Siber Güvenliğin Önemi

1980 yılında bilgisayar teknolojisinin hem günlük hem de ticari hayatta popüler olmaya başlamıştır. 1983 yılında internetin icadıyla beraber dünyanın en uzak iki ucu bile birbirine birkaç içerisinde bilgi gönderebilcek bir noktaya gelmiştir. Ancak, bu yeni ve az bilinen teknolojinin anidej insan hayatının büyük bir parçası haline gelmesi, bilgisayar sistemlerinde kazara bırakılan zaafların sömürülerek insanlarla ya da şirketlerle herhangi bir temasta bulunmadan hırsızlık yapılmasına ya da bilgisayarın sahibine maddi ve manevi büyük zaaflar verilmesi olanak sağlamıştır. Bilgisayar teknolojileri ve güvenlik yazılımları ne kadar gelişse de bu sistemlere saldıran teknolojiler de sürekli olarak bu yeni güvenlik önlemlerini atlatacak yöntemler geliştirdiğinden siber güvenlik, ilk siber saldırıdan günümüze kadar önemini ve hareketliliğini koruyan bir alan olmuştur.

Siber Güvenlik ve Teknoloji

Bilgisayar teknolojileri ve siber saldırganlar arasındaki ilişki aynı bir ve onun hedef aldığı canlı arasındaki ilişki gibidir. Bir virüs, hedef aldığı canlının hücre duvarını onu kandırarak geçer ve ona genetik materyalini aktararak hücrenin kendini kopyalama düzeneğini kendi leyhine kullanır. Ancak bir süre sonra bu canlı virüse karşı bir savunma mekanizması geliştirir ve bu sayede virüs artık kendini kopyalayamaz. Bunun üzerine virüs, bu savunma mekanizmasını atlatacak bir yöntem geliştirir ve döngü kendini bu şekilde tekrarlar. Aynı şekilde bilgisayar yazılımcıları ve sistem yöneticilerinin tasarladıkları sisteme ya da yazdıkları koda ekledikleri bir güvenlik önlemini atlatmak içi saldrganlar da bir yöntem geliştirir. Bu, büyük ihtimalle teknoloji ne kadar gelişirse gelişsin bilgisayar dünyasında değişmeyecek tek döngüdür.

Sızma Testi Nedir

Ancak, büyük şirketler ve yazılım üreticileri internete sundukları websitesi ya da kullanıcıya sattıkları üründe halihazırda bilinen bir açık olmadığından emin olmak zorundadır. Yoksa bu hem kendi şirketinin verisini hem de kullanıcılarının verilerini riske atar, ki bir şirket kullanıcısının verisini çaldırırsa 15.000 TL’den 1.000.000 TL’ye kadar ceza ödeyebilir. Bu durumun önüne geçmek için şirketler 3. parti bir şirketle saldırgan rolünü oynaması ve sisteme girmeyi başarırsa nasıl yaptığını raporlaması için anlaşır.Yani sızma testi, normalde düzenlenmesi illegal olacak bir siber saldırıyı şirket sahibinin bilgisi dahili düzenlemek ve sonuçları onlara raporlamaktır.

Sızma Testi Yöntemleri

Sızma testleri elinizde olan bilginin miktarına göre 3 farklı şekilde gerçekleştirilir: Beyaz Kutu: Eğer sızma testi yaptığınız şirket size kullandığı sunucular, ve bilgisayar sistemleri hakkında halihazırda bilgi verdiği durumlarda gerçekleştirilir. Siyah Kutu: Aynı dışardan saldıran bir hacker gibi 0 bilgiyle yola çıkılarak uygulanır. Dışarıdan gelen saldırı senaryolarının test edilmesi için yapılır. Gri kutu: Adından anlaşılacağı üzere sistemler hakkındaki tüm bilgiye değil, sınırlı miktarda bilgiye sahip olduğunuzda kullanılır. Sisteme, şirkete düşük erişime sahip olan birinin oluşturabileceği hasarın test edilmesi için yaplır.

Sızma Testi Aşamaları

Sızma testi yaparken izlenmesi uygulanması gereken aşamalar vardır. İlk olarak plan ve amaç müşteriden alınan talimatlar çerçevesinde belirlenir. Ardından, bu amaçlara nasıl ulaşılabileceğine dair yöntem belirlenir ve sistemler hakkında veri toplanır (sunucularda çalıan servisler, eğer sosyal mühendislik kullanılacaksa çalışan e-posta adresleri gibi...). Veri toplama aşaması bütün sürecin en önemli aşamalarından biridir çünkü bir sistem hakkında ne kadar çok bilginiz varsa açıklarını görmeniz o kadar kolaylaşır. Toplanan veri incelenir ve sistemde zafiyet aranır. Zafiyet aranırken halihazırda bulunan CVE’ler araştırılır, çalıştırılan servislerin herhangi birinde konfigürasyon hatası aranır ve eğer kaynak kodu bulunmuşsa kodun içerisinde potansiyel güvenlik açıkları aranır(Eğer kaynak kod yoksa tersine mühendislik de kullanılabilir). Sonrasında, bulunan açık kullanılarak sisteme erişim elde edilir. Eğer erişim yüksek ayrıcalıkta değilse ayrıcalık yükseltme teknikleri uygulanır. Bu aşama zorunlu olmasa da gereklidir. Son olarak, elde edilen erişimin kalıcığı sağlanır.

Nereden Öğrenebilirim?

Sızma testi, yazılım alanında en kritik öneme sahip alanlardan biridir. Ancak, çoğu üniversitede böyle bir bölüm olmadığından bu alan hakkında öğrenmek bireysel bir aktivitedir. Neyse ki bu konuda öğrenip kendinizi gelişmek için pratik yapabileceğiniz  siberogretmen.com var.