Penetrasyon Testi

Penetrasyon testi veya etik hackleme olarak da adlandırılan sızma testi, bir saldırganın yararlanabileceği güvenlik açıklarını bulmak için bir bilgisayar sistemini, ağı veya web uygulamasını test etme uygulamasıdır. Penetrasyon testi, yazılım uygulamalarıyla otomatik hale getirilebilir veya manuel olarak gerçekleştirilebilir. Her iki durumda da süreç, testten önce hedef hakkında bilgi toplamayı, olası giriş noktalarını belirlemeyi, içeri girmeye çalışmayı - sanal olarak veya gerçek - ve bulguları geri bildirmeyi içerir.

Sızma testinin temel amacı, güvenlik zayıflıklarını belirlemektir. Sızma testi, bir kuruluşun güvenlik politikasını , uyumluluk gereksinimlerine bağlılığını , çalışanlarının güvenlik farkındalığını ve kuruluşun güvenlik olaylarını tanımlama ve bunlara yanıt verme yeteneğini test etmek için de kullanılabilir .

Tipik olarak, kalem testi yoluyla tespit edilen veya kötüye kullanılan güvenlik zayıflıkları hakkındaki bilgiler toplanır ve kuruluşun BT ve ağ sistemi yöneticilerine sunulur, böylece stratejik kararlar almaları ve iyileştirme çabalarına öncelik vermeleri sağlanır .

Penetrasyon testleri bazen beyaz şapka saldırıları olarak da adlandırılır çünkü bir kalem testinde iyi adamlar içeri girmeye çalışır.

Sızma testinin amacı

Kalem testinin temel amacı, bir kuruluşun güvenlik duruşundaki zayıf noktaları belirlemek, ayrıca güvenlik politikasının uygunluğunu ölçmek, personelin güvenlik sorunları konusundaki farkındalığını test etmek ve kuruluşun konu olup olmayacağını ve nasıl olacağını belirlemektir. güvenlik felaketlerine.

Bir sızma testi, bir şirketin güvenlik politikalarındaki zayıflıkları da vurgulayabilir. Örneğin, bir güvenlik politikası, bir kuruluşun sistemlerine yönelik bir saldırıyı önlemeye ve tespit etmeye odaklansa da, bu politika bir bilgisayar korsanını sınır dışı etme sürecini içermeyebilir.

Sızma testi ile oluşturulan raporlar, bir kuruluşun güvenliği için yapmayı planladığı yatırımları önceliklendirmesi için ihtiyaç duyduğu geri bildirimi sağlar. Bu raporlar ayrıca uygulama geliştiricilerin daha güvenli uygulamalar oluşturmasına yardımcı olabilir. Geliştiriciler, bilgisayar korsanlarının geliştirilmesine yardımcı oldukları uygulamalara nasıl girdiklerini anlarlarsa, amaç geliştiricileri güvenlik konusunda eğitimlerini geliştirmeye motive etmektir, böylece gelecekte aynı veya benzer hataları yapmazlar.

Ne sıklıkla sızma testi yapmalısınız?

Kuruluşlar, daha tutarlı ağ güvenliği ve BT yönetimi sağlamak için düzenli olarak - ideal olarak yılda bir kez - kalem testi yapmalıdır. Düzenlemenin zorunlu kıldığı analiz ve değerlendirmelerin yanı sıra, sızma testleri de bir kuruluşun aşağıdaki durumlarda çalıştırılabilir:

Bununla birlikte, penetrasyon testi herkese uygun olmadığından, bir şirketin kalem testine girmesi gerektiğinde, aşağıdakiler de dahil olmak üzere başka birkaç faktöre de bağlıdır:

Şirketin büyüklüğü. İnternette daha fazla varlığa sahip şirketler daha fazla saldırı vektörüne sahiptir ve bu nedenle bilgisayar korsanları için daha çekici hedeflerdir.

Sızma testleri maliyetli olabilir, bu nedenle daha küçük bütçeye sahip bir şirket bunları yıllık olarak yapamayabilir. Daha küçük bütçeli bir kuruluş, yalnızca iki yılda bir sızma testi yapabilirken, daha büyük bütçeli bir şirket yılda bir kez sızma testi yapabilir.

Yönetmelikler ve uyum. Belirli sektörlerdeki kuruluşlar, yasa gereği kalem testi dahil olmak üzere belirli güvenlik görevlerini yerine getirmek zorundadır.

Altyapısı bulutta olan bir şirketin bulut sağlayıcısının altyapısını test etmesine izin verilmeyebilir. Bununla birlikte, sağlayıcı kendi başına kalem testleri yapıyor olabilir.

Sızma testi çabaları, faaliyet gösterdiği sektöre olduğu kadar bireysel kuruluşa da uyarlanmalı ve takip ve değerlendirme görevlerini içermelidir, böylece en son kalem testinde bulunan güvenlik açıkları aşağıdaki testlerde rapor edilir.

Penetrasyon testi araçları

Kalem test uzmanları, standart uygulama güvenlik açıklarını ortaya çıkarmak için genellikle otomatik araçlar kullanır. Penetrasyon araçları, bir güvenlik ihlaline neden olabilecek uygulamalardaki kötü amaçlı kodları tanımlamak için kodu tarar. Kalem testi araçları, veri şifreleme tekniklerini inceler ve sistemdeki güvenlik açıklarını doğrulamak için kullanıcı adları ve parolalar gibi sabit kodlanmış değerleri belirleyebilir.

Sızma testi araçları şunları yapmalıdır:

• Kurulumu, yapılandırması ve kullanımı kolay olmalıdır;

• Bir sistemi kolayca tarayın;

• Güvenlik açıklarını önem derecesine, yani hemen düzeltilmesi gerekenlere göre sınıflandırır;

• Güvenlik açıklarının doğrulanmasını otomatikleştirebilme;

• Önceki istismarları yeniden doğrulayın;

• Ayrıntılı güvenlik açığı raporları ve günlükleri oluşturun.

En popüler sızma testi araçlarının çoğu ücretsiz veya açık kaynaklı yazılımlardır; bu, kalem test uzmanlarına kodu kendi ihtiyaçlarına göre değiştirme veya başka şekilde uyarlama yeteneği verir. En yaygın olarak kullanılan ücretsiz veya açık kaynak kalem test araçlarından bazıları şunlardır:

Metasploit Projesi, Metasploit yazılımının tam özellikli sürümlerini lisanslayan güvenlik şirketi Rapid7'ye ait açık kaynaklı bir projedir. Sunucularda, çevrimiçi tabanlı uygulamalarda ve ağlarda kullanılabilecek popüler sızma testi araçlarını toplar. Metasploit, güvenlik sorunlarını ortaya çıkarmak, güvenlik açığı azaltmalarını doğrulamak ve güvenlik süreçlerini yönetmek için kullanılabilir.

"Ağ eşleştiricisi" nin kısaltması olan Nmap, açık bağlantı noktalarına bağlı güvenlik açıkları için sistemleri ve ağları tarayan bir bağlantı noktası tarayıcısıdır . Nmap, taranacak sistemin veya ağın bulunduğu IP adresine veya adreslerine yönlendirilir ve ardından bu sistemleri açık portlar için test eder; Ek olarak, Nmap ana bilgisayar veya hizmet çalışma süresini izlemek ve ağ saldırı yüzeylerini haritalamak için kullanılabilir.

Wireshark , ağ trafiğini profillemek ve ağ paketlerini analiz etmek için kullanılan bir araçtır. Wireshark, kuruluşların ağlarında gerçekleşen ağ etkinliklerinin daha küçük ayrıntılarını görmelerini sağlar. Bu sızma aracı, ağ trafiğindeki güvenlik açıklarını gerçek zamanlı olarak değerlendiren bir ağ çözümleyicisi / ağ algılayıcısı / ağ protokolü çözümleyicisidir. Wireshark genellikle çeşitli düzeylerde ağ trafiğinin ayrıntılarını incelemek için kullanılır.

John the Ripper , tek bir pakette farklı parola kırıcıları birleştirir, farklı türdeki parola karmalarını otomatik olarak tanımlar ve özelleştirilebilir bir kırıcı belirler. Kalem testi yapanlar, genellikle bu aracı sistemlerde veya veritabanlarında parola zayıflıklarını bulmak amacıyla saldırılar başlatmak için kullanır.

Penetrasyon test uzmanları, siyah şapka bilgisayar korsanlarının kullandığı araçların çoğunu kullanır, bunun nedeni kısmen bu araçların iyi belgelenmesi ve yaygın olarak bulunmasının yanı sıra, kalem test uzmanlarının bu araçların kuruluşlarına karşı nasıl kullanılabileceğini daha iyi anlamalarına yardımcı olur.

Penetrasyon testi stratejileri

Herhangi bir sızma testi programının önemli bir yönü, kalem test uzmanlarının çalışması gereken kapsamı tanımlamaktır. Genellikle kapsam, bir sızma testinde hangi sistemlerin, konumların, tekniklerin ve araçların kullanılabileceğini tanımlar. Sızma testinin kapsamının sınırlandırılması, ekip üyelerinin ve savunucuların kuruluşun kontrolünün olduğu sistemlere odaklanmasına yardımcı olur.

Penetrasyon testi veya etik hackleme olarak da adlandırılan sızma testi, bir saldırganın yararlanabileceği güvenlik açıklarını bulmak için bir bilgisayar sistemini, ağı veya web uygulamasını test etme uygulamasıdır. Penetrasyon testi, yazılım uygulamalarıyla otomatik hale getirilebilir veya manuel olarak gerçekleştirilebilir. Her iki durumda da süreç, testten önce hedef hakkında bilgi toplamayı, olası giriş noktalarını belirlemeyi, içeri girmeye çalışmayı - sanal olarak veya gerçek - ve bulguları geri bildirmeyi içerir.

Sızma testinin temel amacı, güvenlik zayıflıklarını belirlemektir. Sızma testi, bir kuruluşun güvenlik politikasını , uyumluluk gereksinimlerine bağlılığını , çalışanlarının güvenlik farkındalığını ve kuruluşun güvenlik olaylarını tanımlama ve bunlara yanıt verme yeteneğini test etmek için de kullanılabilir .

Tipik olarak, kalem testi yoluyla tespit edilen veya kötüye kullanılan güvenlik zayıflıkları hakkındaki bilgiler toplanır ve kuruluşun BT ve ağ sistemi yöneticilerine sunulur, böylece stratejik kararlar almaları ve iyileştirme çabalarına öncelik vermeleri sağlanır .

Penetrasyon testleri bazen beyaz şapka saldırıları olarak da adlandırılır çünkü bir kalem testinde iyi adamlar içeri girmeye çalışır.

Bulut kalem testi sorumlulukları

Sızma testi sorumlulukları, farklı bulut ve şirket içi sistem karışımları için değişiklik gösterir.

Sızma testi ile oluşturulan raporlar, bir kuruluşun güvenliği için yapmayı planladığı yatırımları önceliklendirmesi için ihtiyaç duyduğu geri bildirimi sağlar. Bu raporlar ayrıca uygulama geliştiricilerin daha güvenli uygulamalar oluşturmasına yardımcı olabilir. Geliştiriciler, bilgisayar korsanlarının geliştirilmesine yardımcı oldukları uygulamalara nasıl girdiklerini anlarlarsa, amaç geliştiricileri güvenlik konusunda eğitimlerini geliştirmeye motive etmektir, böylece gelecekte aynı veya benzer hataları yapmazlar.