Zafiyet Taraması ile Sızma Testi Arasındaki Fark
Kısa cevap
Zafiyet taraması “Kapıların hangisi kilitsiz olabilir?” sorusuna, sızma testi ise “Bu kapılardan girersem nereye kadar gidebilirim?” sorusuna cevap verir.
Zafiyet taraması nedir?
Otomatik yazılımların sistemleri bilinen açık veritabanlarına (CVE) ve yaygın yapılandırma hatalarına karşı taramasıdır. Hızlıdır, çok sayıda sistemi kısa sürede kapsar ve düzenli aralıklarla, hatta sürekli çalıştırılabilir.
- Artısı: Geniş kapsam, düşük maliyet, sık tekrarlanabilir
- Eksisi: Yanlış pozitifler, iş mantığı hatalarını göremez, açıkların zincirlenerek ne kadar tehlikeli olduğunu ölçemez
Sızma testi nedir?
Bir güvenlik uzmanının, tarama araçlarını da kullanarak ama asıl olarak elle, saldırgan gibi düşünerek sistemi sınamasıdır. Örneğin bir kullanıcının başka bir kullanıcının faturasını görebilmesi (IDOR) gibi iş mantığı hatalarını tarayıcılar genellikle bulamaz; sızma testi bulur.
- Artısı: Gerçek risk ölçümü, doğrulanmış bulgular, iş mantığı hataları
- Eksisi: Daha uzun süre ve daha yüksek maliyet, belirli bir zamanın fotoğrafı
Karşılaştırma
| Kriter | Zafiyet taraması | Sızma testi |
|---|---|---|
| Yöntem | Otomatik | Elle + araçlar |
| Derinlik | Yüzeysel | Derin |
| Yanlış pozitif | Sık | Nadir (doğrulanır) |
| İş mantığı hataları | Genelde bulamaz | Bulur |
| Sıklık | Haftalık / aylık | Yılda 1-2 ve büyük değişikliklerde |
| Maliyet | Düşük | Orta-yüksek |
Hangisini seçmeli?
Çoğu işletme için doğru cevap ikisini birlikte kullanmaktır. Düzenli zafiyet taraması bilinen açıkların gözden kaçmasını engeller; yılda en az bir kez ve büyük sürümlerden önce yapılan sızma testi ise gerçek riski ortaya koyar. Bütçe kısıtlıysa önce düzenli taramayla başlayıp kritik uygulamalar için sızma testi planlamak mantıklıdır.
Sık yapılan hata
Bir tarama aracının çıktısını “sızma testi raporu” olarak sunmak maalesef yaygın bir uygulamadır. Hizmet alırken metodolojiyi, elle yapılan kontrolleri ve örnek bir raporu sormak bu durumdan korur.
Sonuç
İhtiyacınıza uygun test türünü birlikte belirlemek için siber güvenlik testleri sayfamızı inceleyebilir veya bizimle iletişime geçebilirsiniz.