Sızma Testi Nedir?
İngilizce: Penetration Testing
Yayın: · Son güncelleme:
Sızma Testi Nedir? Kısaca
Sızma testi (pentest), bir kurumun izniyle uzmanların sistemlere gerçek bir saldırganın yöntemlerini kullanarak kontrollü şekilde saldırdığı ve bulunan açıkları raporladığı güvenlik değerlendirmesidir.
Sızma testi nedir?
Sızma testi, sistemlerin güvenliğini ölçmek için yapılan izinli ve kontrollü bir saldırı simülasyonudur. İngilizcede penetration test, kısaca pentest denir. Testi yapan uzman, bir saldırganın bakış açısıyla açık arar ama bunu kurumun yazılı izniyle ve önceden belirlenen sınırlar içinde yapar.
Amaç yalnız açık bulmak değil, o açığın gerçekte ne kadar ciddi bir sonuca yol açabileceğini göstermektir. Otomatik taramalardan farkı da buradadır.
Nasıl yapılır?
Süreç genellikle şu aşamalardan geçer:
- Kapsam ve kuralların yazılı olarak belirlenmesi
- Hedef hakkında bilgi toplama
- Açıkların tespiti ve doğrulanması
- Bulguların etkisinin kontrollü şekilde gösterilmesi
- Raporlama ve düzeltme sonrası tekrar test
Test türleri bilgi düzeyine göre ayrılır. Kara kutu testinde uzmana hiçbir iç bilgi verilmez, beyaz kutu testinde kaynak kod ve mimari paylaşılır. Gri kutu ise ikisinin arasıdır.
Örneğin bir e-ticaret şirketi yeni ödeme sayfasını yayına almadan önce iki haftalık bir web uygulaması sızma testi yaptırabilir. Rapor her bulgu için risk seviyesini ve önerilen düzeltmeyi içerir.
Nelere dikkat etmeli?
İzinsiz sızma testi, niyet ne olursa olsun bilişim suçu oluşturabilir. Bu yüzden kapsam, tarih aralığı ve yetkili kişiler sözleşmede açıkça yazılmalıdır. Testi yapacak firmanın deneyimini ve referanslarını kontrol edin.
Rapor gelince iş bitmez, asıl değer bulguların kapatılmasındadır. Sürekli taramalar için zafiyet taraması maddesine bakabilirsiniz.
Sıkça Sorulan Sorular
Sızma testi ne sıklıkla yapılmalı?
Genel uygulama yılda en az bir kez ve büyük sistem değişikliklerinden sonra yapılmasıdır. Bazı sektörel düzenlemeler belirli aralıklar şart koşabilir, güncel gereklilikleri ilgili düzenleyiciden kontrol edin.
Sızma testi ile zafiyet taraması aynı şey mi?
Hayır. Zafiyet taraması otomatik araçlarla bilinen açıkları listeler. Sızma testi ise uzmanın bu açıkları doğrulayıp gerçekte nereye kadar ilerlenebileceğini göstermesidir.