Sızma testi, web uygulaması güvenliği bağlamında bir web uygulaması güvenlik duvarını (WAF) desteklemek için yaygın olarak kullanılır. Kalem testi olarak da bilinen penetrasyon testi, kötüye kullanılabilir açıkları belirlemek için bilgisayar sisteminize yönelik bir siber saldırıyı simüle eder. Penetrasyon testi sonuçları daha sonra WAF güvenlik politikalarınıza ince ayar yapmak ve bulunan güvenlik açıklarını gidermek için kullanılabilir. Çeşitli türler ve yöntemler de dahil olmak üzere sızma testi hakkında bilmeniz gereken her şey burada.
Sızma Testi Nedir?
Sızma testi (kalem testi), güvenliğini değerlendirmek için bir bilgisayar sistemine yönelik yasal olarak onaylanmış simüle edilmiş bir saldırıdır. Sızma testi uzmanları, sistem kusurlarının ticari sonuçlarını belirlemek ve göstermek için saldırganlarla aynı araçları, stratejileri ve süreçleri kullanır. Sızma testleri tipik olarak bir şirketi tehlikeye atabilecek bir dizi saldırıyı tekrarlar. Bir sistemin hem kimliği doğrulanmış hem de kimliği doğrulanmamış konumlardan ve ayrıca çeşitli sistem rollerinden gelen saldırılara dayanacak kadar güçlü olup olmadığını belirleyebilirler. Bir kalem testi, doğru kapsamla bir sistemin herhangi bir yönüne girebilir.
Sızma Testi Ne Gibi Avantajlar Sağlar?
İdeal olarak, yazılım ve sistemler, potansiyel olarak tehlikeli güvenlik sorunlarını ortadan kaldırmak amacıyla baştan geliştirilir. Bir kalem testi, bu hedefe ne kadar iyi ulaşıldığı hakkında bilgi sunar. İşte kalem testinin bir şirket için nasıl faydalı olabileceği.
- Sistem kusurlarını belirleyin
- Denetimin sağlamlığını belirleyin.
- Veri gizliliği ve güvenlik düzenlemelerine (örneğin, PCI DSS, HIPAA ve GDPR) uyum konusunda yardımcı olun.
- Yönetime mevcut güvenlik durumu ve bütçe öncelikleri hakkında niteliksel ve niceliksel kanıtlar verin.
Pen Test Aşamaları Nelerdir?
Kalem testi yapanlar, saldırıları taklit etmek için motive olmuş düşmanlar olarak hareket eder. Genellikle aşağıdaki adımları içeren bir planı takip ederler:
1 numara. Keşif.
Saldırı yaklaşımına rehberlik etmek için, kamu ve özel kaynaklardan hedef hakkında mümkün olduğunca çok bilgi toplayın. İnternet aramaları, etki alanı kayıt bilgisi alma, sosyal mühendislik, müdahaleci olmayan ağ taraması ve bazen çöp kutusuna dalış tüm kaynaklardır. Bu veriler, pen test uzmanlarına hedefin saldırı yüzeyinin ve olası güvenlik açıklarının haritasını çıkarmada yardımcı olur. Keşif, kalem testinin kapsamına ve amaçlarına göre değişir; bir sistemin yeteneklerini gözden geçirmek için bir telefon görüşmesi yapmak kadar basit olabilir.
# 2. Tarama
Kalem testi uzmanları, hedef web sitesi veya sistemdeki açık hizmetler, uygulama güvenlik sorunları ve açık kaynak güvenlik açıkları gibi kusurları aramak için araçlar kullanır. Kalem testi uzmanları, keşif ve test sırasında keşfettiklerine dayalı olarak bir dizi araç kullanır.
#3. Giriş elde etmek.
Saldırganların motivasyonları, verileri çalmak, değiştirmek veya yok etmekten fonları değiştirmeye veya basitçe bir şirketin itibarını zedelemeye kadar değişebilir. Pen test uzmanları, ister SQL enjeksiyonu gibi bir kusur, ister kötü amaçlı yazılım, sosyal mühendislik veya başka bir şey yoluyla olsun, sisteme erişmek için hangi araçların ve taktiklerin kullanılacağına karar verir.
#4. Erişimi açık tutmak
Kalem testi yapanlar hedefe erişim sağladıktan sonra, simüle edilmiş saldırıları, veri hırsızlığı, değişiklik veya işlevlerin kötüye kullanılması hedeflerine ulaşmak için yeterince uzun süre bağlı kalmalıdır. Olası etkiyi göstermek gereklidir.
Sızma Testi Türleri
Bir sağlayıcıya karar vermeden önce, nişanlar odak, derinlik ve süre açısından farklılık gösterdiğinden, erişilebilen birçok kalem testi türünü anlamak çok önemlidir. Aşağıda, yaygın etik bilgisayar korsanlığı taahhütlerine örnekler verilmiştir:
1 numara. Dahili ve Harici Altyapı Sızma Testi
Güvenlik duvarları, sistem ana bilgisayarları ve yönlendiriciler ve anahtarlar gibi cihazlar dahil şirket içi ve bulut ağ altyapısının değerlendirilmesi. İş ağındaki varlıklara odaklanan dahili sızma testi veya internete dönük altyapıya odaklanan harici sızma testi kullanılabilir. Bir testin kapsamını belirlemek için incelenecek dahili ve harici IP'lerin sayısını, ağ alt ağının boyutunu ve site sayısını bilmelisiniz.
2 numara. Kablosuz Penetrasyon Muayenesi
Bir kuruluşun WLAN'ının yanı sıra Bluetooth, ZigBee ve Z-Wave gibi kablosuz protokollerini açıkça hedefleyen bir WLAN (kablosuz yerel alan ağı) testi. Hileli erişim noktalarının, şifreleme kusurlarının ve WPA güvenlik açıklarının tespitine yardımcı olur. Test uzmanlarının, bir etkileşimin kapsamını belirlemek için değerlendirilecek kablosuz ve misafir ağlarının sayısını, konumlarını ve benzersiz SSID'leri bilmesi gerekecektir.
#3. Web Uygulamalarının Test Edilmesi
Kötü amaçlarla kullanılabilecek kodlama, tasarım ve geliştirme kusurlarını belirlemek için internet üzerinden dağıtılan web sitelerinin ve özel programların incelenmesi. Bir test sağlayıcısına başvurmadan önce, test edilmesi gereken uygulamaların yanı sıra değerlendirilmesi gereken statik sayfaların, dinamik sitelerin ve giriş alanlarının sayısını belirleyin.
#4. Mobil Uygulamaların Test Edilmesi
Kimlik doğrulama, yetkilendirme, veri sızıntısı ve oturum işleme güvenlik açıklarını ortaya çıkarmak için Android ve iOS gibi platformlarda mobil uygulama testi. Bir testin kapsamını belirlemek için sağlayıcıların, bir uygulamanın değerlendirilmesini istedikleri işletim sistemlerini ve sürümlerini, API çağrılarının sayısını ve jailbreak ve kök algılama ön koşullarını bilmeleri gerekir.
# 5. Derleme ve Konfigürasyonun İncelenmesi
Web ve uygulama sunucuları, yönlendiriciler ve güvenlik duvarlarındaki hatalar için ağ yapılarını ve yapılandırmalarını inceleyin. Test edilecek derlemelerin, işletim sistemlerinin ve uygulama sunucularının sayısı, bu tür bir etkileşimin kapsamını belirlemek için kritik bilgilerdir.
6 numara. Sosyal mühendislik
Sistemlerinizin ve personelinizin e-posta kimlik avı girişimlerini tanıma ve bunlara yanıt verme kapasitesinin değerlendirilmesi. Özelleştirilmiş kimlik avı, hedef odaklı kimlik avı ve İş E-postası Ele Geçirme (BEC) saldırıları, potansiyel tehlikelere ilişkin ayrıntılı bilgiler sağlar.
#7. Bulut Sızma Testi
Özel bulut güvenlik değerlendirmeleri, bulut ve hibrit ayarlardaki önemli varlıkları açığa çıkarabilecek güvenlik açıklarını tanımlayıp ele alarak kuruluşunuzun ortak sorumluluk zorluklarının üstesinden gelmesine yardımcı olabilir.
# 8. Çevik Bir Ortamda Sızma Testi
Geliştirme döngüsü sırasında güvenlik kusurlarını tespit etmeyi ve düzeltmeyi amaçlayan sürekli, geliştirici merkezli güvenlik değerlendirmeleri. Bu çevik metodoloji, ister basit bir hata düzeltmesi ister büyük bir özellik olsun, her ürün sürümünün güvenlik açısından kapsamlı bir şekilde test edilmesini sağlamaya yardımcı olur.
Sızma Testi Yöntemleri
1 numara. Dış değerlendirme
Harici sızma testleri, bir firmanın web uygulamasının kendisi, şirket web sitesi, e-posta ve alan adı sunucuları (DNS) gibi internette görünen varlıklarını hedefler. Amaç, erişim elde etmek ve faydalı bilgileri çıkarmaktır.
2 numara. İç değerlendirme
Dahili bir testte, şirketin güvenlik duvarının arkasındaki bir uygulamaya erişimi olan bir test kullanıcısı kötü niyetli bir içeriden saldırıyı taklit eder. Bu her zaman bir dönek çalışanı taklit etmek değildir. Yaygın bir başlangıç noktası, bir kimlik avı girişimi sonucunda kimlik bilgileri ele geçirilen bir çalışandır.
#3. Kör test
Kör testte, test eden kişiye yalnızca hedeflenen kuruluşun adı verilir. Bu, güvenlik personeline gerçek bir uygulama saldırısının nasıl gerçekleşebileceğine dair gerçek zamanlı bir görünüm sağlar.
#4. Çift Kör Test
Çift kör testteki güvenlik çalışanlarının, simüle edilen saldırı hakkında önceden bilgisi yoktur. Gerçek dünyada olduğu gibi, bir gedik girişiminden önce tahkimatlarını güçlendirmek için zamanları olmayacak.
# 5. Hedefli test
Bu senaryoda, test cihazı ve güvenlik personeli işbirliği yapar ve hareketlerinden birbirlerini haberdar eder. Bu, bir güvenlik ekibine bir bilgisayar korsanının bakış açısından gerçek zamanlı geri bildirim sağlayan mükemmel bir eğitim alıştırmasıdır.
Sızma Test Cihazının Rolü Nedir?
Penetrasyon test cihazı, diğer bilgisayar bilimi uzmanlarının aksine, siber güvenliğin belirli bir yönüne odaklanır. Güvenlik açığı testi olarak bilinen bir süreç olan bir saldırı gerçekleşmeden önce sistem kusurlarını tespit ederek işletmelerinin dijital bilgilerinin korunmasına yardımcı olurlar.
Sızma testi uzmanları, kuruluşlarını önemli veri ihlalleriyle birlikte gelen mali ve kamu güvenine zarar vermekten kurtarabilir. Potansiyel kusurları ortaya çıkarmak ve gelecekteki saldırılardan kaçınmak için bu profesyoneller tehlikeli bilgisayar korsanları gibi düşünürler.
Penetrasyon test cihazları sıklıkla siber güvenlik veya bilgi teknolojisi (BT) ekipleri tarafından kullanılır. Bilgisayar korsanlığı araçları, kodlama ve komut dosyası oluşturma deneyimi ve güvenlik açıkları ve işletim sistemleri hakkında kapsamlı bilgi, hepsi önemli penetrasyon testi yetenekleridir.
Sızma testi uzmanları, güçlü iletişim, kişilerarası ve rapor yazma becerilerinden yararlanır.
Bir Kalem Test Cihazı Ne Kadar Kazanabilir?
Kalem testçileri çok para kazanabilir. Payscale'e göre, Eylül 2021'de ortalama penetrasyon test cihazı ücreti 87,440 ABD dolarıdır. Bu miktar, BLS'nin tüm işler için Mayıs 2020 ulusal medyan ücreti olan 41,950 ABD dolarından çok daha yüksektir.
Giriş düzeyindeki penetrasyon test uzmanları, deneyimli profesyonellerden daha az kazanır. Ücret, eğitime göre değişir ve daha üst düzey penetrasyon testçileri genellikle daha fazla kazanır. Yer, endüstri ve uzmanlık alanı, tazminatı etkileyebilecek faktörlerdir.
Tecrübeye Dayalı Sızma Testi Uzmanının Maaşı
Sızma testi uzmanları için maaş aralıkları, deneyim düzeyine göre değişir. 20 yıllık deneyime sahip penetrasyon test uzmanları yılda ortalama 124,610 ABD Doları kazanıyor, bu da giriş seviyesindeki çalışanlar için ortalama ücretten yaklaşık 57,000 ABD Doları daha fazladır.
Sadece 1-4 yıllık bir deneyime sahip olmak, bir penetrasyon test cihazının gelirini, giriş seviyesi bir penetrasyon test cihazı için 67,950 $'dan, kariyerinin başındaki bir uzman için 81,230 $'a yükseltebilir.
Sızma Testi Uzmanının Eğitime Dayalı Maaşı
Sızma testi uzmanlarının maaşları genellikle derece düzeyiyle birlikte artar. Örneğin, bilgi güvenliği alanında lisans derecesinden yüksek lisans derecesine geçmek, ortalama ücretleri yılda 19,000 ABD Doları artırabilir.
Başka bir derece elde etmek için gereken zaman ve paraya karşı potansiyel daha iyi ücretleri değerlendirerek ekstra eğitimin faydalarını ve dezavantajlarını düşünün. Sertifikalar ve acemi eğitim kampları daha ucuz olanaklardır.
Sızma testi akademik programları genellikle bilgisayar bilimi, siber güvenlik veya bilgi güvenliği alanlarında dereceler sağlar.
Konuma Göre Sızma Testi Uzmanının Maaşı
Eğitim ve deneyimin yanı sıra, yaşadığınız yerin tazminatınız üzerinde etkisi olabilir. Bir penetrasyon test cihazının geliri, istihdam talebi, yaşam maliyeti ve nüfus yoğunluğu gibi faktörlerden etkilenebilir. Kazanç potansiyelini optimize etmek için ortalamadan daha düşük yaşam maliyeti istatistiklerine sahip daha yüksek ücretli alanlardaki meslekleri düşünün.
Pen Test Kullanıcılarının Ne Kadar Erişimi Var?
Test kullanıcılarına, kalem testinin amaçlarına bağlı olarak hedef sistem hakkında çeşitli derecelerde bilgi veya bu sisteme erişim sağlanır. Belirli durumlarda, kalem testi ekibi tek bir stratejiyle başlar ve onunla devam eder. Zaman zaman, test ekibinin stratejisi, kalem testi sırasında sistem hakkındaki anlayışı arttıkça gelişir. Kalem testi erişimi üç seviyeye ayrılmıştır.
- Opak kutu. Ekibin, hedef sistemin iç yapısı hakkında hiçbir bilgisi yoktur. Bir bilgisayar korsanına benzer şekilde davranır ve dışarıdan yararlanılabilecek kusurları araştırır.
- Yarı şeffaf kutu. Personel, bir veya daha fazla kimlik bilgisine aşinadır. Ayrıca hedefin temel veri yapılarını, kodunu ve algoritmalarını da anlar. Pen test cihazları, hedef sistemin mimari diyagramları gibi kapsamlı tasarım belgelerinden test senaryoları oluşturabilir.
- şeffaf kutu. Kalem testi yapanların, kaynak kodu, ikili dosyalar, kapsayıcılar ve bazı durumlarda sistemi çalıştıran sunucular gibi sistemlere ve sistem yapılarına erişimi vardır. Bu yöntem, en kısa sürede en yüksek düzeyde güvence sağlar.
Sızma Testi Araçları Nedir?
Sızma testi araçları, belirli süreçleri otomatikleştirmek, test hızını artırmak ve yalnızca manuel analitik teknikler kullanılarak tespit edilmesi zor olan kusurları ortaya çıkarmak için bir sızma testinin (Kalem Testi) parçası olarak kullanılır. Statik analiz araçları ve dinamik analiz araçları, iki tür sızma testi aracıdır.
Kalem Test Araçları Türleri Nelerdir?
Herkese uyan tek bir kalem testi aracı yoktur. Bunun yerine, farklı hedefler, bağlantı noktası taraması, uygulama taraması, Wi-Fi izinsiz girişleri ve doğrudan ağ penetrasyonu için farklı araç setleri gerektirir. Kalem testi araçları genel olarak beş gruba ayrılır.
- Ağ ana makinelerini ve açık bağlantı noktalarını bulmak için keşif yazılımı
- Ağ hizmetleri, web uygulamaları ve API'lerdeki güvenlik açıkları için tarayıcılar
- Özel web proxy'leri veya genel ortadaki adam proxy'leri gibi proxy araçları mevcuttur.
- Sömürü araçları, sistem dayanakları elde etmek veya varlıklara erişim sağlamak için kullanılır.
- Sistemlerle etkileşime geçmek, erişimi korumak ve artırmak ve saldırı hedeflerine ulaşmak için istismar sonrası araçlar
Kalem Testini Otomatik Testten Fark Eden Nedir?
Kalem test cihazları, kalem testinin büyük ölçüde manuel bir çaba olmasına rağmen, otomatik tarama ve test araçlarını kullanır. Ayrıca, mevcut saldırı stratejilerine ilişkin anlayışlarını kullanarak güvenlik açığı değerlendirmesinden (örn. otomatik test) daha derinlemesine testler sağlamak için araçların ötesine geçerler.
Manuel kalem testi
Manuel kalem testi, popüler listelerde (örn. OWASP İlk 10) yer almayan güvenlik açıklarını ve zayıflıkları tanımlar ve otomatik testlerin göz ardı edebileceği iş mantığını değerlendirir (örn. veri doğrulama, bütünlük kontrolleri). Manuel kalem testi, otomatik test tarafından sağlanan yanlış pozitiflerin belirlenmesine de yardımcı olabilir. Pen test uzmanları, düşman gibi düşünen profesyoneller olduklarından, saldırılarını hedeflemek için verileri inceleyebilir ve önceden tanımlanmış bir rutini izleyen otomatik test çözümlerinin yapamayacağı şekilde sistemleri ve web sitelerini test edebilir.
Otomatik test
Tamamen manuel kalem testi yaklaşımıyla karşılaştırıldığında, otomatik test sonuçları daha hızlı üretir ve daha az kalifiye kişi gerektirir. Otomatik test programları, sonuçları otomatik olarak izler ve bazen bunları merkezi bir raporlama platformuna aktarabilir. Ayrıca, manuel kalem testlerinin bulguları testten teste farklılık gösterebilir, ancak aynı sistem üzerinde otomatik test yapmak tekrar tekrar aynı sonuçları verir.
Pen Testinin Avantajları ve Dezavantajları Nelerdir?
Güvenlik ihlallerinin sayısı ve ciddiyeti yıldan yıla artarken, kuruluşların saldırılara nasıl dayanabileceklerini görme ihtiyacı hiç bu kadar büyük olmamıştı. PCI DSS ve HIPAA gibi düzenlemeler, uyumluluğu sağlamak için periyodik kalem testlerine ihtiyaç duyar. Bu kısıtlamalar göz önünde bulundurularak, aşağıda bu tür kusur tespit tekniğinin bazı avantajları ve dezavantajları bulunmaktadır.
Pen Testinin Avantajları
- Otomatikleştirilmiş araçlar, yapılandırma ve kodlama standartları, mimari analizi ve diğer daha hafif güvenlik açığı değerlendirme görevleri gibi yukarı akış güvenlik güvencesi yaklaşımlarının kusurları olduğu gösterilmiştir.
- Bilinen ve bilinmeyen yazılım hatalarını ve güvenlik açıklarını, kendi başlarına fazla endişe yaratmayabilen ancak daha büyük bir saldırı modelinin parçası olarak ciddi zararlara neden olabilecek küçük sorunlar da dahil olmak üzere bulur.
- Düşman bilgisayar korsanlarının çoğunun nasıl davranacağını taklit ederek herhangi bir sisteme saldırabilir, gerçek dünyadaki bir düşmanı olabildiğince yakından simüle edebilir.
Pen Testinin Dezavantajları
- Emek yoğun ve pahalıdır
- Hataların ve kusurların üretim ortamına girmesini tamamen engellemez.
Yaygın Olarak Kullanılan İki Sızma Testi Nedir?
En yaygın iki sızma testi türü otomatik ve manueldir.
Sızma Testini Neden Kullanıyoruz?
Sızma testinin amacı, işletmelerin saldırılara karşı en savunmasız oldukları yerleri belirlemelerine ve bilgisayar korsanları bunları istismar etmeden önce bu güvenlik açıklarını proaktif olarak ele almalarına yardımcı olmaktır.
Özetlemek,
Sızma testi (kalem testi), güvenliğini değerlendirmek için bir bilgisayar sistemine yönelik yasal olarak onaylanmış simüle edilmiş bir saldırıdır. Kalem testleri, istismar edilebilecek gerçek dünyadaki güvenlik tehditleri hakkında kapsamlı bilgiler verir. Sızma testi yaparak hangi güvenlik açıklarının kritik, hangilerinin küçük ve hangilerinin yanlış pozitif olduğunu belirleyebilirsiniz.
İlgili Makaleler
- 2023 YILININ EN İYİ ÜRÜN TEST SİTELERİ VE ŞİRKETLERİ
- GAME TESTER: anlam, işler, maaş ve ücretsiz ipuçları
- VİDEO OYUN TEST CİHAZI: Anlam, Maaş, Nasıl Bir Kişi Olunur ve Uzak İşler
- PİYASAYA NÜFUT STRATEJİSİ: Pazara Nüfuz Rehberi (+Ücretsiz İpuçları)
Referanslar
