Sızma (penetrasyon) testleri penetrasyon (penetration) testleri olarak da isimlendirilir. Bilgi güvenliğinin çok önemli hale geldiği günümüzde sızma (penetrasyon) testleri, en küçük KOBİ’den en büyük işletmeye kadar çok kritik öneme sahiptir. Bir firmanın en önemli varlığı bilgidir. Bilgi hırsızlığı, bilgi kaybı ve hizmet aksamasının önüne geçmenin en iyi yolu sızma (penetrasyon) testleri ile firmamızın ağ ve sistemindeki zayıflıkların ortaya konmasıdır.
Sızma (Penetrasyon) Testi ve Önemi
Günümüzde kötü niyetli bilgisayar korsanlarının yaptığı siber saldırılar artan bir ivmeyle devam ediyor. Kimi zaman hayati öneme sahip verilerinizi şifreleyip sizden fidye istiyorlar, kimi zaman da sisteminizin ve web sitelerinizin hizmet vermesini engelliyorlar. Bir otelin bilgisayar sistemine fidye yazılımı bulaştıran siber korsanlar bu saldırı ile otelin müşteri kabul edememesi veya çıkış yapacak müşterilerinin işlemlerini yapamamasına yol açıyor. Bu verdiğimiz örnek ülkemizde son yıllarda yaşanan gerçek olaylardan sadece biri.
Firmaların bilişim alt yapılarının ve sistemlerinin güvenlik açıklarının tespit ve analiz edilmesi için ilgili firmanın talebi ve onayı ile gerçekleştirilen testlere sızma testi (penetrasyon testi) denir. Bu testlerin yapılması sayesinde bir firmanın ağ ve sistem alt yapısındaki açıklar ve zaafiyetler (vulnerability) önceden tespit edilerek kötü niyetli bilgisayar korsanlarının veya firma içindeki gayri memnun bir çalışanın bu sistemlere zarar vernesi engellenmiş olur.
Artık ülkemizde belirli kuruluşların sızma (penetrasyon) testlerini yaptırması yasal bir zorunluluk olmuş bunun sonucunda da lisanslı ve yetkin sızma testi uzmanı firma ihtiyacı ortaya çıkmıştır.
Sızma (Penetrasyon) Testi Çeşitleri
Sızma (penetrasyon) testleri yapılırken test edilen sistem hakkında farklı bilgi seviyeleri edinilmiş olabilir. Sistem hakkında elde ettiğimiz bilgiye göre sızma (penetrasyon) testleri beyaz, siyah ve gri kutu testleri olmak üzere üç çeşittir.
Beyaz Kutu(White Box): Testi yapılacak ağ ve sistem alt yapısı ile ilgili tüm bilgiler testi yapacak kişiye verilir. Sistem hakkında ne kadar çok bilgi sahibi olursak sistemde bulacağımız zaafiyetler o kadar fazla olur.
Siyah Kutu(Black Box): Testi yapılacak ağ ve sistem alt yapısı ile ilgili hiç bir bilgi testi yapacak kişiye verilmez. Böylelikle gerçek bir saldırı simüle edilmiş, kötü niyetli bir bilgisayar korsanının verebileceği hasar ortaya konmuş olur.
Gri Kutu(Gray Box): Testi yapılacak ağ ve sistem alt yapısı ile ilgili bazı bilgiler testi yapacak kişiye verilir. Bu şekilde genelde şirket içinden yetkisiz kişilerin verebileceği zararlar ortaya konmuş olur.