Sızma testi, yaygın adlarıyla pentest ya da penetrasyon testi, bir kurumun sistemlerinin yetkili uzmanlar tarafından, gerçek bir saldırganın kullanacağı yöntemlerle ama önceden yazılı olarak belirlenmiş kurallar içinde sınanmasıdır. Bu rehberde sızma testinin amacını, türlerini, tipik bir testin aşamalarını ve bir sızma testinden en fazla verimi almak için nelere dikkat etmek gerektiğini anlatıyoruz.
Sızma testinin amacı
Bir güvenlik açığının var olduğunu bilmek, tek başına ne kadar risk taşıdığını söylemez. Aynı zafiyet bir sistemde doğrudan veri kaybına yol açabilirken başka bir sistemde pratikte istismar edilemeyebilir. Sızma testi bu belirsizliği gidermek için üç soruya cevap arar:
- Bu zafiyet gerçekten istismar edilebilir mi?
- İstismar edilirse bir saldırgan neye erişir?
- Birden fazla küçük zayıflık bir araya geldiğinde nereye ulaşılabilir?
Bu soruların cevapları, hangi açığın önce kapatılması gerektiğine dair somut bir temel sunar. İyi bir sızma testinin çıktısı uzun bir bulgu listesi değil, önceliklendirilmiş bir iyileştirme planıdır.
Sızma testi ile zafiyet taraması arasındaki fark
İki kavram sık sık birbirinin yerine kullanılır, ancak farklı işler görür. Zafiyet taraması, otomatik araçlarla bilinen zafiyetleri ve yapılandırma hatalarını geniş ölçekte tespit eder. Sızma testi ise belirli hedefler üzerinde bu zafiyetlerin gerçekten istismar edilip edilemeyeceğini ve bir saldırganın ne kadar ilerleyebileceğini derinlemesine sınar. Tarama genişliği, sızma testi derinliği temsil eder. Ayrıntılı bir karşılaştırma için zafiyet taraması ile sızma testi arasındaki fark yazımıza göz atabilirsiniz.
Sızma testi türleri
Hedefe göre
Sızma testleri çoğunlukla sınanan yüzeye göre adlandırılır:
- Dış ağ sızma testi: İnternetten erişilebilen IP adresleri, sunucular ve servisler hedef alınır. Soru, dışarıdaki bir saldırganın kurumun ağına ilk adımı atıp atamayacağıdır. (Dış ağ sızma testi)
- İç ağ sızma testi: Saldırganın bir şekilde içeri girdiği varsayılır. Yetki yükseltme, ağ içinde yatay hareket ve dizin hizmetlerindeki yapılandırma hataları sınanır. (İç ağ sızma testi)
- Web uygulama sızma testi: Kimlik doğrulama, oturum yönetimi, yetkilendirme, girdi doğrulama ve iş mantığı hataları incelenir. (Web uygulama sızma testi)
- API testi: Uygulamaların arka planda konuştuğu uç noktalar, arayüzden bağımsız olarak doğrudan test edilir. (API güvenlik testi)
- Mobil uygulama testi: Hem cihazda çalışan uygulama hem de uygulamanın konuştuğu sunucular ele alınır. (Mobil uygulama güvenlik testi)
- Kablosuz ağ testi: Şifreleme, kimlik doğrulama ve misafir ağı ile kurumsal ağ arasındaki ayrım sınanır. (Kablosuz ağ güvenlik testi)
- Sosyal mühendislik testi: Teknik sistemler yerine insan faktörü sınanır; oltalama e-postaları ve telefonla bilgi alma girişimleri en bilinen örneklerdir. (Sosyal mühendislik testi)
Bilgi düzeyine göre
Testi yapan ekibe başlangıçta ne kadar bilgi verildiği de testin karakterini belirler:
- Kara kutu: Ekibe ön bilgi verilmez; sisteme dışarıdan bir kullanıcı ya da saldırgan gibi yaklaşılır. Gerçekçidir, ancak sınırlı sürede derin katmanlara ulaşmak zorlaşabilir.
- Gri kutu: Ekibe kısıtlı bilgi ve genellikle bir ya da birkaç kullanıcı hesabı verilir. Oturum açmış bir kullanıcının neler yapabildiğini görmek için sık tercih edilir.
- Beyaz kutu: Mimari bilgi, belgeler ve gerektiğinde kaynak kod paylaşılır. En kapsamlı incelemeye imkân verir.
Hangi yaklaşımın seçileceği, testin amacına ve cevabı aranan soruya bağlıdır.
Kırmızı takım çalışması
Kırmızı takım çalışması sızma testiyle aynı teknikleri kullanır, ancak amacı farklıdır. Sızma testi belirli bir sistemin zafiyetlerini olabildiğince kapsamlı biçimde bulmaya çalışırken kırmızı takım, belirlenmiş bir hedefe (örneğin kritik bir veriye) ulaşmaya odaklanır ve dış yüzeyi, çalışanları ve iç ağı birlikte kullanır. Asıl sınanan, kurumun saldırıyı fark edip durdurma yeteneğidir. (Kırmızı takım testi)
Bir sızma testi nasıl yürür?
Uygulamalar ekipten ekibe farklılık gösterse de bir sızma testi genellikle şu aşamalardan geçer.
1. Kapsam ve kurallar
Test edilecek varlıklar, test yaklaşımı, zaman pencereleri, hariç tutulacak sistemler ve iletişim kişileri belirlenir. Sızma testi, sistem sahibinin yazılı yetkisi olmadan yapılmaz; yazılı yetki, testi gerçek bir saldırıdan ayıran temel koşuldur.
2. Keşif
Kapsamdaki varlıklar hakkında bilgi toplanır: hangi servislerin yayında olduğu, hangi sürümlerin kullanıldığı, uygulamanın hangi akışlara sahip olduğu. İyi bir keşif, testin geri kalanının verimini doğrudan etkiler.
3. Zafiyet tespiti
Otomatik araçlar ve manuel inceleme birlikte kullanılarak olası zafiyetler belirlenir. Bu aşamanın çıktısı henüz bir risk listesi değil, doğrulanması gereken bir aday listesidir.
4. Kontrollü istismar
Aday zafiyetler, hizmet kesintisine yol açmamaya özen gösterilen kontrollü yöntemlerle istismar edilmeye çalışılır. Hizmet kesintisi riski taşıyan bir adım varsa bu adım önceden sistem sahibiyle konuşulur.
5. Erişimi genişletme
Elde edilen erişimle ne kadar ileri gidilebildiği sınanır: yetki yükseltme, başka sistemlere geçiş, kritik verilere erişim. Birden fazla orta seviyeli bulgunun zincirlenerek ciddi bir sonuca yol açtığı durumlar çoğunlukla bu aşamada görünür.
6. Raporlama
Bulgular kanıtlarıyla birlikte belgelenir, ciddiyetlerine göre sıralanır ve düzeltme önerileriyle raporlanır.
7. İyileştirme ve yeniden test
Kurum düzeltmeleri uyguladıktan sonra kapatıldığı bildirilen bulgular yeniden test edilir. Yeniden test, kapatıldığı bildirilen bulgular için düzeltmenin gerçekten işe yarayıp yaramadığını gösterir.
İyi bir sızma testi raporunda neler bulunur?
Rapor, testin kalıcı çıktısıdır ve genellikle iki farklı okuyucuya hitap eder: kararı veren yönetim ve düzeltmeyi yapan teknik ekip. Bu yüzden iyi bir raporda şu bölümler bulunur:
- Yönetici özeti: Genel risk tablosu, öne çıkan bulgular ve karar gerektiren konular.
- Kapsam ve yöntem: Neyin, hangi tarihlerde, hangi yaklaşımla test edildiği ve testin sınırlamaları.
- Bulgu ayrıntıları: Her bulgu için açıklama, etkilenen varlıklar, kanıt (ekran görüntüleri, istek ve yanıt örnekleri) ve ciddiyet derecesi.
- Önceliklendirme: Bulguların istismar edilebilirlik ve iş etkisine göre sıralanması. Ciddiyet için sık kullanılan ölçütlerden biri CVSS puanıdır; ancak puan, varlığın kurum için önemiyle birlikte değerlendirildiğinde anlam kazanır.
- Düzeltme adımları: Teknik ekibin başka bir kaynağa ihtiyaç duymadan uygulayabileceği ayrıntıda öneriler.
- Referanslar: İlgili CVE, CWE ve OWASP kayıtları.
Sızma testine nasıl hazırlanılır?
Testten alınacak verim büyük ölçüde hazırlığa bağlıdır. Başlamadan önce şunları netleştirmek yararlıdır:
- Amaç: Testle hangi soruya cevap aradığınızı yazın. “Her şeyi test edin” yerine “müşteri portalında bir kullanıcı başka bir müşterinin verisini görebilir mi?” gibi somut bir soru, daha odaklı bir test sağlar.
- Kapsam listesi: Test edilecek IP adreslerini, alan adlarını, uygulamaları ve ortamları belirleyin.
- Test hesapları: Uygulama testleri için her kullanıcı rolüne ait ayrı test hesapları hazırlayın.
- Test ortamı: Mümkünse üretime eş bir test ortamı sağlayın; üretimde test yapılacaksa uygun zaman pencerelerini belirleyin.
- Hariç tutulacaklar: Hassas ya da kırılgan sistemleri önceden bildirin.
- İletişim: Test süresince ulaşılabilecek bir sorumlu atayın ve ilgili ekipleri (sistem yönetimi, güvenlik izleme, servis sağlayıcılar) gerektiği ölçüde bilgilendirin.
Sızma testinin sınırları
Sızma testi güçlü bir araçtır, ama her şeyi kapsamaz. Test, belirli bir zamanda ve belirli bir kapsam içinde yapılır; sistemler değiştikçe sonuçlar da eskir. Bir testte bulgu çıkmaması, sistemde hiç zafiyet olmadığı anlamına gelmez; yalnızca o kapsamda ve o koşullarda bulunamadığını gösterir. Bu yüzden sızma testi; düzenli zafiyet taramaları, güvenli yazılım geliştirme uygulamaları ve izleme gibi diğer önlemlerle birlikte ele alındığında en fazla değeri üretir.
Sonuç
Sızma testi, “bir saldırgan bize ne yapabilir?” sorusuna kanıta dayalı bir cevap verir. Doğru kapsam, açık kurallar ve uygulanabilir bir raporla yapılan bir test, güvenlik yatırımlarının nereye yönlendirileceğini netleştirir. Test hizmetlerimizin tamamını sızma testi sayfasında bulabilirsiniz.
Kurumunuz için uygun kapsamı konuşmak isterseniz bizimle iletişime geçebilirsiniz.