Sızma testi (pentest) – IS uzmanları tarafından bilgi güvenliği düzeyini değerlendirmek için yürütülen BT altyapısına yönelik bir siber saldırının hedefli bir taklidi.
Pentest’in amacı, örneğin veri hırsızlığı gibi bir saldırganın yararlanabileceği tehditleri ve güvenlik açıklarını belirlemek ve bunların giderilmesi ve şirketin id’lerinin seviyesinin yükseltilmesi için öneriler içeren ayrıntılı bir rapor oluşturmaktır.
Pentest’in aşamaları
Planlama ve keşif. Pentestin ölçeğini ve amaçlarını belirlemek, gerekli verileri toplamak ve test edilecek sistemleri belirlemek.
Tarama. Sistemin çeşitli izinsiz giriş girişimlerine nasıl tepki verdiğini anlamak için otomatik araçların kullanılması.
Erişim kazanmak. Önceki aşamada keşfedilen güvenlik açıklarından yararlanmak ve sisteme girmeye çalışmak.
Erişimi sürdürmek. Güvenlik açığının sistemde kalıcı bir varlık elde etmek için kullanılıp kullanılamayacağını kontrol etmek.
Analiz. Sonuçları analiz etmek, tespit edilen tehditleri ve güvenlik açıklarını içeren bir rapor oluşturmak ve bunları çözmek için öneriler sunmak.
Penetrasyon testi çeşitleri
Sızma testi, her biri sistem hakkında farklı derecelerde bilgi ve farklı düzeyde açıklama ile karakterize edilen üç ana türe ayrılabilir.
Kara Kutu testi». Pentester’ın sistem hakkında önceden bilgisi yoktur, bu nedenle harici bir bilgisayar korsanının saldırısını simüle eder.
Beyaz Kutu testi». Pentester, kapsamlı ve kapsamlı testler yapabilmek için sistem hakkında tam bilgiye sahiptir.
Gri Kutu testi». Pentesterin sistem hakkında kısmi bir bilgisi vardır. Böyle bir doğrulama, ayrıcalıklı bir kullanıcının saldırısını simüle eder.