PENETRASYON TESTİ VE GÜVENLİĞİB DEĞERLENDİRİLMESİ

PENETRASYON TESTİ VE GÜVENLİĞİB DEĞERLENDİRİLMESİ

Penetrasyon Testi Nedir?

Penetrasyon (sızma) testi, kullanıcı adı ve şifresi olmadan her yolun denenerek kaynaklara sızılmasıdır. Bilgisayardaki kaynaklar önemliyse, başarılı bir şekilde bilgisayara sızılması sonucu gizli belgeler, fiyat listeleri, veri tabanları ve diğer kritik bilgiler ele geçirilebilir veya değiştirilebilir.

Penetrasyon testini bir saldırıdan ayıran en temel özellik test yapılırken izin alınmasıdır. Penetrasyon testini yapan kişi bilgisayarda test edilecek kaynakların sahibinden izin alır ve sonrasında bir rapor sunmakla yükümlüdür. Penetrasyon testinin amacı, test edilen kaynaklara ilişkin güvenliğin arttırılmasıdır.

Birçok durumda penetrasyon testini yapan kişiye kullanıcı düzeyinde erişim izni verilir; bu tür durumlarda amaç hesabın durumunu veya kullanıcı düzeyine sahip kişinin erişmemesi gereken ek bilgilere başka yollarla bir kullanıcının erişmemesini sağlamaktır.

Penetrasyon testini yapan kişilerle yalnızca bir zafiyet bulmaları için anlaşma sağlanır ancak bu kişiler diğer zafiyetlerin da tespit edilip ortadan kaldırılabilmesi için karşılaştıkları ilk zafiyeti görmezden gelir. Testi yapan kişi testin nasıl ilerlediğine dair detaylı notlar tutmalıdır, böylece sonuçlar doğrulanabilir ve tüm sorunlara çözüm bulunabilir.

Testi yapan kişinin güvenlikle ilgili bütün sorunları bulmasının mümkün olmayabilir. Örneğin, kuruluş dün yapılan bir penetrasyon testini geçebilir. Ancak, ertesi gün sistemde bir zafiyet belirebilir veya e-posta sunucularında yeni bir açık oluşabilir. Sorunun ne zaman çıkacağını bilmek imkânsızdır. Bir ağı güvenli tutmak için olası tehditlere karşı her zaman dikkatli ve hazırlıklı olunmalıdır.

Penetrasyon Testi ve Zafiyet Değerlendirmesi

Bu çalışmanın odak noktası penetrasyon testidir ancak penetrasyon testi ve zafiyet değerlendirmesi her zaman birbiriyle karıştırılan kavramlardır. Bu iki kavram birbirleriyle ilişkilidir ancak zafiyet değerlendirmesi sistem saldırısına karşı savunmasız olan alanların tespit edilmesine önem verirken, penetrasyon testi mümkün olan her yoldan her alana erişim sağlamaya odaklanır. Otomatik bir zafiyet tarayıcısı, aslında göründükleri gibi olmayan hizmet bannerlarına veya diğer ağ yanıtlarına dayanan zafiyetleri tespit eder. Zafiyet değerlendirme, sistem ele geçirilmeden önce durdurulur, ancak penetrasyon testi sözleşme kapsamında belirtilen şartlara göre devam eder.

Bunun sadece bir "Test" olduğunu unutmamak gerekir, Penetrasyon testi bir bakıma diğer testler gibidir, bütün olası sistemlerin ve yapılandırmaların bir örneklemesidir. Sözleşme sadece tek bir sistemin test edilmesi için yapılmamışsa, olası bütün zafiyetlerden yola çıkarak bütün sistemlere sızmak ve zafiyeti tanımlamak mümkün olmayacaktır. Aslında, penetrasyon testi ortamın örneklemesidir. Ayrıca, testi yapanların çoğu ilk önce en kolay hedefe yönelir.

Zafiyetler Nasıl Belirlenir

Zafiyetler hem penetrasyon testi hem de zafiyet değerlendirmesi yapılarak tespit edilmelidir. Atılacak adımlar yetkisiz girişler ve güvenlik testlerine yönelik atılan adımlara benzer. Yetkisiz giriş yapan kişi fark edilmemek için yavaş yavaş sisteme girmeyi tercih edebilir, fakat penetrasyon testini yapanlar da özellikle yavaşça ilerler, böylece testi yaptıran işletmenin güvenliğinin ne durumda olduğunu belirleyebilir ve bu doğrultuda gerekli düzenlemeleri yapabilir.

Penetrasyon testinin ve zafiyet değerlendirmesinin ilk adımı keşiftir. Testi yapan kişi hedef ağ hakkında mümkün olduğu kadar çok bilgi edinmeye çalışır. Bu işlem normalde e-posta ve ağ sunucuları gibi herkesin erişilebileceği hizmetleri belirleyerek başlar. Birçok sunucu kullandıkları İşletim Sistemlerini, yazılımların sürümlerini, izin verilen modülleri ve yamaları, bazen de iç sunucu adı ya da IP adresi gibi iç bilgileri dahi bildirebilir.

Testi yapan kişi hedef bilgisayarlarda hangi yazılımın çalıştığını öğrendiğinde, bu bilginin doğrulanması gerekir. Testi yapan kişinin sahip olduğu bilgiler birleştirilir ve bilinen zafiyetlerle karşılaştırılır. Böylece, bu zafiyetler elde edilen sonuçların, sahip olunan bilgiyi desteklediğini ya da bilgiyle çeliştiğini görmek için test edilebilir.

Penetrasyon Testinin Amacı Nedir?

Penetrasyon testinin uygulanması için birçok neden var. Bunlardan en önemlisi zafiyetlerin bulunması ve sisteme saldırılmadan önce ortadan kaldırılmasıdır. Bazı durumlarda, Bilgi İşlem birimleri bildirilen zafiyetlerin farkındadır, fakat bunları resmi olarak rapor edecek dışardan bir uzmana ihtiyaç duyulur, böylece yönetim bu zafiyetlerin ortadan kaldırılması için gereken desteği sağlar. Bilgisayar sisteminin ikinci bir göz tarafından kontrol edilmesi önemli bir güvenlik uygulamasıdır. Yeni bir sistemin faaliyete geçmeden önce test edilmesi iyi bir fikirdir. Penetrasyon testi yapılmasının bir diğer nedeni, hedef işletmedeki bilgi işlem birimine saldırıya karşılık verme fırsatı tanımaktır. PCI (Ödeme Kartı Sektörü) Veri Güvenliği Standardı ve diğer güvenlik sertifikaları ve yönetmelikleri dış güvenlik testinin yapılmasını gerekli görür.

Başkasından önce güvenlik açıklarını tespit etmek

Herhangi bir sistemi ele geçirmeye çalışan saldırganlar otomatik araçlarla sisteme sızmanın yolunu bulmaya çalışır. Ancak, bu saldırıların birçoğu önlenebilir. Penetrasyon testi bilgi işlem birimleri ağ yapısını bir saldırganın gördüğü gibi görür. Burada amaç testi yapan kişinin ağa sızabileceği açıkları bulmasıdır, böylece kötü niyetli biri bu açıkları keşfetmeden önce saldırı önlenebilir.

Penetrasyon testini bir bakıma yıllık tıbbi bakım gibi düşünebilirsiniz. Sağlıklı olduğunuzu düşünseniz bile, doktorunuz henüz belirti göstermeyen hastalıkları teşhis etmek için bir dizi test uygulayacaktır.

Sorunları Yönetime İletmek

Güvenlik ekibi üst yönetime sistemlere ilişkin güvenlik eksikliklerinin söz konusu olduğunu bildirmişse, penetrasyon testi sonuçları da bu eksikliklerin giderilmesi konusunda üst yönetimi ikna edici olur.

İç güvenlik ekibi sistem güvenliğindeki zayıflıkların farkına varır ancak sistem güvenliğini sağlayacak gerekli düzenlemelerin yapılması için yönetimin desteğini almak zordur. Güvenlik uzmanlığı alanında ün yapmış bir grubun görüşüne yönetim çoğu zaman daha çok önem verir. İşletmelerde, her zaman siyasi çekişmeler vardır ve maddi kaynaklar genellikle kısıtlıdır. Yöneticiler ve teknisyenler yeni teknolojiler için bütçe artırımı talep eder. Bu ihtiyacı doğrulayacak bağımsız üçüncü kişinin görüşüyle, yönetim güvenlik teknolojilerine harcama yapmayı onaylar ya da reddeder.

Bilgi Teknolojileri sistemlerinin güvenliğine ilişkin nihai sorumluluk yönetime aittir. İşletmenin tolerans gösterebileceği risk seviyesini belirlemek yönetimin görevidir.

Güvenli Konfigürasyonları Doğrulamak

Güvenlik ekibi atılan adımlardan ve elde edilen sonuçlardan eminse, penetrasyon testi raporu, ekibin doğru adımlar attığını doğrular. Penetrasyon testini yapan ekip başarılı bir biçimde bir sisteme sızarsa, bu durum işletme içindeki güvenlik ekibinin sistem güvenliği konusunda iyi eğitilmediğini gösterir. Penetrasyon testi bir ağı daha güvenli yapmaz ancak bilgi ve uygulama arasındaki boşlukları ortaya çıkarır.

Ağ Personeline Yönelik Güvenlik Eğitimleri

Penetrasyon testi güvenlik ekibinin saldırıyı fark etmesini ve önlemesini sağlar. Örneğin, penetrasyon testini yapan kişi, kimseye fark ettirmeden sisteme sızarsa, personelin güvenlik konusunda iyi eğitilmediği ve sistemlerin yeterince güvende olmadığı söylenebilir. Güvenlik personeli kötü amaçlı saldırıları tespit etme konusunda iyi eğitilmemişse, test sonrası oluşturulan rapor personelin güvenlik ve zafiyet tespiti konusunda bilgilenmesini sağlar.

Yeni Teknolojileri Test Etmek

Yeni teknolojiler, uygulamalar ve ortamlar üzerinde penetrasyon testi yapmak, zamandan ve paradan tasarruf etmenizi sağlar çünkü yeni bir teknolojiyi kişilerin kullanımına sunmadan önce test etmek ve değiştirmek daha kolaydır.