Zafiyet taraması ve sızma testi, güvenlik tekliflerinde ve tedarikçi görüşmelerinde çoğu zaman aynı cümle içinde geçer. İkisi de sistemlerdeki güvenlik açıklarını bulmayı amaçlar, ancak farklı sorulara cevap verir, farklı yöntemler kullanır ve farklı çıktılar üretir. Bu yazıda iki yaklaşımı amaç, yöntem, derinlik, sıklık ve çıktı açısından karşılaştırıyor ve hangisine ne zaman ihtiyaç duyulduğunu anlatıyoruz.
Kısaca: iki farklı soru
Farkı anlamanın en kolay yolu, her birinin hangi soruyu sorduğuna bakmaktır:
- Zafiyet taraması sorar: “Sistemlerimizde hangi bilinen zafiyetler ve yapılandırma hataları var?”
- Sızma testi sorar: “Bir saldırgan bu zafiyetlerle nereye kadar ilerleyebilir?”
Birincisi genişliğe, ikincisi derinliğe odaklanır. Biri envanter çıkarır, diğeri o envanterin gerçek hayatta ne anlama geldiğini sınar.
Zafiyet taraması nedir?
Zafiyet taraması, sistemlerin otomatik araçlarla incelenerek açık portların, yayındaki servislerin, yazılım sürümlerinin ve yapılandırmaların bilinen zafiyetlerle karşılaştırılmasıdır. Kamuya açıklanmış zafiyetler genellikle CVE numaralarıyla tanımlanır; tarama aracı bir servisin sürümünü bu kayıtlarla eşleyerek olası açıkları listeler.
Taramalar dışarıdan, yani yalnızca ağ üzerinden görünen bilgiyle yapılabileceği gibi kimlik doğrulamalı olarak da yapılabilir. Kimlik doğrulamalı taramada araç, sistemlere sizin sağladığınız bir hesapla oturum açar ve yüklü yazılımları doğrudan kontrol eder; bu da dışarıdan görünmeyen eksik yamaları ortaya çıkarır.
Zafiyet taramasının güçlü yanı ölçektir: çok sayıda sistemi düzenli aralıklarla ve tutarlı biçimde kontrol edebilir. Zayıf yanı ise bağlamdır: araç, bulduğu zafiyetin o ortamda gerçekten istismar edilip edilemeyeceğini ya da bir saldırgana ne kazandıracağını çoğu zaman bilemez.
Tarama türleri hakkında daha fazla bilgi için zafiyet taraması sayfamıza bakabilirsiniz.
Sızma testi nedir?
Sızma testi (pentest), yetkili uzmanların bir saldırganın yöntemlerini kullanarak sistemleri önceden belirlenmiş kurallar içinde sınamasıdır. Test yalnızca zafiyetleri bulmakla kalmaz; bunları kontrollü biçimde istismar etmeye çalışır, elde edilen erişimle ne kadar ilerlenebildiğini gösterir ve birden fazla zayıflığın zincirlenerek nasıl ciddi bir sonuca dönüşebileceğini ortaya koyar.
Sızma testinin güçlü yanı derinliktir. İş mantığı hataları, yetkilendirme açıkları ve zincirlenebilen zafiyetler gibi otomatik taramanın yakalayamadığı sorunlar, çoğunlukla bir uzmanın uygulamanın ya da ağın gerçek davranışını takip etmesiyle ortaya çıkar. Ayrıntılar için sızma testi (pentest) nedir? yazımıza göz atabilirsiniz.
Temel farklar
Amaç
Zafiyet taraması bilinen açıkları geniş ölçekte tespit etmeyi amaçlar. Sızma testi ise belirli hedefler üzerinde bu açıkların gerçek etkisini kanıtlamayı amaçlar.
Yöntem
Tarama ağırlıklı olarak otomatiktir; uzman emeği sonuçların doğrulanması ve önceliklendirilmesinde devreye girer. Sızma testi ağırlıklı olarak manueldir; araçlar keşfi hızlandırır, ancak asıl iş uzmanın hipotez kurması, denemesi ve bulguları birbirine bağlamasıdır.
Kapsam ve derinlik
Tarama çok sayıda varlığı geniş ama derinlemesine olmayan, tutarlı bir biçimde inceler. Sızma testi daha dar bir kapsamı derinlemesine ele alır. Bu yüzden bir sızma testinde kapsamın doğru seçilmesi, taramaya göre çok daha belirleyicidir.
Sıklık
Sistemler sürekli değiştiği ve yeni zafiyetler sürekli yayımlandığı için taramalar genellikle düzenli aralıklarla tekrarlanır. Sızma testleri ise daha seyrek yapılır; planlı aralıklarla ya da yeni bir sistemin yayına alınması, önemli bir mimari değişiklik gibi olaylara bağlı olarak.
Çıktı
İyi yürütülmüş bir taramanın çıktısı, doğrulanmış ve önceliklendirilmiş bir bulgu listesidir. Sızma testinin çıktısı ise buna ek olarak istismar adımlarını, kanıtları ve saldırı yollarını içerir; yani “bu açık var” demekle kalmaz, “bu açıkla şuraya ulaşılabildi” der.
Sistemlere etkisi
Her iki çalışma da sistem sahibinin yazılı yetkisiyle ve belirlenen zaman pencerelerinde yapılmalıdır. Taramanın yoğunluğu ayarlanabilir ve hassas sistemler kapsam dışı bırakılabilir. Sızma testinde istismar denemeleri kontrollü yapılır; hizmet kesintisi riski taşıyan adımlar önceden sistem sahibiyle konuşulur.
Özet karşılaştırma
| Zafiyet taraması | Sızma testi | |
|---|---|---|
| Sorduğu soru | Hangi bilinen zafiyetler var? | Bir saldırgan ne kadar ilerleyebilir? |
| Yöntem | Ağırlıklı otomatik, uzman doğrulamalı | Ağırlıklı manuel, araç destekli |
| Odak | Genişlik | Derinlik |
| Kapsam | Çok sayıda varlık | Belirli hedefler |
| Tekrar | Düzenli aralıklarla | Planlı aralıklarla ve önemli değişikliklerde |
| Çıktı | Doğrulanmış bulgu listesi | Kanıtlı bulgular ve saldırı yolları |
Yanlış pozitifler ve doğrulamanın önemi
Otomatik tarama araçlarının bilinen bir zayıflığı yanlış pozitiflerdir: araç, gerçekte bulunmayan bir açığı var gibi raporlayabilir. Örneğin bir servisin sürüm bilgisi eski görünse de üretici ya da işletim sistemi dağıtımı düzeltmeyi geriye dönük olarak uygulamış olabilir. Doğrulanmamış bir tarama raporu, teknik ekiplerin zamanını gerçek olmayan sorunlara harcamasına ve rapora olan güvenin azalmasına yol açar.
Bu yüzden iyi bir tarama çalışması, otomatik sonuçları doğrudan rapora aktarmaz. Özellikle kritik ve yüksek seviyeli bulgular yanıt verileri, sürüm bilgileri ve gerektiğinde kontrollü testlerle doğrulanır; böylece teknik ekipler zamanlarını gerçek sorunlara ayırır.
Sık karıştırılan noktalar
Otomatik sızma testi araçları uzman testinin yerini tutmaz. Bazı araçlar, bilinen zafiyetleri otomatik olarak istismar etmeyi de dener ve kendini sızma testi aracı olarak tanıtır. Bu araçlar yararlıdır, ancak bir uzmanın uygulamanın iş akışlarını anlamasını, beklenmedik bir davranışı fark etmesini ve küçük bulguları birbirine bağlamasını sağlamaz. Bir çalışmanın sızma testi sayılıp sayılmayacağını belirleyen, kullanılan araç değil, uzmanın hedefe dair kurduğu ve sınadığı senaryolardır.
Doğrulanmış bir tarama da sızma testi değildir. Tarama bulgularının manuel olarak doğrulanması raporun güvenilirliğini artırır, ama amaç bulgunun gerçek olup olmadığını anlamaktır; saldırı yollarını çıkarmak değildir.
Sızma testi taramanın yerine geçmez. Sızma testi belirli bir kapsamı belirli bir zamanda derinlemesine inceler. Kapsam dışında kalan ya da testten sonra devreye alınan sistemler, düzenli taramalarla izlenmeye devam etmelidir.
Bulgu sayısı tek başına bir kalite ölçütü değildir. Uzun bir bulgu listesi kapsamlı görünebilir; ancak asıl değer, hangi bulgunun gerçekten istismar edilebilir olduğunu ve neyin önce kapatılması gerektiğini açıkça göstermektir.
Hangisine ne zaman ihtiyaç duyulur?
Zafiyet taraması genellikle şu durumlarda öne çıkar:
- Saldırı yüzeyinizin güncel bir resmini düzenli olarak görmek istediğinizde.
- Yama ve yapılandırma çalışmalarının sahada uygulanıp uygulanmadığını takip etmek istediğinizde.
- Envanter dışında kalmış, unutulmuş sistemleri bulmak istediğinizde.
Sızma testi ise genellikle şu durumlarda öne çıkar:
- Yeni bir uygulama ya da sistem yayına alınmadan önce.
- Kritik bir uygulamada kullanıcıların birbirinin verisine erişip erişemediğini görmek istediğinizde.
- İç ağa bir saldırganın girmesi hâlinde nereye kadar ilerleyebileceğini anlamak istediğinizde.
- Tarama bulgularının gerçekte ne kadar risk taşıdığını kanıtla görmek istediğinizde.
Birlikte nasıl kullanılır?
İki yaklaşım birbirinin yerine geçmez, birbirini tamamlar. Yaygın bir düzen şöyledir: düzenli taramalar bilinen zafiyetleri erkenden yakalar ve kapatılmalarını takip eder; sızma testleri ise belirli hedeflerde, taramanın göremediği mantık hatalarını ve saldırı yollarını ortaya çıkarır. Bir sızma testinden önce yapılan tarama ve düzeltme turu, testin bilinen basit açıklarla vakit kaybetmeden daha derin sorunlara odaklanmasını da sağlar.
Hangi yaklaşımın ya da hangi birleşimin uygun olduğu; sistemlerinizin yapısına, riskinize ve cevabını aradığınız soruya bağlıdır. Tarama hizmetlerimizi zafiyet taraması, test hizmetlerimizi sızma testi sayfasında bulabilirsiniz.
Kurumunuz için uygun kapsamı konuşmak isterseniz bizimle iletişime geçebilirsiniz.