Penetrasyon testi tanımı
Penetrasyon testi (sızma testi veya etik bilgisayar korsanlığı olarak da bilinir), ağlarınızdaki ve uygulamalarınızdaki güvenlik açıklarını araştırmaya yönelik sistematik bir işlemdir.
Esasen kontrollü bir bilgisayar korsanlığı şeklidir – Siber güvenlik uzmanları sizin adınıza, suçluların yararlanabileceği zayıflıkları bulmak ve test etmek için hareket eder, örneğin:
- Yetersiz veya yanlış yapılandırma.
- Bilinen ve bilinmeyen donanım veya yazılım kusurları.
- Süreçlerdeki veya teknik önlemlerdeki operasyonel zayıflıklar.
Deneyimli penetrasyon test uzmanları, suçlular tarafından kullanılan teknikleri zarar vermeden taklit eder. Bu, kuruluşunuzu savunmasız bırakan güvenlik kusurlarını gidermenizi sağlar.
Penetrasyon testi neden önemlidir?
Her hafta yeni siber güvenlik açıkları belirlenir ve suçlular tarafından istismar edilir.
Bunları proaktif olarak belirlemek, kuruluşunuzun güvenliği için çok önemlidir.
Yalnızca eğitimli bir güvenlik uzmanı tarafından gerçekleştirilen bir sızma testi, karşılaştığınız güvenlik sorunlarını doğru bir şekilde anlamanızı sağlayabilir.
Kendinizi korumak için düzenli olarak sızma testleri gerçekleştirmelisiniz:
- Bunları çözebilmek veya uygun kontrolleri uygulayabilmek için güvenlik kusurlarını belirleyin.
- Mevcut güvenlik kontrollerinizin etkili olduğundan emin olun.
- Hatalar için yeni yazılımları ve sistemleri test edin.
- Mevcut yazılımdaki yeni hataları keşfedin.
- Müşterilere ve diğer paydaşlara, verilerinin korunduğuna dair güvence verin.
Sızma testi türleri
Farklı sızma testi türleri, kuruluşunuzun mantıksal çevresinin çeşitli yönlerine odaklanacaktır. Bu sınır, ağınızı İnternet’ten ayırır.
Altyapı (ağ) sızma testleri
Altyapı güvenlik açıkları, aşağıdakiler gibi güvenli olmayan işletim sistemlerini ve ağ mimarisini içerir:
- Sunuculardaki ve ana bilgisayarlardaki kusurlar.
- Yanlış yapılandırılmış kablosuz erişim noktaları ve güvenlik duvarları.
- Güvenli olmayan ağ protokolleri (modemler, hub’lar, anahtarlar ve yönlendiriciler gibi aygıtların birbirleriyle nasıl iletişim kurduğunu yöneten kurallar).
Ağ sızma testleri, bu güvenlik açıklarını tespit etmeyi ve test etmeyi amaçlar.
Altyapı sızma testi türleri
Dış altyapı (ağ) sızma testleri
Dış sızma testleri, saldırganların ağ dışından erişim elde etmesine izin verebilecek güvenlik açıklarını belirler ve test eder.
Dahili altyapı (ağ) sızma testleri
Dahili sızma testleri, içeriden erişime sahip bir saldırganın neler başarabileceğine odaklanır. Bir dahili test genellikle:
- Potansiyel istismarları değerlendirmek için hem kimliği doğrulanmış hem de kimliği doğrulanmamış bir kullanıcı açısından test edilir
- Yetkili oturum açma kimlikleri tarafından erişilebilen ve ağda bulunan sistemleri etkileyen güvenlik açıklarını değerlendirin; ve
- Çalışanların bilgilere erişmesine ve yanlışlıkla çevrimiçi sızdırmasına izin verebilecek yanlış yapılandırmaları kontrol edin.
Kablosuz ağ penetrasyon testleri
Wi-Fi gibi kablosuz teknoloji kullanıyorsanız, kablosuz ağ sızma testlerini de göz önünde bulundurmalısınız.
Bunlar şunları içerir:
- Kablosuz parmak izi, bilgi sızıntısı ve sinyal sızıntısı dahil olmak üzere Wi-Fi ağlarını tanımlama.
- Şifre kırma, kablosuz koklama ve oturum ele geçirme gibi şifreleme zayıflıklarının belirlenmesi.
- Kablosuz kullanarak veya WLAN erişim kontrol önlemlerinden kaçınarak bir ağa sızma fırsatlarını belirleme
- Aksi takdirde özel ağlara ve hizmetlere erişmek için meşru kullanıcıların kimliklerini ve kimlik bilgilerini belirleme.
Web uygulaması (yazılım) sızma testleri
Web uygulama testleri, kodlama hataları veya belirli isteklere istenmeyen şekillerde yanıt veren yazılımlar gibi güvenlik açıklarına odaklanır.
Bunlar şunları içerir:
- Hesapların verileri tehlikeye atamayacağını doğrulamak için kullanıcı kimlik doğrulamasını test etme;
- Web uygulamalarının XSS (siteler arası komut dosyası çalıştırma) veya SQL enjeksiyonu gibi kusurlar ve güvenlik açıkları açısından değerlendirilmesi;
- Web tarayıcılarının güvenli konfigürasyonunun onaylanması ve güvenlik açıklarına neden olabilecek özelliklerin belirlenmesi; ve
- Veritabanı sunucusu ve web sunucusu güvenliğinin korunması.
Sosyal mühendislik penetrasyon testleri
Teknik güvenlik önlemleri geliştikçe, suçlular , hedef sistemlere erişmek için kimlik avı , pharming ve BEC (iş e-posta güvenliğinden ödün verme) gibi sosyal mühendislik saldırılarını giderek daha fazla kullanıyor .
Bu nedenle, kuruluşunuzun teknolojik güvenlik açıklarını test etmeniz gerektiği gibi, personelinizin kimlik avı ve diğer sosyal mühendislik saldırılarına karşı duyarlılığını da test etmelisiniz.
Ozztech Bilgi Güvenliği Teknolojileri ile Siber Güvenlik Danışmanlığı ve Penetrasyon testlerinden yararlanabilir, kuruluşunuzu siber saldırılardan koruyabilirsiniz.
