Düzenli zafiyet tarama kurum varlıklarına yönelik gerçekleştirilen ve sürekli gelişmekte olan Siber Güvenlik tehditlerini tespit etmek için kullanılan bir test türüdür. Periyodik zafiyet tarama testleri ile IT varlıkları test edilerek, bu varlıklar üzerinde bulunan açıklıklar tespit edilir. Bulunan açıklıklar ve bu açıklıkların giderilme yöntemleri test sonunda rapor olarak kuruma sunulur. Periyodik zafiyet testleri sızma testlerinden farklı olarak zafiyet tespit edilmesine odaklanmakta ve sızma girişimlerini barındırmamaktadır. Yılda iki defa olmak üzere altı ayda bir periyodik zafiyet testleri gerçekleştirilerek yeni çıkmış zafiyetler yada konfigürasyon değişiklikleri sonucunda oluşan zafiyetler tespit edilerek, raporlanır. Periyodik testler Privia Security tarafından geliştirilen merkezi izleme aracı ile takip edilmektedir. Bu yazılım sayesinde kurumun zafiyet testleri sonucunda tespit edilen bulguları karşılaştırılarak, kurum risk karnesi oluşturulur ve son test ile birlikte bu karne de kuruma rapor olarak sunulur. Bu hizmet kapsamında dışarıdan içeriye ve içeriden içeriye zafiyet testleri gerçekleştirerek, BT alt yapısının güvenliği test edilecektir. Böylece bir saldırı gerçekleşmeden önce olası giriş noktaları tespit edilerek, bu zayıflıkların giderilmesi sağlanacaktır. Bu hizmet asgari olarak aşağıdaki hizmet başlıklarını içermektedir.
İstemci Taraflı Sızma Testleri
Servis Dışı Bırakma Testleri
Veritabanı Zafiyet Testleri
Test başlıkları aşağıda detaylandırılmıştır.
Bilgi toplama kapsamlı bir güvenlik değerlendirmesi yapabilmek ve hedef hakkında olası tüm bilgileri toplamak için kullanılan evredir. İnternet üzerinden teknik (whois/dns sorguları) ve teknik olmayan (arama motorları, haber grupları, e-posta listeleri sosyal ağlar vb.) yöntemler kullanılarak, hedef şirket veya sistem hakkında bilgi sağlanabilir. Bu safhanın amacı mümkün olan her saldırı yolunu keşfederek hedef ve uygulamalarının kapsamlı bir görünümünü elde etmektir. Bu sayede hedef üzerinde bilgi güvenliğiyle ilgili her vektörün test edilebilmesine olanak sağlanır. Bu adım metodolojinin genellikle göz ardı edilen ilk ve en önemli adımlarından biridir. Diğer tüm aşamalarda olabildiğince kapsamlı ilerlenmesini sağlar.
Birinci bölümün ardından hedefle ilgili tüm olası bilgiler edinildiğinde, hedef network ve kaynaklarını analiz etmek için daha teknik bir yaklaşım uygulanır. Network haritalama aktif bir bilgi toplama aşamasıdır. Bu evrede amaç; hedef sistemin muhtemel bir network topolojisinin üretmek ve network yapısının detaylandırılmasıdır. Bu aşamada; hedef sistem üzerinde port ve servis taraması, açık sistemlerin belirlenmesi, açık sistemler üzerindeki açık portların ve servislerin belirlenmesi, sistemler üzerinde hangi işletim sistemlerinin ve servislerin çalıştığının belirlenmesi, işletim sistemlerine, servislere ve uygulamalara ait versiyon bilgilerinin tespiti, sistemlerde kullanılan donanım/yazılımların ve versiyonlarının tespit edilmesi, Router, Firewall, IPS gibi ağ cihazlarının tespiti gerçekleştirilerek detaylı bir network haritası çıkarılır. Network haritalama bilgi toplama aşamasından elde edilen bilgilerin doğrulanmasına yardımcı olarak, hedef sistemler ile ilgili bazı bilgi elde edilmesini sağlayacaktır.
Bu aşamada bir önceki adımda canlı olduğu tespit edilen sistemler üzerinde TCP/UDP port tarama işlemi gerçekleştirilir. Açık olduğu tespit edilen portları hangi servislerin kullandığı, bu servislerin hangi üreticiye ait servisler olduğu, versiyonları gibi bilgiler “banner grabbing” olarak adlandırılan yöntem ile öğrenilir ve manuel testler ile bu bilgilerin doğruluğundan emin olunduktan sonra bu bilgiler ışığında zafiyet veritabanları taranır ve bilinen zafiyetler sonraki aşamalarda kullanılmak üzere not alınır.
Tespit edilen canlı sistemler içinde router, switch gibi aktif ağ cihazlarının yer alması durumunda bu cihazlar üzerinde çalışan işletim sistemleri, bu işletim sistemlerinin versiyonları, bu cihazlar üzerindeki servisler, yönlendirme protokolleri, yönetimsel amaçlı servisler ve versiyonları tespit edilmeye çalışılır ve bu bilgiler ışığında zafiyet veritabanında inceleme yapılarak sonraki aşamalarda kullanılmak üzere not alınır. Ayrıca bu cihazlar üzerinde koşan gereksiz servislerin, ön-tanımlı kullanıcı adı veya şifre bilgilerinin ya da yönetim için kullanılan güvensiz protokollerin tespiti halinde bu zafiyetler yapılandırma problemleri başlığı altında rapora yansıtılır.
Hedef sisteme ait bilgi toplama ve network haritasının çıkarılmasının ardından, elde edilen bilgiler değerlendirilerek zafiyet analizi gerçekleştirilir. Bu aşamanın amacı, daha önce elde edilen bilgileri kullanarak zafiyetlerin varlığını teknik olarak değerlendirmektir. Zafiyet tanımlaması; network, sunucular, uygulamalar ve diğer bileşenlerdeki zafiyetleri bulmak için elde edilen verileri, çıkarılan network topolojisini değerlendirerek gerçekleştirilen güvenlik denetimini bir adım ileriye taşır. Bu aşamada hedef sisteme zarar vermeyecek şekilde zafiyetleri tanımlamak ve tanımlanan zafiyetleri bilinen istismarlarla sömürmek için çeşitli otomatize zafiyet tarama araçlarıyla taramalar gerçekleştirilebilir.
Zafiyet tarama araçlarının ayarları ön tanımlı olarak kullanılmamakta ve hedef sisteme göre konfigüre edilmektedir. Tarama sonuçları Sızma Testi Uzmanı tarafından değerlendirilerek false positive ve false negatif sonuçlar elenmektedir. Zafiyet tanımlaması ve analizi sonucunda hedef sisteme sızma yolları ve senaryoları belirlenmektedir.
Zafiyet analizi sonrası tanımlanan zafiyetler istismar edilmeye çalışılarak, hedef sistem ve güvenliği üzerinde denemeler gerçekleştirilir. Hedef sistem üzerindeki güvenlik önlemlerini aşılarak erişim elde edilmeye ve erişim mümkün olduğunca bağlantı (reverse, bind) sağlanmaya çalışılır. Tanımlanan zafiyetlerin istismarı için uygun PoC kodları/araçları kullanılarak veya yazılarak hedef sistem üzerinden testler gerçekleştirilir. İstismar için kullanılacak olan exploit halka açık kaynaklardan elde edilmişse hedef sistem üzerinde kullanılmadan önce klonlanmış ortamında test edilmekte ve hedef sisteme zarar verilecek işlemlerden kaçınılmaktadır.
Erişim kazanmak bir sızma testinin odak noktasını oluşturur. Tanımlanan zafiyetler istismar edilerek hedef sistem üzerinde erişim elde edilmeye çalışılır. Erişim elde etmek için hedef sistem üzerinde tespit edilen servislerde kullanıcı adı/parola kombinasyonlarının keşfi, sistem hesaplarına yönelik boş veya varsayılan parolaların bulunması, kullanılan uygulama ve donanım cihazlarının varsayılan ayarlarda bulunması gibi zafiyetler istismar edilebilir. Hedef sisteme düşük yetkilerle dahi olsa erişim sağlandıktan sonra hak ve yetki yükseltilmeye çalışılır.
Hak ve yetki yükseltmek için erişilen hesap üzerinden çeşitli exploitler denenerek root, administrator, SYSTEM gibi yetkili kullanıcı profiline geçilmeye çalışılır.
Kapsam dahilinde kurumun internet ve intranet ortamında yayın yapan web sunucuları ve web uygulamaları test edilmiştir. Web uygulamalarının aşağıdaki zafiyet türlerine göre dayanıklılığı tespit edilmeye çalışılmıştır. Kapsam dahilinde, dışarı yayın yapan sunucu ve uygulamalar öncelikle test edilerek, zafiyetler tespit edilmeye çalışılır.
Bilgi Toplama (Information Gathering)
Spider, Robots, Crawlers
Search Engine Discovery/Reconnaissance (Arama Moturu Keşfi ve Arama Motorunun Kötüye Kullanımı)
Identify Application Entry Points (Uygulama Girdi Noktalarının Tespiti)
Web Application Fingerprint (Uygulama İzlerinin Tespiti)
Application Discovery (Uygulamanın Keşfi ve Haritalama)
Analysis of Error Codes (Hata Kodlarının Analizi)
Yapılandırma Yönetimi Testleri (Configuration Management Testing)
Infrastructure Configuration Management Testing (Altyapı Yapılandırma Yönetimi Testi)
Application Configuration Management Testing (Uygulama Yapılandırma Yönetimi Testi)
Testing for File Extensions Handling (Dosya Uzantılarını İşleme Testi)
Old, Backup and Unreferenced Files (Eski, Yedeklenen ve Referanslanmayan Dosya Testleri)
Infrastructure and Application Admin Interfaces (Altyapı ve Uygulama Yönetim Paneli Testi)
Testing for HTTP Methods and XST (HTTP ve XST Metod Testleri)
Credentials Transport Over an Encrypted Channel (Kimlik Bilgilerinin Şifreli Kanallar Üzerinden Taşınması Testleri)
Testing for User Enumeration (Kullanıcı Hesaplarının Tespitine Yönelik Testler)
Testing for Guessable (Dictionary) User Account (Kullanıcı Hesaplarına Yönelik Sözlük Saldırıları)
Brute Force Testing (Kaba Kuvvet Testi)
Testing for Bypassing Authentication Schema (Kimlik Doğrulama Şemasını Atlatma Testleri)
Testing for Vulnerable Remember Password and PWD Reset (Savunmasız Parola Hatırlatma ve Parola Sıfırlama Testi)
Testing Multiple Factors Authentication (Çok Faktörlü Kimlik Doğrulama Testi)
Oturum Yönetimi Testleri
Testing for Session Management Schema (Oturum Yönetimi Şeması Testi)
Testing for Cookies Attributes (Çerez Niteliklerinin Testi)
Testing for Session Fixation (Sabit Oturum Testi)
Testing for CSRF (CSRF – Siteler Arası İstek Sahteciliği Testi)
Kimlik Doğrulama Testleri
Testing for Path Traversal (Dizin Gezinme Testi)
Testing for Bypassing Authorization Schema (Yetki Şemasını Atlatma Testi)
Testing for Privilege Escalation (Hak ve Yetki Yükseltme Testi)
Veri Değerlendirme Testleri
XSS (Cross Site Scripting-Çapraz Site Betik Yönlendirme) Testleri
OS Code Execution
İstemci Tarafı Sızma Testleri
Gerçekleştirilecek denetimlerde opsiyonel olarak sunulan “İstemci Tarafı Sızma Testleri” kapsamında istemcilerin aşağıdaki zafiyet ve tehdit türlerine karşı ne kadar korunaklı olduğu tespit edilmeye çalışılır. Bu tehditlerin her biri için birer senaryo, testler öncesinde tanımlanır ve o senaryo adımları izlenerek (örneğin bir phishing mail oluşturulup kullanıcılara gönderilerek) kullanıcıların bilgi güvenli konusundaki farkındalığı ölçülmeye çalışılır.
Spear Phishing Saldırıları
Fiziksel Güvenlik Tehditleri
Bu kapsamda gerçekleştirilecek testler ile sızma testi kapsamındaki sunucuların ve servislerin olası servis dışı bırakma saldırılarına karşı ne kadar korunaklı oldukları tespit edilmeye çalışılır. Kontrollü bir şekilde gerçekleştirilecek bu servis bırakma saldırıları hem uygulama katmanında hem de network katmanında yapılır.
Bu aşamada isteğe bağlı olarak aşağıdaki DoS türlerinin testleri gerçekleştirilir.
HTTP GET/POST Flood
Bu test adımında veritabanlarına özel güvenlik taramaları gerçekleştirilir. Bu adım, veritabanına bir kullanıcı ile bağlanmayı gerektirdiğinden dolayı çalışma öncesinde bir veritabanı kullanıcısının oluşturulmuş olması ve ilgili veritabanları üzerinde gerekli hakların bu kullanıcıya tanınmış olması gerekmektedir.
Yapılan zafiyet taramaları sırasında veritabanları üzerindeki varsayılan konfigürasyondan kaynaklı zafiyetlerden eksik güncüllemelere, gereksiz yetki tanımlarından ön tanımlı şifrelerin tespitine kadar birçok veritabanı sistemlerine özel açıklıklar tespit edilebilmektedir.
Bu test adımında kapsamındaki kablosuz ağ sistemleri için asgari aşağıdaki güvenlik denetimleri gerçekleştirilir.
WLAN Tanımlama ve Kapsama Haritası Çıkarma
WLAN Şifre Tespiti ve Şifre Kırma
WLAN Dinleme ve Araya Girme
WLAN Zayıflık Tarama
Gerçekleştirilen güvenlik denetiminden sonra takip eden 10 (on) iş günü içerisinde biri yönetici diğeri teknik olmak üzere hazırlanan iki rapor şifreli halde kuruma e-posta ile teslim edilir. Kurum tarafından istenmesi durumunda raporun matbu hali, üzerine “Gizli” ibaresi vurulmuş kapalı bir zarf içinde teslim edilir.
Teslim edilecek rapor aşağıdakileri içerir;
Gerçekleştirilen güvenlik denetim çalışmasına ve bulgulara ilişkin yönetici özeti
Test sırasında tespit edilen zafiyetlerin kritiklik seviyelerini, hangi sistemlerde bu zafiyete rastlandığını gösteren ve zafiyeti ortadan kaldırmaya yönelik çözüm önerilerinin bulunduğu zafiyet kimlik kartları
Teslim edilecek raporların yanında zafiyetlerin giderilip giderilmediğinin takibini kolaylaştırmak adına, tespit edilen zafiyetlerin ve bu zafiyetlerin bulunduğu sistemlerin bilgisinin yer aldığı bir Excel dokümanı kuruma verilir ve doğrulama denetiminde bu dokümandaki bilgiler baz alınır.
Raporların tesliminden sonra istenmesi halinde kurum personeline, gerçekleştirilen sızma testine ilişkin özet mahiyetinde bir sunum yapılır. Bu sayede kurum personeli, sızma testini gerçekleştiren uzmanlarımızla test ile ilgili görüş alışverişinde bulunabilme imkânı kazanırlar.
Doğrulama Denetimi ve Kapanış
Sızma Testi raporunun teslimi ve sunumunun gerçekleştirilmesinin ardından Privia Bilişim ve Danışmanlık uzmanları ile kurum uzmanlarının karşılıklı mutabık kalacakları bir tarihte firmamız uzmanları tarafından tespit edilen zafiyetlerin giderilip giderilmediği kontrol etmek adına bir doğrulama denetimi gerçekleştirilir. Doğrulama denetimi sonucunda yeniden ayrı bir rapor düzenlenmez, zafiyetlerin kapatılıp kapatılmadığına ilişkin bir bilgilendirme notu hazırlanıp, kurum ile paylaşılır.