Etik Hacking: Sızma Testinin Aşamaları Nelerdir?
Tamamen güvenli bir sistem diye bir şey yoktur. Sızma testi olarak kısaltılan penetrasyon testi, potansiyel siber saldırılara karşı bir bilgi sisteminin tüm yapı taşlarının taranmasını, değerlendirilmesini ve güçlendirilmesini içeren özel bir test prosedürüdür. Şirketler, sistemlerindeki güvenlik kusurlarını ortaya çıkarmak için hata ödül sitelerini kullanır. Sızma testi konusunda uzman olan siber güvenlik uzmanları, bug bounty sistemleriyle yasal olarak kurumsal kusurları ortaya çıkarır ve ifşa eder. Peki bu süreç nasıl işliyor?
1. Pasif Bilgi Toplama ve İzleme
Hata ödül ve sızma testinin ilk aşamasında, test uzmanının hedef sistem hakkında bilgi toplaması gerekir. Oldukça fazla saldırı ve test yöntemi olduğundan, penetrasyon test uzmanı en uygun test yöntemini belirlemek için toplanan bilgilere göre önceliklendirme yapmalıdır.
Bu adım, etki alanı adları, ağ blokları, yönlendiriciler ve IP adresleri gibi hedef sistemin altyapısıyla ilgili değerli ayrıntıların çıkarılmasını içerir. Ek olarak, çalışan verileri ve telefon numaraları gibi saldırının başarısını artırabilecek her türlü ilgili bilgi toplanmalıdır.
Bu aşamada açık kaynaklardan elde edilen veriler, şaşırtıcı bir şekilde kritik ayrıntılar sağlayabilir. Bunu başarmak için etik hacker, hedef kurumun web sitesine ve sosyal medya platformlarına özellikle vurgu yaparak çeşitli kaynaklardan yararlanmalıdır. Bu istihbaratı titizlikle toplayan test uzmanı, başarılı bir böcek ödülü girişimi için zemin hazırlar.
Bununla birlikte, çoğu kuruluş, hata ödülü sırasında penetrasyon test cihazına çeşitli kurallar uygular. Hukuki açıdan bu kurallardan sapmamak esastır.
2. Aktif Bilgi Toplama ve Tarama
Sızma test cihazı, genellikle hata ödülü sırasında pasif toplama ile IP aralığında hangi aktif ve pasif cihazların çalıştığını tespit eder. Bu pasif toplama sırasında elde edilen bilgilerin yardımıyla, pentester’ın bir yol belirlemesi gerekir – tam olarak hangi testlere ihtiyaç duyulduğunu belirlemeleri ve önceliklendirmeleri gerekir.
Bu aşamada hacker’ın işletim sistemi (OS), açık portlar ve servisler hakkında bilgi ve bunların canlı sistemlerdeki sürüm bilgilerini elde etmesi kaçınılmazdır.
Ayrıca bug bounty talebinde bulunan kuruluş yasal olarak penetrasyon test cihazının ağ trafiğini izlemesine izin verirse, sistem altyapısı hakkında en azından mümkün olduğu kadar kritik bilgiler toplanabilir. Ancak çoğu kuruluş bu izni vermek istemiyor. Böyle bir durumda penetrasyon test cihazı kuralların dışına çıkmamalıdır.
3. Analiz ve Test Adımı
Bu aşamada penetrasyon test cihazı, hedef uygulamanın çeşitli saldırı girişimlerine nasıl cevap vereceğini anladıktan sonra, canlı olduğunu tespit ettiği sistemlerle aktif bağlantılar kurmaya ve doğrudan sorgulama yapmaya çalışır. Yani etik hacker’ın FTP, Netcat, Telnet gibi hizmetleri etkin bir şekilde kullanarak hedef sistemle etkileşime girdiği aşamadır.
Bu aşamada başarısız olsa da buradaki temel amaç, sağlıklı bilgi toplama adımlarında elde edilen verileri test etmek ve notlar almaktır.
4. Manipülasyon ve Sömürü Girişimi
Penetrasyon test cihazı, önceki işlemlerde toplanan tüm verileri tek bir amaç için toplar: gerçek, kötü niyetli bir bilgisayar korsanının yapacağı şekilde hedef sisteme erişim elde etmeye çalışmak. Bu adımın bu kadar kritik olmasının nedeni budur. Çünkü bir bug bounty tasarlarken penetrasyon testçileri saldırgan bilgisayar korsanları gibi düşünmelidir.
Bu aşamada pentester, hedef sistem üzerinde çalışan işletim sistemini, açık portları ve bu portlarda hizmet veren servisleri ve versiyonları ışığında uygulanabilecek sömürü yöntemlerini kullanarak sisteme sızmaya çalışır. Web tabanlı portallar ve uygulamalar çok fazla kod ve çok sayıda kitaplıktan oluştuğundan, kötü niyetli bir bilgisayar korsanının saldırması için daha geniş bir yüzey alanı vardır. Bu açıdan iyi bir penetrasyon testçisi tüm olasılıkları göz önünde bulundurmalı ve kuralların izin verdiği tüm olası saldırı vektörlerini uygulamalıdır.
Sistemin ele geçirilmesi sürecinde mevcut sömürü yöntemlerini sisteme zarar vermeden ve iz bırakmadan başarılı ve esnek bir şekilde kullanabilmek ciddi bir uzmanlık ve deneyim gerektirmektedir. Sızma testinin bu aşaması bu nedenle en kritik adımdır. Adli bilişim ekiplerinin olası bir saldırı anında müdahale edebilmesi için siber saldırganın geride bıraktığı izleri takip etmesi gerekiyor.
5. Ayrıcalık Yükseltme Girişimi
Bir sistem ancak en zayıf halkası kadar güçlüdür. Etik bir bilgisayar korsanı bir sisteme erişmeyi başarırsa, genellikle sisteme düşük yetkili bir kullanıcı olarak giriş yapar. Bu aşamada, penetrasyon test cihazı, işletim sistemindeki veya ortamdaki güvenlik açıklarından yararlanarak yönetici düzeyinde yetkiye ihtiyaç duymalıdır.
Daha sonra elde ettikleri bu ek ayrıcalıklar ve nihayetinde Domain Administrator veya Database Administrator gibi en üst düzey kullanıcı ayrıcalıkları ile ağ ortamındaki diğer cihazları ele geçirmeyi hedeflemelidirler.
6. Raporlama ve Sunum
Penetrasyon testi ve bug bounty adımları tamamlandığında penetrasyon testçisi veya bug avcısı hedef sistemde tespit ettikleri güvenlik açıklarını, takip ettikleri adımları ve bu açıklardan nasıl faydalanabildiklerini detaylı bir raporla kuruma sunmak zorundadır. Bu, ekran görüntüleri, örnek kodlar, saldırı aşamaları ve bu güvenlik açığının nelere neden olabileceği gibi bilgileri içermelidir.
Nihai rapor ayrıca her bir güvenlik açığının nasıl kapatılacağına dair bir çözüm önerisi içermelidir. Sızma testlerinin hassasiyeti ve bağımsızlığı bir sır olarak kalmalıdır. Etik hacker, bu aşamada elde edilen gizli bilgileri asla paylaşmamalı ve bu bilgileri asla yanlış bilgi vererek suistimal etmemelidir, çünkü bu genellikle yasa dışıdır.
Sızma Testi Neden Önemlidir?
Sızma testinin nihai amacı, sistem altyapısının bir saldırganın bakış açısından ne kadar güvenli olduğunu ortaya çıkarmak ve varsa güvenlik açıklarını kapatmaktır. Bir kuruluşun güvenlik duruşundaki zayıf noktaları belirlemenin yanı sıra güvenlik politikasının uygunluğunu ölçer, personelin güvenlik sorunlarına ilişkin farkındalığını test eder ve işletmenin siber güvenlik ilkelerini ne ölçüde uyguladığını belirler.
Penetrasyon testleri giderek daha önemli hale geliyor. Kurumsal yapıların ve kişisel uygulamaların altyapısındaki güvenliği analiz etmek için sertifikalı etik penetrasyon test uzmanlarından destek almak esastır.
