Sızma Testi (Penetrasyon Testi) Nedir, Nasıl Yapılır?
Sızma testinin tanımı
Sızma testi (penetrasyon testi ya da kısaca pentest), bir web uygulamasının, ağın, mobil uygulamanın veya sunucunun güvenliğini yazılı izin ve belirlenmiş kapsam dahilinde saldırgan bakış açısıyla test etme işidir. Otomatik tarayıcıların ötesine geçer: test uzmanı bulduğu zayıflıkları birbirine bağlayarak gerçekte ne kadar ileri gidilebileceğini gösterir.
Neden yaptırılır?
- Müşteri verisini ve ticari sırları korumak
- KVKK, ISO 27001, PCI DSS gibi düzenleme ve standartların beklentilerini karşılamak
- Büyük bir sürüm, altyapı değişikliği veya yeni bir ürün öncesinde riski görmek
- Kurumsal müşterilerin tedarikçi güvenlik anketlerine kanıt sunmak
Test türleri
Kara kutu testte uzmana sistem hakkında neredeyse hiç bilgi verilmez; dışarıdan bir saldırganı taklit eder. Gri kutu testte bir kullanıcı hesabı gibi sınırlı bilgi verilir; en verimli ve en sık tercih edilen yöntemdir. Beyaz kutu testte kaynak kod ve mimari dokümanlar paylaşılır, en derin inceleme yapılır.
Sızma testinin aşamaları
- Kapsam ve kurallar: Hangi alan adları, IP'ler, uygulamalar test edilecek; hangi saatlerde, hangi yöntemler yasak? Bunlar yazılı olarak netleştirilir.
- Bilgi toplama: Açık kaynaklardan ve sistemin kendisinden teknoloji, sürüm ve yüzey bilgisi çıkarılır.
- Zafiyet analizi: Otomatik araçlar ve elle inceleme ile olası açıklar listelenir.
- İstismar: Açıkların gerçekten kullanılabilir olup olmadığı, veri ve sisteme zarar vermeden doğrulanır.
- Raporlama: Her bulgu risk seviyesi, kanıt ve çözüm önerisiyle raporlanır.
- Tekrar testi: Düzeltmelerden sonra bulguların kapandığı doğrulanır.
Ne kadar sürer?
Süre kapsamla doğrudan ilişkilidir. Tek bir orta ölçekli web uygulaması genellikle birkaç iş gününde test edilebilir; çok sayıda uygulama, API ve iç ağ içeren kapsamlar haftalar sürebilir. Net süreyi ancak kapsam belirlendikten sonra vermek doğru olur.
Dikkat edilmesi gerekenler
- Test mutlaka yazılı izinle yapılmalıdır; izinsiz test yasal suçtur.
- Canlı sistemde test yapılacaksa yedek alınmalı, kritik saatler hariç tutulmalıdır.
- Rapordaki bulgular önceliklendirilip bir sorumluya atanmazsa test boşa gider.
Sonuç
Sızma testi tek seferlik bir kontrol değil, düzenli tekrarlanan bir güvenlik alışkanlığıdır. Sistemlerinizi test ettirmek isterseniz siber güvenlik testleri sayfamızı inceleyebilir veya ücretsiz keşif görüşmesi talep edebilirsiniz.