Siber Güvenlik Hizmetleri
Sızma Testi / Penetrasyon Testi
Sızma (Penetrasyon) testi PCI-DSS, ISO 27001, CoBIT gibi uluslararası standartların yanı sıra Türkiye’de BDDK, EPDK ve SPK gibi regülatörler tarafından da yapılması zorunlu tutulan çalışmalardan biridir.
Ağ ve Uygulama Sızma Testleri
Tüm teknoloji birimleriniz için güvenlik hizmetleri
* Yerel Ağ Sızma Testi
* Web Uygulama Sızma Testi
* Mobil Uygulama Sızma Testi
* Kablosuz Ağ Sızma Testi
* Kaynak Kod Analizi
* Sosyal Mühendislik Testi
* Stres ve Yük (DDoS) Testleri
Temelde siber suçlu, zararlı yazılım ve/veya saldırı simülasyonları olarak özetlenebilecek sızma testi (pentest), kurumların siber saldırılara karşı güvenlik seviyesini ölçmek ve tespit edilen risklerin gerçekleşmeden önce önüne geçilebilmesini hedeflemektedir.
Sektörel tecrübelerimizi ve dünya çapında çalışan ekiplerimizin bilgi birikimlerini biraraya getirerek kendimize özgü bir penetrasyon testi metodolojisi geliştirdik.
Sektörde genel kabul görmüş yaklaşımları bir araya getiren metodolojimizde, yaklaşım tabanlı değil risk tabanlı bir modeli benimsiyoruz. Bu modelin bize sağladığı en büyük avantaj, test türü farketmeksizin riskin yol açacağı kayıpların yönetilebilmesidir.
Metodolojimizin genel hatları test türüne özgü yaklaşımlar, en iyi uygulamalar (Best Practices) ve sektördeki deneyimlerimizle desteklenmektedir.
Sızma Testi
Proje Fazları
Tehditlerin Değerlendirilmesi
Siber güvenlik denetimi kapsamının belirlenmesi amacıyla, gerekli tüm bilgiler toplanır. Ek olarak bu aşamada tehdit analizi yapılarak tehdit unsurlarının gerçek durum senaryolarıyla örtüştüğünden emin olunur.
İnceleme Aşaması
Sistemler, gerek barındırdığı teknik zafiyetler gerekse kontrol eksiklikleri yönünden incelenir.
Sızma Aşaması
Riskleri ve olası bilgi ifşasını tam olarak gösterebilmek adına, pentest sırasında tespit edilen açıklıklardan / zafiyetlerden amaca uygun olanları kullanılarak açıklık / zafiyet sömürülür(exploitation).
Sonuçların Değerlendirilmesi
İnceleme ve sızma aşamasında elde edilen bulgular bir rapor hâline getirilerek, açıklıklara / zafiyetlere sebep olan kök nedenler ayrıntılı olarak sunulur.
Sızma Testi Aşamaları
1. Kapsam Belirlenmesi
Müşteri, testin yapılmasını istediği hedefi/kapsamı belirler. Testin yaklaşım türüne göre (Black Box, White Box, Gray Box) testi yapacak olan firma ile bilgiler paylaşılır.
5. Sömürü Aşaması
Tespit edilen zafiyetler saldırgan bakış açısı ile sömürülmeye çalışılır ve zafiyetin sistem üzerindeki etkileri incelenir. Saldırgan, sisteme yetkisiz giriş yapabiliyor mu? Servisi durdurabiliyor mu? Gibi sorulara cevap aranır.
2. Bilgi Toplama
Kapsam/Hedef hakkında pasif (sistem ile doğrudan etkileşime geçmeden) ve aktif (sistem ile doğrudan etkileşime geçerek) bilgi toplama işlemi gerçekleştirilir. Bunlara; kullanılan teknoloji, uygulama ve versiyon bilgisi, fonksiyonlar gibi bilgiler örnek gösterilebilir.
6. Yetki Yükseltme / Sömürü Sonrası Aşama
Saldırgan sisteme erişim elde ettikten sonraki aşamada halihazırdaki yetkilerini yükseltebilecek mi? Yetkisi olmayan dosyaları görebilecek mi? Veya sızılan sistem/ler kullanılarak nasıl ilerlenebilir? Ne gibi kritik dosyalara erişim sağlanabilir? Gibi sorulara yanıt aranır. Saldırganın sömürü sonrası yapacağı teknik/taktik/prosedürler simüle edilmeye çalışılır.
3. Güvenlik Açığı Tespiti
Toplanan bilgiler ışığında var olan güvenlik açıklıklarının belirlendiği aşamadır. Otomatize araçlar kullanılarak taranan sistemler, tarama sonrasında/esnasında uzmanlar tarafından manuel olarak test edilir. Bilgi toplama aşamasında tespit edilen servis ve versiyon bilgisi araştırılarak var olan bir güvenlik açığı olup olmadığı kontrol edilir.
7. Temizlik
Test edilen sistemlerde yapılan değişiklikler geri alınır. Test için oluşturulan/yüklenen dosyalar sistemden temizlenir. Oluşturulan kullanıcılar silinir. Yüklenen zararlı yazılımlar kaldırılır. Sistemler, sızma testi çalışmasından önceki hallerine geri döndürülür.
4. Bilgilerin Analizi ve Planlama
Tespit edilen güvenlik açıklıklarının sömürülmesi için gerekli araştırmalar yapılarak sömürü kodları, zararlı yazılımlar gibi ofansif araçlar hazırlanır.
8. Raporlama
Yukarıdaki adımların özeti çıkarılır. Var olan veya ileride oluşabilecek potansiyel riskler, alınması gereken önlemler gibi bilgiler raporlanır.
Ekibimizin sertifikaları
OSWE
Offensive Security Web Expert
OSCP
Offensive Security Certified Professional
CEH
Certified Ethical Hacker
GCIH
GIAC Certified Incident Handler