasyon test araçlarının ve manuel uygulamaların bir karışımını kullanır. Test uzmanları ayrıca sistemleri taramak ve sonuçları analiz etmek için penetrasyon araçlarını kullanır. İyi bir penetrasyon testi aracı şunları yapmalıdır:

• Kurulumu ve kullanımı kolay olsun.
• Sistem taramasında hızlı olun.
• Zayıflıkları önem derecesine göre sıralayın.
• Zayıf noktaların doğrulanmasını otomatikleştirin.
• Geçmişteki istismarları yeniden doğrulayın.
• Ayrıntılı raporlar ve günlükler sağlayın.

Pen testinin temel amacı işletim sistemleri, hizmetler, uygulamalar, konfigürasyonlar ve kullanıcı davranışındaki güvenlik endişelerini belirlemektir. Bu test şekli bir ekibin şunları keşfetmesini sağlar:

• Sistem açıkları ve güvenlik kusurları.
• Veri gizliliği ve güvenliği düzenlemelerine (PCI, HIPAA, GDPR vb.) uyum eksikliği
• Ekip genelinde güvenlik farkındalığı eksikliği.
• Tehdit tanımlama protokollerindeki kusurlar.
• Olay müdahale planında iyileştirme olanağı var.
• Güvenlik politikasındaki hatalar.

Şirketler genellikle kalem testlerini yürütmek için harici yüklenicileri işe alır. Sistem bilgisi eksikliği, üçüncü taraf test uzmanının şirket içi geliştiricilerden daha kapsamlı ve yaratıcı olmasını sağlar. Bazı şirketler ayrıca serbest çalışanları, sistemi ihlal etmeleri halinde ücret vaadiyle sistemleri hacklemeye davet eden ödül programları da yürütüyor.

Sızma Testinin Nihai Sonucu Nedir?

Sızma testinin nihai sonucu kalem testi raporudur. Bir rapor, BT ve ağ sistemi yöneticilerini testte keşfedilen kusurlar ve istismarlar hakkında bilgilendirir. Bir rapor aynı zamanda sorunları düzeltmeye ve sistem savunmasını iyileştirmeye yönelik adımları da içermelidir.

Her kalem testi raporu şunları içermelidir:

• Yönetici özeti: Özet, teste üst düzey bir genel bakış sunar. Teknik bilgisi olmayan okuyucular, kalem testinin ortaya çıkardığı güvenlik sorunları hakkında bilgi edinmek için özeti kullanabilir.
• Araçlar, yöntemler ve vektörler: Bu bölüm, testin arkasındaki araçları ve yöntemleri kapsar. Test uzmanları ayrıca başarılı bir ihlale yol açan saldırı modellerini adım adım özetliyor.
• Ayrıntılı bulgular: Bu bölümde, sızma testiyle keşfedilen tüm güvenlik riskleri, güvenlik açıkları, tehditler ve endişeler listelenir. Raporun bu kısmı yönetici özetinden farklı olarak teknik ayrıntılara derinlemesine iniyor.
• Öneriler:Öneriler bölümünde güvenliğin nasıl artırılacağı ve sistemin gerçek siber saldırılara karşı nasıl korunacağı açıklanmaktadır.

Sızma Testlerini Ne Sıklıkta Yapmalısınız?

Şirketler düzenli olarak, genellikle yılda bir kez penetrasyon testleri gerçekleştirir. Yıllık teste ek olarak bir şirket, ekibin aşağıdaki durumlarda bir kalem testi de düzenlemesi gerekir:

• Yeni ağ altyapısı ekler.
• Yeni uygulamalar yükler.
• Altyapıyı veya uygulamaları önemli ölçüde yükseltir veya değiştirir.
• Yeni bir yerde ofis kurar.
• Yeni güvenlik yamaları ekler.
• Son kullanıcı politikalarında değişiklikler yapar.

Şirketinizin büyüklüğüne ve bütçesine bağlı olarak, ekip her değişiklik yaptığında penetrasyon testi yapmak gerçekçi olmayabilir. Bu durumda ekibin sızma testleri ve güvenlik açığı taramalarının bir kombinasyonunu kullanması gerekir. Otomatik güvenlik açığı taramaları, o kadar verimli olmasa da, kalem testlerinden daha hızlı ve daha ucuzdur.

Sızma Testi Adımları

Sızma testi birkaç aşamadan oluşan karmaşık bir uygulamadır. Aşağıda kalem testinin hedef sistemi nasıl denetlediğine adım adım bakılmaktadır.

Sızma Testi Kapsamı

Bu adım test için ilk hazırlığı içerir. Ekip şunları yapmalıdır:

• Testin lojistiğini ana hatlarıyla belirtin.
• Test kapsamını tanımlayın.
• Beklentileri belirleyin.
• Hedefleri belirleyin.
• Penetrasyon ekibinin saldırganlık sınırlarını tanımlayın.
• Olası yasal sonuçları göz önünde bulundurun.

Keşif (İstihbarat Toplama)

Bilgisayar korsanları, istihbarat toplama aşamasında sistem hakkında bilgi edinmeye ve potansiyel giriş noktalarını aramaya başlar. Bu aşama, ekibin öncelikle hedef hakkında bilgi toplamasını gerektirir, ancak test uzmanları aynı zamanda yüzey seviyesindeki zayıf noktaları da keşfedebilir.

Keşif adımı aşağıdakilerin taramasını içerir:

• Tüm donanım.
• Yerel ve kablosuz ağlar.
• Güvenlik duvarları.
• İlgili uygulamalar.
• Web siteleri.
• Bulut tabanlı sistemler.
• Çalışan davranışı ve protokoller.

Keşif aşamasına ilişkin diğer bir yaygın terim de açık kaynaklı istihbarat (OSINT) toplamadır.

Tehdit Modellemesi

Test uzmanları, sisteme nüfuz edecek özel tehditler tasarlamak için keşif aşamasından elde edilen bilgileri kullanır. Ekip ayrıca test için farklı varlıkları tanımlar ve sınıflandırır.

Sömürü

Testçiler daha önceki aşamalarda buldukları giriş noktalarından hedefe girmeye çalışırlar. Sistemi ihlal etmeleri durumunda test uzmanları erişim ayrıcalıklarını yükseltmeye çalışır. Sistemde yanal hareket etmek, kalem testçilerinin şunları tanımlamasını sağlar:

• Kötü ağ segmentasyonu kurulumları.
• Hassas verilere ve kaynaklara erişim.
• Hesapların ve şifrelerin zayıf yönetimi.

Sömürü Sonrası

Pen test uzmanları, bir bilgisayar korsanının sistem zayıflıklarından yararlanarak neden olabileceği hasarın boyutunu değerlendirir. Yararlanma sonrası aşama aynı zamanda test uzmanlarının güvenlik ekibinin test ihlalinden nasıl kurtulması gerektiğini belirlemesini de gerektirir.

Koruma için Analiz, Raporlama ve Uygulanabilir Adımlar Oluşturma

Test uzmanları, testin sonuçlarını aşağıdakileri özetleyen bir raporda derler:

• Bilgisayar korsanı etkinliğinin adım adım dökümü.
• Keşfedilen zayıf noktalar ve güvenlik açıkları.
• Veri test uzmanları ulaşmayı başardı.
• Test kullanıcılarının sistem içerisinde ne kadar süreyle tespit edilemediği.
• Şirketin güvenlik açıklarını ortadan kaldırmak ve gerçek saldırılara karşı koruma sağlamak için atması gereken adımlar.

Yeniden test etme

Güvenlik ekibi kalem raporundaki değişiklikleri uyguladıktan sonra sistem yeniden teste hazır hale gelir. Test uzmanları, hedefin artık ihlal girişimine direnip direnemeyeceğini görmek için aynı simüle edilmiş saldırıları gerçekleştirmelidir.

Standartlaştırılmış Sızma Testi Metodolojileri

Şirketler genellikle beş standartlaştırılmış penetrasyon testi yönteminden birine güvenir: OWASP, OSSTMM, ISSAF, PTES ve NIST.

OWASP

OWASP (Açık Web Uygulama Güvenliği Projesi), uygulamadaki güvenlik açıklarını belirlemeye yönelik bir çerçevedir. Bu yöntem bir ekibin şunları yapmasına olanak tanır:

• Web ve mobil uygulamalardaki güvenlik açıklarını tanıyın.
• Geliştirme uygulamalarındaki kusurları keşfedin.

OWASP ayrıca test uzmanlarının riskleri derecelendirmesine olanak tanır, bu da zamandan tasarruf sağlar ve sorunların önceliklendirilmesine yardımcı olur. Bu çerçevenin çok büyük bir kullanıcı topluluğu vardır, bu nedenle OWASP makaleleri, teknikleri, araçları ve teknolojileri konusunda hiçbir eksiklik yoktur.

OSSTMM

OSSTMM (Açık Kaynak Güvenlik Testi Metodoloji Kılavuzu), ağ sızma testi için bilimsel bir metodolojiye dayanır. Bu hakemli çerçeve, etik korsanlık için ideal olan operasyon güvenliğinin doğru bir karakterizasyonunu sağlar.

OSSTMM, kalem test uzmanlarının kuruluşun teknolojik ve özel ihtiyaçlarına uygun özelleştirilmiş testler yürütmesine olanak tanır.

ISSAF

ISSAF (Bilgi Sistemi Güvenliği Değerlendirme Çerçevesi), testlere yönelik uzmanlaşmış ve yapılandırılmış bir yaklaşım sağlar.

Bu çerçeve, kalem testinin her adımını ayrıntılı olarak planlamak ve belgelemek isteyen test uzmanları için idealdir. ISSAF aynı zamanda farklı araçlar kullanan test uzmanları için de faydalıdır çünkü yöntem her adımı belirli bir araca bağlamanıza olanak tanır.

PTES'ler

PTES (Sızma Testi Metodolojileri ve Standartları), teste yönelik oldukça yapılandırılmış yedi adımlı bir yaklaşım sunar. Bu metodoloji, test uzmanlarına keşif ve veri toplamadan kullanım sonrası ve raporlamaya kadar tüm penetrasyon testi adımlarında rehberlik eder.

PTES, test uzmanlarının başarılı testler yürütmek için kuruluşun süreçlerini bilmesini gerektirir.

NIST

NIST (Ulusal Standartlar ve Teknoloji Enstitüsü), genel siber güvenliği iyileştirmek için hassas sızma testi yönergeleri sunar. Bu çerçeve bankacılık, iletişim ve enerji gibi yüksek tehlike içeren sektörlerde popülerdir.

NIST'e uymak genellikle Amerikan işletmeleri için düzenleyici bir gerekliliktir. NIST'e uymak için bir şirketin uygulamalar ve ağlar üzerinde penetrasyon testi yapması gerekir.

Sızma Testi Türleri

Sızma testleri amaçlara, koşullara ve hedeflere göre farklılık gösterir. Test kurulumuna bağlı olarak şirket, test uzmanlarına sistem hakkında değişen derecelerde bilgi sağlar. Bazı durumlarda güvenlik ekibi test hakkında sınırlı bilgiye sahip olan ekiptir.

Kara Kutu Sızma Testi

Sızma ekibinin kara kutu testinde hedef sistem hakkında hiçbir bilgisi yoktur. Bilgisayar korsanlarının sisteme girmenin kendi yollarını bulmaları ve bir ihlali nasıl organize edeceklerini planlamaları gerekiyor.

Tipik olarak, test uzmanları kara kutu testinin başlangıcında yalnızca şirketin adını taşırlar. Penetrasyon ekibinin detaylı keşifle başlaması gerekir, dolayısıyla bu test şekli oldukça zaman gerektirir.

Gri Kutu Sızma Testi

Test ekibi, yükseltilmiş ayrıcalıklara sahip bir kullanıcının bilgisine sahiptir. Bilgisayar korsanı şunları biliyor:

• Dokümantasyonun tasarımı ve mimarisi.
• İç yapılar.

Gri kutu kalem testi, ekibin başlangıçtan itibaren en büyük risk ve değere sahip hedeflere odaklanmasına olanak tanır. Bu tür testler, ağa uzun süreli erişimi olan bir saldırganı taklit etmek için idealdir.

Beyaz Kutu Sızma Testi

Kalem testçileri çalışmaya başlamadan önce hedef sistem hakkında bilgi sahibi olurlar. Bu bilgiler şunları içerebilir:

• IP adresleri.
• Ağ altyapısı şemaları.
• Kullanıcı protokolleri.
• Sistem eserleri (kaynak kodu, ikili dosyalar, kapsayıcılar).

Kuruluma bağlı olarak test uzmanları, sistemi çalıştıran sunuculara bile erişebilir. Kara kutu testi kadar özgün olmasa da beyaz kutunun düzenlenmesi hızlı ve ucuzdur.

Hedefli Test

Şirketin BT personeli ve test ekibi, hedefe yönelik testleri yürütmek için birlikte çalışır. Test uzmanları ve güvenlik personeli birbirlerinin faaliyetlerini her aşamada bilir.

Hedefli test için başka bir terim, testin tüm katılımcılar için şeffaf olması nedeniyle "ışıkların açık" yaklaşımıdır.

Harici Test

Harici test, dışarıdan görülebilen sunuculara veya cihazlara yönelik bir saldırıyı simüle eder. Harici testlere yönelik ortak hedefler şunlardır:

• Alan adı sunucuları (DNS).
• Web uygulamaları.
• E-posta sunucuları.
• Web siteleri.
• Web ve uygulama sunucuları.
• Güvenlik duvarları.

Harici testin amacı, dışarıdan bir saldırganın sisteme girip giremeyeceğini bulmaktır. İkincil amaç ise saldırganın bir ihlalden sonra ne kadar ilerleyebileceğini görmektir.

Dahili Test

Dahili test, güvenlik duvarının arkasından gelen içeriden gelen bir tehdidi taklit eder. Bu testin tipik başlangıç noktası standart erişim ayrıcalıklarına sahip bir kullanıcıdır. En yaygın iki senaryo şunlardır:

• Sisteme zarar vermeye karar veren hoşnutsuz bir çalışan.
• Kimlik avı saldırısı yoluyla sisteme erişen bir saldırgan.

Dahili test, kötü niyetli veya ele geçirilen bir çalışanın sisteme ne kadar zarar verebileceğini belirlemek için idealdir.

Kör Test

Kör test, gerçek hayattaki bir saldırıyı simüle eder. Güvenlik ekibi test hakkında bilgi sahibi olsa da personelin ihlal stratejisi veya test uzmanının faaliyetleri hakkında sınırlı bilgisi vardır.

Çift Kör Test

Çift-kör kurulumda, şirket içindeki yalnızca bir veya iki kişi yaklaşan testten haberdardır. Çift-kör testler aşağıdakilerin incelenmesi için idealdir:

• Güvenlik izleme sistemleri.
• Olay tanımlama protokolleri.
• Yanıt prosedürleri.

Çift kör test, güvenlik ekibinin gerçek hayattaki bir saldırıyı tespit etme ve yanıt verme becerisine özgün bir bakış sağlar.

Sızma Testi Yaklaşımları (Test Alanları)

Aşağıda şirketinizin savunmasını incelemek için uygulayabileceğiniz farklı penetrasyon testi yaklaşımları bulunmaktadır.

Ağ Sızma Testi ve Kullanımı

Ağ penetrasyon testi, ağların, yönlendiricilerin, anahtarların ve ana bilgisayarların ihlal edilmesine yönelik hackleme tekniklerini taklit eder.

Bu test şekli şunları içerir:

• Güvenlik duvarı atlanıyor.
• Yeni nesil izinsiz giriş önleme sisteminden (NGIPS) kaçınmak.
• Yönlendirici ve proxy sunucu testi.
• IPS ve DPS kaçırma.
• Bağlantı noktası taramasını açın.
• SSH güvenlik saldırıları.
• Yanal hareketi durduran politikaların test edilmesi.
• Ağ trafiğinin kesilmesi.
• Eski cihazları ve üçüncü taraf cihazları keşfetme.

Bu tür testler hem dahili hem de harici ağ kullanımını içerir. Ağ sızmasının tespit ettiği ortak zayıf noktalar şunlardır:

• Yanlış yapılandırılmış varlıklar.
• Ürüne özgü güvenlik açıkları.
• Kablosuz ağ zayıflıkları.
• Sahtekar hizmetler.
• Zayıf şifre protokolleri.

Bir işletmenin ağ altyapısına yönelik simüle edilmiş bir saldırı, en yaygın kalem testi türüdür.

Web Uygulaması Güvenlik Testleri

Uygulama güvenlik testleri, sunucu tarafı uygulamalardaki potansiyel riskleri araştırır. Bu testlerin tipik konuları şunlardır:

• Web uygulamaları.
• API'ler.
• Bağlantılar.
• Çerçeveler.
• Mobil uygulamalar.

Yaygın uygulama güvenlik açıkları şunları içerir:

• Siteler arası istek sahteciliği ve komut dosyası oluşturma.
• Enjeksiyon kusurları.
• Kötü oturum yönetimi.
• Güvenli olmayan doğrudan nesne referansları.
• Kodlama hataları.
• Bozuk kimlik doğrulama veya yetkilendirme protokolleri.
• Zayıf kriptografi.

İstemci Tarafı veya Web Sitesi ve Kablosuz Ağ

Bu tür testler, kablosuz cihazları ve altyapıları güvenlik açıklarına karşı denetler. Kablosuz kalem testi, güvenli olmayan kablosuz ağ yapılandırmalarını ve zayıf kimlik doğrulama kontrollerini tespit eder.

Bu tür testler aşağıdakilerin taranmasını içerir:

• Web sunucusu yanlış yapılandırmaları.
• Kötü amaçlı yazılımdan koruma ve DDoS önleme stratejileri.
• SQL enjeksiyonları.
• MAC adresi sahtekarlığı.
• Medya oynatıcılar ve içerik oluşturma yazılımı.
• Siteler arası komut dosyası oluşturma.
• Erişim noktaları ve erişim noktaları.
• Şifreleme protokolleri.

Sosyal Mühendislik Saldırıları

Sosyal mühendislik testleri, çalışan protokolleri ve davranışlarındaki güvenlik açıklarını arar. Bir sosyal mühendislik saldırısının kurbanı olmak, yetkisiz erişime, kötü amaçlı yazılımlara, fidye yazılımlara veya kimlik bilgilerinin ele geçirilmesine yol açabilir.

Sosyal mühendislik kalem testleri genellikle aşağıdaki gibi gerçek dünya saldırılarını taklit eder:

• Kulak misafiri olmak.
• Arkadan takip.
• Kimlik avı saldırıları.
• Yemleme kancası.
• Canını sıkma.
• Korku yazılımı.
• Bahane uydurmak.

Fiziksel Testler

Fiziksel penetrasyon testleri iş alanlarına fiziksel erişim sağlamaya çalışır. Bu tür testler aşağıdakilerin bütünlüğünü sağlar:

• RFID sistemleri.
• Kameralar.
• Kapı giriş sistemleri ve tuş takımları.
• Çalışan ve satıcı davranışı.
• Hareket ve ışık sensörleri.

Bilgisayar korsanları gerçekçi saldırı koşulları oluşturmak için genellikle fiziksel testleri sosyal mühendislikle birleştirir.

Bulut Kalem Testi

Bulut penetrasyon testi, bulut varlıklarını koruyan savunmaları inceler. Kalem testleri, bulut kurulumundaki uygulamalar, ağlar ve yapılandırmalar içindeki bilgisayar korsanlarının aşağıdakilere erişmesine olanak tanıyabilecek potansiyel riskleri belirler:

• Şirket kimlik bilgileri.
• İç sistemler.
• Hassas veri.

Bu tür testler IaaS, PaaS ve SaaS çözümlerine güvenen şirketler için önemlidir. Bulut kalem testi, güvenli bulut dağıtımlarının sağlanması açısından da önemlidir.

Herhangi Bir Risk Değerlendirme Stratejisinin Önemli Bir Parçası

Sızma testleri, bir şirketin bilgisayar korsanları zarar verme fırsatını yakalamadan önce sistem zayıflıklarını proaktif olarak keşfetmesine olanak tanır. Güvenli BT operasyonlarını sağlamak ve maliyetli ihlalleri önlemek için sistemlerinizde düzenli olarak simülasyonlu saldırılar gerçekleştirin.