Penetration Test

Is Your Company Safe in the Cyber World?

Genel Bakış

Penetrasyon Testi Nedir ?

Penetrasyon (Sızma) testi, güvenlik açıklarından güvenli bir şekilde yararlanmaya çalışarak bir altyapının güvenliğini değerlendirme girişimidir. Bu güvenlik açıkları işletim sistemlerinde, hizmetlerde ve uygulamalarda, yanlış yapılandırmalarda veya riskli son kullanıcı davranışlarında bulunabilir. Bu tür değerlendirmeler, savunma mekanizmalarının etkinliğinin doğrulanmasında ve son kullanıcının güvenlik politikalarına bağlı kalmasında da yararlıdır.

Penetrasyon testi genellikle sunucuları, uç noktaları, web uygulamalarını, kablosuz ağları, ağ cihazlarını, mobil cihazları ve diğer potansiyel noktaları sistematik olarak manuel veya otomatik teknolojiler kullanılarak gerçekleştirilir.

Sızma testi yoluyla başarıyla yararlanılan güvenlik açıkları hakkındaki bilgiler, toplanır. Ve bu profesyonellerin stratejik sonuçlar çıkarmasına ve ilgili iyileştirme çabalarına öncelik vermesine yardımcı olmak için BT ve ağ sistem yöneticilerine sunulur. Sızma testinin temel amacı, sistemlerin veya son kullanıcı uzlaşmasının fizibilitesini ölçmek ve bu tür olayların ilgili kaynaklar veya işlemler üzerinde sahip olabileceği tüm ilgili sonuçları değerlendirmektir.

Penetrasyon Testi

BBS TEKNOLOJİ

  • Kara Kutu Sızma Testi

Sızma ekibinin kara kutu testinde hedef sistem hakkında hiçbir bilgisi yoktur. Pentester sisteme kendi yollarını bulmalı ve bir ihlali nasıl yöneteceklerini planlamalıdır. Tipik olarak, testçiler yalnızca kara kutu testinin başlangıcında şirketin adını alırlar. Sızma ekibi ayrıntılı keşifle başlamalıdır, bu nedenle bu test şekli önemli ölçüde zaman gerektirir.

  • Gri Kutu Penetrasyon Testi

Test ekibi, yüksek ayrıcalıklara sahip bir kullanıcı bilgisine sahiptir. Pentester şunları bilir:

  • Dokümantasyonun tasarımı ve mimarisi.
  • İç yapılar.

Gri kutu kalem testi, ekibin başlangıçtan itibaren en büyük risk ve değere sahip hedeflere odaklanmasını sağlar. Bu tür testler, ağa uzun vadeli erişimi olan bir saldırganı taklit etmek için idealdir.

  • Beyaz Kutu Sızma Testi

Pentester , işe başlamadan önce hedef sistem hakkında bilgi sahibi olurlar. Bu bilgiler şunları içerebilir:

  • IP adresleri.
  • Ağ altyapısı şemaları.
  • Kullanıcı protokolleri.
  • Sistem yapıları (kaynak kodu, ikili dosyalar, kapsayıcılar).

Kuruluma bağlı olarak, test uzmanları sistemi çalıştıran sunuculara bile erişebilir. Kara kutu testi kadar özgün olmasa da, beyaz kutunun organize edilmesi hızlı ve daha az maliyetlidir.

BBS TEKNOLOJİ

Sızma (Penetrasyon) Testinin Aşamaları Nelerdir ?

  • pos-terminal-2470_861790a4-85dc-4da4-b645-64e5b80247d5
    Planlama ve Hazırlık

    Bir sızma testi başlamadan önce, test uzmanlarının ve müşterilerinin testin hedeflerine göre pozisyon alması gerekir, böylece kapsamlı ve doğru bir şekilde yürütülür. Hangi tür testleri çalıştırmaları gerektiğini, testin yürütüldüğünün kimlerin farkında olacağını, test uzmanlarının başlamak için ne kadar bilgi ve erişime sahip olacağını ve testin başarılı olmasını sağlayacak diğer önemli ayrıntıları bilmeleri gerekir.

  • bank-notes-2448_bd66c927-7837-4dbf-bc25-d49656dfe619
    Keşif

    Bu aşamada ekipler, hedefleri üzerinde farklı türlerde keşifler gerçekleştirir. Teknik açıdan, IP adresleri gibi bilgiler, güvenlik duvarları ve diğer bağlantılar hakkındaki bilgilerin belirlenmesine yardımcı olabilir. Kişisel açıdan, isimler, iş unvanları ve e-posta adresleri gibi basit veriler çok değerli olabilir.

  • bank-cards-2445_a1e87fce-3f73-4202-9204-4ad23d9ce522
    Sızma Girişimi ve Sömürü

    Artık hedefleri hakkında bilgi sahibi olan sızma testi uzmanları, güvenlik zayıflıklarından yararlanarak sızma işlemini gerçekleştirir. Ve ağın ne kadar derinlerine gidebileceklerini test kapsamında göstererek çevreye sızarlar. Ve zafiyetleri sömürürler.

  • coins-2452_3800c0d7-bb74-4470-909a-e107b62b50e6
    Analiz ve Raporlama

    sızma testi uzmanları, sürecin her adımıyla ilgili ayrıntıları içeren, sisteme başarılı bir şekilde nüfuz etmek için neyin kullanıldığını, hangi güvenlik zayıflıklarının bulunduğunu, keşfedilen diğer ilgili bilgileri ve iyileştirme önerilerini vurgulayan bir rapor oluşturur.

  • invoice-2474_16cf5270-ffa8-4c6e-b664-5b73fe167d57
    Temizleme ve İyileştirme

    Gelecekte gerçek bir saldırgan tarafından kullanılabileceklerinden, sızma testi uzmanları hiçbir iz bırakmamalı ve sistemleri test öncesine geri döndürmelidir.  Ve test sırasında kullanılan tüm yapıları kaldırmalıdır.

  • deposit-box-2465_8d0edd4a-0865-4431-b57f-e857a350022b
    Yeniden Test

    Bir kuruluşun iyileştirmelerinin etkili olmasını sağlamanın en iyi yolu tekrar test etmektir. Ek olarak, BT ortamları ve bunlara saldırmak için kullanılan yöntemler sürekli olarak gelişmektedir, bu nedenle yeni zayıflıkların ortaya çıkması beklenmelidir. Sistematik ve düzenli olarak sızma testi yapılmalıdır.