Sızma Testi (Penetration Test)

Sızma Testi nedir?

Sızma testi (penetrasyon testi), bir bilişim sisteminin dış ve iç tehditlere karşı ne ölçüde dayanıklı olduğunu tespit etmek amacıyla yapılan etik ve kontrollü siber saldırı simülasyonudur. Amaç, kötü niyetli kişilerin kullanabileceği güvenlik açıklarını kuruluş adına önceden keşfetmek ve bu açıkların ne kadar kritik olduğunu ortaya koymaktır. Bu süreç, bir kurumun dijital altyapısının ne kadar güvenli olduğunu test etmenin en etkili yollarından biridir.

Neden Sızma Testi Yaptırmalısınız?

Siber güvenlik, artık sadece BT departmanının değil, tüm kurumun sorumluluğundadır. Günümüzde siber saldırılar yalnızca büyük şirketleri değil, KOBİ’leri, sağlık kuruluşlarını, eğitim kurumlarını ve kamu kurumlarını da hedef alıyor. Fidye yazılımları, kimlik hırsızlığı, sistem ele geçirme gibi tehditler her geçen gün artıyor. Bu tehditlerin çoğu, basit yapılandırma hataları ya da fark edilmeyen güvenlik açıkları nedeniyle gerçekleşiyor.
Sızma testleri, bu riskleri öngörüp önlemek için proaktif bir güvenlik adımıdır. Ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), KamuNET, Bilgi ve İletişim Güvenliği Rehberi, ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi, ISO 27701 gibi standart ve düzenlemeler de kurumların düzenli olarak sızma testi yaptırmasını doğrudan veya dolaylı şekilde zorunlu kılar.

Test Sürecimiz Nasıl İşliyor?

4Dimension olarak, sızma testi hizmetimizi uluslararası metodolojilere (OWASP, OSSTMM, NIST, PTES) uygun şekilde gerçekleştiriyoruz. Süreci şu adımlarla yönetiyoruz:

1. Planlama ve Keşif:
Kuruma özel hedefler ve test kapsamı belirlenir. Ağ haritaları çıkarılır, kullanılacak protokoller, IP blokları ve test zamanlamaları netleştirilir. Sosyal mühendislik ya da e-posta testleri gerekiyorsa bu aşamada planlanır.

2. Açıklık Tespiti (Vulnerability Scanning):
Güncel zafiyet tarama araçları ve manuel yöntemlerle sistemdeki olası güvenlik açıkları tespit edilir. Web uygulamaları, sunucular, veritabanları, ağ cihazları ve kablosuz ağlar bu kapsamda incelenir.

3. Sömürme (Exploitation):
Bulunan güvenlik açıklarının gerçekten kötüye kullanılabilir olup olmadığı test edilir. Bu adımda saldırı simülasyonları gerçekleştirilir, örneğin: kimlik doğrulama bypass, veri sızdırma, RCE (uzaktan komut çalıştırma) vb.

4. Yetki Yükseltme ve Lateral Movement:
Sistemde sınırlı bir kullanıcı erişimi varsa, bunun daha yüksek yetkilere çıkarılıp çıkarılamayacağı test edilir. Ayrıca bir sistemden diğerine geçiş (lateral movement) yapılarak iç ağdaki yayılma potansiyeli analiz edilir.

5. Kanıt Toplama ve İz Bırakmama:
Tüm test boyunca yapılan işlemler kayıt altına alınır; sistemin kararlılığı bozulmaz. Testin sonunda sistemde iz bırakılmaz, kurumun iş sürekliliğine zarar verilmez.

6. Raporlama ve Sonuç Paylaşımı:
Her adım detaylı şekilde belgelenir. Açıklar, risk seviyelerine göre sınıflandırılır. Her bulgu için çözüm önerileri verilir. Rapor, teknik ve yönetici özetini içerecek şekilde iki ayrı formatta sunulur.

Test Türlerimiz

Her kurumun ihtiyacı farklıdır. Bu nedenle çeşitli test türleriyle hizmet sağlıyoruz:

Black Box Testi: Kurumdan bilgi alınmadan, tamamen dışarıdan yapılan gerçekçi bir saldırı simülasyonu.
White Box Testi: Kurum içinden tam yetkili erişimle yapılan, tüm sistem bileşenlerinin detaylı incelendiği test türü.
Gray Box Testi: Sınırlı bilgiyle yapılan test; hem dışarıdan hem içeriden bakış açısıyla risk analizi sunar.
Web Uygulama Testi: Web siteleri, portallar ve API’lerdeki zafiyetleri analiz eder (örneğin SQL Injection, XSS, CSRF).
Ağ Altyapı Testi: Yerel ağ yapısı, sunucular, güvenlik duvarları ve yönlendiriciler gibi fiziksel bileşenlerdeki açıkları değerlendirir.
Kablosuz Ağ Testi: Wi-Fi şifreleme protokolleri ve erişim noktaları üzerindeki açıklıkları ortaya çıkarır.
Sosyal Mühendislik Testi: Personelin farkındalık düzeyi ölçülür; sahte e-postalar veya çağrılarla güvenlik eğitimi desteklenir.

Daha fazla bilgi için NIST – Penetration Testing Guidelines dokümanını inceleyebilirsiniz.