Python Penetrasyon Testi - Giriş
Kalem testi veya sızma testi, güvenlik açıklarından yararlanmak için bilgisayar sistemine karşı bir siber saldırıyı simüle ederek bir BT altyapısının güvenliğini değerlendirme girişimi olarak tanımlanabilir.
Güvenlik açığı taraması ile sızma testi arasındaki fark nedir? Güvenlik açığı taraması, belirtilen güvenlik açıklarını basitçe tanımlar ve daha önce de belirtildiği gibi sızma testi, güvenlik açıklarından yararlanma girişimidir. Sızma testi, sistemde yetkisiz erişimin veya diğer kötü niyetli faaliyetlerin mümkün olup olmadığını belirlemeye yardımcı olur.
Manuel veya otomatik teknolojileri kullanarak sunucular, web uygulamaları, kablosuz ağlar, mobil cihazlar ve diğer olası maruz kalma noktaları için sızma testi yapabiliriz. Sızma testi nedeniyle, herhangi bir tür güvenlik açığından yararlanırsak, stratejik bir sonuca ulaşmak için BT'ye ve ağ sistem yöneticisine iletilmelidir.
Penetrasyon (kalem) Testinin Önemi
Bu bölümde, sızma testinin önemi hakkında bilgi edineceğiz. Önem hakkında bilinmesi gereken şu noktaları düşünün:
Organizasyon güvenliği
Sızma testinin önemi, o kuruluşun güvenliğinin detaylı bir değerlendirmesi ile kuruluşa güvence sağlaması noktasından anlaşılabilir.
Kuruluşun gizliliğini korumak
Sızma testi yardımıyla, olası tehditleri herhangi bir hasarla karşılaşmadan tespit edebilir ve o kuruluşun gizliliğini koruyabiliriz.
Güvenlik politikalarının uygulanması
Sızma testi, bir kuruluşta güvenlik politikasının uygulanmasına ilişkin olarak bize garanti verebilir.
Ağ verimliliğini yönetme
Sızma testi yardımı ile ağın verimliliği yönetilebilir. Güvenlik duvarları, yönlendiriciler vb. Gibi cihazların güvenliğini inceleyebilir.
Kuruluşun güvenliğini sağlayın
Ağ tasarımında herhangi bir değişiklik yapmak veya yazılımı, donanımı vb. Güncellemek istiyorsak, sızma testi kuruluşun her türlü güvenlik açığına karşı güvenliğini sağlar.
İyi bir kalem test cihazı kimdir?
Penetrasyon test uzmanları, kuruluşların güvenlik açıklarını belirleyerek siber saldırılara karşı savunmalarını güçlendirmelerine yardımcı olan yazılım uzmanlarıdır. Bir penetrasyon test cihazı, test için manuel teknikleri veya otomatik araçları kullanabilir.
Şimdi iyi bir penetrasyon test cihazının aşağıdaki önemli özelliklerini ele alalım:
Ağ oluşturma ve uygulama geliştirme bilgisi
İyi bir pentesterin uygulama geliştirme, veritabanı yönetimi ve ağ oluşturma bilgisine sahip olması gerekir, çünkü kendisinden kodlamanın yanı sıra konfigürasyon ayarları ile ilgilenmesi beklenir.
Olağanüstü düşünür
Pentester olağanüstü bir düşünür olmalıdır ve en iyi çıktıyı elde etmek için belirli bir görevde farklı araçlar ve metodolojiler uygulamaktan çekinmeyecektir.
Prosedür bilgisi
İyi bir pentester, hedefleri, sınırlamaları ve prosedürlerin gerekçeleri gibi her sızma testinin kapsamını belirleyecek bilgiye sahip olmalıdır.
Teknolojide güncel
Pentester, teknolojik becerilerinde güncel olmalıdır çünkü teknolojide her an değişiklik olabilir.
Rapor oluşturmada yetenekli
Sızma testini başarıyla uyguladıktan sonra, bir kalem testçisi nihai raporda tüm bulguları ve olası riskleri belirtmelidir. Bu nedenle, rapor verme konusunda iyi becerilere sahip olmalıdır.
Siber güvenlik konusunda tutkulu
Tutkulu bir insan hayatta başarıya ulaşabilir. Benzer şekilde, bir kişi siber menkul kıymetler konusunda tutkulu ise, o zaman iyi bir kalem testçisi olabilir.
Penetrasyon Testi Kapsamı
Şimdi sızma testinin kapsamını öğreneceğiz. Aşağıdaki iki tür test, sızma testinin kapsamını tanımlayabilir -
Tahribatsız muayene (NDT)
Tahribatsız muayene, sistemi herhangi bir riske sokmaz. NDT, sisteme, nesneye vb. Zarar vermeden kusurları tehlikeli hale gelmeden önce bulmak için kullanılır. Sızma testi yaparken NDT aşağıdaki eylemleri gerçekleştirir -
Uzak sistemlerin taranması
Bu test, uzaktaki sistemi olası güvenlik açıklarına karşı tarar ve tanımlar.
Doğrulama
Güvenlik açıklarını bulduktan sonra, bulunan her şeyin doğrulanmasını da yapar.
Uzak sistemin doğru kullanımı
NDT'de, bir kalem test cihazı uzaktaki sistemi doğru bir şekilde kullanır. Bu, kesintilerden kaçınmaya yardımcı olur.
Note - Öte yandan penetrasyon testi yapılırken NDT yapılmaz Denial-of-Service (DoS) attack.
Yıkım testi
Yıkıcı testler sistemi riske atabilir. Daha pahalıdır ve tahribatsız muayeneden daha fazla beceri gerektirir. Sızma testi yaparken yıkıcı test aşağıdaki eylemleri gerçekleştirir:
Denial-of-Service (DoS) attack - Yıkıcı testler DoS saldırısı gerçekleştirir.
Buffer overflow attack - Ayrıca, sistemin çökmesine neden olabilecek arabellek taşması saldırısı gerçekleştirir.
Pratik penetrasyon testi için ne kurulmalı?
Sızma testi teknikleri ve araçları yalnızca sahip olduğunuz veya bu araçları çalıştırma iznine sahip olduğunuz ortamlarda uygulanmalıdır. Bu teknikleri, izinsiz sızma testinin yasa dışı olduğu için, yetkimizin olmadığı ortamlarda asla uygulamamalıyız.
Bir sanallaştırma paketi kurarak sızma testi uygulayabiliriz. VMware Player( www.vmware.com/products/player ) veyaOracle VirtualBox -
www.oracle.com/technetwork/server-storage/virtualbox/downloads/index.html
Şu anki sürümden Sanal Makineler (VM'ler) de oluşturabiliriz -
Kali Linux ( www.kali.org/downloads/ )
Samuray Web Test Çerçevesi (http://samurai.inguardians.com/)
Metasploitable ( www.offensivesecurity.com/metasploit-unleashed/Requirements )