S C O
80+ Bronze
- Katılım
- 21 Temmuz 2022
- Mesajlar
- 947
Dahası
Herkese merhaba,
Bu makalemizde sizlere sızma testleri hakkında bilmeniz gereken, merak ettiğiniz durumları açıklamaya ve size bu konuda ışık tutmaya çalışacağım.
Sızma testi nedir?
Sızma testleri bir kurum ya da kuruluşun elinde bulundurduğu tüm bilgi teknolojileri varlıklarının dışarıdan bir uzman tarafından farklı rol ve tiplerde teste tabi tutulmasıdır. Bir çok kategorisi olan bu işte amaç beyaz şapkalı hacker diye tabir edilen siber güvenlik uzmanlarının kurumun ya da kuruluşun dış dünyadaki tehditlere ne kadar hazırlık olduğu ve elinde ne kadar risk bulundurduğunu göstermektir.
Sızma testleri kaç bakış açısından oluşmaktadır?
Dünyaca kabul görmüş 3 ana bakış olarak testler icra edilmektedir ancak bu kategorilerin her biri birazdan yazacağım tipleri belirlemektedir. Bunlar;
Whitebox, Graybox ve Blackbox tır. Peki nedir bunlar?
Whitebox(Beyaz Kutu) Sızma Testleri: Genellikle ağ ve sistem testleri için müşteriden tüm bilgi teknolojileri varlıkları, IP adresleri, yetkilendirmeler, güvenlik cihazları ve konumları vb. bilgiler alınmaktadır. Bu bilgiler ile beraber ağ ve sistem içerisinde testi yapacak uzmana tam erişim verilmektedir. Bu sayede uzman içerden oluşabilecek tüm risklere karşı sistemleri test etmiş ve riski ortaya koymuş olmaktadır.
Graybox(Gri Kutu) Sızma Testleri: Bir takım bilgilerin müşteriden alındığı ve geri kalanın uzmanın yeteneklerine bırakıldığı bir testtir. Teste genel uzmana kısıtlı erişim yetkileri verilir, örneğin ağ içerisinde NAC koruması veya firewall erişimi veya son kullanıcı koruma yazılımlarından erişim verilerek ağa dahil olması sağlanır. Bu testin genel olarak bakış açısı kurumda tam yetkiye sahip olmayan ve içerde bir takım bilgileri bilen iç tehdit risklerini ortaya koymaktır.
Blackbox(Siyah Kutu) Sızma Testleri: Kurumdan herhangi bir bilgi edinilmeden tamamen internette var olan bilgilerle veya iç ağdan test yapılacaksa test yapacak uzmanın kendisini bir wifi veya kablo aracılığıyla ağa dahil ederek, güvenlik ürünleri atlatma, bilgilere erişme, kullanıcı kandırma vb. bir çok senaryo işletilerek testlerin yapılmasıdır. Amaç dışarıdan gelebilecek bir tehditin içerden veya dışarıdan saldırması durumunda kurumun risklerini ortaya koymaktır.
Sızma testi türleri nelerdir?
Genellike dünyada görülen sızma testleri başlıca aşağıdaki gibidir:
- Ağ ve Sistem Sızma Testleri
- Web Uygulama Sızma Testleri
- Mobil Uygulama Sızma Testleri
- Cloud Sızma Testleri
- Endüstriyel Kontrol Sistemleri Sızma Testleri
- IOT Sızma Testleri
- VOIP Testleri
- Wireless Sızma Testleri
- Sosyal Mühendislik Testleri
Sızma testleri adımları neledir?
Yukarıdaki resimden de görüleceği üzere sızma testleri 5 ana başlıkta incelenmektedir. Bunlar;
1 - Keşif
Bu safhada uzman testi yapacağı türe göre keşif faaliyetlerini aktif ve pasif olarak yürütmektedir. Aktif keşifte nmap vb. araçları kullanarak host keşfi yapılabilmektedir. Pasif keşifte ise kurumun haberi olmaksızın veya ağ üzerinde iz bırakmayacak şekilde Wireshark vb. araçlar veya internet üzerinde shodan vb. bilgi toplama ya da ağ izleme araçlarından bilgiler toplanmaktadır.
2 - Tarama
Bu safhada uzman keşif safhasında elde ettiği bilgiler ile ilgili hostlar üzerinde taramalar gerçekleştirerek port, servis ve versiyon keşfi yaparak hedeflerdeki açık alanları bulmaya çalışmaktadır. Burada nmap vb. otomatize bu işleri yapan araçları kullanmak size hız kazandıracağı gibi bash veya python üzerinden socket programming yaparak port ve servisleri sizlerde keşfedebilirsiniz.
3 - Bilgi Toplama
Bu safhada uzman elde ettiği bilgilerden zafiyet keşfi yapmaya çalışır. 2. safhada elde ettiği versiyon sürümlerinde zafiyet olup olmadığı ya da manuel olarak servisin exploitationa hazır olup olmaıdğının yapıldığı yerdir.
4 - Sızma
Bu safhada uzman elde ettiği bilgilerle beraber sisteme sızmaya çalışmaktadır. Bu safhada zafiyete göre hal alınmalı ve test yapılan sistemlerin çökme riski var ise muhakkak testten önce izin alınmalıdır. Bu safha sonunda eğer kurum varlığına zararlı bir kod enjeksiyonu yapıldıysa veya sistemlerde exploit bırakıldıysa silinmesi gerekmektedir.
5 - Raporlama
Bu safhada uzman yaptığı tüm faaliyetleri en ince ayrıntısına kadar raporlamaktadır. Ayrıca uzman tespit ettiği zafiyetler ile ilgili olarak detaylı bir çözüm önerisi sunmak zorundadır.
Türkiye'de sızma testleri TS 13638 Standartında, globalde ise OWASP, OSSTMM, NIST, ISSAF ve PTES baz alınarak yapılmaktadır.
Bu işte ne kadar farklı sistem görürseniz tecrübeniz o kadar artacaktır. Testlerin Nessus, Acunetix, Netsparker vb. otomatize araçlar ile yapılması yanlıştır! Bu araçlar ağ ve sistemlerde, web uygulamalarında veya diğer tüm alanlarda insanlardan kaynaklı oluşabilecek hiçbir zafiyeti test etmemektedir. Örneğin bir Active Directory zafiyetini hiçbir otomatize araç tespit edememektedir.
NOT: Hiçbir kaynaktan yararlanılmamıştır
Bu makalemizde sizlere sızma testleri hakkında bilmeniz gereken, merak ettiğiniz durumları açıklamaya ve size bu konuda ışık tutmaya çalışacağım.
Sızma testi nedir?
Sızma testleri bir kurum ya da kuruluşun elinde bulundurduğu tüm bilgi teknolojileri varlıklarının dışarıdan bir uzman tarafından farklı rol ve tiplerde teste tabi tutulmasıdır. Bir çok kategorisi olan bu işte amaç beyaz şapkalı hacker diye tabir edilen siber güvenlik uzmanlarının kurumun ya da kuruluşun dış dünyadaki tehditlere ne kadar hazırlık olduğu ve elinde ne kadar risk bulundurduğunu göstermektir.
Sızma testleri kaç bakış açısından oluşmaktadır?
Dünyaca kabul görmüş 3 ana bakış olarak testler icra edilmektedir ancak bu kategorilerin her biri birazdan yazacağım tipleri belirlemektedir. Bunlar;
Whitebox, Graybox ve Blackbox tır. Peki nedir bunlar?
Whitebox(Beyaz Kutu) Sızma Testleri: Genellikle ağ ve sistem testleri için müşteriden tüm bilgi teknolojileri varlıkları, IP adresleri, yetkilendirmeler, güvenlik cihazları ve konumları vb. bilgiler alınmaktadır. Bu bilgiler ile beraber ağ ve sistem içerisinde testi yapacak uzmana tam erişim verilmektedir. Bu sayede uzman içerden oluşabilecek tüm risklere karşı sistemleri test etmiş ve riski ortaya koymuş olmaktadır.
Graybox(Gri Kutu) Sızma Testleri: Bir takım bilgilerin müşteriden alındığı ve geri kalanın uzmanın yeteneklerine bırakıldığı bir testtir. Teste genel uzmana kısıtlı erişim yetkileri verilir, örneğin ağ içerisinde NAC koruması veya firewall erişimi veya son kullanıcı koruma yazılımlarından erişim verilerek ağa dahil olması sağlanır. Bu testin genel olarak bakış açısı kurumda tam yetkiye sahip olmayan ve içerde bir takım bilgileri bilen iç tehdit risklerini ortaya koymaktır.
Blackbox(Siyah Kutu) Sızma Testleri: Kurumdan herhangi bir bilgi edinilmeden tamamen internette var olan bilgilerle veya iç ağdan test yapılacaksa test yapacak uzmanın kendisini bir wifi veya kablo aracılığıyla ağa dahil ederek, güvenlik ürünleri atlatma, bilgilere erişme, kullanıcı kandırma vb. bir çok senaryo işletilerek testlerin yapılmasıdır. Amaç dışarıdan gelebilecek bir tehditin içerden veya dışarıdan saldırması durumunda kurumun risklerini ortaya koymaktır.
Sızma testi türleri nelerdir?
Genellike dünyada görülen sızma testleri başlıca aşağıdaki gibidir:
- Ağ ve Sistem Sızma Testleri
- Web Uygulama Sızma Testleri
- Mobil Uygulama Sızma Testleri
- Cloud Sızma Testleri
- Endüstriyel Kontrol Sistemleri Sızma Testleri
- IOT Sızma Testleri
- VOIP Testleri
- Wireless Sızma Testleri
- Sosyal Mühendislik Testleri
Sızma testleri adımları neledir?
Yukarıdaki resimden de görüleceği üzere sızma testleri 5 ana başlıkta incelenmektedir. Bunlar;
1 - Keşif
Bu safhada uzman testi yapacağı türe göre keşif faaliyetlerini aktif ve pasif olarak yürütmektedir. Aktif keşifte nmap vb. araçları kullanarak host keşfi yapılabilmektedir. Pasif keşifte ise kurumun haberi olmaksızın veya ağ üzerinde iz bırakmayacak şekilde Wireshark vb. araçlar veya internet üzerinde shodan vb. bilgi toplama ya da ağ izleme araçlarından bilgiler toplanmaktadır.
2 - Tarama
Bu safhada uzman keşif safhasında elde ettiği bilgiler ile ilgili hostlar üzerinde taramalar gerçekleştirerek port, servis ve versiyon keşfi yaparak hedeflerdeki açık alanları bulmaya çalışmaktadır. Burada nmap vb. otomatize bu işleri yapan araçları kullanmak size hız kazandıracağı gibi bash veya python üzerinden socket programming yaparak port ve servisleri sizlerde keşfedebilirsiniz.
3 - Bilgi Toplama
Bu safhada uzman elde ettiği bilgilerden zafiyet keşfi yapmaya çalışır. 2. safhada elde ettiği versiyon sürümlerinde zafiyet olup olmadığı ya da manuel olarak servisin exploitationa hazır olup olmaıdğının yapıldığı yerdir.
4 - Sızma
Bu safhada uzman elde ettiği bilgilerle beraber sisteme sızmaya çalışmaktadır. Bu safhada zafiyete göre hal alınmalı ve test yapılan sistemlerin çökme riski var ise muhakkak testten önce izin alınmalıdır. Bu safha sonunda eğer kurum varlığına zararlı bir kod enjeksiyonu yapıldıysa veya sistemlerde exploit bırakıldıysa silinmesi gerekmektedir.
5 - Raporlama
Bu safhada uzman yaptığı tüm faaliyetleri en ince ayrıntısına kadar raporlamaktadır. Ayrıca uzman tespit ettiği zafiyetler ile ilgili olarak detaylı bir çözüm önerisi sunmak zorundadır.
Türkiye'de sızma testleri TS 13638 Standartında, globalde ise OWASP, OSSTMM, NIST, ISSAF ve PTES baz alınarak yapılmaktadır.
Bu işte ne kadar farklı sistem görürseniz tecrübeniz o kadar artacaktır. Testlerin Nessus, Acunetix, Netsparker vb. otomatize araçlar ile yapılması yanlıştır! Bu araçlar ağ ve sistemlerde, web uygulamalarında veya diğer tüm alanlarda insanlardan kaynaklı oluşabilecek hiçbir zafiyeti test etmemektedir. Örneğin bir Active Directory zafiyetini hiçbir otomatize araç tespit edememektedir.
NOT: Hiçbir kaynaktan yararlanılmamıştır
