Penetrasyon testi nedir ?

Penetrasyon testi nedir ?

Penetrasyon TestiMerhaba, Ağ ve Güvenlik üzerine yazı serisine başladığımı bu cümle ile duyurmuş oluyorum. İlk başlığımız Penetrasyon Testi Nedir ? oldu. Kısaca Pentest diyebilirsiniz. Penetrasyon testi firmaların Bilişim Sistemlerini oluşturan ağ altyapılarını, donanım, yazılım ve uygulamalara kötü niyetli birinin saldırmasını öngören yöntemler kullanılarak yapılan saldırı ve müdahaleler ile güvenlik açıklarının tespit edilip bu açıklarla sisteme sızılmaya çalışılması ve tüm bu işlemlerin raporlanmasıdır. Amaç şirketlerin farkında olmadıkları güvenlik açıklarının iyileştirilmesidir.

Test sırasında uzmanlar tıpkı bir saldırgan gibi hareket eder ve sistemin tüm açıklarını, riskleri ve erişilebilirliği ortaya çıkarırlar. Çok farklı yöntemler ve değişkenler söz konusu olduğundan uzmanlar tarafından gerçekleştirilmesi gerekmektedir.

Penetrasyon Testleri :

  1. Black Box
  2. Gray Box
  3. White Box olarak üç gruba ayrılır.

Black Box : Bu yöntemde sızma testini gerçekleştiren firmayla herhangi bir bilgi paylaşımında bulunulmaz. Zarar vermek ya da firmadan bilgi sızdırmak amacıyla sızmaya çalışan saldırgan gibi davranılarak verilebilecek zararları görmek ve önlem almak amacıyla sistemlere girmeye çalışılır.

Gray Box : White Box + Black Box olarak tanımlayabiliriz. Sistemlerin, sistemler hakkında detaylı bilgi alınmadan test edilmesi yöntemidir. Bu test ile firma içinde kısıtlı yetkilere sahip kullanıcıların sisteme verebilecekleri zararlar tespit edilip önlemler geliştirilir.

White Box : Güvenlik uzmanı, firma içinde yetkili kişilerce bilgilendirilir ve firma hakkında ki tüm sistemler hakkında bilgi sahibi olur. Bu yöntemde daha önce firmada yer almış ya da hala çalışmakta olan kişilerin sistemlere verebilecekleri zararlar gözetilir ve raporlanır.

Penetrasyon testi Application, Dos, İnternet, İntranet ve Process alanlarını içerir.

Application testinde uygulamaların kaynak kodları otomatik olarak hazır yazılımlarla ve manuel yöntemlerle incelenerek kodlar üzerinde güvenlik zaafiyetleri aranır.  Dos testinde şirketlerin internet ya da intranet altyapılarının  hizmet durdurma saldırılarına karşı güçlü olup olmadığı tespit edilir ve önlemler geliştirilir. Dos testlerinde sistemin ve işleyişin aksamaması için karşılıklı olarak belirlenen uygun bir zamanda gerçekleştirilmesi gerekir. Kurumların internet ‘e açık olan uygulamalarının ve servislerinin güvenliği de pentest dahilindedir. Ayrıca firmaların intranet yani kendi iç ağlarının güvenlik durumu, mevcut risklerin belirlenmesi ve alınması gereken önlemler de penetrasyon testi içerisindedir.

Penetrasyon testi aşamaları :

  • Pasif Bilgi Toplama
  • Aktif Bilgi Toplama
  • Ağ Analizi
  • Port Analizi
  • Sistem Analizi
  • Yetki Yükseltme
  • Sistem Durdurma
  • Kaynakların Doldurulması
  • Yetkisiz Erişim Sağlama
  • Risk Değerlendirmesi
  • Web Tabanlı Uygulamalara Yönelik Saldırılar
  • Sosyal Mühendislik Saldırıları

Penetrasyon testinden sonra neler yapılmalı :

Test bittikten sonra sonuçları değerlendirebilmek ve raporlamakta, testin teknik tarafı kadar önemlidir. Test sonrası ortaya çıkan eksiklikler giderilmeli ve ileri zamanlarda tekrar aynı zaafiyetlerle karşılaşmamak için önlemler alınarak geliştirmeler yapılmalıdır.

  • Pentest şirketin üst yönetim birimlerinin anlayacağı açık bir dille raporlanmalıdır.
    • Çıkan sonuçlar istatiksel oranlara bölünmeli ve bulunan zaafiyetler kategorilere ayrılmalı (örn : kritik, yüksek, orta, bilgi seviyesi vb. )
    • Tespit edilen güvenlik açıkları raporlanırken teknik olarak zafiyet bazlı veya IP bazlı olabilir.
    • Raporda teknik detay olarak ; zaafiyet ismi, etkilenen makineler (kullanıcılar, sunucular, switch vb.), açıklama, çözüm önerisi, ilgili port/servis, referanslar ( MS08-067 –> CVE-2008-250 ) , elde edilen detaylar ve ekran görüntüleri yer almalıdır.
  • Güvenlik açıklarının neden olabileceği sonuçlar ile risk değerlendirilmesi yapılmalıdır.
  • Açıklıklarının kapatılmasının takibi yapılmalıdır.
  • Raporda yer alan açıklar belirlenerek hangi açığın kimin sorumluluğunda olduğu belirlenmelidir.

Pentest ne sağlar ?

Bilgi güvenliği farkındalığı sağlanır. Dışarıdan saldırgan bakış açısıyla güvenlik açıklarının kontrolü ve raporlanması güvenlik açısından önemlidir. Şirketlerin kendi içlerindeki güvenlik tedbirleri çoğunlukla yeterli olmamakta ve önlemler güncelliğini koruyamamaktadır. Ayrıca kötü niyetli hackerların sayısının artması ve bilgi düzeylerinin genellikle bir çok şirket çalışanından önde olması pentestin önemini ortaya koymaktadır. Pentest bir şirketin bilişim sistemleri için iç ve dış tehditlere karşı güncel önlemler alınmasını ve zafiyetlerin giderilmesini sağlar.

  • Saldırılara karşı daha dirençli bir bilişim altyapısı
  • Kullanıcı bazlı olarak bilgi güvenliği farkındalığının artması
  • Sistemlerin durdurulma veya kaynak doldurmaların engellenmesi
  • Yasal olarak uyum sağlama
  • Kurum prestijinin ve marka değerinin korunması sağlanır.

Penetrasyon testi nedir başlığı ile güvenlik kategorisini daha sık güncelleyeceğimi duyurmak isterim. Bu yazı içinde pentestin özelliklerinden, çeşitlerinden, aşamalarında bahsettim. Bundan sonraki başlıklarda pentest aşamalarını uygulamalar yaptıkça adım adım inceleyecek ve buradan sizlerle paylaşacağım.

Share this Story
Load More By Karabulut

Facebook Yorumarı

3 Yorumlar


  1. kemal

    07/22/2013 at 12:54

    çok yararlı bir makale olmuş. İzninle biraz değiştirerek kendi anlatımımla sunmak istiyorum websitemde 🙂

    Cevapla

  2. […] ile ilgili bazı konualara degınmeye calıstım insallah faydalı olmustur. kaynak:http://www.karabulut.co/penetrasyon-bilgi-toplama/ Yazan: Mustafa […]

    Cevapla

  3. […] üzerine yazı serisine başladığımı bu cümle ile duyurmuş oluyorum. İlk başlığımız Penetrasyon Testi Nedir ? oldu. KısacaPentest diyebilirsiniz. Penetrasyon testi firmaların Bilişim Sistemlerini oluşturan […]

    Cevapla

Bir Yorum Yaz

Your email address will not be published. Required fields are marked *

Bunu da okuyabilirsin

Dijital Pazarlamada Kohort Analizi (Cohort)

Cohort kelimesinin malesef dilimizde sözcük olarak tam karşılığı bulunmuyor. ...