Penetrasyon Testi

Seccops‘un SRT (Seccops Red Team) ekibi, uzun yıllardır siber uzayda ve sektörde edindiği penetrasyon testi tecrübelerini siz değerli müşterilerimizin ihtiyaçları doğrultusunda kullanarak kaliteli hizmet sunmayı hedeflemektedir.

Çeşitli bilişim sistemleriniz gerçek bir hacker gözüyle analiz edilerek tüm zafiyetler ortaya çıkarılır ve sızma simülasyonlarıyla da doğrulamalar yapılarak güvenliğin sağlanmasına oldukça katkı sağlar.

 

Penetrasyon Testi Nedir?

Firmaların bilişim sistemlerini oluşturan ağ altyapılarını, donanım, yazılım ve uygulamalara kötü niyetli birinin (hacker) saldırmasını öngören yöntemler kullanılarak yapılan siber saldırı ve müdahaleler ile güvenlik açıklarının tespit edilip bu açıklarla sisteme sızılmaya çalışılmasının simüle edilmesi ve tüm bu işlemlerin raporlanması işlemidir.

İşlemler sırasında sızma testi uzmanlarımız, tıpkı bir hacker gibi hareket eder ve çeşitli sistemlerin tüm açıklarını, riskleri ve erişilebilirliği ortaya çıkarırlar. Bu güvenlik testlerinde, çok farklı yöntemler ve değişkenler söz konusu olduğundan uzmanlar tarafından gerçekleştirilmesi gerekmektedir.

Kısaca pentest de denilmektedir.

 

Penetrasyon Testlerinin Çeşitleri

White Box, Black Box ve Grey Box olmak üzere üç çeşittir.

 

White Box Penetrasyon Testi

Sızma testi uzmanı, firma içinde yetkili kişilerce bilgilendirilir ve firma hakkındaki tüm sistemler hakkında bilgi sahibi olur. Bu yöntemde daha önce firmada yer almış, hala çalışmakta olan veya misafir olarak ağa sonradan dahil olan kişilerin sistemlere verebilecekleri zararlar simüle ve raporlanır.

 

Black Box Penetrasyon Testi

Bu yöntemde sızma testini gerçekleştiren firmayla herhangi bir bilgi paylaşımında bulunulmaz, sadece hedef sistemler belirtilir. Bilgi sızdırmak ya da çeşitli zararlar vermek amacıyla sızmaya çalışan bir hacker gibi davranılarak, sistemlere verilebilecek zararlar simüle edilir ve raporlanır.

 

Grey Box Penetrasyon Testi

White Box ile Black Box testlerini kapsayan yani hem içeriden hem dışarıdan olarak yapılan test diye tanımlayabiliriz. Grey Box’ta ek olarak düşük yetkilerle sisteme sızma denetimleri gerçekleştirilir.

Penetrasyon testini kimler yapabilir?

Penetrasyon testinde çok farklı yöntemler ve değişkenler söz konusu olduğundan alanında uzman kişilerce ve penetrasyon testi yapan firmalar tarafından gerçekleştirilmesi gerekmektedir. Aksi taktirde bilinçsizce yapılan penetrasyon testleri sırasında yerel ağlarda tıkanıklık, doğrudan kesinti veya veri kaybı gibi gibi problemlerle karşılaşılabilmektedir. Böyle bir durum, hem müşteriyi hem de testi yapan firmayı/kişiyi ciddi riske atmaktadır.

Penetrasyon testi fiyatları ve ücreti
Penetrasyon testinin belirli bir fiyatı veya fiyat aralığı yoktur. Test ettirmek istenen sistemler göz önünde bulundurularak bir kapsam oluşturulur ve buna göre çalışma eforu belirlenerek fiyatlamalar yapılmaktadır. Penetrasyon testi fiyat teklifi almak için yukarıdaki kapsam belirleme formunu doldurabilirsiniz.

Penetrasyon testi nasıl yapılır?

Yetenekleri ve beceri seviyesi yüksek bir bir siber saldırgan, saldırmak için belirlediği bir sisteme sızmak için daha önceden edinmiş olduğu tecrübeler sayesinde düzenli bir yol izlemektedir. Aynı biçimde penetrasyon testini gerçekleştirecek olan sızma testi uzmanları da çalışmalarının tekrar edilebilir, yorumlanabilir ve doğrulanabilir olmasını gerçekleştirmek için kendilerine özgü metodolojiler geliştirir ve geliştirmeleri gerekir. Ayrıca daha önce geliştirilmiş olan bir metodolojiyi de takip etmeleri gerekir.

Metodoloji kullanımı sızma testi ekipleri için çok fazla önem taşımaktadır. Çünkü penetrasyon testlerinde daha önceden denenmiş olan ve belirli kalıplarla standartlar haline getirilmiş olan kurallar izlendiğinde sonuçlar üzerindeki başarı oranlara önemli derecede artış gösterecektir. İnternet üzerinde de ücretsiz olarak erişilebilecek farklı güvenlik testi kılavuzları vardır. Bunlardan bazı önemli olanları aşağıdaki gibidir:

– ISSAF (Information Systems Security Assessment Framework)
– OWASP (Open Web Application Security Project)
– OSSTMM (The Open Source Security Testing Methodology Manual)
– NIST SP800-115

Metodoloji konusu göz önünde bulundurularak; penetrasyon testinin ilk adımı bilgi toplamadır. Hedeflenen iç ve/veya dış ağ hakkında aktif ve pasif yöntemler kullanılarak olabildiğince fazla bilgi toplanmalıdır.

Bilgi toplama adımından sonra servis ve kullanıcı inceleme (enumeration) adımı başlar. Bu adımda çalışan servislerin arkasındaki teknolojiler, bu teknolojilerin üreticileri ve versiyonları tespit edilir. Ayrıca öntanımlı veya tespit edilebilen servis kullanıcıları da bu adımda belirlenir. Tespit edilen kullanıcılar veya ön tanımlı kullanıcılar için varsayılan parolalar denenir, öntanımlı ve diğer kullanıcılar için parola kırma saldırısı penetrasyon testi proje planı dikkate alınarak planlanabilir ve gerçekleştirilebilir. Bu testlerde parola politikaları da dikkate alınmalıdır. Aksi takdirde hesapların kilitlenmesi operasyonel kesinti ile sonuçlanabilmektedir.

Tespit edilen servisler için koşan yazılımlarla ilgili daha önceden yayınlanmış zafiyetler, açıklık veritabanlarından araştırılır. Bunun için otomatik zafiyet tarama yazılımları mevcuttur. Web teknolojilerinde ise genellikle özel fonksiyonlar ve servisler ile karşılaşılacağından manuel olarak web teknolojilerine özel açıklıkların incelenmesi faydalı olmaktadır.

Tespit edilen zafiyetler için yayınlanmış olan örnek sömürü kodları (exploit) ve testi yapan ekibin geliştirdiği kodlar değerlendirilir. Daha önce de belirtildiği gibi sömürü kodları sistemin bütünlüğünü bozabileceği için gerekli onay süreci işletilerek denenmelidir.

Hedef sistemlere adım atılabildiği durumlarda bir sonraki aşama sistemin tamamen ele geçirilmesi olacaktır. Bu amaçla sisteme eriştikten sonra elde edilen bilgiler değerlendirilir ve sistem üzerinde sömürülebilecek yerel zafiyetler yine açıklık veritabanlarından araştırılır. Bu ek adımlar vasıtasıyla sistem tam olarak ve sistem yöneticisi hakları ile ele geçirilmeye çalışılır.

Son olarak raporlama aşamasında tespit edilen zafiyetler ve bunların giderilme yöntemleri raporlanır. Raporun katma değerinin artırılması amacıyla yönetici özeti kısmının da mutlaka bulunması gereklidir. Ek olarak mimari ve süreçsel açılardan alınması gereken önlemler ve izlenmesi gereken stratejiler de belirtilebilir. Çünkü tespit edilen zafiyetler genellikle bu eksikliklerin semptomları olacaktır.