Sızma Testi Nedir? Nasıl Yapılır?

Siber güvenlik alanında sızma testi önemli bir yere sahiptir. Günümüz teknolojik gelişmeler incelendiğinde bilgisayardan ağlara mobil telefonlardan diğer tüm cihazlar siber risk altındadır. Bu tür cihaz ve veri aktarımında kullanılan ağ bağlantılarındaki güvenlik açıklıklarını tespit ederek raporlanması sızma testi olarak adlandırılmaktadır. Uygulamada sızma testleri zaman zaman penetrasyon testi olarak da anılmaktadır. Bizde bu yazımızda siber güvenlik alanında sızma testinin önemini kapsayacak bilgileri sizlerle paylaştık. Ayrıca yazımızda sızma testi nedir? Sızma testi nasıl yapılır? Sızma testleri nelerdir? Ve sızma testinin amacı nedir gibi siber güvenlik uzmanı olarak sık karşılaştığımız sorulara yanıtlar verdik.

İçindekiler Tablosu

Sızma Testi Nedir?

Herhangi bir işletme veya kuruluşta veri güvenliğini test etme amacıyla sistemin zayıf noktalarını tespit etmektir. Bu zayıf noktaların siber güvenlik için uygun hale getirilmesi amacıyla siber güvenlik uzmanları tarafından yapılan testlere sızma testleri veya penetrasyon testi denilmektedir. Daha çok sistemdeki açıklıkları bir hacker gözüyle tespit edilmesi nedeniyle siber güvenlik açısından oldukça önemli bir yere sahiptir. Görüldüğü gibi alanında uzmanlık gerektiren bir çalışmadır. Bu nedenle sistematik olarak konusunda uzman kişilerce yapılması önem arz eden başka bir konudur.

Sızma Testi Nasıl Yapılır?

Penetrasyon testi veya sızma testleri sistem açıklarının daha etkili bir şekilde tespit edilebilmesi için belirli bir sistem ve kurallar dahilinde ilerlemesi gerekmektedir. Genellikle uygulamada bu işlemlere sızma testi aşamaları denilmektedir. Etkin, sağlıklı ve sonuca varmak için sızma testleri aşamaları dikkatli bir şekilde takip edilmelidir. Bu aşamaları genel olarak aşağıdaki gibi sıralamak mümkündür.

Sızma Testi Aşamaları

Sızma testlerinin ilk aşaması testin uygulanacağı sistem hakkında bilgi toplamaktır. Bu aşamada sistemin faaliyet gösterdiği ağa bağlı diğer cihazlar ve donanımlar incelenmektedir. Bu nedenle sızma testinin aşamalarında herhangi bir aksaklık ile karşılaşılmaması için bilgi toplama aşamasında toplanan veriler dikkatli bir şekilde analiz edilmektedir.
Penetrasyon testi yapılmasındaki öncelikli amaç sistem açıklıklarının tespit edilmesidir. Bu nedenle öncelikle açıklıkların ya da siber güvenlik alanında siber risk altında bulunan noktaların tespit edilmesi sızma testinin ikinci aşamasıdır.
Üçüncü aşama olarak bir önceki aşamada tespit edilen güvenlik açıklıkları kullanılarak sistemin istismar edilmektedir. Bu aşamada kullanılan sisteme uygun sızma testi programları yoğun bir şekilde kullanılmaktadır. Bu aşamada testin amacına yönelik uygun penetrasyon testi programının kullanılması oldukça önemlidir.
Sızma testlerinin en önemli aşamalarından birisi ise veri çalma konusunda sistemi kontrol etme aşamasıdır. Daha öncede belirtildiği gibi kötü niyetli kişilerce sisteme sızma genellikle veri hırsızlık amacı ile yapılmaktadır. Herhangi bir veri kaybına neden olmamak adına penetrasyon testi konusunda gerekli eğitimleri almış yetkin ve güvenilir siber güvenlik uzmanı tarafından yapılmalıdır.
Son aşama olarak yukarıda belirtmiş olduğumuz işlemler neticesinde tespit edilen güvenlik açıklıkları ya da sistemin zayıf noktaları raporlanarak çözüm önerileri ile birlikte sistem yetkilisine rapor şeklinde sunulmaktadır.

Sızma Testi Programları

Teknolojinin hergeçen gün değişerek ilerlemesinin paralelinde sızma testleride amaçlarına veya kullanılan sisteme göre değişiklik göstermektedir. Günümüzde siber güvenlik uzmanlarınca test sırasında kullanmış oldukları sızma testleri programları genel olarak aşağıdaki gibidir.

SQLMap

OpenVAS

Aircrack-ng

Burp Suite

Nmap

Nessus

Hydra

OWASP Zap

Wireshark

Metasploit Framework

Yukarıda belirtmiş olduğumuz penetrasyon testi programları kurulumu ve kullanımı bilgi ve beceri gerektiren programlardır. Bu nedenle siber güvenlik uzmanlarınca kullanılması önerilir. Konusunda yeterli bilgi ve beceriye sahip olmayan kişilerce sisteme sızma amacıyla müdahalede bulunulmaması gerekmektedir. Bu durumda siber güvenlik adına sonuç alınamayacağı gibi sisteme zarar verilmesi veya veri kaybı meydana gelmesi mümkündür.

Sızma Testinin Önemi

Penetrasyon testi veya sızma testlerinin yapılmasındaki öncelikli amaç sistem açıklarının belirlenmesidir. Siber güvenlik için risk oluşturabilecek açıklıkların tespit edilmesidir. Bunların berteraf sistemin sağlıklı bir şekilde çalışması. sürekliliği ve özellikle veri güvenliği için oldukça önemlidir. Sistemin güvenli hale getirilmesi müşteri bilgilerindede ayrıca güvenlik sağlanmış olacağından şirket güvenirliliğinide etkilediğini söylemek mümkündür. Penetrasyon testleri ile güvenlik açıklıkları herhangi bir kötü amaçlı saldırıya maruz kalmadan tespit edilmesi nedeniyle ayrıca ileride karşılaşılabilecek saldırıları önleme adına bir çalışmadır. Bu nedenle kişi, kurum ve kuruluşların ileride karşılaşması muhtemel birçok ekonomik anlamda zararlardan korumaktadır.

Bu gün sızma testinin önemi her geçen gün artmaktadır. Buna bağlı olarak bu alanda eğitim veren kurumların sayısında her geçen gün artış gözlemlenmektedir. Penetrasyon testinin önemi ve sızma testinin öneminin? Daha anlaşılabilir olması açısından bu gün özellikle UYAP bilişim sistemlerindeki veri akışının sağlıklı yapılması ve sistemin güvenliğinin etkin bir şekilde sağlanması için. Adalet Bakanlığı Bünyesinde merkez kuruluşlarında 1.250 siber güvenlik uzmanının görev yaptığı bilinmektedir.

Sızma Testleri Ne Sıklıkla Yapılmalı?

Daha çok sızma testlerinin yapılma sıktığı işletme ve kuruluşların siber risk seviyesine göre değişiklik göstermektedir. Bu test her ay yapılabileceği gibi; 3, 6 veya 12 aylık periyotlarla yapılması önerilmektedir. Penetrasyon testlerinin ne sıklıkla yapılacağı konusunda siber güvenlik uzmanları görüş bildirmektedir. Kamu kuruluşları ile bankacılık sektöründe faaliyet gösteren kuruluşlar bünyelerinde kadrolu olarak siber güvenlik uzmanı çalıştırmaktadır. Bu durum da siber güvenliğin önemi bizlere bir kez daha hatırlatmaktadır.

Sızma Testi Yaptırmak Zorunlu Mu?

Siber güvenlik uzmanı olarak sıklıkla karşılaştığımız soruların başında sızma testi yaptırmak zorunlu mu? Sorusu gelmektedir. Mevcut yasa ve yönetmeliklerimiz incelendiğinde sızma testleri yaptırmak adına bir zorunluluk bulunmamaktadır. Ancak gerek “kişisel verilerin korunması kanunu” gerekse “özel hayatın gizliliği” gibi hukuki kurallar göz önüne alındığında dolaylı da olsa sızma testlerinin zorunlu olduğunu söylemek mümkündür. Şöyle ki; Her kurum ve işletme müşterilerine ait kişisel verilerin güvenliğinden sorumludurlar. Bu güvenlik büyük ölçüde sızma testleri veya penetrasyon testleri ile sağlanmaktadır.

Sızma Testi Raporu Nedir?

Yukarıda sızma testleri ve penetrasyon testleri hakkında vermiş olduğumuz bilgilerden de anlaşılacağı üzere; Penetrasyon testleri siber güvenlik alanında oldukça önemli bir yere sahiptir. Sızma testi aşamaları başlığında belirttiğimiz şekilde. penetrasyon testi programları ile yapılan testler sonucu sistemde mevcut olan siber risklerin, güvenlik açıklıklarının ve diğer önerilerin siber güvenlik uzmanınca rapor şeklinde sistem yetkililerine sunulması genel olarak sızma testi raporu olarak adlandırılmaktadır.