Penetrasyon / Sızma Testi – Zafiyet Analizi

Penetrasyon Testi nedir?

Penetrasyon Testi, yapıya içeriden (internal) ya da dışarıdan (external) gelebilecek saldırılar ve sonucunda ne tür verilere ve/veya sistemlere erişilebileceği konusunda fikir edinilmesini sağlar. Sonuç olarak sistemin ve verilerin ne kadar güvende olduğu sorusu spesifik bir sorudur ve cevabı görecelidir. Penetrasyon / Sızma Testi bu sorulara cevap bulunmasına yardımcı olur.

Zafiyet Analizi nedir?

Zafiyet Analizi (Vulnerability Analysis) veya Zafiyet Değerlendirmesi (Vulnerability Assessment), yapı üzerindeki zafiyetlerin derinlemesine analiz çalışması yapılarak tanımlanması, belirlenmesi, ölçülmesi ve önem sırasına göre düzenlenmesidir. Amaç, süreçlerin akışına zarar verebilecek zafiyetlerin saldırganlardan önce tespit edilip giderilmesi veya kabul edilebilir seviyeye indirgenmesidir.

Sızma Testi çeşitleri nelerdir?

Aktif olarak gerçekleştirilen üç çeşit Sızma Testi vardır. Bunlar hedefe, vektöre, simule edilecek saldırıya ve sisteme bağlı olarak değişmektedir. Belirtilen unsurlara bağlı kalarak firmaya/kuruma uygulanacak Sızma Testi farklılık göstermekte ve her biri farklı sorunların çözümüne yöneliktir.

Internal Penetration Test

Yapının içeriye açık sistemleri üzerinden hangi verilere ve/veya sistemlere erişilebileceği sorusuna cevap arar.

External Penetration Test

Yapının dışarıya açık sistemleri üzerinden hangi verilere ve/veya iç sistemlere erişilebileceği sorusuna cevap arar.

Web Application Penetration Test

‘External Penetration Test’ ile aynı soruya cevap arar fakat odak noktası web uygulamalarıdır.

Sızma Testi yöntemleri nelerdir?

Blackbox: Bilgi Güvenliği Uzmanı’na testin gerçekleştirileceği yapı ve/veya sistemle ilgili önceden herhangi bir bilgi verilmez.

Whitebox & Crystalbox: Bilgi Güvenliği Uzmanı’na firma/kurum içindeki tüm yapı ve/veya sistem hakkında bilgi verilir.

Graybox: ‘Whitebox & Crystalbox’ ile ‘Blackbox’ arasında olan bir Sızma Testi yöntemidir. Bilgi Güvenliği Uzmanı’na yapı ve/veya sistemler hakkında ‘detaylı’ bilgi verilmez.
(*) ‘Whitebox & Crystalbox’ ve ‘Graybox’ yöntemleri ile firmada/kurumda çalışan/çalışmış (standart kullanıcı veya yetkili kullanıcı) ve firma/kurum ağına erişim (fiziksel veya mantıksal) sağlamış bir saldırganın saldırı yapma olasılığı sonucunda ortaya çıkabilecek sonuçların test edilmesi amaçlanır. Bu noktada, eksik veya yanlış olan bir düşünce bulunmaktadır. ‘Blackbox‘ yöntemi, “saldırgan gözüyle sistemlere ‘sızılmaya’ çalışılması” olarak düşünülmektedir fakat bir saldırganın elinde hedef yapı ile ilgili yeterince bilgi olacaktır. Bu nedenle, ‘Whitebox & Crystalbox‘ ve ‘Graybox‘ daha etkili, daha verimli ve sonuç odaklı yöntemlerdir.

Biz nasıl yapıyoruz?

I. Adım:

Bilgi Toplama:

Bu adımda; sistem üzerinde aktif bir tarama gerçekleştirilmez, sadece bilgi toplanır. Uygulama platformu, uygulama programlama dili, uygulama versiyonu, dahili/harici bağlantılar, sunucu platformu, işletim sistemi vb. bilgiler bu adımda tespit edilir.

II. Adım:

Tarama ve Sınıflandırma:

Bu adımda; ‘I. Adım’da toplanan bilgiler ışığında, hedef sistem üzerinde ‘tarama’ işlemi gerçekleştirilerek ve/veya sisteme yapılacak ufak etki-tepkilerle bilgi edinilir.

III. Adım:

Erişim Elde Etme:

Bu adımda; ‘II. Adım’da edinilen bilgiler ışığında, hedef sistem üzerinde tespit edilen zafiyetler(l)e erişim elde edilmeye çalışılır.

IV. Adım:

Erişimi Yönetme:

Bu adımda; ‘III. Adım’da hedef sistem üzerindeki zafiyetler sayesinde elde edilen erişim hakları yönetilir (örneğin, sistem üzerinde elde edilen erişim haklarını kalıcı kılmak ve/veya sistem üzerinde yetkili bir kullanıcı oluşturmak).

V. Adım:

İz Gizleme:

Bu adımda; hedef sistem üzerinde ilk dört adımda yapılan işlemlerin bıraktığı izler (log kaydı gibi) temizlenir veya kirletilir. (APT-Advanced Persistent Threat).

Bu testleri gerçekleştirirken uluslararası standartları göz önünde bulundurarak yukarıdaki adımları takip eder ve ‘standart’ Penetrasyon Testlerinden farklı olarak ‘özelleştirilmiş’ bir yapı kullanıyoruz. Bu ‘özelleştirilmiş’ yapı aşağıda belirtilen parametreleri içermektedir.

‘Bilgi Toplama‘ ve ‘Tarama ve Sınıflandırma‘ adımlarında uluslararası kabul görmüş araçların (commercial & Open-Source) yanı sıra tarafımızca kodlanan araçlar (Analysis & Scanning Tools) ve ‘exploit’ler (Exploit Research & Development, DB) kullanır (yazılan ‘exploit’ler Sızma Testi öncesinde ve/veya sırasında kodlanabilir. Yazılan her ‘exploit’, öncelikle ‘Pentest Lab’ üzerinde denenmektedir).

Penetrasyon Testi sonucunda ayrıntılı bir rapor hazırlanır. Bu rapor, ‘Teknik Rapor‘, ‘Yönetici Raporu‘ ve ‘Bulgu Detayı‘ gibi ayrı parametreler içerir. ‘Bulunan zafiyetin ayrıntılı açıklaması’, ‘zafiyetin bulgusu (ekran görüntüsü ve/veya çıktı)’ ve ‘zafiyetin çözümü’ başlıklarına ‘tamamen’ özelleştirilmiş cevaplar verilir. Zafiyet önce tespit edildiği hedef sistemin benzerinin oluşturulduğu ‘Pentest Lab’ ortamında kapatılır (sıkılaştırma çalışmaları), ardından ‘zafiyetin çözümü‘ yönergelerle birlikte ayrıntılı bir şekilde yazılır.
Penetrasyon testi hizmeti almak istiyorsanız bizimle irtibata geçebilirsiniz.