Sızma Testi Aşamaları: Keşiften Raporlamaya

Yapılandırılmış bir sızma testi, kapsamın eksiksiz ele alınmasını sağlayan, üretim sistemleri üzerindeki riski en aza indiren ve uygulanabilir sonuçlar üreten tanımlı bir yaşam döngüsünü izler. En yaygın kullanılan çatı, PTES (Penetration Testing Execution Standard) tarafından sunulur ve NIST yaklaşımıyla uyumludur. Aşamalar şunlardır: Planning/Scoping, Reconnaissance, Scanning, Exploitation, Post-Exploitation ve Reporting. Her aşama bir öncekinin üzerine kurulur — keşfetmediğiniz bir şeyi Exploitation aşamasında kullanamaz, belgelememiş olduğunuz bir şeyi raporlayamazsınız. Aşamaları atlamak veya aceleye getirmek eksik değerlendirmelere ve güvenilmez bulgulara yol açar.

Planning aşaması, çalışmanın yasal ve operasyonel temelini oluşturur. Temel çıktılar şunlardır: hedefleri ve ücretlendirmeyi tanımlayan imzalı bir Statement of Work (SOW); izin verilen hedefleri, zaman aralıklarını, yasak teknikleri, acil durum iletişim kişilerini ve veri işleme gereksinimlerini belirten bir Rules of Engagement (RoE) belgesi; ayrıca başarı ölçütlerinin (hedefe ulaşılmış sayılmak için gerekenlerin) açıkça tanımlanması. Kapsam, kapsam genişlemesini (yanlışlıkla izin verilmeyen sistemlerin test edilmesini) önlemek ve değerlendirmenin en kritik varlıkları kapsamasını sağlamak için kesin biçimde belirlenmelidir. Herhangi bir teknik çalışma başlamadan önce tüm iletişim kanalları ve üst makama bildirim prosedürleri oluşturulur.

Pasif Reconnaissance, hedefin sistemleriyle doğrudan etkileşime girmeden — hedef üzerinde logs oluşturmayan herkese açık kaynakları kullanarak — hedef hakkında bilgi toplar. Kaynaklar arasında WHOIS kayıtları (alan adı kaydı, kayıt sahibi iletişim bilgileri), DNS kayıtları, certificate transparency logs (alt alan adlarını ortaya çıkarır), LinkedIn (çalışan adları, görev unvanları, kullanılan teknolojiler), iş ilanları (teknoloji yığınını ve araçları ortaya çıkarır), Shodan/Censys (internete açık hizmetler ve açık portlar), GitHub depoları (kaynak kodu, yanlışlıkla gönderilmiş kimlik bilgileri) ve Google dorking (hassas dosyalar ile açığa çıkmış arayüzler için siteye özgü aramalar) bulunur.

Etkin Reconnaissance, bilgi toplamak için hedef sistemlerle doğrudan etkileşime girmeyi içerir. Bu işlem hedef üzerinde logs oluşturur ve doğası gereği pasif keşiften daha gürültülüdür. Teknikler arasında port taraması (Nmap), hizmet Enumeration'ı, DNS zone transfer denemeleri ve banner bilgilerini alma bulunur. Reconnaissance ile Scanning arasındaki sınır kesin değildir — Reconnaissance'ın amacı bilgi toplamakken Scanning genellikle zafiyet belirlemeyi ifade eder. Bununla birlikte etkin keşif IDS/IPS uyarılarını tetikleyebilir ve güvenlik konusunda bilinçli bir hedef tarafından tespit edilebilir. Bu nedenle test uzmanları, çalışmanın amacına (tespit yeteneğini test etmek veya gizli biçimde güvenliği ihlal etmek) göre kapsamlılık ile gizlilik arasında denge kurar.

Scanning aşaması, kapsam dâhilindeki hedeflerde açık portları, hizmetleri, yazılım sürümlerini ve bilinen zafiyetleri sistematik olarak keşfeder. Bu aşamada hizmet Enumeration'ı için Nmap, zafiyet taraması için Nessus/OpenVAS gibi araçlar kullanılır. Sızma testi uzmanı tarayıcı çıktısını elle inceler ve bulgular arasında ilişki kurar: Nmap tarafından belirlenen bir Apache sürümü, CVE veri tabanındaki bilinen Exploitation yöntemleriyle eşleşebilir. Bu aşama ayrıca Web uygulamalarının elle incelenmesini (Burp Suite ile) ve kimlik doğrulama mekanizmalarının test edilmesini içerir. Çıktı, Exploitation aşamasında izlenecek olası saldırı yollarının önceliklendirilmiş bir listesidir.

Exploitation aşaması, yetkisiz erişim, ayrıcalık yükseltme veya önceden tanımlanmış diğer hedeflere ulaşmak için belirlenen zafiyetlerden yararlanmayı dener. Exploitation kesinlikle kapsam ve Rules of Engagement sınırları içinde kalmalıdır. Teknikler arasında yamalanmamış zafiyetlerden yararlanma (Metasploit veya elle yazılmış Exploitation yöntemleri kullanarak), kimlik bilgisi saldırıları (parola püskürtme, varsayılan kimlik bilgileri, kaba kuvvet saldırıları), Web uygulaması saldırıları (SQL enjeksiyonu, XSS Exploitation'ı) ve izin verilmişse sosyal mühendislik bulunur. Her işlem zaman damgalarıyla belgelenmelidir: ne yapıldı, ne zaman yapıldı, sonuç ne oldu ve hangi araç kullanıldı. Bu Documentation, nihai raporun kanıt temelini oluşturur.

Post-Exploitation, ilk erişim sağlandıktan sonra başlar ve bir Attacker'ın erişimini ne ölçüde genişletebileceğini inceler. Etkinlikler arasında şunlar bulunur: ayrıcalık yükseltme (sınırlı kullanıcı erişiminden yönetici/root erişimi elde etme), kimlik bilgisi toplama (özet değerleri, biletleri veya düz metin parolaları çıkarma), lateral movement (toplanan kimlik bilgilerini kullanarak diğer sistemlere erişme), veri keşfi (güvenliği ihlal edilmiş konumdan erişilebilen hassas verileri belirleme) ve kalıcılık oluşturma (uzun süreli APT erişimini taklit etmek için). Amaç, ilk güvenlik ihlalinin gerçekçi etkisini göstermektir — yalnızca bir sistemin ele geçirildiğini değil, Attacker'ın sonunda nereye kadar ulaşabileceğini ortaya koymaktır.

Pivoting, sızma testi uzmanının normalde erişemeyeceği ağ bölümlerine ulaşmak için güvenliği ihlal edilmiş bir ana makineyi aktarım noktası olarak kullanır (örneğin yalnızca uygulama sunucusundan erişilebilen bir iç veritabanı VLAN'ı). Metasploit'in route add komutu ve SSH tünellemesi (ssh -L yerel yönlendirme veya ssh -D SOCKS vekil sunucusu için) yaygın pivot mekanizmalarıdır. Pivoting, ağ bölümlendirmenin gerçekten etkili olup olmadığını gösterir — iyi bölümlendirilmiş bir ağ, güvenliği ihlal edilmiş bir DMZ sunucusunun iç veritabanlarına ulaşmasını engellemeli; düz bir ağ ise serbest lateral movement'a izin verir. Raporda belgelenen pivot yolları, bölümlendirme açıklarının tam olarak nerede bulunduğunu gösterir.

Test tamamlandıktan sonra sızma testi uzmanları temizlik yapmalıdır — yükledikleri arka kapıları, hesapları ve araçları kaldırmalıdır. Gerçek saldırganların aksine, sızma testi uzmanları Rules of Engagement uyarınca sistemleri test öncesindeki durumlarına geri döndürmekle yükümlüdür. Temizlik işlemleri arasında oluşturulan kullanıcı hesaplarının kaldırılması, bırakılan dosyaların (yükler, araçlar) silinmesi, kalıcılık mekanizmalarının (WMI abonelikleri, zamanlanmış görevler, kayıt defteri çalıştırma anahtarları) kaldırılması ve tüm test kalıntılarının yok edildiğinin müşteriyle doğrulanması bulunur. Kanıtların korunması eş zamanlı yürütülür: rapor yazımı ve olası hukuki başvuru için tüm ekran görüntüleri, araç çıktıları, logs ve notlar güvenli bir biçimde saklanır.

Rapor, çalışmayı gerekçelendiren ve düzeltme çalışmalarını yönlendiren nihai çıktıdır. İyi yapılandırılmış bir rapor şunları içerir: yönetici özeti (risk derecesi, iş etkisi, yöneticiler için en önemli 3 bulgu); teknik bulgular bölümü (her bulgu için önem derecesi, açıklama, kanıt, yeniden oluşturma adımları, iş etkisi ve belirli düzeltme önerileri); ayrıca ham araç çıktıları ve ayrıntılı zaman çizelgelerini içeren bir ek. Raporlar gizli olarak sınıflandırılır — saldırının tekrarlanmasına yetecek ayrıntıları içerir. Teslim süreci genellikle sızma testi ekibinin bulguları aktardığı ve müşteri sorularını yanıtladığı bir değerlendirme toplantısını kapsar. İyi Reporting, profesyonel çalışmaları acemi tarama çıktısı yığınlarından ayıran unsurdur.

Security+, pasif ve etkin Reconnaissance arasındaki ayrımı sıklıkla sınar. Pasif keşif, hedef sistemlerle doğrudan iletişim kurmadan herkese açık kaynaklardan bilgi toplamayı içerir — hedefte logs oluşturulmaz. Örnekler: WHOIS kayıtlarını okumak, LinkedIn'i incelemek, certificate transparency logs sorgulamak ve Shodan aramaları çalıştırmak. Etkin keşif, hedef sistemlerle doğrudan etkileşime girmeyi içerir — port taraması, banner bilgilerini alma ve DNS zone transfer denemeleri. Etkin keşif logs oluşturur ve IDS uyarılarını tetikleyebilir. Gerçek bir çalışmada pasif keşif, hedef ağla tespit edilebilir bir iletişim kurmadan önce bir harita oluşturmak için etkin keşiften önce gerçekleştirilir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: sızma testi Planning, Reconnaissance, Scanning, Exploitation, Post-Exploitation ve Reporting aşamalarından oluşan yapılandırılmış bir yaşam döngüsünü izler; pasif Reconnaissance, hedef tarafında logs oluşturmadan herkese açık OSINT kaynaklarını kullanırken etkin keşif sistemlerle doğrudan etkileşime girer; yönetici özeti, teknik bulguları ve belirli düzeltme önerilerini içeren nihai rapor, güvenlik iyileştirmelerini yönlendiren temel çıktıdır. Sırada CVSS puanlamasını ve zafiyet düzeltmelerine nasıl öncelik verileceğini inceleyeceğiz.