Penetrasyon testi ya da yaygın adıyla sızma testi, bir kurumun bilgi sistemlerindeki güvenlik açıklarını tespit etmek için yapılan kontrollü saldırı simülasyonudur. Test uzmanı, gerçek bir saldırganın kullanacağı yöntemlerle sistemlere erişmeye çalışır; ancak bunu önceden belirlenmiş kurallar ve izinler çerçevesinde yapar.
Açık taraması ile sızma testi aynı şey mi?
Hayır. Otomatik açık tarayıcıları bilinen zafiyetleri listeler, ancak bunların gerçekten istismar edilip edilemeyeceğini ve birleştirildiğinde ne kadar büyük bir risk oluşturduğunu göstermez. Sızma testinde uzman, bulguları doğrular, aralarındaki bağlantıları kurar ve gerçek etkisini ortaya koyar.
Ne zaman yapılmalı?
- Yeni bir sistem, uygulama veya web sitesi devreye alınmadan önce
- Altyapıda büyük bir değişiklikten sonra
- Yasal veya sözleşmesel bir gereklilik olduğunda
- En az yılda bir kez, düzenli olarak
Test türleri
Dış ağ testi, internetten erişilebilen sistemleri hedefler. İç ağ testi, içeriye sızmış bir saldırganın ya da kötü niyetli bir çalışanın neler yapabileceğini gösterir. Web uygulaması testi ise oturum yönetimi, yetkilendirme ve veri girişi gibi uygulamaya özgü açıklara odaklanır.
Bir sistemin güvenliği en zayıf halkası kadardır.
Testten sonra
İyi bir sızma testi raporu, bulguları önem sırasına göre listeler ve her biri için somut çözüm önerileri sunar. Açıklar kapatıldıktan sonra yapılan doğrulama testiyle sürecin tamamlandığından emin olunur.