Sızma Testleri (Penetrasyon Testleri)

Sızma testi, belirlenen bilişim sistemlerindeki mantık hataları ve zafiyetleri tespit ederek, söz konusu güvenlik açıklıklarının kötü niyetli kişiler tarafından istismar edilmesini önlemek ve sistemleri daha güvenli hale getirmek maksadıyla, “yetkili kişiler” (uluslararası akreditasyona sahip sızma testi uzmanları) tarafından ve “yasal” olarak gerçekleştirilen güvenlik testleridir. Bilgi Güvenliği ve Siber Güvenlik Danışmanlığı (Pentest hizmeti) kapsamında asıl amaç, zafiyeti tespit etmekten öte ilgili zafiyeti sisteme zarar vermeyecek şekilde istismar etmek ve yetkili erişimler elde etmektir.

İnternette kötü amaçlı olarak sistemlere saldıran hackerların sayısı, bilgisi, becerisi, zamanı ve motivasyonu her zaman güvenlik uzmanlarının sahip olduğu zaman, bilgi ve motivasyonun üstündedir. Sahip olunan bilişim sistemlerindeki güvenlik zafiyetlerinin üçüncü bir göz tarafından kontrol edilmesi ve raporlanması proaktif güvenliğin ilk adımlarındandır. Hemen hemen ger gün onlarca zafiyetin ortaya çıktığı günümüz internet dünyasında kurumlar; sahip oldukları varlıkları korumak için sızma testleri gerçekleşmesi zorunlu bir hale gelmiştir.

Bilişim güvenliğini temelde ikiye ayırırsak ilki savunmacı güvenlik olarak isimlendirdiğimiz “defensive security”, diğeri ise proaktif güvenlik olarak adlandırabileceğimiz “offensive security”dir. Pentest çalışmaları “offensive security” anlayışının bir sonucu olarak ortaya çıkmaktadır. Sızma testleri web uygulama güvenliği, yerel ağ güvenliği, mobil uygulama güvenliği, kaynak kod analizi, bulut sistemler, ddos saldırılarına karşı pentest, kablosuz ağ pentest ve voip pentest gibi alt dallara ayrılmıştır.

Sızma testleri, müşteri tarafından belirlenen bilişim sistemlerine mümkün olabilecek her yolun denenerek sızılmaya çalışma işlemlerinin tamamına verilen addır. Sızma testlerinde amaç, güvenlik açıklığını bulmaktan öte bulunan açıklığının değerlendirip sistemlere yetkili erişimler elde elde edilebilmesidir. Çoğu firma veya kurum maliyet ve benzeri nedenlerden dolayı sızma testi yaptırırken kapsamı dar tutmakta ve önem arz eden kritik sunucuları teste tabi tutturmaktadır. Oysaki siber saldırganlar için önemli veya önemsiz sistem yoktur! Sisteme giriş için kullanılacak bir yol gereklidir ve genellikle kötü niyetli kişilerin sistemlere girerken kullandıkları yollar kurum açısından en değersiz ve göz önünde olmayan sistemlerdir.

Sızma Testleri (Penetrasyon Testleri) Hizmeti

Whitebox, blackbox, graybox olmak üzere genel kabul görmüş üç çeşit sızma testi vardır.

Sızma testleri (Pentest) ve zayıflık tarama (Vulnerability Assessment) birbirine benzeyen fakat farklı kavramlardır. Zayıflık tarama hedef sistemdeki güvenlik açıklıklarının çeşitli yazılımlar kullanarak bulunması ve raporlanması işlemidir. Pentest çalışmalarında ise amaç sadece güvenlik açıklıklarını belirlemek değil, bu açıklıklar kullanılarak hedef sistemler üzerinde gerçekleştirilebilecek ek işlemlerin (sisteme sızma, veritabanı bilgilerine erişme gibi) belirlenmesidir.

Sızma Testi (Pentest) Metodolojisi

Sızma testlerini gerçekleştiren uzmanlar çalışmalarının doğrulanabilir, yorumlanabilir ve tekrar edilebilir olmasını sağlamak için önceden hazırlanmış olan metodolojileri kullanır ve edindiği tecrübelere göre bu metodolojileri geliştirir. Metodoloji kullanımı sızma test ekipleri için hayati önem taşımaktadır. Sızma testlerinde daha önce denenmiş ve standart haline getirilmiş kurallar uygulandığında daha başarılı sonuçlar elde edilir. İnternet üzerinden ücretsiz olarak edinilen bazı metodolojiler incelenerek yapılacak güvenlik denetim testlerinin daha sağlıklı ve tekrar edilebilir sonuçlar üretmesi sağlanır.

> OWASP > OSSTMM > ISSAF > NIST SP800-155

BGA Security tarafından yapılan sızma testlerinde kullanılan kontrol listesi toplamda, 400 farklı madde içermektedir ve BDDK Sızma Testleri kapsamı da dahil olmak üzere bilinen tüm sızma testi standartlarını desteklemektedir. Sızma testleri, kurumların anlık güvenlik açısından resimlerinin çekilmesi ve önerilerin sunulmasından ibaret olmasına rağmen çoğu kurum sızma testi aldık artık güvendeyiz şeklinde yaklaşımlar sergilemektedir. Ancak bu yanlış ve kurum için tehlikeli bir durumdur. Sızma testlerini gerçekleştirmek üzere bu yola giren çoğu kişinin bir zaman sonra karşılaşacağı temel maddelerden birisi meslek körlüğüdür. Her saat aynı işle uğraşan kişiler uğraştığı konuda ne kadar uzmanlaşırsa uzmanlaşsın bir müddet sonra farklı zamanlarda aynı sistemi incelediğinde farklı güvenlik zafiyetleri tespit edememeye başlayacaktır. Bu noktada kurumların içeride barındırdıkları güvenlik uzmanlarını yanı sıra üçüncü bir göz ile (siber güvenlik danışmanlığı hizmeti alarak) sistemlerini test ettirmeleri gerekmektedir.

Penetrasyon (Sızma) Testi Çeşitleri ve Siber Güvenlik Danışmanlığı

Web Uygulama (Web Application / Web Güvenliği) Pentest Hizmeti: Firmanın internete açık olan servisleri (Mail, DNS, Web, FTP gibi) üzerinden web güvenliği için pentest yapılarak sızma işlemleri gerçekleştirilir. Kullandığımız metodoloji ve örnek rapor için iletişme geçerek detaylı bilgi alabilirsiniz. Yapılan Web Uygulama Güvenlik testlerinde kurumunuzun internete açık olan tüm kaynakları incelenerek ve BDDK sızma testleri kapsamında profesyonel ekibimizin tecrübeleri ile uluslararası metodolojiler kullanılarak testlerimiz gerçekleştirilmektedir. Firmaya ait uygulamalara ve web servislerine yetkili/yetkisiz hesap bilgileri ile giriş yaparak denetimler gerçekleştirmesi sırasında otomatik araçlar kullanılmamaktadır.
Yerel Ağ (Network) Pentest Hizmeti: Kurumun yerel ağı üzerinden yapılmaktadır. Yerel ağda bağlı herhangi bir istemcinin güvenlik açısından ne riskler getirebileceğini gösterme amaçlı olarak gerçekleştirilmektedir. Uzmanlarımız yerel ağınız üzerinde yapmış oldukları lokal testlerle zaafiyetlerinizi ve varlıklarınızın yapılandırma hatalarını ortaya çıkartmaktadır.
Mobile Pentest Hizmeti: Android ve iOS işletim sistemi için geliştirilmiş mobil uygulamalara yönelik statik ve dinamik güvenlik testlerini içermektedir. Gerekli durumlarda kaynak kod denetimi de yapılarak uygulamalarınızın güvenliği denetlenir ve zafiyetler raporlanır.
Cloud Pentest Hizmeti: Kurumunuzun bulut (cloud) sunucuları üzerindeki zafiyetler için yapılan güvenlik testleridir. Bu testlerde sunucularınız üzerindeki yapılandırma hatalarından güvenlik cihazlarınızın başarım oranlarına kadar birçok noktada sızma girişimleri bulunularak rapor hazırlanır.
Kaynak Kod Analizi Hizmeti: Kaynak kod analizi yapılarak kurumunuz, bayileriniz, iş ortaklarınız veya kullanıcılarınız için üretmiş olduğunuz tüm uygulamalar test edilmektedir. Bu uygulamaların kaynak kodları incelenmekte ve barındırmış olduğu zafiyetler tespit edilerek siber saldırılara karşı önlem almanız sağlanır.
DDoS Pentest Hizmeti: Kuruma ait olan tüm internet sistemi detaylı analiz edilerek sisteme servis dışı bırakma saldırıları (DDOS) gerçekleştirilmektedir. DDoS testlerinde Netstress adlı ürün kullanılmakta ve DDoS testleri 50Mbps – 2 Gbps arasında gerçekleştirilmektedir.
Kablosuz Ağ (Wireless) Pentest Hizmeti: Firmanın iç ağlarında yönettiği kablosuz ağ altyapısının incelenerek dışarıdan gerçekleştirilebilecek sızmalara veya kötü niyetli kişilerin saldırılarına karşı sızma testlerinin yapılması ve raporlama hizmetini içermektedir. Kablosuz ağlarınızda bulunan yapılandırma hataları, açıklıklar ve diğer zafiyetler tespit edilerek raporumuza eklenmektedir.
Voip Altyapısı Pentest Hizmeti: Firmanın kullandığı VOIP sisteminin detaylı analizi yapılarak voip sistemi üzerinden işlenebilecek sahtekarlıkların ve zafiyetlerin test edilmesi amaçlanmaktadır. VoIp altyapınızdaki tüm zafiyetler tespit edilerek raporlanır ve açıklıkların kapatılması için öneriler sunulur.
Sosyal Mühendislik/Phishing, Son Kullanıcı Güvenlik Testleri: Firma çalışanlarına ait e-posta hesaplarının internet üzerinden elde edilerek sosyal mühendislik saldırılarının gerçekleştirilmektedir. Yapılan sızma testinde internet üzerinden firma yerel ağına giriş denemeleri, APT ve benzeri saldırı teknikleri uygulanmaktadır. Aynı zamanda bu testler sonucunda çalışanlarınızın bilgi güvenliği farkındalığı ortaya çıkartılarak en zayıf halkaların tespiti amaçlanmaktadır.

BGA Sızma Testleri, Web Güvenliği ve Siber Güvenlik Danışmanlığı

BGA Security Petest Hizmeti, BDDK sızma testi kapsamında yapılmaktadır.
Uygulama testleri 10 yıllık tecrübesi olan kıdemli üyeler tarafından gerçekleştirmektedir.
Sızma testleri konusunda tecrübelerimizi BGA Security Blog adresimizde paylaşmaktayız.
BGA Security 15 kişilik teknik ekip ve 100’ün üzerinde kurumsal referans ile hizmet vermektedir.
Ekibimiz uluslararası geçerliliğe sahip CEH, CISSP, LPT, eWPT ve OSCP sertifikalarına sahiptir.
Firmamız Türkiye ve dünyada sızma testleri konusunda 100’ün üzerinde kurumsal referansa sahiptir.

Örnek Sızma Testi Raporu ve Dokümanlar

Gerçekleştirdiğimiz bilgi güvenliği danışmanlığı sızma testlerinde detaylı olarak sızma testi raporu hazırlamakta ve bu raporun gizlilik detaylarına (bilgi güvenliği danışmanlığı kapsamında) hassas bir biçimde dikkat etmekteyiz. Hazırlanan sızma testi raporlarında açıklık barındıran uygulamalardaki düşük, orta, yüksek, kritik ve acil seviye güvenlik zafiyetleri detaylı incelenerek, yanlış alarm (false positive) olabilecek başlıklar elenir.

Bilgi güvenliği danışmanlığı kapsamında hazırladığımız “örnek sızma testi sonuç raporumuzu” inceleyerek sızma testi güvenlik danışmanlığı hizmetimiz için detaylı bilgi alabilirsiniz.

Sızma Testi Uzmanlık Eğitimleri

Bilgi Güvenliği Danışmanlığı Fiyat Teklifi ve Referanslarımız

BGA Security önde gelen sızma testi yapan firmalar arasında lider durumdadır. BGA Security kuruluşundan bu yana 100’ün üzerinde farklı kuruma sızma testi gerçekleştirmiştir. Hizmet verdiğimiz firmalar arasında ülkemizin en büyük finans kurumları, telekom şirketleri, enerji firmaları, savunma sanayi firmaları ve kamu kurumları yer almaktadır. Referanslar Non Disclosure Aggrement (NDA) kapsamında korunmaktadır. Sızma testlerimiz aynı zamanda BDDK sızma testi ve KVKK sızma testleri kapsamına uymaktadır.

Sızma testleri hakkında fiyat teklifi ve detaylı bilgi için yandaki formumuzu kullanarak veya aşağıdaki e-posta adresimiz üzerinden kurumunuza özel teklif alabilirsiniz.

Detaylı bilgi için bilgi@bga.com.tr adresimiz ile iletişime geçebilirsiniz.

Ekip Yetkinliklerimiz

BGA Security sızma testi uzman ekibi uluslararası geçerlilikte olan aşağıdaki sertifikasyonlara sahiptir. Ekibimizin Türkçe olarak hazırlamış olduğu sızma testleri uzmanlık dokümanları ve laboratuvar kitaplarına Makaleler sayfamızdan veya blogumuzdan, pentest makalelerimize ücretsiz olarak ulaşabilirsiniz. Siber Güvenlik Danışmanlığı ve Bilgi Güvenliği Eğitimleri hakkında daha fazla bilgi için egitim@bga.com.tr adresimiz ile iletişime geçebilir veya sağ bölümdeki teklif al formumuzu doldurabilirsiniz. Formu doldurduğunuz takdirde en kısa sürede uzmanlarımız sizlerle iletişime geçerek fiyat ve detaylı bilgi ileteceklerdir.