Güvenlik taramasından temiz sonuç almak, sistemin saldırılara karşı güvenli olduğu anlamına gelir mi? Bir tarama raporunda görülen yüzlerce bulgu, hangisinin işinizi gerçekten etkileyebileceğini tek başına açıklamaz. Zafiyet taraması ile sızma testi, farklı sorulara yanıt veren ve birbirini destekleyebilen iki güvenlik değerlendirmesidir.
Zafiyet taraması, belirlenen kapsamdaki olası açıklara ilişkin bulgular üretir. Sızma testi ise yetkilendirilmiş sınırlar içinde bu bulguların veya başka zayıflıkların nasıl bir etkiye yol açabildiğini araştırır. Bir hizmet satın alırken yalnızca adını sormak yerine kapsamını, yöntemini ve teslim edilecek raporu netleştirmek gerekir.
Zafiyet taraması neyi gösterir?
Tarama araçları, yapılandırmalar ve yazılım bileşenleri hakkında bilgi toplayarak bunları bilinen zafiyetlerle ilişkilendirebilir. Kapsam; ağ, sunucu, uç nokta veya web uygulaması olabilir. Sonucun niteliği erişim seviyesine, kullanılan kontrollere ve sistemin görünürlüğüne bağlıdır.
Örneğin bir araç, servis sürümünden hareketle eski bir yazılım bileşeni bildirir. Ancak bu bulgu tek başına açıklığın kullanılabilir olduğunu kanıtlamaz. Üretici düzeltmeleri, erişim kısıtları veya sürüm bilgisinin yanlış yorumlanması sonucu değiştirebilir. Bu nedenle bulgunun teknik olarak doğrulanması gerekir.
Sızma testi neyi araştırır?
Sızma testinde uzmanlar, izin verilen yöntemlerle güvenlik kontrollerini ve olası saldırı yollarını değerlendirir. Araçlardan yararlanılabilir, ancak çalışma otomatik çıktıyla sınırlı değildir. İş mantığı, kullanıcı rolleri ve birden fazla zayıflığın birlikte oluşturduğu sonuçlar da değerlendirmeye girebilir.
Her testte bütün bulguların sonuna kadar istismar edilmesi gerekmez. Üretim sisteminin korunması, iş kesintisi riski ve önceden kararlaştırılmış test kuralları sınırları belirler. Teknik kanıtın hangi seviyede yeterli olacağı taraflarca çalışma başlamadan belirlenmelidir.
İki yaklaşımın karşılaştırılması
| Ölçüt | Zafiyet taraması | Sızma testi |
|---|---|---|
| Temel soru | Hangi olası zafiyetler bulunuyor | İzin verilen kapsamda hangi etki doğrulanabiliyor |
| Yöntem | Araç ağırlıklı keşif ve kontrol | Araçlar ile uzman değerlendirmesi |
| Çıktı | Bulgu listesi ve teknik ayrıntılar | Doğrulanmış bulgular ve bağlama göre etki |
| Sınır | Görünmeyen veya kontrol edilmeyen alanları kaçırabilir | Belirlenen süre ve kapsamla sınırlıdır |
Aynı sistem için iki farklı rapor örneği
Bir müşteri portalı için hazırlanan aşağıdaki iki kayıt tamamen kurgusaldır. Amaç, raporun okuyucuya ne sağlaması gerektiğini göstermektir. Gerçek bir sisteme ait zafiyet veya test sonucu paylaşılmamaktadır.
Tarama bulgusu örneği
“Varlık: müşteri portalının web sunucusu. Gözlem: servis yanıtında eski sürüm bilgisi görünüyor. Değerlendirme: bilinen zafiyetlerle eşleşme ihtimali var. Doğrulama ihtiyacı: kurulu paket ve düzeltme seviyesi kontrol edilmeli. Öneri: bileşen envanteriyle karşılaştır ve üretici düzeltmelerini incele.”
Bu kayıt, araştırılması gereken bir güvenlik işaretidir. Bulguyu doğrulamadan “müşteri verileri ele geçirilebilir” sonucuna atlamak, raporun güvenilirliğini azaltır. Etkilenen varlık, gözlem ve belirsizlik ayrı yazılmalıdır.
Sızma testi bulgusu örneği
“Varlık: test kapsamındaki müşteri portalı. Gözlem: iki yetkili test hesabı arasında rol kontrolü tutarsızlığı doğrulandı. Kanıt: bir test hesabının diğer test hesabına ait örnek kayda erişebildiği gösterildi. İş etkisi: benzer erişim kontrolü hataları kayıt gizliliğini etkileyebilir. Öneri: sunucu tarafında kayıt sahipliği ve yetki kontrolünü düzelt; ardından yeniden test yap.”
Bu örnekte rapor, yazılım sürümünden öte bir kontrolün davranışına odaklanır. Kanıtın test verisiyle gösterilmesi ve etkisinin doğrulanmış sınırlar içinde anlatılması gerekir. Kapsamda bulunmayan bütün kayıtların erişilebilir olduğu varsayılmamalıdır.
Test başlamadan hangi sorular sorulmalı?
- Hangi alan adları, IP adresleri, uygulamalar ve kullanıcı rolleri kapsama dahil?
- Test hangi zaman aralığında ve hangi teknik sınırlamalarla yürütülecek?
- Kesinti işareti görülürse çalışma kime haber verilerek durdurulacak?
- Kullanılacak test hesapları, veri koruma yöntemi ve rapor paylaşım kanalı nedir?
- Düzeltme sonrası yeniden test, çalışma kapsamına dahil mi?
Bu ayrımları kurum içinde değerlendirebilmek için araç adlarını bilmekten fazlası gerekir. Keşif, güvenlik açığı analizi ve etik test yaklaşımında yetkinliğini geliştirmek isteyen ekipler Beyaz Şapkalı Hacker CEH Eğitimi içeriğini inceleyebilir. Test çalışmaları yalnızca sistem sahibinin açık yetkilendirmesi ve belirlenen kapsam içinde yürütülmelidir.
Güvenlik raporu nasıl aksiyona çevrilir?
Bulguları yalnızca önem puanına göre sıralamak yerine varlığın işlevini, dışa açıklığını ve mevcut kontrollerini de değerlendirin. Her doğrulanmış bulguya sorumlu ekip, hedef tarih ve kapanış ölçütü atayın. Düzeltme uygulandıktan sonra aynı koşullarda yeniden kontrol yapın. Raporun kapanması ile teknik riskin giderilmesini birbirine karıştırmayın.
Sık sorulan sorular
Tarama aracı kullanmak sızma testi sayılır mı?
Tek başına araç çalıştırmak, testin tüm kapsamını karşılamaz. Hizmetin yöntemi, uzman doğrulaması, test kuralları ve rapor içeriği birlikte değerlendirilmelidir.
Sızma testinde bulgu çıkmaması güvenlik garantisi midir?
Hayır. Sonuç, belirlenen kapsam ve çalışma zamanındaki gözlemleri yansıtır. Yeni değişiklikler ve değerlendirme dışında kalan alanlar farklı riskler taşıyabilir.
Teknik kaynak
Güvenlik değerlendirmelerinin planlanması ve yöntemlerin sınırları için NIST SP 800-115 rehberinden yararlanabilirsiniz.