Sızma Testi Nedir?

Günümüz dünyasında teknolojik gelişmelerle birlikte bilgiye erişim, kritik bir hale gelmiştir. Dünya çapında kurumlar erişimlerini kontrol altına almayı hedefleseler de saldırganlar her zaman bir yolunu bulmaya çalışmaktadır. Bu noktada saldırgan bakış açısıyla yaklaşarak bir kurumun uğrayacağı saldırıların önceden tespit edilmesi ve hedeflenen sistemlere/ verilere yetkisiz erişim sağlamayı hedefleyen siber saldırı simülasyonları ve bu doğrultuda yapılan işlemler sızma testi ya da pentest diye adlandırılmaktadır. Pentest (Sızma Testi) ana hatları ile hedeflenen sistem ve uygulamaların varlığının tespiti, analizi ve açıklık barındırıp barındırmadıklarının değerlendirilmesi sonrasında istismar (exploit) edilerek sistem ve verilere yetkisiz erişim sağlanması şeklinde uygulanır. Burada dikkat edilmesi gereken nokta zafiyet analizi ve sızma testi kavramlarının karıştırılmamasıdır. Zafiyet analizinde olası açıklar tespit edilir. Sızma testinde ise bu açıklar saldırganlar tarafından kullanılarak sızma işlemi yapılıabilir mi sorusunun cevabı aranır.

Kurumlar son yıllarda riskin farkına vardıkları için pentest firmalarına olan ihtiyaç artmış ve doğal olarak piyasada birçok BT güvenlik hizmeti veren firma kurulmuştur. Sektördeki açıktan faydalanan ve çoğunlukla müşterisinin konu hakkında yeterli bilgisi olmadığı için uygulamalı sızma testi yerine sadece port tarama ya da otomatize tool ile zafiyet analizini, siber güvenlik testi gibi rapor olarak veren firmalar da çoğalmıştır. Bu firmalar bünyesinde sızma testi uzmanı diye, yeterli sertifikası ve yetkinliği olmayan personel çalıştırmaktadır. Sızma testi yaptıracak kurumun test yapacak firmada çalışan sızma testi uzmanının yetkinliğini sorgulaması daha önce yapılmış penetrasyon testi örneklerini incelemesi ve kararları bu doğrultuda vermesi gerekir.

2.