Güvenlik hizmeti almak isteyen kurumların en sık karıştırdığı iki kavram bunlar. Teklif alırken “zafiyet taraması” ile “sızma testi” fiyatları arasındaki büyük fark da genellikle buradan doğuyor: aslında iki farklı iş satın alınıyor.
Kısaca: zafiyet taraması sistemde bilinen açıkların listesini çıkarır. Sızma testi ise bu açıkların gerçekten istismar edilip edilemeyeceğini, edilirse ne kadar ileri gidilebileceğini kanıtlar.
Zafiyet taraması ne yapar?
Zafiyet taraması otomatik bir araçla yürütülür. Araç hedef sistemlere bağlanır, çalışan servisleri ve sürümlerini tespit eder, bunları bilinen zafiyet veritabanlarıyla karşılaştırır ve eşleşenleri raporlar.
Güçlü olduğu yer:
- Kapsam genişliği. Binlerce varlığı kısa sürede tarayabilir.
- Tekrarlanabilirlik. Haftalık veya aylık olarak otomatik çalıştırılabilir; yamalanmamış sistemleri sürekli görünür tutar.
- Maliyet. Uzman saati gerektirmediği için düşük maliyetlidir.
Zayıf olduğu yer:
- Doğrulama yok. Araç “bu sürüm şu açıktan etkileniyor olabilir” der; gerçekten etkilenip etkilenmediğini kontrol etmez. Yanlış pozitif oranı yüksektir.
- İş mantığı körlüğü. Bir kullanıcının başkasının siparişini görebilmesi teknik olarak bir “açık” değildir; hiçbir tarayıcı bunu bulamaz.
- Zincir göremez. Tek başına düşük riskli üç bulgunun birleşerek sunucuyu ele geçirmeye yettiğini fark edemez.
Sızma testi ne yapar?
Sızma testinde bir uzman, yetkilendirilmiş biçimde gerçek bir saldırgan gibi davranır. Tarama burada yalnızca ilk adımdır; asıl iş sonrasında başlar.
Uzman bulduğu zafiyeti istismar eder, elde ettiği erişimi genişletir, yanal hareket eder ve nereye kadar ulaşabildiğini gösterir. Sonuç bir liste değil, bir anlatıdır: “şu noktadan girdim, şu şekilde yetki yükselttim, şu verilere ulaştım.”
Bu farkın pratik karşılığı şudur: tarama size neyin yamalanması gerektiğini söyler, sızma testi saldırının gerçekte nasıl olacağını gösterir.
Somut bir örnek
Bir tarama raporunda şu üç bulgu ayrı ayrı “düşük” veya “orta” olarak işaretlenebilir:
- Bir dizin listeleme açık bırakılmış
- Yedek dosyası web kökünde erişilebilir
- Yönetim paneli varsayılan parola ile çalışıyor
Üçü de tek başına acil değildir. Sızma testinde ise şu zincir kurulur: dizin listelemeden yedek dosyası bulunur, yedekten veritabanı bağlantı bilgileri okunur, aynı parola yönetim panelinde işe yarar ve sistem tamamen ele geçirilir. Aynı üç bulgu, birlikte kritik hale gelir.
Otomatik araçlar bu zinciri kuramaz. Kuran şey uzmanın muhakemesidir.
Hangisine ne zaman ihtiyacınız var?
Zafiyet taraması şu durumlarda doğru araçtır:
- Geniş bir varlık envanteriniz var ve yama durumunu sürekli izlemek istiyorsunuz
- Uyum gereksinimi düzenli tarama şart koşuyor
- Sızma testleri arasındaki dönemde görünürlüğü korumak istiyorsunuz
Sızma testi şu durumlarda gereklidir:
- Yeni bir uygulamayı veya altyapıyı yayına almadan önce doğrulamak istiyorsunuz
- Gerçek iş etkisini görmek istiyorsunuz — “bu açıkla müşteri verilerine ulaşılabilir mi?”
- Savunma yatırımlarınızın işe yarayıp yaramadığını ölçmek istiyorsunuz
- Bir güvenlik olayı sonrası benzer bir yolun hâlâ açık olup olmadığını kontrol ediyorsunuz
Doğru soruyu sormak
Teklif alırken şu soru ayrımı netleştirir: “Bulgular manuel olarak doğrulanıyor mu?”
Cevap hayırsa, elinize geçecek olan bir tarayıcı çıktısıdır. Bunun da bir değeri vardır, ama sızma testi değildir ve o fiyatı hak etmez.
İkinci soru: “Rapor kanıt içeriyor mu?” Her bulgunun yanında istismarın nasıl yapıldığını gösteren bir kanıt bulunmalıdır. Kanıt yoksa doğrulama da yapılmamış demektir.
normSight yaklaşımı
Sızma testlerimizde her bulgu manuel olarak doğrulanır; doğrulanamayan hiçbir tarayıcı çıktısı rapora bulgu olarak girmez. Rapor yönetici özeti ile teknik detayı birlikte içerir ve giderme sonrası doğrulama testi çalışmanın kapsamına dahildir.
Kapsamınıza uygun bir değerlendirme için bize ulaşabilirsiniz veya doğrudan ağ sızma testi ve web uygulama sızma testi hizmetlerimizi inceleyebilirsiniz.
- sızma testi
- zafiyet taraması
- penetrasyon testi
- güvenlik değerlendirmesi