İçindekiler

Penetrasyon Testi Bilgi Formu. 3

Internet (Dış Ağ) Sızma Testi 4

Intranet (Yerel Ağ) ve Veri Tabanı Sızma Testi 5

Kablosuz Ağ Güvenlik Testi 5

Web Uygulama Güvenlik Testi 6

Sosyal Mühendislik ve Son Kullanıcı Farkındalık Testi 6

Servis Dışı Bırakma (DOS/DDOS) Testi 7

Test Süreci 7

Testler Sırasında Uygulanacak Metodoloji 8

Bilgi Toplama Aşaması 8

Ağ Topolojisi Çıkarma Aşaması 8

Enumerating Aşaması 9

Zafiyet Tarama Aşaması 9

Hak Elde Etme Aşaması 9

Hak Yükseltme Aşaması 10

Başka Sistemlere Sızma Aşaması 10

Sistemde Kalıcı Olma Aşaması 10

Temizlik Aşaması 10

Web Uygulama Güvenlik Testleri 10

İstemci Tarafı Sızma Testleri 12

Servis Dışı Bırakma Testleri 12

Veritabanı Zafiyet Testleri 12

Kablosuz Ağ Sızma Testleri 12

Raporlama. 12

Sunum.. 13

Penetrasyon Testi Bilgi Formu

Penetrasyon (Sızma) testi, zafiyet analizinden farklı olarak belirli bir metodoloji dahilinde planlı ve aşamalı olarak gerçekleştirilmektedir. Sahip olunan bilişim sistemlerine ait her türlü zafiyetin dış kaynaklı bir kurum ve/veya bir şirket tarafından teste tabi tutulması, kontrol edilmesi ve raporlanması proaktif güvenliğin ilk adımlarındandır.

Yapılan güvenlik testlerinin temel amacı şirketlerin farkında olmadıkları güvenlik açığına farklı bir bakış ile yaklaşarak ve koordineli çalışarak hedef sistemler üzerinde hizmet kesintisi yaratmaksızın bu zafiyetleri ifşa etmektir, yapılan çalışmanın sonucunda belirlenen bilişim sistemlerindeki mantık hataları ve zafiyetleri tespit edilerek, söz konusu güvenlik açıklıklarının kötü niyetli kişiler tarafından istismar edilmesini önlemek ve sistemleri daha güvenli hale getirmek maksadıyla gerçekleştirilmektir.

Tarafımızca Kurum / Firmanıza yapılacak olan Penetrasyon (Sızma) testleri için aşağıdaki bilgilerin tamamlanmasını tarafınızdan talep ederiz.

Lütfen gerçekleştirilmesini talep ettiğiniz hizmet türü için kutucuklar içerisine «X» yazınız.

Penetrasyon testlerinde amaç sadece güvenlik açıklıklarını belirlemek değil, bu açıklıklar kullanılarak hedef sistemler üzerinde gerçekleştirilebilecek ek işlemlerin belirlenmesidir.

White Box, Gray Box, Black Box olmak üzere genel kabul görmüş üç çeşit sızma testi vardır.

Internet (Dış Ağ) Sızma Testi

Dış test olarak adlandırılan bu test hedef networke internet üzerinden gelebilecek olan saldırıların gerçek zamanlı simülasyonudur. Erişim profili internet olduğundan kötü niyetli kişilerin gerçekleştirdiği saldırıların en yaygın olduğu alandır, çalışmalar süresince siber saldırgan gözüyle sistemler tüm detaylarıyla incelenerek yetkili onayı dahilinde çıkan açıklıklar istismar edilerek sızma denemeleri gerçekleştirilir, verebileceği zararlar tespit edilerek raporlanır.

Intranet (Yerel Ağ) ve Veri Tabanı Sızma Testi

İç test olarak da bilinen bu test, hedef networke içeriden gelebilecek olan saldırıların gerçek zamanlı simülasyonudur. Şirket çalışanlarının ve/veya ağa dahil olan bir saldırganın vereceği zararlar çalışmalar süresince siber saldırgan gözüyle hedef sistemler tüm detaylarıyla incelenerek yetkili onayı dahilinde çıkan açıklıklar istismar edilir ve sızma denemeleri gerçekleştirilir, verebileceği zararlar tespit edilerek raporlanır.

Kablosuz Ağ Güvenlik Testi

Kablosuz ağ güvenlik testi kablosuz ağların, erişim kontrollerinin, yapılandırmalarının ve kullanıcılarının davranışlarının değerlendirilmesi, parola kırma testleri, erişim sağlanan kablosuz ağlar üzerinden kurum ağına gerçekleştirilebilecek saldırıların test edilmesi, bulgu/çözüm önerilerinin raporlanması ve hizmet kapsamı dahilinde talep edildiğinde doğrulanması faaliyetlerini içeren güvenlik testlerinin gerçekleştirilmesidir.

Web Uygulama Güvenlik Testi

Web Uygulama Güvenlik Testi hedef web uygulamasına gelebilecek olan içeriden veya dışarıdan saldırıların gerçek zamanlı simülasyonudur. Çalışmalar süresince siber saldırgan gözüyle hedef web uygulama evrensel olarak kabul görmüş metodolojiler kullanılarak incelenir yetkili onayı dahilinde çıkan açıklıklar istismar edilerek sızma denemeleri gerçekleştirilir, verebileceği zararlar tespit edilerek raporlanır.

Sosyal Mühendislik ve Son Kullanıcı Farkındalık Testi

Bu test "Güvenlik zincirindeki en zayıf halka’nın bulunması ve bu yol ile sistemlere sızıntı sağlanacak mı sorusunun cevabının bulunması amacıyla internet üzerinden belirlenen kullanıcı listesine senaryo dahilinde sahte bir e-mail gönderilerek mail içerisinde bulunan bağlantı yoluyla kullanıcıları sahte sayfaya yönlendirerek bilgiler girmesi istenmektedir.

Servis Dışı Bırakma (DOS/DDOS) Testi

Bu testte hedef sisteme yönelik dışardan gelebilecek olan servis dışı bırakma saldırıları belirli bir süre dahilinde en yaygın kullanılan atak yöntemleri ile test edilir.

Test Süreci

Testler Sırasında Uygulanacak Metodoloji

Güvenlik Değerlendirmesi Raporu hazırlanırken konu hakkındaki uluslararası standartlar incelenmiş ve azami ölçüde faydalanılmıştır. OWASP Testing Guide v3, OSSTM, ISSAF, NIST, Gerçekleştirilen testler uluslararası standart ve yönetmeliklere(ISO/IEC 27001,ISAE 3402,NIST,PCI DSS, SoX, SAS 70) tam uyumlu dur.

Gerçekleştirilecek sızma testine ilişkin detaylar aşağıda yer almaktadır.

Bilgi Toplama Aşaması

Bilgi toplama kapsamlı bir güvenlik değerlendirmesi yapabilmek için hedef hakkında olası tüm bilgileri toplamak için kullanılan evredir. İnternet üzerinden teknik (whois/dns sorguları) ve teknik olmayan (arama motorları, haber grupları, e-posta listeleri sosyal ağlar vb.) yöntemler kullanılarak, hedef şirket veya sistem hakkında bilgi sağlanabilir. Bu safhanın amacı mümkün olan her saldırı yolunu keşfederek hedef ve uygulamalarının kapsamlı bir görünümünü elde etmektir. Bu sayede hedef üzerinde bilgi güvenliğiyle ilgili her vektörün test edilebilmesine olanak sağlanır. Bu adım metodolojinin genellikle göz ardı edilen ilk ve en önemli adımlarından biridir. Diğer tüm aşamalarda olabildiğince kapsamlı ilerlenmesini sağlar.

Ağ Topolojisi Çıkarma Aşaması

Birinci bölümün ardından hedefle ilgili tüm olası bilgiler edinildiğinde, hedef network ve kaynaklarını analiz etmek için daha teknik bir yaklaşım uygulanır. Network haritalama aktif bir bilgi toplama aşamasıdır. Bu evrede amaç; hedef sistemin muhtemel bir network topolojisinin üretmek ve network yapısının detaylandırılmasıdır. Bu aşamada;  hedef sistem üzerinde port ve servis taraması, açık sistemlerin belirlenmesi, açık sistemler üzerindeki açık portların ve servislerin belirlenmesi, sistemler üzerinde hangi işletim sistemlerinin ve servislerin çalıştığının belirlenmesi, işletim sistemlerine, servislere ve uygulamalara ait versiyon bilgilerinin tespiti, sistemlerde kullanılan donanım/yazılımların ve versiyonlarının tespit edilmesi, Router, Firewall, IPS gibi ağ cihazlarının tespiti gerçekleştirilerek detaylı bir network haritası çıkarılır. Network haritalama bilgi toplama aşamasından elde edilen bilgilerin doğrulanmasına yardımcı olarak, hedef sistemler ile ilgili daha detaylı bilgi elde edilmesini sağlayacaktır.

Enumerating Aşaması

Bu aşamada bir önceki adımda canlı olduğu tespit edilen sistemler üzerinde TCP/UDP port tarama işlemi gerçekleştirilir. Açık olduğu tespit edilen portları hangi servislerin kullandığı, bu servislerin hangi üreticiye ait servisler olduğu, versiyonları gibi bilgiler “banner grabbing” olarak adlandırılan yöntem ile öğrenilir ve manuel testler ile bu bilgilerin doğruluğundan emin olunduktan sonra bu bilgiler ışığında zafiyet veritabanları taranır ve bilinen zafiyetler sonraki aşamalarda kullanılmak üzere not alınır. 

Tespit edilen canlı sistemler içinde router, switch gibi aktif ağ cihazlarının yer alması durumunda bu cihazlar üzerinde çalışan işletim sistemleri, bu işletim sistemlerinin versiyonları, bu cihazlar üzerindeki servisler, yönlendirme protokolleri, yönetimsel amaçlı servisler ve versiyonları tespit edilmeye çalışılır ve bu bilgiler ışığında zafiyet veritabanında inceleme yapılarak sonraki aşamalarda kullanılmak üzere not alınır. Ayrıca bu cihazlar üzerinde koşan gereksiz servislerin, ön-tanımlı kullanıcı adı veya şifre bilgilerinin ya da yönetim için kullanılan güvensiz protokollerin tespiti halinde bu zafiyetler yapılandırma problemleri başlığı altında rapora yansıtılır.

Zafiyet Tarama Aşaması

Hedef sisteme ait bilgi toplama ve network haritasının çıkarılmasının ardından, elde edilen bilgiler değerlendirilerek zafiyet analizi gerçekleştirilir. Bu aşamanın amacı, daha önce elde edilen bilgileri kullanarak zafiyetlerin varlığını teknik olarak değerlendirmektir. Zafiyet tanımlaması; network, sunucular, uygulamalar ve diğer bileşenlerdeki zafiyetleri bulmak için elde edilen verileri, çıkarılan network topolojisini değerlendirerek gerçekleştirilen güvenlik denetimini bir adım ileriye taşır. Bu aşamada hedef sisteme zarar vermeyecek şekilde zafiyetleri tanımlamak ve tanımlanan zafiyetleri bilinen istismarlarla sömürmek için çeşitli otomatize zafiyet tarama araçlarıyla taramalar gerçekleştirilebilir. Zafiyet tarama araçlarının ayarları ön tanımlı olarak kullanılmamakta ve hedef sisteme göre yapılandırma sağlanmaktadır. Tarama sonuçları Sızma Testi Uzmanı tarafından değerlendirilerek false positive ve false negatif sonuçlar elenmektedir. Zafiyet tanımlaması ve analizi sonucunda hedef sisteme sızma yolları ve senaryoları belirlenmektedir.

Hak Elde Etme Aşaması

Zafiyet analizi sonrası tanımlanan zafiyetler istismar edilmeye çalışılarak, hedef sistem ve güvenliği üzerinde denemeler gerçekleştirilir. Hedef sistem üzerindeki güvenlik önlemlerini aşılarak erişim elde edilmeye ve erişim mümkün olduğunca bağlantı (reverse, bind) sağlanmaya çalışılır. Tanımlanan zafiyetlerin istismarı için uygun PoC kodları/araçları kullanılarak veya yazılarak hedef sistem üzerinden testler gerçekleştirilir. İstismar için kullanılacak olan exploit halka açık kaynaklardan elde edilmişse hedef sistem üzerinde kullanılmadan önce klonlanmış ortamında test edilmekte ve hedef sisteme zarar verilecek işlemlerden kaçınılmaktadır.

Hak Yükseltme Aşaması

Erişim kazanmak bir sızma testinin odak noktasını oluşturur. Tanımlanan zafiyetler istismar edilerek hedef sistem üzerin de erişim elde edilmeye çalışılır. Erişim elde etmek için hedef sistem üzerinde tespit edilen servislerde kullanıcı adı/parola kombinasyonlarının keşfi, sistem hesaplarına yönelik boş veya varsayılan parolaların bulunması, kullanılan uygulama ve donanım cihazlarının varsayılan ayarlarda bulunması gibi zafiyetler istismar edilebilir. Hedef sisteme düşük yetkilerle dahi olsa erişim sağlandıktan sonra hak ve yetki yükseltilmeye çalışılır.

Hak ve yetki yükseltmek için erişilen hesap üzerinden çeşitli exploitler denenerek root, administrator, SYSTEM gibi yetkili kullanıcı profiline geçilmeye çalışılır.

Başka Sistemlere Sızma Aşaması

Erişim yapılan sistemlerden şifreli kullanıcı bilgilerinin alınarak daha hızlı bir ortamda denenmesi. Sızılan sistemde zehirleme araçları çalıştırılabiliyorsa ana sisteme erişim yapan diğer kullanıcı/sistem bilgilerinin elde edilmesi. Sistemde bulunan çevresel değişkenler ve çeşitli network bilgilerinin kaydedilerek sonraki süreçlerde kullanılması.

Sistemde Kalıcı Olma Aşaması

Sisteme girildiğinin başkaları tarafından belirlenmemesi için bazı önlemlerin alınmasında fayda vardır. Test süresince yetkili sistemler üzerine arka kapılar yerleştirilmesi, fark edilmeyecek şekilde yetkili hesaplar tanımlanması gibi aşamalardır.

Temizlik Aşaması

Hedef sistemlere bırakılmış arka kapılar, test amaçlı scriptler, sızma testleri için eklenmiş tüm veriler not alınarak test bitiminde sistem akışını tamamıyla eski haline getirmeyi hedefleyen aşamadır.

Web Uygulama Güvenlik Testleri

Kapsam dahilinde kurumun internet ve intranet ortamında yayın yapan web sunucuları ve web uygulamaları test edilir. Web uygulamalarının aşağıdaki zafiyet türlerine göre dayanıklılığı tespit edilmeye çalışır. Kapsam dahilinde, internet bankacılığı, banka kurumsal sayfası gibi dışarı yayın yapan sunucu ve uygulamalar öncelikle test edilerek zafiyetler tespit edilmeye çalışır.

• Bilgi Toplama (Information Gathering)
  • Spider, Robots, Crawlers
  • Search Engine Discovery/Reconnaissance (Arama Moturu Keşfi ve Arama Motorunun Kötüye Kullanımı)
  • Identify Application Entry Points (Uygulama Girdi Noktalarının Tespiti)
  • Web Application Fingerprint (Uygulama İzlerinin Tespiti)
  • Application Discovery (Uygulamanın Keşfi ve Haritalama)
  • Analysis of Error Codes (Hata Kodlarının Analizi)
• Yapılandırma Yönetimi Testleri (Configuration Management Testing)
  • SSL/TLS Testing
  • DB Listener Testing
  • Infrastructure Configuration Management Testing (Altyapı Yapılandırma Yönetimi Testi)
  • Application Configuration Management Testing (Uygulama Yapılandırma Yönetimi Testi)
  • Testing for File Extensions Handling (Dosya Uzantılarını İşleme Testi)
  • Old, Backup and Unreferenced Files (Eski, Yedeklenen ve Referanslanmayan Dosya Testleri)
  • Infrastructure and Application Admin Interfaces (Altyapı ve Uygulama Yönetim Paneli Testi)
  • Testing for HTTP Methods and XST (HTTP ve XST Metod Testleri)
• Yetkilendirme Testleri
  • Credentials Transport Over an Encrypted Channel (Kimlik Bilgilerinin Şifreli Kanallar Üzerinden Taşınması Testleri)
  • Testing for User Enumeration (Kullanıcı Hesaplarının Tespitine Yönelik Testler)
  • Testing for Guessable (Dictionary) User Account (Kullanıcı Hesaplarına Yönelik Sözlük Saldırıları)
  • Brute Force Testing (Kaba Kuvvet Testi)
  • Testing for Bypassing Authentication Schema (Kimlik Doğrulama Şemasını Atlatma Testleri)
  • Testing for Vulnerable Remember Password and PWD Reset (Savunmasız Parola Hatırlatma ve Parola Sıfırlama Testi)
  • Testing for CAPTCHA
  • Testing Multiple Factors Authentication (Çok Faktörlü Kimlik Doğrulama Testi)
• Oturum Yönetimi Testleri
  • Testing for Session Management Schema (Oturum Yönetimi Şeması Testi)
  • Testing for Cookies Attributes (Çerez Niteliklerinin Testi)
  • Testing for Session Fixation (Sabit Oturum Testi)
  • Testing for CSRF (CSRF – Siteler Arası İstek Sahteciliği Testi)
• Kimlik Doğrulama Testleri
  • Testing for Path Traversal (Dizin Gezinme Testi)
  • Testing for Bypassing Authorization Schema (Yetki Şemasını Atlatma Testi)
  • Testing for Privilege Escalation (Hak ve Yetki Yükseltme Testi)
• Veri Değerlendirme Testleri
  • XSS (Cross Site Scripting-Çapraz Site Betik Yönlendirme) Testleri
    • Reflected XSS
    • Stored XSS
    • DOM Based XSS
  • SQL Injection
  • Path Injection
  • LDAP Injection
  • Code Execution
    • OS Code Execution

İstemci Tarafı Sızma Testleri

Gerçekleştirilecek denetimlerde “İstemci Tarafı Sızma Testleri” kapsamında istemcilerin yapılandırmaları incelenerek mantık hataları ve eksiklikleri kontrol edilmektedir.

Servis Dışı Bırakma Testleri

Bu kapsamda gerçekleştirilecek testler ile penetrasyon testi kapsamındaki sunucuların ve servislerin olası servis dışı bırakma saldırılarına karşı ne kadar korunaklı oldukları tespit edilmeye çalışılır. Kontrollü bir şekilde gerçekleştirilecek bu servis bırakma saldırıları hem uygulama katmanında hem de network katmanında yapılır.

Veritabanı Zafiyet Testleri

Bu test adımında veritabanlarına özel güvenlik taramaları gerçekleştirilir. Yapılan zafiyet taramaları sırasında veritabanları üzerindeki varsayılan konfigürasyondan kaynaklı zafiyetlerden eksik güncellemelere, ön tanımlı şifrelerin tespitine kadar birçok Veritabanı sistemlerine özel açıklıklar tespit edilebilmektedir.

Kablosuz Ağ Sızma Testleri

Opsiyonel olarak sunulan bu test adımında kapsamındaki wireless sistemleri için asgari aşağıdaki güvenlik denetimleri gerçekleştirilir.

• WLAN Şifre Tespiti ve Şifre Kırma
• WLAN Dinleme ve Araya Girme
• WLAN Zayıflık Tarama
• WLAN Yapılandırma Kontrolü

Raporlama

Gerçekleştirilen güvenlik denetiminden sonra takip eden 10 (on) iş günü içerisinde yapılan testlerin tamamının tek rapor sureti olmak üzere hazırlanarak parola korumalı durumda kuruma e-posta yolu ile teslim edilir.

Teslim edilecek rapor aşağıdakileri içerir;

• Gerçekleştirilen güvenlik denetim çalışmasına ve bulgulara ilişkin yönetici özeti
• Test sırasında tespit edilen zafiyetlerin kritiklik seviyelerini, hangi sistemlerde bu zafiyete rastlandığını gösteren ve zafiyeti ortadan kaldırmaya yönelik çözüm önerilerinin bulunduğu zafiyet kimlik kartları
• Kategori şekilde Risk Seviyesi Özet Dağılımını içeren tablolama

Teslim edilecek raporların yanında zafiyetlerin giderilip giderilmediğinin takibini kolaylaştırmak adına tespit edilen zafiyetlerin ve bu zafiyetlerin bulunduğu sistemlerin bilgisinin yer aldığı bir Excel dokümanı kuruma verilir ve doğrulama denetiminde bu dokümandaki bilgiler baz alınır. Kurum onayı ile doğrulama denetimine kadar gerçeleştirilen sızma testi raporu saklanmaktadır. Doğrulama testi sonrası ise geri getirilemez şekilde temizlenmektedir.

Sunum

Raporların tesliminden sonra istenmesi halinde kurum personeline, gerçekleştirilen sızma testine ilişkin özet mahiyetinde bir sunum yapılır. Bu sayede kurum personeli, sızma testini gerçekleştiren uzmanlarımızla test ile ilgili görüş alışverişinde bulunabilme imkânı kazanırlar.