Sızma testi (penetrasyon testi), yetkili uzmanların gerçek bir saldırganın kullanacağı yöntemlerle sistemlerinize kontrollü olarak saldırması ve bulgularını raporlamasıdır. Amaç, açıkları kötü niyetli kişilerden önce bulmak ve kapatmaktır.
Zafiyet taramasından farkı nedir?
Zafiyet taraması, otomatik araçlarla bilinen açıkları tespit eder; hızlıdır ve düzenli olarak yapılmalıdır. Sızma testi ise bu açıkların gerçekten kullanılıp kullanılamayacağını, birden fazla açığın birleştirilerek nereye kadar ilerlenebileceğini insan uzmanlığıyla ortaya koyar. İkisi birbirinin alternatifi değil, tamamlayıcısıdır.
Test türleri
- Dış ağ testi: İnternete açık sunucular, VPN ve güvenlik duvarları.
- İç ağ testi: Şirket ağına girmiş bir saldırganın ya da kötü niyetli bir çalışanın neler yapabileceği.
- Web uygulaması testi: Web sitesi, müşteri portalı ve API'ler (OWASP Top 10 risklerini kapsar).
- Mobil uygulama testi: iOS ve Android uygulamaları ile arka uç servisleri.
- Sosyal mühendislik testi: Oltalama simülasyonları ve fiziksel erişim denemeleri.
Ne zaman yapılmalı?
- Yeni bir web uygulaması, müşteri portalı ya da e-ticaret sitesi yayına alınmadan önce,
- Altyapıda büyük değişiklikler (bulut geçişi, yeni ağ yapısı) sonrasında,
- Müşteri, iş ortağı ya da sektör düzenlemeleri istediğinde (örneğin ödeme sistemleri),
- Ve genel bir kural olarak yılda en az bir kez.
İyi bir sızma testi nasıl planlanır?
- Kapsam ve kurallar: Hangi sistemler test edilecek, hangi saatlerde, hangi yöntemler yasak? Yazılı izin ve sözleşme şarttır.
- Yaklaşım: Kara kutu (hiç bilgi verilmeden), gri kutu ya da beyaz kutu testi seçin.
- Rapor: Bulgular risk seviyesine göre önceliklendirilmeli, her bulgu için tekrar üretme adımları ve çözüm önerisi yer almalıdır.
- Düzeltme ve doğrulama testi: Açıklar kapatıldıktan sonra yeniden test edilerek doğrulanmalıdır.
Rapordan en iyi şekilde yararlanmak
Raporu bir arşiv belgesi olarak değil, bir iyileştirme planı olarak ele alın. Kritik bulgular için sorumlu ve tarih belirleyin, tekrarlayan bulguların kök nedenini (eksik güncelleme süreci, zayıf yazılım geliştirme pratikleri gibi) çözün.
ujans; güvenlik değerlendirmesi kapsamında zafiyet taraması, sızma testi koordinasyonu ve bulguların giderilmesi süreçlerinde uçtan uca destek verir.