- Konu sahibi
- #1
Güvenlik taraması ile sızma testi arasındaki fark nedir?
Güvenlik taraması, sistemdeki bilinen zafiyetleri ve yanlış yapılandırmaları çoğunlukla otomatik araçlarla arar. Sızma testi ise yetkilendirilmiş bir uzmanın, gerçek bir saldırganın izleyebileceği yolları kontrollü biçimde deneyerek bir açığın gerçekten kullanılabilir olup olmadığını ve etkisini doğrulamasıdır. Kısacası tarama geniş ve tekrarlanabilir bir kontrol; sızma testi ise kapsamı belirlenmiş, daha derin bir saldırı simülasyonudur. Biri diğerinin yerine geçmez.
Nasıl çalışırlar?
Güvenlik taraması; açık portları, eski yazılım sürümlerini, bilinen güvenlik açıklarını, zayıf TLS yapılandırmalarını, eksik güvenlik başlıklarını veya yaygın web uygulaması hatalarını kontrol edebilir. Kimlik doğrulamasız tarama dışarıdan görülen yüzeyi incelerken, yetkili kimlik bilgileriyle yapılan tarama sunucu ve uygulama içindeki daha fazla bulguyu görebilir. Otomatik sonuçlar arasında yanlış pozitifler bulunabileceği için her bulgu ayrıca doğrulanmalıdır.
Sızma testinde test uzmanı yalnızca bir imza veya sürüm eşleşmesine bakmaz. Birden fazla düşük önem dereceli bulgunun birleştirilip birleştirilemeyeceğini, erişim kontrolünün aşılıp aşılamayacağını, hassas veriye ulaşmanın mümkün olup olmadığını ve etkinin ne kadar ilerlediğini inceler. Test, önceden belirlenen kapsam ve kurallar içinde yapılır; üretim sisteminde veri değiştirme, hizmet kesintisi oluşturma veya kalıcı erişim bırakma gibi eylemler ayrıca sınırlandırılır.
Aşağıdaki ayrım, hangi çalışmaya ihtiyaç olduğunu seçmeyi kolaylaştırır:
| Kriter | Güvenlik taraması | Sızma testi |
|---|---|---|
| Ana amaç | Bilinen ve yaygın zafiyetleri bulmak | Saldırı yolunu ve gerçek etkiyi doğrulamak |
| Yöntem | Büyük ölçüde otomatik kontroller | Otomasyon, manuel inceleme ve kontrollü istismar |
| Kapsam | Geniş yüzey, düzenli tekrar | Belirlenmiş hedef ve test senaryoları |
| Sonuç | Aday bulgular, önem dereceleri ve düzeltme önerileri | Doğrulanmış bulgu, saldırı zinciri ve etki kanıtı |
Tarama sonucu tek başına "sistem güvenlidir" anlamına gelmez. Aynı şekilde temiz bir sızma testi de test edilmeyen alanlar, yeni dağıtımlar veya daha sonra ortaya çıkan açıklar için güvence vermez.
Somut örnek
Varsayımsal bir e-ticaret sitesinde tarama, yönetim panelinin eski bir bileşen kullandığını ve bir güvenlik başlığının eksik olduğunu bildirir. Bu sonuçlar önemlidir; ancak bileşenin gerçekten saldırıya açık olup olmadığı ve hesabın yetkisiz kullanılıp kullanılamayacağı henüz kanıtlanmamıştır.
Sızma testi uzmanı, önceden izin verilen test hesabıyla giriş akışını ve yetki kontrollerini inceler. Örneğin normal bir kullanıcının başka bir kullanıcının sipariş kaydına erişip erişemediğini kontrollü bir istekle doğrular. Erişim mümkünse bulgu; etkilenen işlev, kullanılan hesap türü, erişilebilen veri ve düzeltme önerisiyle raporlanır. Gerçek müşteri verisi indirmek veya değiştirmek yerine, mümkün olan en sınırlı kanıt kullanılır.
Uygulanabilir karar ve işlem sırası
- Test edilecek alanları yazılı olarak belirleyin: alan adları, IP adresleri, uygulamalar, API'ler, test hesapları, izin verilen saatler ve kesinlikle yapılmayacak işlemler kapsamda yer alsın.
- Önce yetkili bir güvenlik taraması çalıştırın. İnternete açık varlıkları, bağımlılıkları ve yapılandırmaları kontrol edin; mümkünse dışarıdan ve kimlik doğrulamalı sonuçları ayrı değerlendirin.
- Bulguları önem, etkilenen varlık ve doğrulanma durumu bakımından sınıflandırın. Sürüm eşleşmesini doğrudan istismar kanıtı, tarama uyarısını da kesin açık kabul etmeyin.
- Kritik iş akışları veya yüksek etkili bulgular için kapsamı sınırlı bir sızma testi planlayın. Test uzmanına iş kuralları, test hesapları ve üretim verisiyle ilgili kısıtları bildirin.
- Düzeltmeleri uygulayıp aynı bulguları yeniden tarayın; sızma testinde doğrulanan bulgular için ayrıca yeniden test isteyin. Sonucun kapandığını yalnızca araç raporuna değil, ilgili işlevin tekrar kontrolüne dayandırın.
Sık yapılan hatalar
Yalnızca otomatik tarama raporuna göre riskleri kapatmak, yanlış pozitifleri ayıklamamak ve kimlik doğrulamasız taramayı uygulamanın tamamı sanmak yaygın hatalardır. Tersine, bir defalık sızma testini sürekli izleme yerine koymak da yanlıştır. Yazılım, yapılandırma veya erişim yetkileri değiştiğinde tarama tekrarlanmalı; önemli değişikliklerden sonra ilgili sızma testi senaryoları yeniden değerlendirilmelidir.
Sık sorulan sorular
Küçük bir site için sızma testi gerekli midir?
Site küçük olsa bile yönetim hesabı, müşteri verisi, ödeme akışı veya dışa açık API içeriyorsa risk yalnızca site boyutuyla belirlenmez. Önce kapsamlı bir varlık ve tarama kontrolü yapılabilir; kritik işlevler için dar kapsamlı manuel test planlanabilir.
Sızma testi tarama raporundaki her bulguyu doğrular mı?
Hayır. Test kapsamı ve süresi sınırlıdır. Uzman, öncelikle yüksek etkili ve iş açısından önemli yolları doğrular; raporun hangi varlıkları ve senaryoları kapsadığını ayrıca kontrol etmek gerekir.
