PENETRASYON TESTİ (PART-1)

Uzun bir aradan herkese merhaba bugün sizlere pentest testinden bahsedeceğim. Uzun bir yazı olacağı için üç part halinde yayınlayacağım. O halde ilk partımızın ilk konusu olan penetrasyon testi nedir ile başlayalım 🙂

Penetrasyon Testi Nedir?

Pentest şirketlerinin veya kurumların saldırgan bakış açısı kullanarak sistemlere içeriden veya dışarıdan saldırı gerçekleştirerek ya da gerçekleştirerek sahip olunan sistemin güvenli olup olmadığını anlamak için yapılan bir testtir. Penetrasyon testine sızma testi de denilmektedir.

Sızma testlerindeki amaç, gerçek siber suçlular gibi davranarak kurumlara farklı farklı saldırılar gerçekleştirerek bilişim altyapısına sızmak ve o kurumun sistemini ele geçirmeye çalışmaktır. Yapılan sızma testlerinde böyle bir yol izlendiği için açıklık barındıran sistemlerin onarılması kolaylaşmaktadır. Bu testleri beyaz yakalı hacker grubu gerçekleştirmektedir. Sızma testini yapan güvenlik uzmanının bulduğu açığı veya açıkları o kuruma rapor etmesi ve o kurumun herhangi bir saldırıyla karşılaşmadan önlem almasını sağlaması gerekmektedir. Bu sayede o kurum kendi açıklarını bilir ve bu açıkların kapatılmasını sağlar. Beyaz şapkalı hackerlar hakkında bilgi edinmek isterseniz bu yazıma göz atabilirsiniz.

Penetrasyon testlerinde lisanslı veya açık kaynak kodlu araçlar kullanılmaktadır. Burada bir parantez açarak şunu belirteyim: Lisanslı, ücretli olan yazılım demektedir birçok kişi yüksek fiyatlarından dolayı bu yazılımlara kendi başına erişemeyebilir. Açık kaynak kod ise ücretsizdir ve arka planda olup biteni bildiğimiz bir yazılım çeşididir.

Pentest Çeşitleri

• İnternal Sızma Testi: Bilişim sistemleri ile ilgili kurumun içe dönük sistemleri üzerinden erişilebilen verileri bulmaya yarar.
• External Sızma Testi: Sistemler ile ilgili kurumun dışa dönük sistemleri üzerinden hangi verilere erişilebileceğini bulmaya yarar.
• Web Uygulamaları Sızma Testi: External sızma testi ile neredeyse aynı olduğunu söylemek mümkündür ancak burada odak noktası web uygulamalarıdır.
• Mobil Uygulama Sızma Testi: Mobil uygulama sızma testi web uygulamaları testiyle benzerlik göstermektedir. Bu konuda sızma testi yapabilmek için mobil plaformlar hakkında fazlasıyla bilgi sahibi olunması gerekmektedir.
• Kablosuz Ağ Sızma Testi: Eğer wi-fi gibi kablosuz bir teknoloji kullanıyorsanız göz önünde bulundurabileceğiniz bir test çeşididir.
• Statik Kod Analizi: Bu pentest çeşidinde derlenebilir durumda bulunan herhangi bir uygulama projesinin kaynak kodları incelenerek burada bulunan açıklara ulaşılmaya çalışılmaktadır.
• Sosyal Mühendislik Sızma Testi: Sisteme erişimi uzaktan kendi yöntemlerinizle yapamadığı zaman o sistemle ilişkili kişilere özellikle e-mail kullanarak avlamaya çalışan hackerların son zamanlarda oldukça fazla kullandığı bir yöntemdir. Bu nedenle sızma testi yaptırarak korunan kurumların ayrıca kendi çalışanlarını da bu tarz konularda bilinçlendirmesi gerekmektedir.
• DDOS ve Load Test: Açılımı dağıtık hizmet engelleme testleridir. Bir Ddos saldırısı simüle edilerek sistemin saldırılara karşı ne kadar dayanaklı olduğu tespit edilmeye çalışılmaktadır. Load testin amacı ise geliştirilen uygulamaların bekleneni karşılayıp karşılamayacakarını görmek, sınırlarını test etmek için yapılmaktadır.

Penetrasyon Yöntemleri Nelerdir?

Black Box Pentest (Siyah Kutu Penetrasyon Testi)

Bu pentest türünün anahtarı bilgi verilmiyor olmasıdır. Yani pentest testi uzmanına sistem hakkında herhangi bir bilgi aktarılmamaktadır. Pentest uzmanı gerçek bir hacker gibiymişcesine davranarak sistemle ilgili herkesin erişimine açık bilgilerle sızma girişiminde bulunur. Bu sayede sisteme dışarıdan ulaşmaya çalışan saldırganın verebileceği zararın boyutu görülmeye çalışılır. Bilgi toplama evresi oldukça uzundur ve çok zaman almaktadır. En uzun yöntemdir.

White Box Pentest (Beyaz Kutu Penetrasyon Testi)

Bu pentest türünün anahtarı bilgi sahibi olunmasıdır. Yani bu pentest türünde pentest testi uzmanına çalışır durumda olan sisteler hakkındaki tüm bilgiler verilmektedir. Bu testte amaçlanan şey kurumdaki kişilerin ve sızmayı yapıp sisteme ele geçirmiş bilgisayar korsanının kuruma verebileceği zararı test etmektir. Black Box yöntemine göre test isteyen kuruma çok daha fazla yarar sağlar.  Maliyeti diğer yöntemlere göre çok düşüktür.

Grey Box Pentest (Gri Kutu Penetrasyon Testi)

Gri penterasyon testi black box ve white box karışımıdır. Pentest testi uzmanına yetkisiz olan bir kullanıcının bildiği bilgiler verilmektedir. En önemli sızma testi türüdür. Black box yöntemine göre daha kısa zaman alır ve daha kolaydır.

Penetrasyon Testinde Risk Değerlendirmesine Alınan Sistemler

• Haberleşme, hassas bilginin iletimini veya saklanması işlemlerini gerçekleştiren sistemler,
• Web siteleri,
• E-mail sunucuları
• DNS güvenlik duvarı
• Parolalar
• Müşterilere ait bilgi içeren sistemler

Penetrasyon Testi Aşamaları

Sızma testi, 2010 yılında oluşturulan ve 7 aşamadan oluşan bir yöntem izlemektedir.

1-Anlaşma Öncesi Etkileşim: İlk adımımızda, testte kullanılacak yöntem ve araçlar açıklanmaktadır. Testin tamamlanma süresi, nelerin test edileceği gibi bilgilere de yer verilmektedir.

2-Bilgi Toplama: İkinci aşamamızda, test yapacağımız kurum hakkında bir saldırı planı oluşturulmak amaçlanmaktadır. Bu yüzden kurumun girdi noktaları hakkında bilgi toplanmaktadır.

3-Tehdit Modelleme: Üçüncü aşamamızda, varlıklar, tehditler ve tehdit toplulukları tanımlanıp bunlara göre bir tehdit modellemesi oluşturulması amaçlanmaktadır.

4-Zafiyet Analizi: Dördüncü aşamamızda, bir hacker gibi davranarak sisteme saldıran pentest uzmanının bulduğu zafiyetler ortaya çıkarılmaktadır.

5-İstismar: Beşinci aşamamızda, güvenliği atlatarak sisteme erişim sağlamaya çalışılmaktadır bunun sonucunda kurumun ana girişi ve yüksek değerli varlıklarını belirlemek amaçlanmaktadır.

6-İstismar Sonrası: Altıncı aşamamızda, ele geçirilen sistem üzerindeki bilgilerin değerinin belirlenmesi hedeflenmektedir.

7-Raporlama: Son aşamamızda ise rapor oluşturulmaktadır. Bu raporda testte yapılan teknik detaylara, bilgilere, saldırı tekniğine, kullanılmış olan araç ve yöntemlere yer verilmektedir. Bunların sonucunda da bir iyileştirme önerisi verilmektedir.

Yazımızın ilk partının sonuna gelmiş bulunmaktayız. İkinci partta pentest araçlarından bahsedeceğim. İkinci partta görüşmek üzere :))