Aşağıdaki makale size yardımcı olacaktır:Güvenlik Açığı Değerlendirmesi ve Sızma Testi (VAPT) Nedir?
Güvenlik Açığı Değerlendirmesi ve Sızma Testi (VAPT)
Güvenlik Açığı Değerlendirmesi ve Sızma Testi (VAPT Testi), yazılım veya bilgisayar ağındaki güvenlik açıklarını bulmak için kullanılan bir tekniktir. VAPT bazen iki farklı test süreci olarak yanlış yorumlanır. Bu ikisi ise daha iyi sonuçlar elde etmek için birleştirilmelidir. Güvenlik Açığı Değerlendirmesinin amacı, hataları belirlemek ve düzeltmektir. Sızma testi, bir güvenlik açığı olup olmadığını belirlemek için sistemi araştırır ve kötüye kullanır.
Bu blogda ele alınacak konu başlıkları şunlardır:
VAPT’nin gerçekte ne anlama geldiğini ve ne işe yaradığını anlamak için bu videoyu izleyin.
Güvenlik Açığı Değerlendirmesi nedir?
Bir ortamdaki bilinen güvenlik açıklarını bulma ve ölçme uygulaması, güvenlik açığı değerlendirmesi olarak bilinir. Kusurları bulan ve bu kusurları ortadan kaldırmak veya kabul edilebilir bir risk düzeyine indirmek için hafifletme çözümleri öneren, bilgi güvenliği duruşunuzun üst düzey bir değerlendirmesidir.
Güvenlik Açığı Değerlendirmeleri Aşağıda özetlenen genel adımları izleyin:
- Sistemin varlıklarını ve kaynaklarını envanterleyin.
- Kaynaklara parasal ve bağlamsal değer atayın.
- Her kaynak için güvenlik açıklarını veya olası tehlikeleri belirleyin.
- Önemli kaynaklara yönelik en ciddi tehditleri azaltın veya ortadan kaldırın.
Neden Güvenlik Açığı Yönetimi?
Kötü amaçlı kod, Truva atları ve karmaşık solucanlar, bot ağları, DNS saldırıları ve spam siteleri, son 10 yılda en sık bildirilen siber saldırılar oldu. Ancak bugün siber suçlular, birkaç örnek vermek gerekirse, bitcoin cüzdan hırsızları, fidye yazılımları ve pos saldırıları gibi dünyaya yeni kötü amaçlı yazılımlar getiriyor.
Bilgi Güvenliği Gereksinimleri Dönüşümü
Bilgisayar korsanları sisteme kötü amaçlı yazılım sokmak için yeni yollar aramaya devam ederken, veri güvenliği standartları baş döndürücü bir hızla gelişiyor. Sonuç olarak, işletmeler bilgi güvenliği olaylarına hazırlanmada zorluk yaşıyor.
Geleneksel güvenlik önlemleri bu durumda etkisizdir.
Uzun vadeli güvenlik çözümleri (saldırı tespit sistemleri, antivirüs, şifreleme, önleyici sistemler, düzeltme eki vb.), bilinen tehditlere karşı kritik savunma olmaya devam ediyor. Davetsiz misafirler bu tür kontrollerden kaçınmak için yeni yöntemler geliştirdikçe, bu tür çözümlerin etkinliği zamanla azalır.
Olay Tanımlama Boşlukları
Tasarımlarındaki neredeyse çözülemez tespit boşlukları nedeniyle, kuruluşlar genellikle veri güvenliği sorunlarını tespit etme becerisinden yoksundur.
Firmamın güvenlik açığı değerlendirmesi isteyip istemediğini nasıl bilebilirim?
- Güvenlik Açığı Değerlendirmesi ve Sızma Testi genellikle kuruluşlar tarafından göz ardı edilir; yine de, her şirket bilgisayar korsanları için potansiyel bir hedeftir.
- Bu, son fidye yazılımı saldırıları göz önüne alındığında açıktır. Sorumluluk alın ve uygulamanızı korumak için uygun güvenlik önlemlerinin alındığından emin olun.
- Yılda bir kez veya uygulamanızda önemli değişiklikler yaptıktan sonra bir Güvenlik Açığı Değerlendirmesi yapılmalıdır.
Güvenlik Açıklarının Temel Nedenleri:
Bir sistemin güvenlik açığının temel nedenleri, yanlış yapılandırma ve kötü programlama yöntemleridir. Aşağıdakiler güvenlik açığının nedenlerinden bazılarıdır.
- Donanım ve yazılım tasarımındaki hatalar
- Yetersiz yapılandırılmış sistem güvenli olmayan bir ağa bağlı bir sistem
- Etkin olmayan şifre kombinasyonları
- Karmaşık donanım veya yazılım
Sızma Testi Nedir?
Penetrasyon testiPEN testi olarak da bilinen bir ağ, sistem veya uygulamadaki bir saldırganın yararlanabileceği güvenlik açıklarını bulmayı amaçlayan bir güvenlik değerlendirmesidir. Bu aynı zamanda etik korsanlık olarak da bilinir ve bu bilgisayar korsanlarına “beyaz şapkalı” bilgisayar korsanları denir. ‘Beyaz şapkalı’ bilgisayar korsanları, temel güvenlik zayıflıklarını ve çatlaklarını belirlemek için bir siber suçlunun gerçek davranışını taklit edecek; ayrıca bu endişelere çareler önereceklerdir.
Ek Sızma Testi Türleri ve Hizmetleri
Kapsamına bağlı olarak, bir sızma testi, sosyal mühendislik saldırılarını veya fiziksel güvenlik kontrollerini içerecek şekilde ağın ötesine geçebilir. Ayrıca, hedef sistemler hakkında çok az bilgi sahibi olunarak gerçekleştirilen ve kendi araştırmasını test eden kişinin yapmasına dayanan iki tür pentest vardır: “temiz kutu” ve “cam kutu”.
Sızma Testi Aşağıda Listelenen Genel Adımları Gerçekleştirin:
- kapsamın belirlenmesi
- Erişim istismarı ve yükseltme girişimleri
- Hassas verilerin toplanması için test etme
- Temizleme ve son raporlama
sadece sizin için yapılır.
Neden Sızma Testi
- Sistemler arasında veya ağlar arasında aktarılırken finansal verileri korumak için.
- Kullanıcı bilgilerini korumak için
- Bir programdaki güvenlik zayıflıklarını belirlemek.
- Sistemdeki hataları bulmak için.
- Kuruluşun siber tehlikelere karşı toleransını değerlendirmek.
- Şirket içinde etkin bir güvenlik planı uygulamak.
Sızma Testi: Bilgisayar korsanlarından önce gizli kusurları keşfedin
Sızma testi, güvenlik açıklarının nerede olabileceğini bulmak veya zayıflıkları gidermek için tüm uygulamayı veya sistemi proaktif olarak değerlendirir ve mevcut güvenlik politikaları ihlal edildiğinde güvenlik uzmanlarını uyarır. Temel neden bulunana kadar güvenlik sorunları çözülemez. Sızma testi, yalnızca güvenlik açıklarını tanımlamanın ötesine geçer; bir davetsiz misafirin verilere nasıl erişeceğini belirlemek için sisteme gerçek bir bilgisayar korsanı gibi girer. Güvenlik önlemlerinin veya kurallarının etkinliğini gösterir ve siber suçluların sisteme erişebileceği boşlukları açıkça tanımlar.
VAPT neden gereklidir?
Güvenlik söz konusu olduğunda, VAPT bir işletmeye çeşitli avantajlar sunar; işte onlardan birkaçı.
- Bir kuruluşun uygulamasına yönelik potansiyel risklerin ayrıntılı bir perspektifini sağlamak.
- Siber saldırılara yol açan kod hatalarını tespit etmede kuruluşa yardımcı olun.
- Risk yönetimi mevcuttur.
- Şirketin itibarını ve mali durumunu korur.
- Uygulamalar hem dahili hem de harici saldırılara karşı korunur.
- Kuruluşun verilerini kötü amaçlı saldırılardan korur.
VAPT Nasıl Çalışır?
VAPT’nin ilk aşaması, hangi sistem ve uygulamaların gözden geçirilmesi gerektiğini belirlemektir. Bu, manuel olarak veya bir alet kullanılarak gerçekleştirilebilir. Listeyi derledikten sonra, her sistemi veya uygulamayı güvenlik açıklarına karşı taramak için bir VAPT aracı kullanılır. Bu programlar, güvenlik açıklarını tespit etmek için ağ eşleme, bağlantı noktası tarama ve afiş kapma gibi bir dizi teknik kullanır.
Güvenlik açığı değerlendirmesinin tamamlanmasının ardından, güvenlik açığı olduğu bilinen sistem veya uygulamalar üzerinde sızma testi gerçekleştirilir. Bu testin amacı, hassas verilere erişmek veya sistemin kontrolünü ele geçirmek için güvenlik açıklarından yararlanmaktır.
VAPT aracı nedir?
Bir VAPT aracı, zayıf alanları belirlemek için bir VA ve erişim elde etmek için bu zayıf alanlardan yararlanmak için bir PT gerçekleştirir. Örneğin, PA şifresini çözmek için çalışırken bir VA zayıf şifrelemenin belirlenmesine yardımcı olabilir.
VAPT araçları bir güvenlik açığı taraması yapar, bir PA raporu sağlar ve ara sıra kod veya yükleri yürütür.
VAPT Araçlarının Listesi
Davetsiz misafir:
Davetsiz misafir, web sitelerini zayıflıklara karşı tarayan ve çeşitli tehditleri belirleyen bir bilgisayar uygulamasıdır.
Metasploit:
Metasploit, önceden paketlenmiş istismarlar için kod içeren güçlü bir çerçevedir. Çok sayıda güvenlik açığı ve ilgili açıklardan yararlanma hakkında Metasploit projesinden alınan verilerle desteklenir.
Ness:
Nessus, internet BT altyapısının kurulumunu ve güvenlik açıklarını kontrol eden ücretsiz bir araçtır.
Burp Paketi Pro:
Burp Suite Pro, çevrimiçi uygulama güvenliği, güvenlik açığı analizi ve sızma testi için güçlü bir araç setidir.
Aircrack:
Aircrack-ng, şifre izleme, tarama, saldırı ve kırma için kullanılabilecek kablosuz ağların güvenliğini değerlendirmeye yönelik bir dizi araçtır.
Ağ VAPT Türleri
İki tür ağ güvenlik açığı değerlendirmesi ve sızma testi vardır.
dahili VA
Bu yalnızca dahili ağ için geçerlidir. Güvenlik açığı taraması açısından, dahili sunucular, güvenlik duvarları ve veritabanı sunucuları veya dosya sunucuları gibi veri bileşenleri çok önemlidir. Test ağ içinden çalıştırılacağı için yalnızca güvenlik açığı değerlendirmesi yapılır; sızma testi değildir. İç güvenlik denetimleri, fiziksel olarak ağ tesislerinde veya ağ içinde uzaktan gerçekleştirilebilir.
harici VAPT
Bu tip, dış çevre için interneti izler. Test, tesis dışından yapıldığından, kapsamlı sızma testi muhtemelen kesinlikle güvenlik açığı değerlendirmesinden sonra gerçekleştirilir. İlki, güvenlik açıklarını veya güvenlik açıklarını tespit etmek için güvenlik açığı taramasını kullanırken, ikincisi bu açıklardan yararlanmaya çalışır.
VAPT Raporu
VAPT Test raporu, güvenlik testi sırasında bulunan güvenlik açıklarının kapsamlı bir incelemesidir. Zayıflıkları, sağladıkları tehlikeyi ve olası düzeltmeleri açıklar. Pentest Raporu, en kritik güvenlik açıklarını ele almak için ayrıntılı güvenlik açığı analizinin yanı sıra bir POC (Kavram Kanıtı) ve iyileştirme içerir. İyi bir penetrasyon testi raporu, tespit edilen her güvenlik açığı için bir puan ve uygulamanızı/web sitenizi ne ölçüde etkileyebileceğini içerecektir.
Çözüm
COVID-19 dönemi, işletmelerin çevrimiçi çalışma şeklini büyük ölçüde etkiledi. Bu süre zarfında, daha olgun ve gelişmiş bilgisayar korsanlarının dünya çapında çok çeşitli işletmeleri hedef aldığını gördük. Firmanızı herhangi bir tehdide karşı korumak için VAPT düzenli olarak gerçekleştirilmelidir.
