Sızma (Penetrasyon) Testi Nedir?
Sızma Testi, bir sistemin, ağın veya başka bir varlığın, olası saldırılara karşı ne kadar savunmasız olduğunu ortaya koymak amacıyla gerçekleştiren bir güvenlik değerlendirme yöntemidir. Gerçek bir saldırının etkisini simüle ederek sistemin güvenliğini test eder.
Sızma Testi Metodolojileri
Bu testler, çeşitli topluluklar ve organizasyonlar tarafından güvenlik incelemelerinin standart ve tekrarlanabilir sonuçlar vermesi amacıyla oluşturulmuş metodolojik yaklaşımlardır. Türkiye’de Türk Standartları Enstitüsü TS-13638 standardına göre belirlenmiş sızma testi standartları mevcut iken, uluslararası alanda NIST-SP800-115, PTES, OSSTMM ve OWASP gibi kabul görmüş standartlar bulunmaktadır. Gais Cyber Security olarak hem yerel hem de uluslararası standartlara uygun hizmetler sunmaktayız.
Sızma Testinin Önemi
Sızma testleri, BDDK, EPDK, PCI-DSS, ISO 27001, Güven Damgası, KVKK gibi birçok güvenlik denetim sürecinin bir parçasıdır. Zorunlu olarak yapılması gereken bu testler, hem periyodik olarak hem de sistem değişikliklerinden sonra uygulanmalıdır. Bir bilişim sisteminin sağlık kontrolü olarak değerlendirilmesi gereken sızma testleri, yılda bir kez gerçekleştirilmesi önerilmektedir.
Sızma Testi Adımları
1. Bilgi Toplama
Bu aşamada, hedef hakkında kapsamlı bilgi toplamak için teknik (whois/dns sorguları) ve teknik olmayan (arama motorları, sosyal medya, vb.) yöntemler kullanılır. Amaç, hedefin ve uygulamalarının her yönünü keşfederek güvenlik açıklarının belirlenmesini sağlamaktır. Bu adım, genellikle göz ardı edilen ancak kritik bir adımdır.
2. Ağ Haritalama
Bir önceki aşamada edinilen bilgilerle, hedefin ağ yapısını analiz etmek için daha teknik bir süreç uygulanır. Hedef sistemin potansiyel ağ topolojisi oluşturulurken, port ve servis taramaları yapılarak açık sistemler belirlenir; bu sistemlerdeki işletim sistemleri ve versiyon bilgileri tespit edilir. Ağ cihazlarının (Router, Firewall, IPS) belirlenmesi ile detaylı bir ağ haritası çıkarılır.
3. Sınıflandırma
Bu aşamada, açık olduğu tespit edilen sistemler üzerinde TCP/UDP port taraması gerçekleştirilir. Bulunan açık portların hangi servisler tarafından kullanıldığı, bu servislerin versiyonları gibi bilgiler elde edilir. Elde edilen veriler ışığında, zafiyet veritabanları kontrol edilerek bilinen zafiyetler not alınır.
4. Zafiyet Tespiti
Hedef sistemle ilgili tüm verilerin değerlendirildiği bu aşamada, zafiyet analizi gerçekleştirilir. Amacı, önceki aşamalarda edinilen bilgileri kullanarak sistemdeki zafiyetleri teknik olarak belirlemektir. Zafiyetlerin varlığı, elde edilen veriler doğrultusunda değerlendirilerek ortaya çıkarılır ve bilinen zafiyet istismarlarıyla test edilerek doğruluğu kontrol edilir.