Web Uygulama Pentest Süreci

Web uygulama (penetrasyon testi) süreci, web uygulamalarının güvenliğini test etmek için kullanılan bir yöntemdir. Bu süreç, bir web uygulamasının güvenliği açısından zayıf noktaları belirlemek ve bunları istismar ederek potansiyel saldırılara karşı koruma sağlamak amacıyla gerçekleştirilir.

Web Uygulama Sızma Testi

Web uygulama sızma testi, bir web uygulamasının güvenlik açıklarını tespit etmek için yapılan bir testtir. Aşağıdaki adımlar, bir web uygulaması için sızma testi yapmak genel bir yöntemdir:

Bilgi Toplama: Hedef web uygulaması hakkında mümkün olduğunca fazla bilgi toplamak önemlidir. Web uygulaması hakkında açık kaynak araçlarını (OSINT) kullanarak, uygulama sahibi tarafından yayınlanan herhangi bir bilgiyi, uygulamanın kullanıldığı yazılım dilleri, sunucu konfigürasyonu, kullanıcı sayısı ve hedef kitle gibi ayrıntıları tespit edebilirsiniz.
Zafiyet Tarama: Bu aşamada, hedef web uygulamasında yaygın olarak bilinen zafiyetleri taramak için otomatik araçlar kullanarak, sızma testi yapabilirsiniz. Araçlar, bilinen güvenlik açıklarını, hedef web uygulamasında taramak için kullanılabilir.
Manuel Sızma Testi: Bu aşamada, web uygulamasını manuel olarak test ederek güvenlik açıkları tespit edilir. Bu aşama, web uygulamasının arayüzünü, veritabanı yapısını, işlevselliğini ve güvenlik önlemlerini test eder. Bu aşama için, güvenlik uzmanları genellikle Burp Suite, OWASP ZAP veya Nessus gibi araçlar kullanabilirler.
Raporlama: Bu aşamada, tespit edilen güvenlik açıkları rapor edilir. Güvenlik uzmanları, hedef web uygulaması sahibine bir rapor sunarak, açıkların nerede olduğu, neden ortaya çıktığı ve ne kadar ciddi olduğu hakkında bilgi verirler. Ayrıca, raporda, bu açıkların nasıl düzeltilebileceği de belirtilir.
Yeniden Test: Bu aşamada, web uygulamasındaki tespit edilen güvenlik açıklarının düzeltildiğini doğrulamak için yeniden test yapılır. Bu adım, uygulama sahibinin açıkları düzelttiğinden emin olmak için gereklidir.

Web Uygulama Pentest Standartları

Web uygulama sızma testi için belirli standartlar aşağıda bilginize sunulmuştur. Bu standartların yanı sıra, birçok sızma testi firması ve güvenlik uzmanı, kendi sızma testi metodolojilerini oluşturmuştur. Ancak, OWASP ve PTES, en çok kabul gören sızma testi standartlarıdır.

OWASP: Açık Web Uygulama Güvenliği Projesi (OWASP), dünya genelinde web uygulama güvenliği için açık kaynaklı bir topluluktur. OWASP, web uygulama sızma testi için bir kılavuz olan “OWASP Testing Guide” yayınlamıştır. Bu kılavuz, web uygulama güvenliği testleri için en kapsamlı kılavuzlardan biridir.
PTES: Penetration Testing Execution Standard (PTES), bir sızma testi standardıdır. Bu standart, sızma testi sürecini sekiz adıma böler ve her adımın nasıl yapılacağını ve raporlama için neler gerektiğini açıklar.
NIST: Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), ABD’de federal bilgi güvenliği standardı oluşturma ve teşvik etme görevi olan bir kuruluştur. NIST, web uygulama sızma testi için “NIST SP 800-115” adlı bir el kitabı yayınlamıştır.
ISO/IEC 27001: Bilgi güvenliği yönetim sistemi için bir standard olan ISO/IEC 27001, web uygulama sızma testi için de gereksinimler belirler. Bu standard, sızma testi yapmak için gereken politikaların, prosedürlerin ve kontrollerin oluşturulmasını ve uygulanmasını gerektirir.

Yapılan Saldırılar

Web uygulama penetrasyon testi sırasında aşağıdaki saldırılar uygulanır.

SQL Enjeksiyon Saldırıları: Bu saldırı türü, web uygulamasının veritabanı ile iletişim kurarken SQL kodları aracılığıyla kötü amaçlı kullanıcıların uygulamaya erişmesini sağlar. Bu saldırı türü, uygulamanın güvenlik açıklarını sömürmek için kullanılır.
Cross-site Scripting (XSS) Saldırıları: Bu saldırı türü, kötü amaçlı kullanıcıların web uygulamasına gömülmüş kodlar aracılığıyla kullanıcıların tarayıcılarına kötü amaçlı kodlar enjekte etmesini sağlar. Bu kodlar, kullanıcıların bilgilerini çalmak veya uygulamanın işlevselliğini bozmak için kullanılabilir
Cross-site Request Forgery (CSRF) Saldırıları: Bu saldırı türü, kötü amaçlı kullanıcıların kullanıcının tarayıcısını kullanarak web uygulamasına belirli istekleri göndermesini sağlar. Bu istekler, kullanıcının bilgilerini veya uygulamanın işlevselliğini bozmak için kullanılabilir.
DoS (Denial of Service) Saldırıları: Bu saldırı türü, bir web uygulamasının normal işlevselliğini bozmak için yoğun bir şekilde trafik gönderir. Bu saldırı türü, uygulamanın erişilebilirliğini engelleyebilir veya performansını düşürebilir.
File Inclusion Saldırıları: Bu saldırı türü, kötü amaçlı kullanıcıların web uygulamasında belirli dosyaları (örneğin konfigürasyon dosyaları veya veritabanı dosyaları) dahil etmesini sağlar. Bu dosyalar, kullanıcının bilgilerini çalmak veya uygulamanın işlevselliğini bozmak için kullanılabilir.
Command Injection Saldırıları: Bu saldırı türü, web uygulamasının, bir komut çalıştırmak için kullanıcı tarafından sağlanan verileri işlemesiyle kötü amaçlı kullanıcıların uygulamaya erişmesini sağlar. Bu saldırı türü, uygulamanın erişim kontrolünü atlamak ve sistemi ele geçirmek için kullanılabilir.
Directory Traversal Saldırıları: Bu saldırı türü, kötü amaçlı kullanıcıların web uygulamasında belirli dosyalara erişmek için dizinlerde gezinmesini sağlar. Bu saldırı türü, uygulamanın hassas dosyalarına erişmek için kullanılabilir.

Referans Mektupları

Genel olarak müşterileriniz, sızma testi hizmetlerinde yüksek profesyonellik, teknik uzmanlık ve çözüm odaklı yaklaşımını vurguluyor. Güvenlik açıklarını net bir şekilde tespit edip, uygulanabilir öneriler sunmanızdan memnun olduklarını ifade ediyorlar. Özellikle güvenilir ve sonuç odaklı bir iş ortağı olarak sizi tavsiye ediyorlar

A. Rıza Çanakcı

İş Bankası İştiraki olan İşmer olarak güvenlik altyapımızı güçlendirmek ve olası tehditlere karşı proaktif bir yaklaşım benimsemek amacıyla Nesil Teknoloji ile sızma testi çalışmaları gerçekleştirdik. Bu süreçte, Nesil Teknoloji’nin profesyonel yaklaşımı, ayrıntılı analizleri ve teknik bilgi birikimi beklentilerimizi fazlasıyla karşıladı. Güvenlik açılarımızı kapsamlı bir şekilde değerlendirip çözüm odaklı öneriler sunarak bilgi güvenliğimizi üst düzeye taşımamıza…

Sedat CAN – BT Ekibi

Cengiz Holding Eti Bakır Tesisi, güvenlik ihtiyaçlarımız doğrultusunda Nesil ile bir sızma testi projesi yürüttü. Bu süreçte profesyonel ve titiz bir çalışma ile karşılaştık. Ekip, hem teknik bilgi düzeyi hem de zamanında teslim konusunda beklentilerimizi fazlasıyla karşıladı.Nesil, sızma testi sürecinde bize mevcut güvenlik açıklarını detaylı şekilde raporlayarak, bu açıkların giderilmesine yönelik önerilerde bulundu. Ayrıca, projenin…

Gökhan Yağmur – BT Şef

Nesil ile gerçekleştirdiğimiz sızma testi hizmetinden son derece memnun kaldık. Ekip, süreç boyunca hem teknik bilgi birikimi hem de çözüm odaklı yaklaşımlarıyla bize güven verdi. Güvenlik açıklarımızı hızlı ve net bir şekilde tespit ettiler ve önerileriyle sistemimizi daha da güçlendirmemize yardımcı oldular. — Gökhan Yağmur, OTC

Tanju Demir – BT Müdürü

Şirketimiz Honda Terakki, siber güvenlik stratejilerimizin güçlendirilmesi amacıyla Nesil ile sızma testi hizmeti konusunda iş birliği yapmıştır. Bu süreçte, NESİL profesyonel yetkinliği, teknik uzmanlığı ve titiz çalışma disiplini ile şirketimizin beklentilerini karşılamış ve üst düzey hizmet sunmuştur.Sızma testi faaliyetleri kapsamında, bilgi sistemlerimizde mevcut olabilecek güvenlik açıkları başarıyla tespit edilmiş, bu açıkların giderilmesi yönünde kapsamlı ve…

Dünya çapında tanınan siber güvenlik sertifikalarına sahibiz.

Web Uygulama ve altyapı testlerinde, uluslararası OSSTMM, OWASP ve PTES metodolojilerini esas alarak geliştirdiğimiz özel bir yöntemle penetrasyon test hizmetleri sunuyoruz.

Kapsam Doldurun, Bizimle Paylaşın!