•  

    (+90) 216 606 01 26

  •  

    info@nextacozum.com

Sızma(Penetration) Testi Nedir?

Sızma testi , sistemin güvenliğini değerlendirmek üzere bir bilgisayar sistemi üzerinde gerçekleştirilen yetkilendirilmiş temsili bir siber saldırıdır.Test, yetkisiz kişilerin sistem özelliklerine ve verilerine erişme potansiyelini içeren her iki zayıf noktayı (zafiyet olarak da bilinir) ve sistemin güçlü yönlerini belirlemek ve tam bir risk değerlendirmesi sağlamak için yapılır.

Sızma tesleri 3 farklı yöntemle gerçekleştirilir.

  • Blackbox(Kara Kutu)
  • Greybox(Gri Kutu)
  • Whitebox(Beyaz Kutu)

Sızma Testi Adımları Neleder?

Sızma testi yaparken, gerçek bir hacker gibi düşünmek ve eylem planlarını ona göre yapmak gereklidir. Sızma testi yapılırken aşağıdaki adımlar kullanılmaktadır.

  • Bilgi Toplama : Siber saldırıların ilk adımı bilgi toplamayla başlar ve eğer dışarıdan bir saldırı planlanıyorsa(Blackbox), ilk iş aktif veya pasif olarak whois,nslookup,vb. ortamlardan elde edeceğimiz verilerle bir metod belirleyerek salıdır hazırlığı yapmaktır.
  • Ağ Haritalama(Enumaration) : Bilgi toplama adımından sonra arka planda çalışan servisler, üretici listeleri ve versiyonları listelenir.
  • Zaafiyet Tarama : Servisler ve versiyonlar listelendikten sonra bu hizmetler üzerinde zaafiyet taraması gerçekleştirilerek açıklıklar listelenir.
  • Exploit Çalıştırmak : Tespit edilen açıklıklar üzerinde, sızma testi gerçekleştirilen uygulamaların kodları kullanılır.
  • Başka Ortamlara Sızma : Elde ettiğimiz bilgiler ile başka kullanıcıların bilgisayarlarına veya diğer kurum içindeki diğer network cihazlarına erişim denemeleri yapmak.
  • İz Temizleme : Sızma testi süresinde bıraktığımız izleri temizlememiz gerekmektedir.
  • Raporlama : Sızma testi sonucunda bulunan açıklıklar, firmaya verilebilecek zararlar ve boyutları ve diğer bulguların çözüm teknikleri ile açıklanarak raporlanmasını gerçekleştirmek.

Sızma Testi Faydaları

Nexta olarak müşterilerimize yılda 2 defa ve her sistem değişikliğinde sızma testi yapmalarını öneriyoruz. Sızma testleri dışarıdan gelebilecek her türlü yasa dışı saldırılara karşı alınması gereken önlemlerin en başında gelmektedir. Mevcut durumda bütün firmaların 6698 Sayılı Kişisel Verilerin Korunması Kanunu kapsamında uymakta zorunlu olduğu teknik tedbir maddelerinden birisi olmakla birlikte, ayrıca ISO27001,PCI standartlarına da sahip kurumların yapması gerekmektedir.

Sızma testi raporlamasından sonra, Nexta olarak sürecin takipçisi olarak açıkların kapatılması ve ilgili kurum yöneticisiyle birlikte rapor üzerinden alınması gereken aksiyon planlarının gerçekleşmesi konusunda destek oluyoruz.

Sızma Testi Çeşitleri

Sızma testi yapacak ekibe sistemle ilgili herhangi bir bilgi verilmez, firmanın adı kullanarak veya domain adını kullanarak dışarıdan sızma gerçekleştirilmeye sağlanarak açıklar tespit edilir.

Sızma testi yapacak ekibe daha öncesinde sistemle ilgili bilgi verilir. IP Adresi listesi, Sunucu bilgileri,vb.

Sızma testi yapacak ekibe firma ilgili her türlü verilir ve Pentest ekibine yardımcı olunarak sistem üzerindeki zaafiyet ve açıklıklar tespit edilir. Çok faydalı bir sızma testidir.