Güvenlik Açığı Taraması ve Sızma Testi

Tepkisel güvenlik, saldırılar gerçekleştikten sonra bunlara yanıt verir; proaktif güvenlik ise saldırganlar bu zayıflıklardan yararlanmadan önce onları bulur ve düzeltir. Birbirini tamamlayan iki proaktif uygulama güvenlik açığı taraması ve sızma testidir. Her ikisi de güvenlik zayıflıklarını belirler, ancak kapsam, yöntem, yetkilendirme gereksinimleri, risk düzeyi ve kuruluşa sundukları sonuçlar açısından önemli ölçüde farklıdır. Bu farklılıkları anlamak, Security+ adayları ve her bir etkinliğin güvenlik duruşunuz hakkında neleri söyleyip neleri söyleyemeyeceğini paydaşlara açıklamak için gereklidir.

Güvenlik açığı taraması, sistemleri bilinen güvenlik açıklarından oluşan bir veritabanına göre denetleyen otomatik bir süreçtir. Tarayıcılar, olası zayıflıkları belirlemek için sürüm numaralarını, yapılandırma ayarlarını ve yazılım imzalarını CVE veritabanları ve üretici duyurularıyla karşılaştırır. Tarama genellikle müdahaleci değildir — bir güvenlik açığının sürüm veya yapılandırmaya göre muhtemelen mevcut olduğunu belirler, ancak genellikle bu açıktan yararlanmaya çalışmaz. Taramalar düzenli olarak (günlük, haftalık veya sürekli) ve binlerce sistem genelinde ölçekli biçimde çalıştırılabilir. Bunlar, PCI-DSS (bir ASV tarafından üç ayda bir gerçekleştirilen harici taramalar) ve diğer birçok çerçeve kapsamında bir uyumluluk gereksinimidir.

Sızma testi, saldırganların kullanacağı tekniklerin aynısını kullanarak sistemleri ele geçirmeye yönelik, yapılandırılmış ve belirli bir hedefe odaklanan bir girişimdir. Taramadan farklı olarak sızma testi, güvenlik açıklarının yalnızca teorik olarak mevcut olmadığını, gerçekten kullanılabildiğini doğrulamak için bu açıkları etkin biçimde istismar eder. Sızma testi uzmanı gerçek etkileri ortaya koyar: Ayrıcalıklı erişim elde edilebilir mi? Veriler dışarı aktarılabilir mi? Bir sistemden diğerine yatay hareket gerçekleştirilebilir mi? Sızma testi, istismar edilebilirliğin kanıtını sağlayarak düzeltmenin aciliyetini ortaya koyar ve otomatik tarayıcıların belirleyemediği karmaşık, çok adımlı saldırı yollarını çoğu zaman açığa çıkarır.

Yetkilendirme olmadan sızma testi yapmak yasa dışıdır; bu, US yasalarındaki CFAA (Computer Fraud and Abuse Act) kapsamında yetkisiz erişim sayılır. Herhangi bir sızma testi başlamadan önce kapsamı (hangi sistemler, IP aralıkları ve etki alanları), zaman aralığını (mesai saatleri veya mesai dışı), yasak eylemleri (fiziksel saldırı yok, üretim ortamına DoS yok), acil durum iletişim kişilerini ve yetkilendirme imzalarını tanımlayan bir Rules of Engagement (RoE) belgesi imzalanmalıdır. Sızma testi ekibinin yanında taşıdığı hapisten kurtulma mektupları, ekip güvenlik personeli tarafından fark edilirse yetkilendirmeyi kanıtlar. Eksiksiz yazılı yetkilendirme olmadan test etmeye asla başlamayın.

Sızma testleri, test uzmanının hedef hakkında ne kadar bilgiye sahip olduğuna göre sınıflandırılır. Black kutu testinde önceden hiçbir bilgi verilmez; test uzmanı, bir dış saldırganın yapacağı gibi başlayarak hedefleri keşfetmek için OSINT ve tarama kullanır. Bu, en gerçekçi yaklaşımdır; ancak dahili güvenlik açıkları gözden kaçabilir. White kutu testinde ağ şemaları, kaynak kodu ve kimlik bilgileri gibi tüm bilgiler sağlanır; bu da kapsamlı, ancak daha az gerçekçi bir test yapılmasını sağlar. Gray kutu testinde kısmi bilgi sağlanır (örneğin normal bir kullanıcı hesabı) ve güvenliği ihlal edilmiş bir içeriden kişi veya çalınmış kimlik bilgileri senaryosu temsil edilir. Gerçek dünyadaki çalışmaların çoğu Gray kutu veya Black kutu türündedir.

Sızma testleri farklı bakış noktalarını hedefler. Harici test, dahili erişimi olmayan ve internet üzerindeki bir saldırganı taklit eder; çevre savunmalarını, internete açık uygulamaları ve e-posta güvenliğini test eder. Dahili test, ağın içinde bulunan bir tehdit aktörünü (güvenliği ihlal edilmiş çalışan veya kötü amaçlı yazılım aracılığıyla sıçrama) taklit eder; yatay hareket denetimlerini, dahili uygulama güvenliğini ve Active Directory sertleştirmesini test eder. Çoğu kuruluş her iki bakış açısından da yararlanır. Gerçek ihlallerin çoğunda harici bir saldırgan önce erişim elde eder, ardından dahili olarak ilerler; bu nedenle her iki test türünü birlikte uygulamak, tek başına herhangi birini uygulamaktan daha değerlidir.

Güvenlik açığı tarayıcıları kusursuz değildir. Yanlış pozitif, tarayıcının gerçekte mevcut olmayan bir güvenlik açığını bildirmesidir; örneğin sürüm numarası güvenlik açığı varmış gibi görünebilir, ancak düzeltme eki daha eski bir sürüme geri aktarılmış olabilir. Yanlış pozitifler düzeltme kaynaklarının boşa harcanmasına ve tarayıcı çıktısına duyulan güvenin azalmasına neden olur. Yanlış negatif ise gerçek bir güvenlik açığı mevcut olduğu hâlde tarayıcının bunu gözden kaçırmasıdır; bunun nedeni güvenlik açığının kimlik doğrulaması gerektirmesi ve taramanın kimlik doğrulaması olmadan yapılması ya da güvenlik açığının yeni olup henüz veritabanında bulunmaması olabilir. Kimlik bilgileriyle yapılan taramalar, kimlik doğrulaması olmadan yapılan taramalara kıyasla yanlış pozitifleri ve yanlış negatifleri önemli ölçüde azaltır.

Modern güvenlik programları, güvenlik açığı yönetimini dönemsel bir olay yerine sürekli bir süreç olarak ele alır. Sürekli tarama, bir sonraki planlı tarama zamanını beklemek yerine yeni güvenlik açıklarını ortaya çıktıkça (ve yeni CVE'ler yayımlandıkça) keşfeder. Güvenlik açığı yönetimi yaşam döngüsü şunları içerir: keşfetme, önceliklendirme (CVSS puanına ve iş bağlamına göre), düzeltme (yama uygulama, yapılandırma veya kabul etme), doğrulama (düzeltmeyi onaylamak için yeniden tarama) ve raporlama. Yama yönetimi entegrasyonu, keşfedilen güvenlik açıklarının otomatik yama dağıtımı iş akışlarını tetiklemesini sağlar. SLA'ler, farklı önem düzeylerindeki güvenlik açıklarının ne kadar hızlı düzeltilmesi gerektiğini tanımlar (ör. Critical: 24 saat, High: 7 gün).

Bir sızma testi, temel çıktı olan kapsamlı bir raporla tamamlanır. Rapor genellikle şunları içerir: teknik olmayan yöneticiler için bir yönetici özeti (genel risk derecelendirmesi, iş etkisi ve temel bulgular); bir teknik bulgular bölümü (ayrıntılı güvenlik açığı açıklamaları, kanıt niteliğindeki ekran görüntüleri ve yeniden üretme adımları); ve önceliklendirilmiş öneriler içeren bir düzeltme yol haritası. Bulgular genellikle CVSS puanları ve iş bağlamı kullanılarak risk düzeyine göre (Critical/High/Medium/Low) derecelendirilir. İyi bir sızma testi raporu, müşterinin her bulguyu yeniden üretip doğrulamasını ve tam olarak hangi düzeltmenin gerektiğini anlamasını sağlar.

Hata ödül programları, bir kuruluşun sistemlerindeki güvenlik açıklarını bulmaları ve bunları sorumlu biçimde bildirmeleri için dış güvenlik araştırmacılarına ödeme yapar. HackerOne, Bugcrowd ve Intigriti gibi platformlar, kuruluşları dünya genelindeki binlerce güvenlik araştırmacısıyla buluşturur. Hata ödülleri, yalnızca doğrulanmış bulgular için ödeme yapılmasını sağlayarak geniş ölçekte sürekli harici test olanağı sunar. Farklı araştırmacı bakış açıları ve resmî değerlendirmeler arasındaki sürekli testlerle dahili sızma testlerini tamamlar. Critical bulgular, önem derecesine ve programa bağlı olarak genellikle 500 ila 50.000 ABD doları veya daha fazla ödeme alır. Kuruluşlar kapsamı ve kuralları, sızma testindeki Rules of Engagement belgelerine benzer biçimde tanımlar.

Security+ sınavı için temel ayrımları açıkça anlayın. Güvenlik açığı taraması: otomatik, yıkıcı olmayan, geniş kapsamlıdır; olası güvenlik açıklarını belirler, istismar edilebilirliği doğrulamaz, sık veya sürekli yapılır ve kurum içi personel tarafından gerçekleştirilir. Sızma testi: manuel (veya yarı otomatik) yapılır, kesintiye neden olabilir, derin ve hedefli kapsam sunar, gerçek istismar edilebilirliği ve gerçek dünya etkisini doğrular, dönemsel olarak (üç ayda bir veya yılda bir) gerçekleştirilir ve genellikle uzmanlaşmış harici uzmanlık ile resmî yetkilendirme gerektirir. Her ikisi birbirini tamamlar; tarama genişlik, sızma testi ise derinlik sağlar. Olgun bir güvenlik programı her ikisini de düzenli olarak kullanır.

Bu derste şunları öğrendiniz: güvenlik açığı taraması otomatik, sık ve müdahaleci olmayan bir işlemdir; güvenlik açıklarını istismar etmeden olası güvenlik açıklarını belirler. Buna karşılık sızma testi manuel, hedef odaklı bir işlemdir ve gerçek etkiyi ve saldırı yollarını kanıtlamak için güvenlik açıklarını etkin biçimde istismar eder. Her ikisi de Rules of Engagement belgeleriyle uygun yetkilendirme gerektirir. Ayrıca kimlik bilgileriyle tarama, kimlik doğrulaması olmadan yapılan taramalara kıyasla yanlış pozitifleri ve yanlış negatifleri önemli ölçüde azaltır. Sırada Nessus, OpenVAS ve Nmap dâhil yaygın tarama araçlarını inceleyeceğiz.