Sızma Testi Nedir?
Sızma testi, yetkili uzmanların bir sistemin güvenlik açıklarını gerçek saldırgan yöntemleriyle ancak izinli ve kontrollü biçimde arayıp raporladığı güvenlik denetimidir.
Sızma Testi Nasıl Yapılır?
Sızma testi (penetration test), bir web sitesinin, uygulamanın ya da ağın güvenliğini saldırgan gibi düşünen uzmanlarla denemektir. Test önceden yazılı izinle ve belirlenen kapsamda yapılır. Uzmanlar açıkları bulur, bunları sömürmenin mümkün olup olmadığını gösterir ve ayrıntılı bir rapor sunar.
Süreç genellikle şu adımları izler: kapsamın belirlenmesi, bilgi toplama, açık taraması, açıkların denenmesi, bulguların raporlanması ve düzeltme sonrası yeniden test. Tarama araçları otomatik açık bulur; sızma testinde ise insan uzman, otomatik araçların kaçırdığı mantık hatalarını da arar.
- Kapsam ve izin belgesi
- Bulguların risk düzeyine göre sıralanması
- Düzeltme sonrası doğrulama testi
Sızma Testi Neden Önemlidir?
E-ticaret siteleri müşteri ve ödeme verisi taşıdığı için sürekli saldırı altındadır. Sızma testi, açıkları saldırgandan önce bulmayı sağlar. Kart verisi işleyen işletmeler için PCI DSS gibi çerçeveler düzenli güvenlik testi bekleyebilir; güncel gereklilikler ilgili standarttan kontrol edilmelidir.
Test yalnızca bir kez yapılıp bırakılmamalıdır. Yeni özellik, yeni eklenti ya da altyapı değişikliği sonrasında yeniden test gerekir. Karar noktası, yüksek riskli bulguları öncelikli kapatmak ve düzeltmeleri tarih ve sorumlu atayarak izlemektir.
Test sırasında üretim sistemine zarar vermemek için kapsam, zaman ve yöntem önceden netleştirilir; SQL enjeksiyonu ve hesap ele geçirme gibi senaryolar bu testlerde sık denenir.
Test firması seçilirken deneyim, rapor örneği ve gizlilik taahhüdü sorgulanmalıdır. Bulunan açıklara ait bilgiler hassas olduğu için rapor sınırlı kişilerle paylaşılmalı ve güvenli saklanmalıdır.
Sızma Testinde Sık Yapılan Hatalar
- Yazılı izin almadan test yaptırmak. Hukuki sorun doğar.
- Raporu okuyup düzeltmemek. Açıklar kapanmadan kalır.
- Testi tek seferlik yapmak. Yeni değişiklikler denetlenmez.
- Kapsamı dar tutmak. Kritik bileşenler dışarıda kalır.
Sızma Testi Hakkında Sık Sorulan Sorular
Sızma testi raporu nasıl ele alınmalıdır?
Bulgular risk düzeyine göre sıralanır ve yüksek riskli olanlar önce kapatılır; her düzeltmeye tarih ve sorumlu atanır, ardından doğrulama testi yapılır. Rapor açıklara dair hassas bilgi taşıdığından sınırlı kişilerle paylaşılır ve güvenli saklanır.
Sızma testi ile açık taraması aynı mıdır?
Hayır. Açık taraması otomatik araçla yapılır; sızma testinde uzman açıkları denemeyi ve mantık hatalarını da inceler.
Sızma testi ne sıklıkla yapılmalı?
Büyük değişikliklerden sonra ve düzenli aralıklarla yapılmalıdır; sıklık risk düzeyine ve uyum gereksinimine göre belirlenir.