Sızma testi nedir?
Sızma testi (penetrasyon testi, pentest), bir sistemin güvenlik açıklarının, sistem sahibinin yazılı izniyle ve kontrollü şekilde, bir saldırganın kullanacağı yöntemlerle test edilmesidir. Otomatik tarama araçlarının bulduğu bilinen açıkların ötesine geçerek, açıkların gerçekten istismar edilip edilemeyeceğini ve birleştiğinde ne tür bir risk oluşturduğunu ortaya koyar.
Özellikle iş mantığı açıkları (örneğin bir kullanıcının başka bir kullanıcının siparişini görebilmesi veya ödeme adımını atlayabilmesi) otomatik araçlarla bulunamaz; bunlar ancak uygulamanın nasıl çalıştığını anlayan manuel testlerle ortaya çıkar.
Ne zaman sızma testi yaptırmalısınız?
Yeni bir uygulamayı veya önemli bir özelliği yayına almadan önce; ödeme, kişisel veri veya kurumsal sırlar gibi hassas bilgileri işleyen sistemlerde düzenli aralıklarla; altyapıda veya kodda büyük değişikliklerden sonra; müşterileriniz, iş ortaklarınız veya denetimler bağımsız bir güvenlik testi talep ettiğinde.
Genel kabul gören yaklaşım, kritik sistemlerin en az yılda bir kez ve her büyük değişiklikten sonra test edilmesidir.
Testler canlı sistemi etkiler mi?
Test yöntemleri, zamanlaması ve sınırları yazılı olarak sizinle belirlenir. Hizmet kesintisine yol açabilecek yük testleri veya veri değiştiren işlemler yalnızca onayınızla ve tercihen test ortamında yapılır. Testler sırasında kritik bir açık bulunduğunda raporun tamamlanmasını beklemeden size hemen haber veriyoruz.
Yalnızca sahibi olduğunuz veya test etme yetkiniz bulunan sistemleri test ediyoruz; üçüncü taraf sistemler için ilgili tarafın yazılı izni gerekir.
Rapordan sonra ne olur?
Bir sızma testinin değeri, bulunan açıkların kapatılmasıyla ortaya çıkar. Raporda her bulgu için risk seviyesi, nasıl tespit edildiği ve nasıl kapatılabileceğine dair öneriler açıkça yazılır. Böylece geliştirici ekibiniz veya yazılım sağlayıcınız onarımları önem sırasına göre planlayabilir; yönetici özeti de bütçe ve önceliklendirme kararlarını kolaylaştırır.