Sızma Testi Nedir?
Sızma testi veya diğer adıyla 'pen testi', kuruluşların güvenlik açıklarını belirlemek, böylece güvenlik politikalarında ince ayar yapmalarına ve ilgili yamaların güncellendiğinden emin olmak için ağlarında simüle edilmiş siber saldırılar gerçekleştirdiği yerdir. Kurulmuş.
PCI DSS, HIPAA, FINRA ve diğerleri gibi birçok veri koruma düzenlemesi, kapsam dahilindeki kuruluşların sahip oldukları güvenlik önlemlerini düzenli olarak test etmesini gerektirir. Sızma testi bunu yapmanın yoludur.
Kalem Testi Nasıl Kullanılır?
Kalem testi, Uygulama Programlama Arayüzleri (API'ler), Web Uygulaması Güvenlik Duvarları (WAF), DNS sunucuları ve web siteleri gibi çeşitli sistemleri, özellikleri, cihazları ve uygulamaları test etmek için kullanılabilir. Sahip olduğunuz herkese açık web formlarını titizlikle test etmek her zaman iyi bir fikirdir, çünkü çoğu zaman girişlerin uygun şekilde sterilize edilmediği durumlarda kod enjeksiyon saldırıları olasılığı ortaya çıkar. Kalem testi tipik olarak beş aşamaya ayrılır;
Sızma Testi Aşamaları
1. Planlama ve keşif
Burası, tüm sistemlerin, özelliklerin, varlıkların ve cihazların envanterinin oluşturulmasını içeren, sızma testi faaliyetlerinizin kapsamını tanımladığınız yerdir. Ayrıca test yöntemlerinizi tanımlamayı ve amaç ve hedeflerinizi özetlemeyi de içerir.
2. Uygulama güvenliği taraması
Bu aşama, bir uygulamanın güvenlik tehditlerine nasıl yanıt verdiği hakkında bilgi edinmek için güvenlik açığı tarama araçlarının kullanılmasını içerir. İki tür güvenlik açığı taraması vardır; Statik analiz ve dinamik analiz. Statik analiz, potansiyel güvenlik açıklarını belirlemek amacıyla bir uygulamanın kodunu taradığınız yerdir. Dinamik analiz aslında aynıdır; potansiyel tehditlere gerçek zamanlı olarak nasıl tepki verdiğini izlemek için yalnızca tarama uygulama çalışırken gerçekleştirilir.
3. Erişim kazanmak ve güvenlik açıklarından yararlanmak
Ağınızdaki güvenlik açıklarını bulmayı başarırsanız, bir sonraki adım bunlardan yararlanmaya çalışmaktır. Bu, bir SQL enjeksiyonu veya siteler arası komut dosyası çalıştırma saldırısı başlatmayı, trafiğe müdahale etmeyi, ayrıcalıkları yükseltmeyi vb. içerebilir. Tüm güvenlik açıklarının ve başarılı istismarların iyi bir şekilde belgelendiğinden emin olmalısınız.
4. Erişimin sürdürülmesi
Ağınıza erişim sağladıktan sonra işin püf noktası, herhangi bir alarm çalmadan erişimi ne kadar süre koruyabileceğinizi görmektir. Gelişmiş Kalıcı Tehditler (ATP'ler), bilindiği üzere, bir sistemde aylarca kalabilir ve hassas bilgileri sessizce sızdırabilir.
5. Analiz ve raporlama
Sızma testlerinizi tamamladıktan sonra, tüm bulgularınızı bir veya daha fazla ayrıntılı rapor halinde derlemeniz gerekecektir. Rapor;
- Bulunan güvenlik açıkları;
- İstismar edilen güvenlik açıkları ve bunların nasıl istismar edildiği;
- İlgili sistemler, özellikler, varlıklar ve cihazlar;
- Kalem test cihazının fark edilmeden önce sistemde kalabildiği süre.
Bu bilgilerin ilgili güvenlik personeli tarafından, ilgili yamaların yüklenmesini, form doğrulama sorunlarının ele alınmasını, güvenlik duvarlarının yapılandırılmasını ve API'lerinde iyileştirmeler yapılmasını içerebilecek şekilde, bu sorunları düzeltmeye yönelik bir plan oluşturmalarına yardımcı olmak üzere analiz edilmesi gerekir.
Sızma Testi Yöntemleri
Kullanılabilecek çeşitli kalem testi yöntemleri vardır; bunlardan bazıları;
Harici test
Burası kalem test cihazının halka açık sunucuları, uygulamaları, web sitelerini ve verileri hedefleyeceği yerdir. Buna e-posta hesapları ve bulut depolama kapları da dahildir.
Dahili test
Burası kalem testçisinin kötü niyetli veya ihmalkar bir çalışanın pozisyonunu üstlendiği yerdir. Ayrıcalıklarını artırmak veya hassas verileri açığa çıkarmak için mümkün olduğunca çok yol deneyecekler.
Kör/çift-kör test
Kör testte testi yapan kişi, saldırması gereken sistem hakkında sınırlı bilgiye sahip olacaktır. Genellikle onlara yalnızca kuruluşun adı verilir. Çift kör testte güvenlik ekibine saldırıyla ilgili önceden herhangi bir bildirimde bulunulmayacak.
Hedefli test
Kör ve çift kör testlerden farklı olarak hedefli test, hem pen tester'ın hem de güvenlik ekibinin birlikte çalıştığı, birbirlerini ne yaptıkları hakkında bilgilendirdikleri ve böylece hem güvenlik kontrollerinin hem de pen testi çabalarının etkinliğini izleyebildikleri yerdir.
Lepide Veri Güvenliği Platformunun pen testinize nasıl bağlam ekleyebileceğini ve geliştirebileceğini görmek istiyorsanız mühendislerimizden biriyle bir demo planlayın veya ücretsiz denemenizi bugün başlatın.