Pentest Nedir?

Kavram Penetration Test yani Sızma Testi olarak bilinir.  Bilişim sistemlerinin kötü niyetli kişiler tarafından istismar edilmesini önlemek ve sistemleri daha güvenli hale getirmek maksadıyla, mantık hatalarının ve zafiyetlerinin tespit edilmesidir. Bu çalışma “yetkili” kişiler tarafından ve “yasal” olarak gerçekleştirilir. Buradaki amaç sistemdeki açığı saptamak değil, bulunan zafiyeti sisteme zarar vermeden kullanmak ve yetkili erişimler elde etmektir. Pentest süresince sistem zarar görmez.  Bilişim alanındaki güvenlik çalışmaları iki temele ayrılabilir. İlki savunmacı güvenlik defensive security, ikincisi ise proaktif güvenlik offensive security’dir. Pentest çalışmaları ise offensive security anlayışının bir sonucudur.

Pentest (Sızma testleri) ve Vulnerability Assessment (Zafiyet değerlendirme/tarama) birbirine karıştırılmamalıdır. Vulnerability Assessment, hedef sistemlerdeki güvenlik zafiyetlerinin çeşitli güvenlik yazılımları kullanılarak bulunması ve raporlanması işlemidir. Pentest çalışmalarında ise amaç zafiyet bulmaktan öte bulunan zafiyeti değerlendirip sistemlere yetkili erişimler elde etmek ve hedef sistemler üzerinde gerçekleştirilebilecek ek işlemlerin (sisteme sızma, bilgilere erişme gibi) belirlenmesidir.

Pentest Çeşitleri Nelerdir?

Hangi çeşit Pentestin uygulanacağı hedefe, vektöre, simüle edilecek saldırıya ve sisteme göre değişiklik göstermelidir.

• Ağ penetrasyon Testleri
  • İç Ağ (Internal) Penetrasyon Testi
  • Dış Ağ (External) Penetrasyon Testi
• Web Uygulama Penetrasyon Testleri
• Mobil Uygulama Penetrasyon Testleri
• Kritik Altyapı Sistemleri Penetrasyon Testleri
• DDoS ve Yük Testi
• Kablosuz Ağ Penetrasyon Testi
• VoIP Altyapısı Penetrasyon Testi
• Sosyal Mühendislik Penetrasyon Testi

• İç Ağ (Internal) Sızma Testi: Bu sızma testi çeşidinde ilgili kurumun içeriye açık sistemleri üzerinden hangi verilere ve/veya sistemlere erişilebileceği sorusuna cevap aranmaktadır.
• Dış Ağ (External) Sızma Testi: Bu sızma testi çeşidinde ilgili kurumun dışarıya açık sistemleri üzerinden hangi verilere ve/veya iç sistemlere erişilebileceği sorusuna cevap aranmaktadır.
• Web Uygulama Sızma Testi: Dış Ağ Sızma Testleri ile aynı soruya cevap aranmaktadır ancak odak noktamız web uygulamalarıdır.
• Sosyal Mühendislik Penetration Testi: Sosyal mühendislik, insanların zafiyetlerinden faydalanarak çeşitli ikna ve kandırma yöntemleriyle istenilen bilgileri elde etmeye çalışma işlemlerinin bütünü olarak tanımlanmaktadır.

Pentest Yöntemleri Nelerdir?

White Box: Beyaz kutu olarak ifade edilen bu yaklaşımda, güvenlik testi ekibi, sistemin kendisi ve arka planda çalışan ilave teknolojiler hakkında tam bilgi sahibidir. Black Box tekniğine göre kurum ve firmaya daha büyük fayda sağlar. Hata ve zafiyetleri bulmak kolaylaşacağından bunlara tedbir alınma süresi de azalacaktır. Sistemin zarar görme riski çok azdır ve maliyet olarak da en az maliyetli olandır.

Yazılım geliştirme sürecinde bahsedilen yöntemleri burada da kullanmak mümkün.

Gray Box: Bu yaklaşımda, sistem ile ilgili bilgiler mevcuttur. Örneğin; IP adres listesi, sunucu sistem ile ilgili versiyon bilgisi vb. Bilgiler güvenlik testi yapacak ekibe önceden sağlanır. Black Box yaklaşımına göre daha kısa zaman alır. Kontrolü ve testi istenen IP adresleri belli olduğundan sistemin, istem dışı zarar görme ihtimali de azalmış olur.

Black Box: Bu yaklaşımda, başlangıçta güvenlik testi yapılacak sistemle ilgili bir bilgi yoktur. Tamamen bilinmeyen bir sistem ile ilgili bilgi toplanacak ve testler yapılacaktır. Bu yöntemde test ekibinin sistem ile ilgili bilgi düzeyi hiç olmadığından, yanlışlıkla sisteme zarar verme ihtimalleri de yüksektir. Bilgi toplama safhası oldukça zaman alır. Süre bakımından en uzun süren yaklaşım tarzıdır.

Neden Sızma Testi Yaptırmalıyız?

Yazılım geliştirme aşamasında ne kadar güvenlik adım önemsense de, bilişim sistemlerinde güvenlik zaafiyetlerinin üçüncü göz tarafından kontrol edilmeli ve raporlanmalıdır. Bu, proaktif güvenlik için önem arz etmektedir.

Yetkinlik, yaklaşım tarzı ve kullanılan teknolojiye göre sistemlerin ele geçirilmesi kolaylaşır. Düzenli olarak değişimi takip etmek ve önlemlerini almak zorlaşacağı için sistemi beyaz şapkalı hackerlara test ettirmek faydalı olacaktır. Ayrıca PCI, HIPAA gibi standartlar da Pentest yaptırmayı zorunlu kılmaktadır. Son zamanlarda ise KVKK Pentest zorunluluğu ile de sızma testi yapılmaya başlanmıştır.

Sızma Testi Projesinin Planı Nasıl Olmalıdır?

Eğer ekibimizde yetkin bir departman yoksa, pentest dışarıdan alınan hizmet ile yaptırılıyor. Bu hizmeti almadan önce, yapılacak Pentestin kapsamının karar verilmesi gerekiyor. Çünkü bu kapsam, pentest süresinden ücretine kadar geniş skalada etki gösteriyor. Pentestten alınacak verim de aşağıdaki sorulara verilen cevaplarla belli olacaktır. Mesela hızlı değişen bir sistem içinde yılda bir pentest yaptırılması sonucunda ne kadar fayda sağlanabilir ya da sadece mobilde aktif olan bir sistem için web testinin yapılması. Bu sebeple, genel olarak aşağıdaki soruların yanıt bulması, pentest için plan oluşturmaya yardımcı olacaktır.

 Sızma Testi’nin kapsamı ne olacak? (White Box, Gray Box, Black Box)

• Ne çeşit bir sızma testi istiyorum? (Internal Pentest, External Pentest, Web Application Pentest)
• Testleri kime yaptıracağım?
• Ne kadar sıklıkla yaptıracağım?
• Riskli sistem ve servisler kapsam dışı olmalı mı yoksa riski kabul edip sonucunu görmek ister miyim?
• Pentest kapsamında DDOS testleri de gerçekleştirilecek mi?

Açık kodlu Pentest Yazılımları:

Nessus, Nmap, Metasploit, Inguma, Hping, John the Ripper, W3af, Burpsuite, Retina, Canvas, Wireshark, etc.

Pentest standartları:

• TS13638 (Bilgi Teknolojileri – Güvenlik Teknikleri – Sızma testi yapan personel ve firmalar için şartlar) – https://tse.org.tr
• CREST Penetration Testing Guide – https://www.crest-approved.org
• OSSTMM (The Open Source Security Testing Methodology Manual) – https://www.isecom.org
• OWASP (The Open Web Application Security Project) Top Ten – https://owasp.org
• NIST (Cybersecurity Framework) – https://www.nist.gov
• PTES (Penetration Testing Execution Standard) – http://www.pentest-standard.org
• PCI SSC (Security Standards Council) Penetration Testing Guidance – https://www.pcisecuritystandards.org

Herkese bugsız kodlar diliyorum.