Sızma testi (penetrasyon testi), bir sistemin güvenlik zayıflıklarını, gerçek bir saldırganın bakış açısıyla ve kontrollü biçimde deneme çalışmasıdır. Terim sık duyulsa da kapsamı ve sınırları çoğu kez karıştırılır. Bu yazıda sızma testinin ne olduğunu ve ne olmadığını sade biçimde anlatıyoruz.
Amaç nedir?
Sızma testinin amacı, bilinen ve olası zayıflıkları saldırganlardan önce bulmak ve bunları düzeltme fırsatı sağlamaktır. Test, sistemin sahibinin onayıyla ve belirlenen kapsam içinde yapılır. Bulunan zayıflıklar önem derecesine göre raporlanır.
Yasal çerçeve ve yetki
Bir sisteme izinsiz erişmek, hukuken suç oluşturabilir. Bu nedenle sızma testi, yalnızca sistemin sahibinin yazılı yetkisiyle yapılır. Yazılı sözleşmede hangi sistemlerin, hangi tarih aralığında ve hangi yöntemlerle test edileceği belirtilir. Barındırma ya da bulut sağlayıcısına ait sistemler söz konusuysa, sağlayıcının kuralları ve izinleri de kontrol edilmelidir.
Neleri kapsar?
Kapsam; bir web uygulaması, mobil uygulama, ağ altyapısı ya da bunların bir kombinasyonu olabilir. Web uygulamalarında kullanıcı girişi, yetkilendirme, form girdileri, oturum yönetimi ve yapılandırma hataları gibi başlıklar incelenir.
Neyi kanıtlamaz?
Sızma testi, sistemin tamamen güvenli olduğunu kanıtlamaz. Test, belirli bir tarihte, belirli bir kapsamda ve belirli bir sürede yapılır; bulunmayan bir açığın bulunmadığı anlamına gelmez. Sistem değiştikçe ve yeni açıklar keşfedildikçe, güvenlik durumu da değişir.
Açık tarama ile fark
Otomatik açık tarama, bilinen zayıflıkları hızlıca bulan bir araçla yapılan bir taramadır. Sızma testinde ise uzman, bulguları doğrular, zincirleme etkilerini inceler ve gerçekçi risk değerlendirmesi yapar. İkisi birbirini tamamlar.
Rapordan ne beklenmeli?
İyi bir rapor; kapsamı, yöntemi, bulguları, her bulgunun önem derecesini, etkisini ve düzeltme önerisini içerir. Raporda, yöneticiler için bir özet ve teknik ekip için ayrıntı bölümü bulunması faydalıdır.
Test öncesi hazırlık
Test öncesinde sistemin güncel bir yedeğinin alınması, test edilecek ortamın (canlı ya da deneme) belirlenmesi ve iletişim kurulacak kişilerin netleştirilmesi önemlidir. Mümkünse testin önce bir deneme ortamında yapılması, canlı sistemde kesinti riskini azaltır. Test sırasında şüpheli bir hareket görülürse hangi bildirim yolunun kullanılacağı da önceden belirlenmelidir.
Testten sonra
Bulguların düzeltilmesi, test kadar önemlidir. Düzeltmeler yapıldıktan sonra kısa bir doğrulama testi yapılabilir. Güvenlik, tek seferlik bir iş değil, düzenli olarak sürdürülmesi gereken bir süreçtir.
Güvenlik değerlendirmesi hakkında görüşmek isterseniz bize yazabilirsiniz.
