Yazılım Güvenlik Testleri

Bilişim alanında kullanılan her türle elektronik cihazların belirlenmiş amaç doğrultusunda faaliyet göstermesi amacıyla bilgisayar dili ile hazırlanmış uygulamalar yazılım olarak adlandırılmaktadır. Yazılım güvenlik testleri bilişim sisteminin sağlıklı çalışmasında önemli olduğu kadar siber güvenlik içinde önemli bir uygulamadır. Amaç ve uyulama teknikleri göz önüne alındığında yazılım güvenlik testlerinin bir çeşit sızma testi olduğunu söylemek mümkündür.

İçindekiler Tablosu

Yazılım Testi Kaça Ayrılır? (Yazılım Test Metodolojileri)

Yazılı ve uygulamaların güvenirliliği başta olmak üzere performansını da ölçmeye yarayan testlere genel olarak yazılım güvenlik testleri denilmektedir. Performans konusunda aksaklıkları bulunan bir yazılımın güvenirliliğinden söz etmek mümkün değildir. Herhangi bir yazılımda mevcut olan hata performansı etkilediği gibi siber riskte oluşturmaktadır. Bu nedenle bu tür testler her iki unsur dikkate alınarak yapılmaktadır. Tüm bu işlemler yazılım test metodolojileri olarak adlandırılmaktadır.

Yazılım Test Metodolojileri

Yazılım test metodolojileri genel olarak işlevsel testler ve işlevsel olmayan testler olarak iki ayrı başlık altında incelenmektedir. İşlevsel testler daha çok yazılımın işleyişine yönelik testler olmasına karşın bu konuda bir aksaklık ve performans eksikliği bulunması siber risk de oluşturabilmektedir. Yazılım güvenlik testleri arasında yer alan işlevsel olmayan testler ise daha çok siber güvenliğe yönelik test aşamalarıdır.

İşlevsel Testler

Yazılım test metodolojilerinin ilk aşaması işlevsel testtir. Yazılımın hazırlanma amacına uygun hareket edip etmediği test edilmektedir. Amacına uygun olarak çalışmayan bir uygulama aynı zamanda siber risk oluşturabilmektedir.

Birim Testi

Bilindiği üzere uygulamalar birbiri ile entegrasyon halinde değişik bileşen ve birimlerden oluşmaktadır. Her bir birimin uygulamanın işlevselliğine olan katkısı farklıdır. Bu nedenle genel fonksiyonel testi haricinde yazılım testleri ve yazılım güvenlik testlerinde ayrıca birim testi de yapılmaktadır. Birim testleri sırasında ayrıca bu bileşenlerin birbirleri arasında sağlıklı bir iletişim sağlayıp sağlamadıkları da kontrol edilmektedir. Bu test sırasında ayrıca entegrasyon testi yapılmaktadır.

Sistem Testi

Yukarıda belirtmiş olduğumuz fonksiyonel test, birim testi ve entegrasyon testini de kapsayacak şekilde tüm yazılımın performans işlevselliğinin testi edildiği yazılım test metodolojilerindendir. Böylelikle yazılımın performansı test edilirken ayrıca yazılım güvenlik testlerine de etki edecek bir uygulamadır.

Gerileme Testi (Regresyon Testi)

En sık kullanılan yazılım test metodolojileri arasında gerileme testi yer almaktadır. Yazılım ve uygulamalar değişen ihtiyaçlar doğrultusunda zaman zaman güncelleme ihtiyacı da doğurmaktadır. Her güncellemeden sonra genel yazılım testi yapılabileceği gibi ihtiyaca göre sadece birim testi veya entegrasyon testi de yapılabilmektedir. Ancak yapılan güncellemenin siber risk oluşturup oluşturmadığı konusunda mutlaka yazılım güvenlik testlerinin yapılması tavsiye edilmektedir.

Kabul Testi

Her ne kadar siber güvenlik ile fazlaca bağlantısı olmasa da yazılım güvenlik testleri konusunun daha anlaşılabilir olması açısından kısaca kabul testi konusunda da bilgi vermek gerekmektedir.

Hazırlanmış olan yazılımların genel olarak kullanıcıların beklenti ve ihtiyaçlarını karşılayabilir olup olmadığı konusunda yapılan testlerdir. Kullanıcıların ihtiyaçlarını cevap vermeyen bir yazılımın sürekliliğinden bahsedilemez. Bu nedenle özellikle yazılım testlerinde kabul testinin mutlaka yapılması gerekmektedir.

İşlevsel Olmayan Testler

Yukarıda belirtmiş olduğumuz yazılım test metodolojileri genellikle uygulamaların işleyişine yönelik olan testlerdir. Esasen işlevsel olmayan testler daha çok yazılım güvenlik testleri olarak değerlendirilmektedir.

Performans Testi

Daha önce de belirtildiği gibi yazılımdaki performans eksikliği siber riski de beraberinde getirmektedir. Örneğin uygulamadaki yoğun trafik halinde yazılımın verimliliği ve bu yoğun trafik nedeniyle herhangi bir siber riskin oluşup oluşmadığı performans testi aşamasında değerlendirilmektedir.

Güvenlik Testi

Yetkisiz erişim ve veri hırsızlığı gibi siber tehditlere karşı yazılımın test edildiği aşamadır. Diğer yazılım test metodolojileri ile birlikte değerlendirilmesi zorunludur. Benzer şekilde gerçekleştirilen sızma testi türlerinde kullanılan kara kutu testi, gri kutu testi ve beyaz kutu testi yazılım güvenlik testlerinde de uygulanmaktadır.

Yazılım Güvenlik Testi Nasıl Yapılır?

Amaç, nitelik ve uygulama yöntemleri dikkate alındığında yazılım güvenlik testleri de bir çeşit sızma testidir. Ancak kısmen de olsa farklı yönleri vardır. Ancak bu testlerinde sağlıklı bir şekilde yürütülmesi ve amacına hizmet etmesi için belirli aşamalar ile gerçekleştirilmesi gerekmektedir.

Güvenlik açığı taraması
Açık port taraması
Firewall testleri
SQL injection
Ağ taraması
Root sertifika yönetimi
Zayıf şifrelerin belirlenmesi

Yazılım Güvenlik Testini Kimler Yapar?

Yukarıda da belirttiğimiz gibi yazılım testleri içerisinde performans testleri ve güvenlik testleri barındıran işlemledir. Bu nedenle özellikle sızma testi uzmanı beraberinde yazılım ve donanım konusunda tecrübeli kişilerce yapılması gerekmektedir. TSE sertifikalı sızma testi uzmanlarının yazılım güvenlik testi konusunda daha tecrübeli ve yetenekli olduğunu söyleyebiliriz.

Yazılım Güvenlik Testi Zorunlu Mu?

İstisnalar dışında yazılım güvenlik testi yapılması konusunda bir zorunluluk bulunmamaktadır. Ancak özellikle aşağıda belirtmiş olduğumuz yazılım güvenlik testi önemi başlığında da belirttiğimiz gibi özellikle veri kayıplarına neden olarak idari yaptırımlara maruz kalmamak için sızma testinde olduğu gibi yazılım güvenlik testlerinin yapılması tavsiye edilmektedir.

Yazılım Güvenlik Testi Önemi

Siber risklerin tehdit unsuru haline gelmesini önlemek amacıyla yazılım güvenlik testleri yapılmaktadır. Herhangi bir siber riske bağlı olarak oluşabilecek siber tehdit nedeniyle yazılımda kullanılan veriler kötü niyetli kişilerce ele geçirilebilmektedir. Buna bağlı olarak herhangi bir veri kaybına sebebiyet vermemesi, yazılımın sürekliliği ve yazılımı hazırlayan ve sunan firmaların prestiji açısından yazılım testleri önemli, hatta günümüz koşulları dikkate alındığında zorunlu hale gelmiş bir test türüdür. Yazılım test metodolojilerinin eksiksiz ve zamanında uygulanması halinde yazılım güvenliği sağlanmış olacaktır.

Yazılım Güvenlik Testinde Kullanılan Araçlar

Siber güvenlik uzmanı veya sızma testi uzmanlarınca kullanılan yazılım güvenlik testinde kullanılan araçlar değişiklik göstermektedir. Ancak günümüzde yazılım güvenlik testlerinde en sık kullanılan araçlar;

Metaspoit: Bir çok sızma testi ve penetrasyon testinde olduğu gibi “metaspoit” yazılım güvenlik testinde de kullanılan araçlardandır. Yazılımın genel güvenlik derecesi hakkında sızma testi uzmanına gerekli bilgileri sunmaktadır.
Owasp Zed Attack: Daha çok web uygulamalar için kullanılan bir güvenlik açığı tespit aracıdır
Bup Suite: Yazılımı derinlemesine analiz ederek mevcut açıklıkları analiz ederek bu konuda siber güvenlik uzmanına bilgi veren yazılım güvenlik testi aracıdır.

Yukarıda belirtmiş olduğumuz yazılım güvenlik testinde kullanılan araçlar büyük ölçüde uzmanların işini kolaylaştıran araçlardır. Ancak bu tür programların konusunda yetkili ve uzman kişilerce kullanılmalıdır. Aksi halde yazılım güvenlik testlerinin amacına uygun yapıldığının söylenmesi mümkün değildir. Bu nedenle bu konuda gerekli eğitimi almış ve tecrübeye sahip kişilerce yapılması gerekmektedir. Ayrıca yukarıda belirtmiş olduğumuz yazılım test metodolojileri eksiksiz bir şekilde uygulanmalıdır.