Sızma Testi ve Güvenlik Açığı Taraması Arasındaki Farklar

Bir işletmenin web sitesi sorunsuz çalışıyor, firewall cihazı güncel ve sunucularında antivirüs yazılımı bulunuyor olabilir.

Ancak bu durum, BT altyapısında hiç güvenlik açığı olmadığı anlamına gelmez.

Yanlış yapılandırılmış erişim izinleri, güncel olmayan yazılımlar, zayıf kimlik doğrulama yöntemleri veya uygulama hataları, işletmeler için önemli riskler oluşturabilir.

Bu riskleri değerlendirmek için kullanılan iki yaygın yöntem sızma testi (penetrasyon testi veya pentest) ve güvenlik açığı taramasıdır.

Peki sızma testi ile güvenlik açığı taraması arasındaki fark nedir? İşletmeler hangisini tercih etmeli ve hangi durumlarda birlikte kullanılmalıdır?

Sızma testi nedir?

Sızma testi, bir sistemin, ağın veya uygulamanın belirlenen kapsamda güvenlik açısından değerlendirilmesi amacıyla gerçekleştirilen kontrollü test sürecidir.

Bu çalışmada yetkilendirilmiş güvenlik uzmanları, gerçek saldırılarda kullanılabilecek belirli tekniklerden yararlanarak güvenlik kontrollerinin etkinliğini değerlendirir.

Sızma testinde amaç yalnızca açıkların listesini oluşturmak değildir.

Tespit edilen zayıflıkların, izin verilen sınırlar içinde nasıl bir güvenlik riski oluşturabileceği ve hangi sistemleri etkileyebileceği de araştırılabilir.

Örneğin tek başına düşük riskli görünen birden fazla yapılandırma hatası bir araya geldiğinde daha ciddi bir risk oluşturabilir.

Sızma testinin kapsamı ve uygulanacak yöntemler, test başlamadan önce açıkça belirlenmelidir.

Güvenlik açığı taraması nedir?

Güvenlik açığı taraması (vulnerability scanning), sistemlerde bilinen zafiyetlerin, yanlış yapılandırmaların ve belirli güvenlik eksiklerinin tespit edilmesine yönelik değerlendirme yöntemidir.

Bu süreçte otomatik araçlar yaygın olarak kullanılır.

Örneğin sunucular, ağ cihazları ve uygulamalar taranarak aşağıdaki bulgular araştırılabilir:

• Güncel olmayan yazılım sürümleri
• Bilinen güvenlik açıkları
• Yanlış yapılandırılmış servisler
• Gereksiz açık portlar
• Eksik güvenlik güncellemeleri
• Belirli erişim ve yapılandırma sorunları

Taramanın sağladığı bilgiler kullanılan araca, erişim yetkilerine ve tarama yöntemine göre değişir.

Güvenlik açığı taraması, bütün açıkların kesin olarak bulunduğunu veya bulunan her zafiyetin kullanılabilir olduğunu garanti etmez.

Sızma testi ve güvenlik açığı taraması arasındaki temel farklar

| Kriter | Güvenlik açığı taraması | Sızma testi | |---|---|---| | Temel amaç | Olası zafiyetleri belirlemek | Güvenlik kontrollerini ve belirli saldırı senaryolarını değerlendirmek | | Yöntem | Genellikle otomatik araçlar | Uzman analizi ve kontrollü test yöntemleri | | Kapsam | Geniş varlık listelerinde uygulanabilir | Belirlenen hedef ve senaryolara odaklanır | | Sıklık | Düzenli ve tekrarlayan çalışmalara uygun | Risklere ve değişikliklere göre planlanır | | Çıktı | Zafiyet bulguları ve öncelikler | Teknik bulgular, kanıtlar ve etki değerlendirmesi | | Sınırlamalar | Yanlış pozitifler veya kapsam eksikleri olabilir | Süre ve kapsam nedeniyle her saldırı senaryosu test edilemeyebilir |

Bu iki yaklaşım birbirinin yerine geçen çözümler değildir.

Çoğu durumda birlikte kullanıldıklarında daha anlamlı sonuçlar elde edilir.

Zafiyet taraması neden tek başına yeterli olmayabilir?

Otomatik tarama araçları bilinen sorunları tespit etmekte yararlıdır.

Ancak her güvenlik problemi yalnızca ürün sürümünden veya açık bir porttan kaynaklanmaz.

Örneğin bir web uygulamasında kullanıcıların başka müşterilerin kayıtlarına erişebilmesine neden olan bir yetkilendirme hatası bulunabilir.

Bu tür iş mantığı ve erişim kontrolü sorunlarının tespiti için ilgili uygulamanın davranışının ayrıca değerlendirilmesi gerekebilir.

Benzer şekilde farklı sistemler arasındaki güven ilişkileri veya gereğinden geniş kullanıcı yetkileri bazı saldırı senaryolarında önem kazanabilir.

Bu nedenle otomatik tarama sonuçlarının uzman tarafından doğrulanması ve gerekli durumlarda daha ayrıntılı güvenlik testleriyle desteklenmesi yararlıdır.

Sızma testi hangi sistemlerde yapılabilir?

İşletmenin ihtiyacına göre farklı sızma testi kapsamları oluşturulabilir.

Web uygulama güvenlik testi

Web siteleri, müşteri portalları, oturum yönetimi ve yetkilendirme mekanizmaları değerlendirilebilir.

API güvenlik testi

Uygulamalar arasındaki veri aktarımı, kimlik doğrulama ve yetki kontrolleri incelenebilir.

Ağ sızma testi

Kurumsal ağlar, sunucular, erişim servisleri ve belirlenen ağ segmentleri değerlendirilebilir.

Kablosuz ağ güvenliği

Wi-Fi altyapısı, ağ ayrımı, kimlik doğrulama ve uygun güvenlik yapılandırmaları incelenebilir.

Bulut güvenlik değerlendirmesi

Kullanılan bulut hizmetlerinin izin verilen kapsamda erişim, yapılandırma ve güvenlik kontrolleri değerlendirilebilir.

Hangi kapsamın uygulanacağı işletmenin risklerine ve yazılı test yetkilendirmesine bağlıdır.

FortiGate ve kurumsal ağlarda sızma testi neyi kapsayabilir?

FortiGate gibi güvenlik duvarları, kurumun internete açık servislerini ve ağlar arasındaki erişimi yönetebilir.

Ancak firewall cihazının bulunması tek başına bütün ağ güvenliği gereksinimlerinin karşılandığını göstermez.

Uygun kapsamda yapılacak değerlendirmelerde:

• İnternete açık servisler
• Güvenlik duvarı erişim politikaları
• VPN bağlantılarının güvenlik kontrolleri
• Ağ segmentasyonu
• Yönetici erişimleri
• Sunucu ve uygulama servisleri
• Ağ cihazlarının güncelliği

gibi konular incelenebilir.

Bu çalışmalar, üretim ortamını etkilemeyecek şekilde planlanmalı; aktif test yöntemleri için gerekli izinler alınmalıdır.

Sızma testi yaptırmadan önce nelere dikkat edilmeli?

Güvenlik testinin başlamasından önce testin kapsamı ve kuralları belirlenmelidir.

Önemli sorular şunlardır:

1. Hangi IP adresleri ve uygulamalar test kapsamındadır?
2. Test için yazılı izin verilmiş midir?
3. Üretim sistemlerinde hangi yöntemler kullanılabilir?
4. Testin çalışma saatleri nasıl belirlenecektir?
5. Kritik sistemler için özel sınırlamalar var mıdır?
6. Bulgular nasıl raporlanacaktır?
7. Düzeltme sonrasında yeniden test yapılacak mıdır?

Yetkisiz veya kapsam dışı sistemlerin test edilmesi uygun değildir.

Sızma testi raporunda neler bulunmalı?

İyi hazırlanmış bir güvenlik değerlendirme raporu yalnızca bulunan açıkların isimlerini listelemekle sınırlı olmamalıdır.

Örneğin şu bilgiler yer alabilir:

• Testin kapsamı ve kullanılan yaklaşım
• Bulguların teknik açıklamaları
• Etkilenen varlıklar
• Güvenlik riskinin değerlendirilmesi
• Uygun kanıt ve doğrulama bilgileri
• Düzeltme önerileri
• Önceliklendirme
• Gerektiğinde yeniden test sonuçları

CVSS gibi teknik önem derecesi göstergeleri kullanılabilir. Ancak bir bulgunun işletme üzerindeki gerçek etkisi, varlığın kritikliğine ve mevcut güvenlik kontrollerine göre ayrıca değerlendirilmelidir.

Sızma testi ne sıklıkla yapılmalı?

Bütün işletmeler için geçerli tek bir test sıklığı yoktur.

Test programı belirlenirken sistemlerin kritiklik düzeyi, değişiklik sıklığı, müşteri sözleşmeleri ve uygulanabilir mevzuat dikkate alınmalıdır.

Özellikle internete açık önemli bir uygulama devreye alındığında, mimaride büyük değişiklik yapıldığında veya yüksek riskli bir zafiyet tespit edildiğinde ek değerlendirme gerekebilir.

Düzenli güvenlik açığı taramaları ise testler arasındaki dönemde ortaya çıkan belirli risklerin izlenmesine yardımcı olabilir.

ISO 27001 için sızma testi zorunlu mu?

ISO/IEC 27001, kurumların bilgi güvenliği risklerini değerlendirmesini ve uygun kontrolleri uygulamasını gerektirir.

Ancak bütün işletmeler için, bütün sistemlerde, aynı yöntem ve sıklıkta sızma testi uygulanmasını öngören tek bir genel kural bulunduğu varsayılmamalıdır.

Risk değerlendirmesi, uygulanabilir kontroller, sözleşmeler, sektör düzenlemeleri ve ilgili diğer gereklilikler dikkate alınmalıdır.

Sızma testi, güvenlik açığı yönetimi süreçlerini destekleyen önemli araçlardan biri olabilir.

Sızma testi fiyatları neye göre değişir?

Fiyatı etkileyen başlıca konular şunlardır:

• Test edilecek IP ve sistem sayısı
• Web veya API uygulamalarının karmaşıklığı
• Test kapsamı ve yaklaşımı
• Kullanıcı rolleri ve yetkilendirme senaryoları
• Test süresi
• Raporlama beklentileri
• Yeniden test gereksinimleri

Bu nedenle kapsam belirlenmeden yalnızca “sızma testi fiyatı” üzerinden sağlıklı bir karşılaştırma yapmak zordur.

RelGen Teknoloji ile sızma testi ve güvenlik değerlendirmesi

RelGen Teknoloji, işletmelerin mevcut BT altyapısı ve güvenlik ihtiyaçlarını değerlendirerek güvenlik açığı taraması, sızma testi planlaması ve teknik iyileştirme süreçlerinin oluşturulmasına yardımcı olur.

Firewall, ağ güvenliği, sunucular, erişim yetkileri ve kritik uygulamaların korunması birlikte ele alınabilir.

Amaç yalnızca bir rapor oluşturmak değil; bulunan risklerin anlaşılmasını, önceliklendirilmesini ve uygun teknik önlemlerle azaltılmasını desteklemektir.

Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçerek kurumunuzun güvenlik değerlendirme ihtiyaçlarını görüşebilirsiniz.

Sık sorulan sorular

Sızma testi ile güvenlik açığı taraması aynı şey mi?

Hayır. Güvenlik açığı taraması potansiyel zafiyetleri tespit etmeye odaklanır. Sızma testi ise belirli senaryolarla güvenlik kontrollerini daha kapsamlı değerlendirebilir.

Sızma testi bütün güvenlik açıklarını bulur mu?

Hayır. Sonuçlar testin kapsamı, süresi, kullanılan yöntemler ve sistemin durumuna bağlıdır.

Küçük işletmeler de sızma testi yaptırmalı mı?

Risklerine ve kullandıkları sistemlere göre güvenlik değerlendirmesinden yararlanabilirler. Doğru test kapsamı işletmenin ihtiyacına göre belirlenmelidir.

Teknik kaynak: NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment