Günümüzde teknolojik olarak gelişmeler ile beraber bilgiye erişim, çok tehlikeli bir hale gelmiştir. Saldırgan bakış açısıyla yaklaşarak bir kurumun uğrayacağı saldırıların önceden tespit edilmesi ve hedeflenen sistemlere/ verilere yetkisiz erişim sağlamayı hedefleyen siber saldırı simülasyonları ve bu doğrultuda yapılan işlemler sızma testi ya da pentest diye adlandırılmaktadır. Pentest ana hatlarını hedeflenmiş sistem uygulamaların varlığının tespiti, analizi ve açıklık barındırıp barındırmadıklarının değerlendirilmesi sonrasında istismar edilerek sistem verilere yetkisiz erişim sağlanması şeklinde uygulanır. Burada dikkat edilmesi gereken nokta zafiyet analizi ve sızma testi kavramlarının karıştırılmamasıdır.
Sızma Testinin Adımları Nelerdir?
Bilgi Toplama
Test hedeflerini kapsamını açıkça tanımlamak ve belgelemek kurumla birlikte çalışılır.
Planlama Analizi
Bağlı olarak, bilgiler işlevsellik güvenlik mekanizmaları, güvenlik açısından kritik alanlar, barındırma ortamı ve daha fazlasını içerebilir.
Güvenlik Açığı Tespiti
Uygulamalar için geçerli olan belirli güvenlik testlerini tamamlanır ve ayrıca uygulamada iş mantığı kavranarak olası saldırı senaryolarını belirlenir.
Penetrasyon Testi
Test hedeflerinin, kapsamını, katılım kurallarını dikkate alarak elde edilen güvenlik açıklarının uygulanabilirliği kurumla birlikte hareket ederek tespit edilir.
Raporlama
Penetrasyon testlerinin tamamlanmasından sonra düzeltici önlemler almak için ayrıntılı raporlar hazırlanır.
Sızma Testi Çeşitleri Nelerdir?
360 derece bakış açısında, saldırganların yapılabileceği önlemleri her türlü dikkate alınmalıdır. Sızma testi adımlarına testler gerçekleştirilmeli çıkan bulgulara göre rapor hazırlanmalıdır.
Kurumlar teknolojik altyapı olarak farklılık gösterir. Dışarıya açık uygulamalar iç network, kablosuz ağ, kaynak kod analizi ve DDOS testleri de diğer sızma testi çeşitleridir.
Dışarıya açık uygulamalar: Kurumlarverdiği hizmete göre teknolojik altyapısında bulunan birçok sistemi dışarıya açmak zorunda kalırlar. Bu uygulamalara yönelik yapılan testler bütünüdür.
İç Network: İç networkte yapabileceği saldırıların test edilmesidir.
Kablosuz Ağ: Kurumun iç networküne doğrudan erişim sağlayacak kablosuz ağların ne kadar güvenliği olduğunun tespit edilmesine yönelik gerçekleştirilen sızma testleridir.
Kaynak Kod Analizi: Kurumun web ya da mobil uygulamada kullandığı kaynak kodun zafiyet içerip içermediğine yönelik gerçekleştirilen sızma testleridir.
DDOS Tesleri: Kurumun dışarıya açık uygulamalarının servis dışı bırakma saldırılarına karşı direncinin ölçüldüğü testlerdir.
Saldırganların hangi zafiyeti kullanarak atak yapacakları belli değildir. Peki nedir setoolkit? Sosyal mühendislik saldırılarının İsviçre çakısı olarak adlandırabileceğimiz bir yapıdır. Bu yapı Kali Linux ile gelen varsayılan programlar arasındadır. Başka bir Kali-Linux aracı da metasploittir.
Metasploit nedir?
Metasploit framework nedir diye soracak olursak kali üzerinde bulunan ve hedef bilgisayarda yetkisiz oturum açma zaralı kod yürütme gibi birçok işleme olanak sağlayan kali Linux uygulamasıdır. Bu araçlar saldırganlar tarafından kullanıldığı gibi sızma testi uzmanları tarafından da kullanılmaktadır.
Testler için kurumdan alınan bilgiler test türlerini de etkilemektedir. Bu bağlamda alınan bilgilere göre çeşitler üçe ayrılmaktadır. Black Box, Grey Box ve White Box. Bu terimlere kısaca bakacak olursak;
Black Box: Güvenlik testi yapılacak sistemle bilgi yoktur. Bu yöntemde test ekibinin sistem ile ilgili bilgi düzeyi hiç olmadığından, yanlışlıkla sisteme zarar verme ihtimalleri de yüksektir. Bilgi toplama safhası oldukça zaman alır. Süre bakımından en uzun süren yaklaşım tarzıdır.
Gray Box: Bu yaklaşımda, sistem ile ilgili bilgiler mevcuttur. Örneğin; IP adres listesi, sunucu sistem ile ilgili versiyon bilgisi vb. Bilgiler güvenlik testi yapacak ekibe önceden sağlanır. Black Box yaklaşımına göre daha kısa zaman alır.
White Box: Beyaz kutu olarak ifade edilen yaklaşımda, güvenlik testi ekibi, sistemin kendisi arka planda çalışan ilave teknolojiler hakkında tam bilgi sahibidir. Black Box tekniğine göre kurum ve firmaya daha büyük fayda sağlar. Sistemin zarar görme riski çok azdır ve maliyet olarak da en az maliyetli olandır.
