Penetrasyon testi nedir ?
Şirket ya da kurumların bilişim teknolojilerinin temelini oluşturan ağ altyapılarına, yazılımlarına ve uygulamalarına kötü niyetli kişi ya da kişilerin saldırabileceği yöntemleri ön görerek, kendi güvenlik açıklarının tespit edilip bu açıklarla sisteme sızılmaya çalışılmasının simüle edilmesi ve bu işlemlerin raporlanmasıdır.
Simülasyon esnasında uzmanlar saldırgan psikolojisi ile gayet agresif biçimde hareket eder ve sistemin tüm açıklarını, risklerini ve erişilebilecek noktaları ortaya çıkarırlar. Yapılacak testin çalışan canlı sistem üzerinde gerçekleşecek olması nedeniyle profesyoneller tarafından hayata geçirilmesi gerekmektedir. Aksi takdirde veri kayıpları, sistem yavaşlama ya da duraklamaları söz konusu olabilmektedir.
Neden Pentest ?
Şirket ya da kurum içerisinde kurguladığımız network ve güvenlik mimarisinin güvenlik zafiyetlerinin üçüncü bir göz tarafından kontrol edilmesi ve raporlanması proaktif güvenliğin olmazsa olmazıdır. Zira çalışanlar ne kadar dikkatli olurlarsa olsunlar, daima aynı yapı üzerinde çalışıyor olmaları nedeni ile zafiyetlerini tespit edemeyebilirler.
Saldırganların, sistemi istismar etmek için kullanacağı tekniklerin sınırı yoktur. Hayal gücü ve bilgi seviyelerine göre ihtimaller değişmektedir. Bununla birlikte GDPR, PCI, HIPAA, ISO27001 ve ülkemizdeki KVKK gibi standart ve kanuni yükümlülükleri yerine getirebilmek amacı da Pentest yaptırmayı mecburi kılmaktadır.
Penetrasyon Test Çeşitleri
White Box, Black Box ve Gray Box olmak üzere üç çeşittir.
White Box (Beyaz Kutu) Penetrasyon Testi
Güvenlik danışmanı, şirket ya da kurum içerisinde yetkili kişilerce bilgilendirilir ve firma hakkındaki tüm sistemler hakkında bilgi sahibi olur. Bu yöntemde daha önce firmada yer almış, hala çalışmakta olan veya misafir olarak ağa sonradan dahil olan kişilerin sistemlere verebilecekleri zararlar gözetilir ve raporlanır.
Black Box (Siyah Kutu) Penetrasyon Testi
Bu yöntemde sızma testini gerçekleştiren firmayla herhangi bir bilgi paylaşımında bulunulmaz sadece hedef verilir. Bilgi sızdırmak ya da zarar vermek amacıyla sızmaya çalışan bir hacker gibi davranılarak verilebilecek zararlar gözetilir ve raporlanır.
Gray Box (Gri Kutu) Penetrasyon Testi
White Box ile Black Box testlerini kapsayan yani hem içeriden hem dışarıdan olarak yapılan test diye tanımlayabiliriz. Gray Box’ta ek olarak çeşitli yetkilerle sisteme sızma denetimleri gerçekleştirilir.
Pentest Proje Yönetimi:
- Pentest kapsam formu doldurulması
- Pentest çeşidinin belirlenmesi (İç Ağ Testi, Kullanılan Uygulamalar Testi, Tüm ağ altyapı testi) gibi.
- Gerekli uygulamaların konumlandırılması
- Test aşaması ve ilgili raporların oluşturulması