Hizmete neler dahil?
- Kapsam görüşmesi ve yazılı test izni (rules of engagement)
- Dış ağ, iç ağ, web uygulaması ve kablosuz ağ testi seçenekleri
- Kara kutu, gri kutu veya beyaz kutu yaklaşımı
- Periyodik zafiyet taraması seçeneği
- CVSS tabanlı risk seviyeleri ve kanıtlarla bulgu raporu
- Her bulgu için uygulanabilir giderme önerisi
- Yönetici özeti ve sonuç değerlendirme toplantısı
- Düzeltmeler sonrası doğrulama testi (retest)
Sızma testi nedir?
Sızma testi, bir saldırganın sistemlerinize nereden ve ne kadar ilerleyebileceğini, izinli ve kontrollü bir çalışmayla ortaya koyan güvenlik testidir. Test, otomatik araçların bulduğu açıkları doğrulamakla kalmaz; açıkların birbirine bağlanarak nasıl daha büyük bir etkiye dönüşebileceğini de gösterir.
Sızma testleri; uygun yetkinliğe sahip uzmanlar tarafından, kapsamı ve kuralları önceden yazılı olarak belirlenmiş şekilde yürütülür. Test edilecek sistemler, test zamanları, kullanılacak yöntemler ve iletişim kişileri çalışma başlamadan önce mutabakata bağlanır.
Zafiyet taraması, sızma testi ve kırmızı takım arasındaki fark nedir?
Üç çalışma da güvenlik açıklarını bulmayı hedefler, ancak derinlik, yöntem ve amaç bakımından farklıdır.
| Özellik | Zafiyet taraması | Sızma testi | Kırmızı takım (red team) |
|---|---|---|---|
| Amaç | Bilinen açıkların geniş çapta tespiti | Açıkların istismar edilebilirliğinin ve etkisinin gösterilmesi | Kurumun tespit ve müdahale yeteneğinin gerçekçi bir senaryoyla sınanması |
| Yöntem | Ağırlıklı olarak otomatik araçlar | Araçlar ve uzman tarafından elle yapılan testler | Hedef odaklı, çok aşamalı, gizli senaryo |
| Kapsam | Geniş, çok sayıda sistem | Belirlenmiş sistemler veya uygulamalar | Belirlenmiş hedefler (ör. kritik veriye erişim) |
| Sıklık | Düzenli (ör. periyodik) | Genellikle yıllık veya büyük değişiklik sonrası | Olgunluğu yüksek kurumlarda, daha seyrek |
| Yanlış pozitif | Olabilir, doğrulama gerekir | Bulgular elle doğrulanır | Bulgular senaryo içinde doğrulanır |
| Kimler için | Tüm işletmeler | Dışa açık servisi veya hassas verisi olan kurumlar | Olgun güvenlik ekibi ve izleme yapısı olan kurumlar |
Pek çok işletme için doğru başlangıç, düzenli zafiyet taraması ile belirli aralıklarla yapılan sızma testinin birlikte planlanmasıdır.
Kara kutu, gri kutu ve beyaz kutu test ne demek?
Bu kavramlar, test ekibine başlangıçta ne kadar bilgi verildiğini anlatır:
- Kara kutu (black box): Test ekibine yalnızca hedef adres veya alan adı verilir. Dışarıdaki bir saldırganın bakış açısına en yakın yaklaşımdır, ancak sınırlı sürede bazı alanlar keşfedilemeyebilir.
- Gri kutu (grey box): Test ekibine sınırlı bilgi ve genellikle bir kullanıcı hesabı verilir. Yetkili bir kullanıcının veya hesabı ele geçirilmiş bir çalışanın neler yapabileceğini gösterir; süre ve kapsam açısından dengeli bir seçenektir.
- Beyaz kutu (white box): Mimari, yapılandırma ve gerektiğinde kaynak kod bilgisi paylaşılır. En kapsamlı inceleme bu yaklaşımla yapılır.
Hangi sızma testi türleri var?
Kapsam, işletmenin risklerine göre bir veya birkaç test türünden oluşabilir:
- Dış ağ testi: İnternete açık IP adresleri, güvenlik duvarı, VPN ve yayınlanan servisler test edilir.
- İç ağ testi: Kurum ağına bağlanmış bir saldırganın veya zararlı yazılımın ne kadar ilerleyebileceği incelenir; Active Directory ve segmentasyon zayıflıkları sık bulgulardandır.
- Web uygulaması testi: Web siteleri, portallar ve API'ler; kimlik doğrulama, yetkilendirme, girdi doğrulama ve oturum yönetimi açısından test edilir.
- Kablosuz ağ testi: Kurumsal ve misafir kablosuz ağların şifreleme, kimlik doğrulama ve ayrıştırma ayarları incelenir.
- Sosyal mühendislik: Oltalama (phishing) simülasyonu gibi yöntemlerle çalışanların farkındalığı ölçülür. Bu tür testler, kurum yönetiminin onayıyla ve çalışan haklarını gözeterek planlanır.
Test kuralları ve yazılı izin neden şarttır?
Sızma testi, izin alınmadan yapıldığında yetkisiz erişim anlamına gelir; bu yüzden yazılı izin ve kurallar (rules of engagement) olmadan test başlatılmaz. Bu doküman şunları içerir:
- Test edilecek IP adresleri, alan adları ve uygulamalar; kapsam dışı sistemler
- Test tarihleri ve saatleri, kritik sistemler için kısıtlar
- İzin verilen ve verilmeyen yöntemler (ör. hizmet kesintisine yol açabilecek testler)
- İki tarafın iletişim kişileri ve acil durumda testi durdurma yöntemi
- Üçüncü taraf barındırma veya bulut sağlayıcılarının test politikalarına uygunluk
- Test sırasında elde edilen verilerin nasıl korunacağı ve test sonunda nasıl imha edileceği
Sızma testi raporu neleri içerir?
Rapor, hem yönetimin hem teknik ekibin kullanabileceği biçimde hazırlanır:
- Yönetici özeti: Genel risk tablosu ve öncelikli aksiyonlar
- Bulgular: Her bulgu için açıklama, etkilenen sistemler, kanıt ve yeniden üretme adımları
- Risk seviyesi: CVSS (Common Vulnerability Scoring System) tabanlı puanlama ve kurumun bağlamına göre değerlendirme (kritik, yüksek, orta, düşük, bilgi)
- Giderme önerileri: Her bulgu için uygulanabilir düzeltme adımları
- Doğrulama testi (retest): Düzeltmeler yapıldıktan sonra bulguların kapatıldığının kontrolü ve güncellenmiş durum
Bulguların giderilmesi çoğu zaman güvenlik duvarı kurallarının daraltılması, yamaların uygulanması veya kimlik doğrulamanın güçlendirilmesi gibi adımlar gerektirir. Bu adımlarda firewall kurulumu ve yapılandırma ile kimlik ve erişim yönetimi sayfaları yol gösterebilir.
Sızma testine nasıl hazırlanılır?
İyi hazırlanmış bir test, sınırlı sürenin keşif yerine gerçek bulgulara harcanmasını sağlar. Başlamadan önce şu adımlar tamamlanmalıdır:
- [ ] Test edilecek IP adresleri, alan adları ve uygulamaların güncel listesi
- [ ] Gri veya beyaz kutu testte kullanılacak test hesapları (gerçek kullanıcı hesapları yerine)
- [ ] Testin yapılacağı ortam: canlı sistem mi, test ortamı mı?
- [ ] Barındırma veya bulut sağlayıcısına gerekiyorsa bildirim
- [ ] Güvenlik duvarı, IPS veya SOC ekibinin testten haberdar edilip edilmeyeceği kararı
- [ ] Test süresince ulaşılabilecek teknik irtibat kişisi
- [ ] Testten hemen önce alınmış güncel yedekler
Test sırasında kritik bir açık bulunursa raporun teslimini beklemeden, tanımlı irtibat kişisine hemen bildirilir. Böylece yüksek riskli bulgular rapor sürecini beklemeden kapatılabilir.
Kimler için uygun?
- İnternete açık web uygulaması, portal, VPN veya e-posta servisi bulunan işletmeler
- Müşteri, tedarikçi veya denetim gereği sızma testi raporu sunması istenen firmalar
- KVKK kapsamında teknik tedbirlerini kanıtlamak isteyen kurumlar; ayrıntı için KVKK teknik tedbirler
- ISO/IEC 27001 belgelendirmesi hedefleyen veya sürdüren kuruluşlar
- Yeni bir uygulamayı yayına almadan önce test ettirmek isteyen yazılım ekipleri
Süreç nasıl işler?
- Kapsam görüşmesi: Test edilecek sistemler, test türü ve yaklaşım (kara, gri, beyaz kutu) belirlenir.
- Yazılı mutabakat: Kapsam, tarihler, kurallar ve iletişim kişileri yazılı izin dokümanında onaylanır.
- Keşif ve tarama: Hedefler hakkında bilgi toplanır, otomatik taramalar yapılır.
- Elle test ve istismar denemesi: Bulgular uzmanlar tarafından doğrulanır, etkileri kontrollü olarak gösterilir.
- Raporlama: CVSS tabanlı risk seviyeleri ve giderme önerileriyle rapor teslim edilir, sonuçlar toplantıda değerlendirilir.
- Doğrulama testi: Düzeltmeler sonrası bulguların kapatıldığı kontrol edilir.
Bulguları geniş bir güvenlik planına bağlamak isterseniz siber güvenlik danışmanlığı hizmetine bakabilirsiniz. Test kapsamınızı birlikte belirlemek için sızma testi teklifi isteyin.
Sızma Testi ve Zafiyet Analizi: sık sorulanlar
Sızma testi ile zafiyet taraması arasındaki fark nedir?
Zafiyet taraması, bilinen açıkları otomatik araçlarla tespit eder ve istismar denemesi içermez. Sızma testi ise bulunan açıkların gerçekten istismar edilip edilemeyeceğini ve etkisinin ne olduğunu uzmanların elle yaptığı testlerle gösterir. Tarama düzenli olarak, sızma testi ise belirli aralıklarla veya önemli değişikliklerden sonra yapılır.
Sızma testi ne sıklıkla yapılmalı?
Yaygın uygulama, yılda en az bir kez ve büyük altyapı veya uygulama değişikliklerinden sonra test yapılmasıdır. Müşteri sözleşmeleri, sektör düzenlemeleri veya belgelendirme gereksinimleri farklı sıklık öngörebilir. Arada düzenli zafiyet taraması yapılması önerilir.
Sızma testi sistemlerimizi bozar mı?
Testler, hizmet kesintisi riskini en aza indirecek şekilde ve önceden onaylanan kurallar çerçevesinde yapılır. Kesintiye yol açabilecek yöntemler yalnızca yazılı onayla ve belirlenen zaman aralığında uygulanır. Kritik sistemler için test saatleri işletmeyle birlikte planlanır ve acil durumda testi durdurma yöntemi tanımlanır.
Sızma testi raporunda CVSS ne anlama gelir?
CVSS (Common Vulnerability Scoring System), güvenlik açıklarının ciddiyetini standart bir yöntemle puanlayan sistemdir. Raporlarda bulgular bu puanlamaya göre kritik, yüksek, orta veya düşük olarak sınıflandırılır. Puan, kurumun kendi ortamı ve verinin önemi dikkate alınarak yorumlanır.
Bulgular giderildikten sonra tekrar test yapılır mı?
Evet, doğrulama testi (retest) sızma testi sürecinin parçası olarak planlanabilir. Bu testte raporlanan bulguların gerçekten kapatıldığı kontrol edilir ve güncellenmiş durum raporlanır. Doğrulama testinin kapsamı ve zamanı teklif aşamasında belirlenir.
Bulutta barındırılan sistemlerimiz test edilebilir mi?
Evet, ancak bulut veya barındırma sağlayıcısının test politikalarına uyulması gerekir. Bazı sağlayıcılar belirli test türlerini kısıtlar veya önceden bildirim ister. Bu konu, kapsam görüşmesinde ve yazılı izin dokümanında netleştirilir.