OzzTech - Sızma Testi

Sızma Testi

sızma testi

Sızma Testi Nedir?

Sızma testi (veya penetrasyon testi), bir siber güvenlik uzmanının bir bilgisayar sistemindeki güvenlik açıklarını bulmaya ve bunlardan yararlanmaya çalıştığı bir güvenlik alıştırmasıdır. Bu simüle edilmiş saldırının amacı, bir sistemin savunmasında saldırganların yararlanabileceği zayıf noktaları belirlemektir. Bu, bir bankanın birisini hırsız kılığına girmesi ve binalarına girip kasaya erişmeye çalışması gibi. 'Hırsız' başarılı olur ve bankaya veya kasaya girerse, banka güvenlik önlemlerini nasıl sıkılaştırmaları gerektiğine dair değerli bilgiler edinecektir.

Sızma Testlerini Kim Yapar?

Sistemin güvenliğinin nasıl sağlandığı konusunda önceden bilgisi olmayan veya çok az bilgisi olan biri tarafından sızma testi( penetrasyon testi) yaptırmak en iyisidir çünkü sistemi oluşturan geliştiriciler tarafından gözden kaçırılan kör noktaları ortaya çıkarabilirler. Bu nedenle, testleri gerçekleştirmek için genellikle dışarıdan firmalar getirilir. Bu firmalar, bir sisteme izinli olarak girmek ve güvenliği artırmak amacıyla tutuldukları için genellikle "etik bilgisayar korsanları" olarak anılır. Birçok etik bilgisayar korsanı, ileri derecelere ve sızma testi( penetrasyon testi) sertifikasına sahip deneyimli geliştiricilerdir. Öte yandan, en iyi etik bilgisayar korsanlarından bazıları kendi kendini yetiştirmiştir. Aslında, bazıları artık uzmanlıklarını güvenlik kusurlarını sömürmek yerine düzeltmeye yardımcı olmak için kullanan reformdan geçirilmiş kriminal korsanlardır. Sızma testi( penetrasyon testi) yapmak için en iyi aday, hedef şirkete ve ne tür Pen testi başlatmak istediklerine bağlı olarak büyük ölçüde değişebilir.

Sızma Testi Çeşitleri Nelerdir?

Open-box Pen Test: Açık kutu testinde, bilgisayar korsanına önceden hedef şirketin güvenlik bilgileriyle ilgili bazı bilgiler sağlanacaktır.

Closed-box Pen Test: Bu test, bilgisayar korsanına hedef şirketin adı dışında arka plan bilgisinin verilmediği bir testtir.

Covert Pen Test: Bu testte, saldırıya yanıt verecek BT ve güvenlik uzmanları da dahil olmak üzere, şirketteki neredeyse hiç kimsenin sızma testi( penetrasyon testi) gerçekleştiğinden haberdar olmadığı bir durumdur. Gizli testler için, kolluk kuvvetleri ile herhangi bir sorun yaşamamak için bilgisayar korsanının testin kapsamını ve diğer ayrıntılarını önceden yazılı olarak alması özellikle önemlidir.

External Pen Test: Harici bir testte, etik bilgisayar korsanı, şirketin web siteleri ve harici ağ sunucuları gibi harici teknolojilerini test ediyor. Bazı durumlarda, bilgisayar korsanının şirket binasına girmesine bile izin verilmeyebilir. Bu, saldırıyı uzak bir yerden yürütmek veya yakınlarda park edilmiş bir kamyon veya minibüsten test yapmak anlamına gelebilir.

Internal Pen Test: Dahili bir testte, etik hacker testi şirketin dahili ağından gerçekleştirir. Bu tür bir test, hoşnutsuz bir çalışanın şirketin güvenlik duvarının arkasından ne kadar zarar verebileceğini belirlemede faydalıdır.

Tipik Bir Sızma Testi (Penetrasyon Testi) Nasıl Yapılır?

Sızma testleri(Penetrasyon testleri), etik bir bilgisayar korsanının simüle edilmiş saldırılarını planlamak için kullanacakları veri ve bilgileri toplamak için zaman harcadığı bir keşif aşamasıyla başlar. Bundan sonra, odak, geniş bir araç seti gerektiren hedef sisteme erişimin kazanılması ve sürdürülmesi haline gelir. Saldırı araçları, kaba kuvvet saldırıları veya SQL enjeksiyonları üretmek için tasarlanmış yazılımları içerir. Bilgisayar korsanının bu ağa uzaktan erişimini sağlamak için ağdaki bir bilgisayara takılabilen göze çarpmayan küçük kutular gibi Sızma testi(Penetrasyon testi) için özel olarak tasarlanmış donanımlar da vardır. Ek olarak, etik bir bilgisayar korsanı, güvenlik açıklarını bulmak için sosyal mühendislik tekniklerini kullanabilir. Örneğin, şirket çalışanlarına kimlik avı e-postaları göndermek, hatta binaya fiziksel erişim sağlamak için teslimat görevlisi kılığına girmek gibi. Bilgisayar korsanı, izlerini kapatarak testi tamamlar; bu, herhangi bir gömülü donanımı kaldırmak ve tespit edilmekten kaçınmak ve hedef sistemi tam olarak bulduğu gibi bırakmak için ellerinden gelen her şeyi yapmak anlamına gelir.

Sızma Testi (Penetrasyon Testi) Ardından Ne Olur?

Bir Sızma testi(penetrasyon testi)  tamamladıktan sonra, etik bilgisayar korsanı bulgularını hedef şirketin güvenlik ekibiyle paylaşacaktır. Bu bilgiler daha sonra test sırasında keşfedilen güvenlik açıklarını kapatmak için güvenlik yükseltmelerini uygulamak için kullanılabilir. Bu yükseltmeler, hız sınırlaması, yeni WAF kuralları ve DDoS azaltmanın yanı sıra daha sıkı form doğrulamaları ve temizleme içerebilir.


İlginizi Çekebilecek Makaleler
FortiGate ACME Sertifika Desteği
Siber Güvenlik

FortiGate ACME Sertifika Desteği

Ocak 24, 2022 1:22

Otomatik Sertifika Yönetim Ortamı (ACME), RFC 8555’te tanımlandığı üzere, ücretsiz SSL sunucu sertifikaları sağlamak için genel Let’s...

Android Reverse Mühendisliği Araçları Örnek Vakalar
Siber Güvenlik

Android Reverse Mühendisliği Araçları Örnek Vakalar

Ocak 24, 2022 12:39

Bir önceki yazıda yeni çıkan android reverse mühendisliği araçları hakkında bilgi vermiştim. Bu yazımda...

Emotet Artık Alışılmadık IP Adreslerini Kullanıyor
Siber Güvenlik

Emotet Artık Alışılmadık IP Adreslerini Kullanıyor

Ocak 24, 2022 9:44

Emotet kötü amaçlı yazılım botnetinin dağıtımını içeren sosyal mühendislik kampanyaları, güvenlik çözümlerinin tespitinden kaçınmak...

FortiWeb Kurulumu 5-Operation Modu
Siber Güvenlik

FortiWeb Kurulumu 5-Operation Modu

Ocak 24, 2022 7:49

FortiWeb kurulumunu anlattığımız beşinci yazımızda operation modu ve FortiWeb cihazı açıldıktan sonra, FortiWeb cihazını...

FortiWeb Kurulumu 4- Admin Şifresi Değiştirme
Siber Güvenlik

FortiWeb Kurulumu 4- Admin Şifresi Değiştirme

Ocak 23, 2022 10:21

FortiWeb kurulumunu anlattığımız serinin dördüncü yazısında Admin şifresi nasıl değiştirceğinizi, saat ve günü nasıl...

Metasploittable 2
Siber Güvenlik

Metasploittable 2

Ocak 22, 2022 11:57

Metasploittable 2 Nedir? Neden Kullanılır? Nasıl Kurulur? Metasploittable 2 Metasploit firması tarafından bizlerin güvenli...

FortiWeb Kurulumu 3- Firmware Güncellenmesi
Siber Güvenlik

FortiWeb Kurulumu 3- Firmware Güncellenmesi

Ocak 22, 2022 11:56

FortiWeb kurulumunu anlattığımız serinin üçüncü yazısında Firmware güncellemesini anlatacağız. FortiWeb cihazınız gönderildiğinde en son...

FortiWeb Kurulumu 2- Web UI ve CLI Bağlama
Siber Güvenlik

FortiWeb Kurulumu 2- Web UI ve CLI Bağlama

Ocak 21, 2022 7:50

FortiWeb kurulumu yazımızın ikinci serisinde Web UI veya CLI bağlamanın nasıl yapılacağını anlatacağız. Eğer...

Yapay Zeka Nedir?
Yazılım Geliştirme

Yapay Zeka Nedir?

Ocak 20, 2022 10:57

Sürekli olarak değişen, gelişen ve oldukça hızlı bir şekilde boyut atlayan, günümüze kadar gelen...

İletişim
OZZTECH Bilgi Teknolojileri olarak siber güvenlik danışmanlığı ve bilgi güvenliği eğitimleri alanlarında 10 yılı aşkın bir süredir ülkemizin önde gelen kurumlarına hizmet vermeye devam etmektedir. Detaylı bilgi ve danışmanlık hizmetlerimiz için aşağıdaki formu kullanarak veya [email protected] adresimiz üzerinden bizlerle iletişime geçebilirsiniz.