Siber Güvenlik Destek Hizmetleri

Sızma testi (pentest) çalışmaları sızma testi uzman katkısının yoğun olduğu ve dolayısıyla daha kritik bulguların tespit edilebildiği siber güvenlik test çalışmalarıdır. Zafiyet tarama (vulnerability scan) çalışmaları ise siber güvenlik tarama aracı yoğun bir süreç olduğundan, genellikle bariz açıklıkların tespiti konusunda etkili olabilirler. Zafiyet tarama çalışması sadece açıklıkların var olup olmadığı konusunda bilgi verirken; sızma testi, bulunan açıklıkların kullanılarak sisteme sızma denemelerinin yapılmasının test edilmesidir. Sızma testi sadece açıklıkların kullanılarak değil, sistemin mantıksal hatalarının da kullanılarak giriş imkânı olup olmadığının da test edilmesi süreçlerini kapsadığı için zafiyet tarama yazılımlarının tespit edemediği çıktılar da üretmektedir. 

Sızma testi şirketlerin ve kurumların kendi sistemlerini saldırgan bakış açısıyla test ederek/ettirerek sistemlerinin güvenli olup olmadığını öğrenmelerini sağlamak üzere gerçekleştirilmektedir. Penetrasyon testi aynı zamanda sektörümüzde pentest veya sızma testi olarak da isimlendirilmektedir. Penetrasyon testi esnasında, firmalara alanında yetkin kişiler tarafından bir sızma simülasyonu gerçekleştirilir. Penetrasyon testi sırasında çeşitli saldırı yöntemleri denenerek gerçek bir saldırgan gibi sisteme sızmaya çalışılır.

Sızma testi çalışması konusunda uzman personelin sistem üzerinde olası güvenlik açıklarını kullanarak sistemi ele geçirmek amaçlı yapmış olduğu tüm girişimler bu sürecin adımlarıdır. Test çalışması öncelikle sistemde olası giriş imkânı veren servislerin tespit edilmesi ile başlar. Daha sonra bu servisler ve servisi sağlayan üreticilerin tespit edilmesi ile süreç devam eder. Servislerin ve bunu sağlayan üreticinin mevcut versiyonlarının tespit edilmesinin ardından bunlara yönelik olası açıklıklar araştırılarak giriş imkânı sağlayacak bir fırsat tespit edilmektedir. Son aşama, bulunan açıklığın kullanılarak sisteme giriş yapılmasının test edilmesidir. 

• Network (Ağ) Sızma Testi
• Web Uygulama Sızma Testi 
• Mobil Uygulama Sızma Testi
• Statik Kod Analizi 
• Sosyal Mühendislik Testi
• DDoS Testi

External Testing (Dış Ağ Testleri): External testler organizasyonun internetten erişilebilen sunucu ve cihazlarını (DNS, e-posta, web sunucuları, firewall cihazları gibi) hedef alır. Amaç, organizasyon dışından bir saldırganın yapabileceği atakları ve atak senaryolarını görmektir.

Internal Testing (İç Ağ Testleri): Internal testler kurum ağına erişim sağlayabilmiş bir saldırgan tarafından ulaşılabilecek sonuçları görmeyi hedefler. Bu erişim anonim bir kullanıcı olarak sağlanabileceği gibi, bir personel hesabı kullanılarak da sağlanabilir.

Blind Testing (Kör Test): Blind testing yaklaşımında test ekibine sadece organizasyonun ismi verilir. Bu tür bir test organizasyonu, siber güvenlik ekibine gerçek bir saldırı durumunda izleme ve hazırlık durumlarını değerlendirme imkânı verir.

Double Blind Testing (Habersiz Kör Test): Double blind testing yaklaşımında organizasyonun siber güvenlik ekibi sızma testi yapılacağından habersizdir. Dolayısıyla bir ön hazırlık yapma imkânları yoktur; bu sayede gerçek bir senaryo için ne kadar hazırlıklı oldukları gözlenebilir.

Targeted Testing (Hedefli Testi): Hedefli testte, sızma testi (pentest) ekibi ile siber güvenlik ekibi birlikte ilerler. Siber güvenlik ekibi test aktivitelerini ve saldırgan bakış açısını görür. Dolayısıyla targeted testing siber güvenlik ekipleri için değerli bir eğitim imkânı sunar.

Black Box Testing (Kara Kutu Testi): Kara kutu testi blind testing ile aynı anlama gelir ve test ekibi ile hiçbir teknik bilgi paylaşılmayan test türüdür. Uygulama pentestleri için ise anonim kullanıcı profili ile yapılan testlere verilen isimdir.

White Box Testing (Beyaz Kutu Testi): Beyaz kutu testlerinde test ekibine hedef ağ veya uygulama hakkında teknik bilgi sağlanır. Paylaşılan bilgiler IP adresleri, network altyapı şemaları, mevcut sunucu ve servisler ile uygulama kaynak kod (source code) bilgilerini içerebilir.

Gray Box Testing (Gri Kutu Testi): Test ekibi ile kara kutu ve beyaz kutu testlerinin arasında bir seviyede, kısıtlı bilgi paylaşılır. Uygulama sızma testleri (pentestleri) için gray box testi sıradan bir kullanıcı hesabı ile uygulamaya erişim anlamına gelir.

Sistemler üzerinde yaşanabilecek olası sıkıntıları engellemek amacıyla, saldırganlardan önce sorunları tespit etmek için sızma test işlemleri yapılmaktadır. Sızma testi işlemleri ile;   

• Somut Değerlendirme: Süreç ve altyapı kaynaklı problemlerin somut olarak ortaya konabilmektedir.
• Hızlı Kazanımlar: Kolayca düzeltilebilecek zayıflıklar hakkında zamanında bilgi sahibi olunur.
• Riskleri Zamanında Azaltma: Siber güvenlik yönetim sisteminin etkinliğini ölçme kriteridir.
• Anahtar Performans Göstergesi: Hemen ortadan kaldırılamayacak ancak etkisi azaltılabilecek riskler hakkında zamanında bilgi sahibi olunur.

Derlenebilir durumdaki bir uygulama projesinin kaynak kodları incelenerek güvenlik zafiyetlerinin tespit edilmesidir. Uygulama sızma testleri bağlamında statik kod analizini white box testi olarak da değerlendirebiliriz. 

Web uygulamalarındaki güvenlik açıklarını tespit etmek için kullanılan sızma testi tekniklerinin kullanılması sürecidir. 

Web uygulaması güvenliği, uygulamaların kodundaki veya kullanılan servislerdeki güvenlik açıklarından faydalanarak sisteme sızma denemelerinin önüne geçmek amaçlı web hizmetlerini ve uygulamalarını korumaya yönelik yapılan tüm faaliyetlerdir. 

Mobil uygulama testleri, farklı platformlar için geliştirilmiş mobil uygulama veya mobil web sitelerinin doğru ve istenildiği gibi çalışıp çalışmadığının kontrol edilmesi amacıyla gerçekleştirilen yazılım test aktiviteleridir.