İşletmeler için Sızma Testi Kılavuzu: Kapsam, Yöntemler ve Çözüm

Sızma testi (pentest), saldırganlardan önce güvenlik açıklarını bulmak için sistemlerinize yönelik gerçek dünya saldırılarını simüle eder. Otomatik güvenlik açığı taramasından farklı olarak sızma testi, saldırganlar gibi düşünen, güvenlik açıklarını birlikte zincirleyen ve savunmanızı otomatik araçların yapamayacağı şekillerde test eden yetenekli güvenlik profesyonellerini içerir.

Coalfire araştırması, sızma testlerinin yüzde 73'ünün en az bir kritik güvenlik açığı keşfettiğini ve yüzde 42'sinin sistem güvenliğini tamamen ihlal edecek bir yol bulduğunu gösteriyor. Ancak birçok kuruluş penetrasyon testlerini yetersiz şekilde yürütüyor; kapsamı çok dar tutuyor, yanlış satıcıyı seçiyor veya bulgulara göre harekete geçmiyor. Bu kılavuz, penetrasyon testi yatırımınızdan maksimum değeri elde etmenizi sağlar.

---

Sızma Testi Türleri

Bilgi Düzeyleri

---

Sızma Testinizin Kapsamını Belirleme

1. Adım: Hedefleri Tanımlayın

Adım 2: Kapsamı Tanımlayın

Şunları ekleyin:

• İnternete bakan tüm IP adresleri ve alanları
• Kritik iç sistemler (ERP, İK, finansal)
• Web uygulamaları (üretim URL'leri)
• API uç noktaları
• Bulut ortamları ve hizmetleri
• Kimlik doğrulama mekanizmaları

Hariç tutun (gerekçeyle birlikte):

• Sahibi olmadığınız üçüncü taraflarca barındırılan hizmetler
• Aktif geliştirme aşamasındaki sistemler (bunun yerine test aşaması)
• Yoğun iş saatlerinde üretim sistemleri (kapalı saatleri planlayın)
• Özel olarak izin verilmediği sürece, yıkıcı testler (DoS, veri imhası)

3. Adım: Katılım Kurallarını Belirleyin

Test başlamadan önce bunları belgeleyin:

---

Sızma Testi Tedarikçisinin Seçilmesi

Değerlendirme Kriterleri

Kırmızı Bayraklar

• Satıcı yalnızca otomatik taramayı önerir (gerçek penetrasyon testi değil)
• Tanınmış sertifikalara sahip test kullanıcısı yok
• Son derece düşük fiyat (birden fazla gün süren bir katılım için <3 bin dolar)
• Angajman kuralları tartışması yok
• Rapor şablonunda düzeltme kılavuzu yok
• Satıcı metodolojisini açıklayamıyor

---

Sızma Testi Raporunuzu Anlama

Güvenlik Açığı Önem Dereceleri

İyi Bir Rapor Neleri İçerir

• Yönetici özeti --- Teknik jargon değil, iş riski dili
• Metodoloji --- Ne test edildi ve nasıl
• Bulgular ciddiyet, kanıt ve iş etkisi ile birlikte
• Her bulgu için düzeltme kılavuzu (özel, işlem yapılabilir)
• Olumlu bulgular --- Neyi iyi yapıyorsunuz?
• Güvenliğin iyileştirilmesi için Stratejik öneriler
• **Ham veriler ve ayrıntılı teknik kanıtlar içeren Ekler

---

İyileştirme Süreci

Adım 1: Triyaj (1-2. Gün)

• Tüm bulguları BT ve güvenlik ekibiyle birlikte inceleyin
• Bulguları doğrulayın (yanlış pozitif değil, gerçek olduklarını onaylayın)
• Her bulgu için sahipleri atayın
• Şiddete ve iş riskine göre önceliklendirin

2. Adım: Planlayın (3-7. Gün)

3. Adım: Düzeltin (Değişir)

• Kritik ve yüksek bulguları derhal düzeltin
• Orta bulguları bir sonraki bakım penceresinde gruplayın
• Düşük bulguları gelecek çeyrek için planlayın

Adım 4: Doğrulayın (Düzeltme Sonrası)

• Kritik ve yüksek bulguların yeniden test edilmesini talep edin (çoğu satıcı sınırlı yeniden test içerir)
• İyileştirme kanıtlarını belgeleyin
• Risk kaydını güncelle

---

Sızma Testi Programı

---

İlgili Kaynaklar

• Olay Müdahale Planı Şablonu --- Güvenlik açıklarından yararlanıldığında ne yapılmalı
• Sıfır Güven Uygulama Kılavuzu --- Mimari savunmalar
• Bulut Güvenliği En İyi Uygulamaları --- Buluta özgü güvenlik
• API Güvenliği ve Kimlik Doğrulaması --- Hedefe sızma testi yapan API'lerin güvenliğini sağlama

---

Sızma testi, güvenlik programınızın gerçeklik kontrolüdür. Güvenlik duruşunuzun ne olduğunu düşündüğünüz ile bir saldırganın bulacağı şey arasındaki boşluğu ortaya çıkarır. Güvenlik değerlendirmesi ve sızma testi koordinasyonu için ECOSIRE ile iletişime geçin.