Penetrasyon testi (pentest), belirlenmiş sistemlerdeki güvenlik zayıflıklarını izinli kapsamda doğrulamaya yönelik çalışmadır. Otomatik tarama listesiyle aynı şey değildir; bulgunun gerçek etkisi, ön koşulları ve düzeltme yolu açıklanmalıdır.
Test Öncesi Kapsam Belgesi
- Test edilecek sistem, uygulama ve hesaplar.
- İzin verilen yöntemler ve kapsam dışı işlemler.
- Test zamanı, iletişim ve acil durdurma koşulu.
- Veri erişimi, kanıt saklama ve temizleme kuralları.
- Rapor teslimi ve yeniden test kapsamı.
Üretim sistemlerindeki iş etkisi ve üçüncü taraf bağımlılıkları planlama sırasında değerlendirilmelidir.
Pentest Aşamaları
- Planlama: Hedef, izin ve kabul koşullarını belirleme.
- Bilgi toplama: Kapsam içindeki servis ve uygulama yüzeyini anlama.
- Analiz: Yapılandırma, kimlik, erişim kontrolü ve uygulama davranışını değerlendirme.
- Doğrulama: Bulguyu kontrollü ve gerekli kanıtla sınama.
- Raporlama: Etki, ön koşul, risk ve düzeltmeyi açıklama.
- Yeniden test: Düzeltmenin bulguyu giderip gidermediğini kontrol etme.
İyi Bir Bulgu Raporu Neyi İçerir?
| Bölüm | Amaç |
|---|---|
| Etkilenen varlık | Hangi sistem ve işlevin etkilendiğini açıklamak |
| Kanıt | Bulguyu tekrarlanabilir şekilde göstermek |
| Etki | Gözlenen etkiyi varsayımdan ayırmak |
| Düzeltme | Teknik ekibin aksiyon almasını sağlamak |
| Yeniden test | Sonucun doğrulandığını kaydetmek |
Araç Seçimi ve Sıklık
Araç, test sorusuna ve hedefe göre seçilir. Her çalışma için aynı tarama veya istismar sırasını kullanmak uygun değildir. Test sıklığı da risk, değişiklik ve ilgili gereksinimlere göre belirlenir; her kurum için tek bir takvim varsayılmamalıdır.
Öğrenmeye Başlamak
İzinli laboratuvarlarda ağ ve web temellerini çalışın. Bir bulguyu yalnızca tespit etmeyi değil, açıklamayı ve düzeltmesini doğrulamayı hedefleyin. Kali Linux gibi araç ortamları, yöntem ve raporlama becerisinin yerine geçmez.
Kaynaklar
NIST SP 800-115 ve OWASP Web Security Testing Guide. Rapor tablosu bu rehber için hazırlanmıştır.
İlgili Rehberler
