Sızma Testi

Sızma testi (pen testing), eğitimli test uzmanlarının bir uygulamaya, ağa ya da kuruluşa gerçek bir saldırgan gibi girmeye çalıştığı, ancak bunu yazılı izin ve önceden kararlaştırılmış kurallarla yaptığı bir güvenlik değerlendirmesidir. Amaç zarar vermek değil, zayıflıkları keşfetmek, ciddiyetlerini göstermek ve sahiplerine düzeltmeleri için net adımlar sunmaktır.

Test kapsam belirlemeyle başlar: müşteri ve test uzmanları hangi sistemlerin kapsamda olduğunu, hangi tekniklere izin verildiğini ve testin ne zaman yapılabileceğini yazılı olarak kararlaştırır; buna çoğunlukla çatışma kuralları (rules of engagement) denir. Test uzmanları ardından bilgi toplar, SQL injection, bozuk erişim kontrolü veya yanlış yapılandırılmış bulut depolaması gibi zafiyetleri arar ve hangilerinin gerçekten istismar edilebildiğini dikkatle doğrular. Çalışma, bulguları riske göre sıralayan ve her birinin nasıl düzeltileceğini açıklayan bir raporla sona erer; düzeltmelerin işe yaradığını doğrulamak için çoğu zaman bir yeniden test yapılır.

Bu, izninizle bir çilingirin evinizin her kapısını ve penceresini denemesi, sonra size zayıf kilitlerin listesini vermesi gibidir. Testler; test uzmanlarının hiçbir iç bilgi olmadan başladığı black box, kaynak koda ve dokümantasyona eriştiği white box ya da ikisi arasında bir yerde olan gray box olabilir. Kuruluşlar bunları büyük lansmanlardan önce, büyük değişikliklerden sonra ve uyumluluk gereksinimlerini karşılamak için yapar.

Pen testing sıklıkla zafiyet taramasıyla karıştırılır. Tarayıcı, sistemleri bilinen sorunların bir listesine göre denetleyen ve sürekli çalışabilen otomatik bir araçtır; sızma testi ise insanların zayıflıkları birbirine zincirleyip gerçek etkiyi kanıtladığı, süresi sınırlı ve çoğunlukla elle yapılan bir çalışmadır. Bir sistemi sahibinin açık yetkisi olmadan test etmek, niyet iyi olsa bile çoğu ülkede yasa dışıdır; imzalı anlaşmaların ve bug bounty programı kurallarının neye izin verildiğini tam olarak tanımlamasının nedeni budur.