-Bileceğimiz üzere internette kötü amaçlı sistemlere saldıran hackerların sayısı, bilgisi, becerisi, zamanı ve motivasyonu her zaman güvenlik uzmanlarının sahip olduğu zaman, bilgi ve motivasyonun üstündedir. Sahip olunan bilişim sistemlerindeki güvenlik zaafiyetlerinin üçüncü bir göz tarafından kontrol edilmesi ve raporlanması proaktif güvenliğin ilk adımlarındandır.
-Bilişim güvenliğini temelde ikiye ayırırsak ilki savunmacı güvenlik olarak isimlendirdiğimiz “defensive security”, diğeri ise proaktif güvenlik olarak adlandırabileceğimiz “offensive security”dir. Pentest çalışmaları “offensive security” anlayışının bir sonucu olarak ortaya çıkmaktadır.
-Sızma testleri, müşteri tarafından belirlenen bilişim sistemlerine mümkün olabilecek her yolun denenerek sızılmaya çalışma işlemlerinin tamamına verilen addır.
-Sızma testlerinde amaç, güvenlik açıklığını bulmaktan öte bulunan açıklığının değerlendirip sistemlere yetkili erişimler elde elde edilebilmesidir.
-
Whitebox, blackbox, graybox, olmak üzere genel kabul görmüş üç çeşit sızma testi vardır.
-Sızma testleri (Pentest) ve zayıflık tarama (Vulnerability Assessment) birbirine benzeyen fakat farklı kavramlardır. Zayıflık tarama hedef sistemdeki güvenlik açıklıklarının çeşitli yazılımlar kullanarak bulunması ve raporlanması işlemidir. Pentest çalışmalarında ise amaç sadece güvenlik açıklıklarını belirlemek değil, bu açıklıklar kullanılarak hedef sistemler üzerinde gerçekleştirilebilecek ek işlemlerin (sisteme sızma, veritabanı bilgilerine erişme gibi) belirlenmesidir.
Pentest Metodolojisi
-Sızma testlerini gerçekleştiren uzmanlar çalışmalarının doğrulanabilir, yorumlanabilir ve tekrar edilebilir olmasını sağlamak için önceden hazırlanmış olan metodolojileri kullanır ve edindiği tecrübelere göre bu metodolojileri geliştirir.
-Metodoloji kullanımı sızma test ekipleri için hayati önem taşımaktadır. Sızma testlerinde daha önce denenmiş ve standart haline getirilmiş kurallar uygulandığında daha başarılı sonuçlar elde edilir.
-İnternet üzerinden ücretsiz olarak edinilen bazı metodolojiler incelenerek yapılacak güvenlik denetim testlerinin daha sağlıklı ve tekrar edilebilir sonuçlar üretmesi sağlanır.
Penetrasyon Test Çeşitleri
*Web Application Pentest
*Network Pentest
*Mobile Pentest
*Cloud Pentest
*Code Review
*DDoS Pentest
*Wireless Pentest
*Voip Pentest
İyi formlar, Aureliaonair, Arşiv.
