Herhangi bir kurumsal çözüm gibi, sızma testi de öylece dağıtabileceğiniz ve en iyisini umabileceğiniz bir şey değildir. Arzu edilen sonuçların üretilmesi, uzmanlığı temel BT güvenliğini aşan yetenekli uygulayıcıların (uzmanların) yoğun bir çaba göstermesini gerektirir. Bunu göz önünde bulundurarak, işte bazı penetrasyon testi en iyi uygulamaları:
Test Hedeflerinizi Belirleyin
Hedeflerinizi önceden belirlediğinizde, bu hedeflere ulaşmak için tasarlanmış bir test süreciniz olacaktır. Bu nedenle, özellikle ele alınmasını istediğiniz bir şey varsa, hedeflerinizi test ekibine iletirken bunun açıkça tanımlandığından emin olun. Belirli bir hedef kümesinin ana hatlarını belirlemek, en büyük güvenlik risklerinizin nerede olduğunu belirlemek için gereken odağı sağlamaya yardımcı olabilir.
En İyi Ekibi Birleştirin
En uygun maliyetli yol, personel güvenlik personelinden bir sızma testi ekibi oluşturmaktır. Diğerleri üçüncü taraf bir firmanın hizmetlerinden yararlanır. Dışarı çıkmanın avantajı, herhangi bir kısa yolu kullanma olasılığı daha düşük olan uzman profesyonellerin titizliğine sahip olmaktır. İster içeriden böyle bir ekip kurun, ister bir uzman ile çalışın, seçtiğiniz personelin sızma testi girişimlerinizi gerçekleştirebileceğini veya bozabileceğini anlamak çok önemlidir. Plandan uygulamaya ve raporlama içeriğine kadar kapsamlı bir test rejimi tasarlayabilen bir güvenlik uzmanları ekibine ihtiyacınız vardır.
Bir Hacker Gibi Düşünün
Etkili penetrasyon testinin anahtarı, gerçek hayattaki bir saldırgan gibi düşünmek ve hareket etmektir. Test uzmanları, bir saldırıyı simüle etmek ve bir bilgisayar korsanı başarılı olursa ne olabileceğini belirlemek için gereken araçlarla kendilerini donatmalıdır. Ancak tüm saldırganlar eşit yaratılmamıştır, bu nedenle en olası davetsiz misafirler için benzersiz profiller oluşturmak mantıklıdır. İntikam peşinde koşan hoşnutsuz bir eski çalışan veya operasyon hakkında çok az bilgisi olan bir yabancı olabilir. Pentest uzmanları, en gerçekçi tehdidi oluşturan saldırganları taklit eden profiller geliştirmek için yönetim ve BT ile yakın çalışmalıdır.
Bir Sosyal Bileşen Ekleyin
Tamamen yaygınlığa dayalı olarak, sosyal mühendislik her sızma testi stratejisinde önemli bir dişli olmalıdır. Bu manipülatif teknik, çalışanları savunma sisteminizdeki en zayıf halka olarak görür. Çalışanları takip ederek erişim sağlamaya çalışmayı gerektirir. Sosyal mühendisliğin endişe verici etkinliği hedef odaklı kimlik avında görülebilir. Araştırmalar, spear phishing’in tüm siber saldırıların yüzde 90’ından fazlasını oluşturduğunu ve dünya çapında milyarlarca dolarlık kayıptan sorumlu olduğunu gösteriyor.
Kimlik avı gibi popüler tekniklere ek olarak, sızma testi yapanların sosyal mühendislikte kullanılan psikolojiye aşina olmaları gerekir. Karşılık verme, otorite ve kıtlık, toplum mühendislerinin insanları tehlikeli eylemlere yönlendirmek için kullandıkları güdüleyicilerden sadece birkaçıdır. Sızma testi uzmanları sosyal mühendisliği taklit etmeye ne kadar yaklaşırsa, bir kuruluşun gerçek zayıflıklarını ortaya çıkarmakta o kadar iyi olacaklardır. Oradan, riskleri en aza indiren güvenlik mekanizmaları ve eğitim uygulamaları önerebilirler.
Tüm Olası Açıları Keşfedin
Hazineye giden birden fazla yol var ve saldırganlar şirkete mümkün olduğu kadar çok giriş noktasını istismar edebilir. İdeal olarak, bir sızma testi ilgili her saldırı vektörünü hedefleyecektir. Amaç, ne pahasına olursa olsun, parayı vurmaktır. Yazıcınızdaki oturum açma verileri önemsiz görünebilir, ancak kimlik bilgilerini müşteri bilgilerini, kredi kartı numaralarını veya diğer hassas verileri barındıran veri tabanlarıyla paylaşabilir. Saldırı vektörleri söz konusu olduğunda, sızma testi, çevrilmemiş taş bırakmamalıdır.
Veriler Rehberiniz Olsun
Başarılı bir siber güvenlik ihlalinin ardından, araştırma çabalarının çoğu hedeflenen bir veri kümesine kadar izlenebilir. Bir saldırgan gibi düşünme sürecinde, test uzmanlarının risk altındaki verileri tanımlaması, nerede bulunduğunu belirlemesi ve gerçek bir suçlunun bu verileri nasıl ele geçirebileceğini bulması gerekir. Fikri mülkiyet, müşteri verileri veya iş planları olsun, en hassas verilerin şahinliği her zaman kalem testçilerini doğru yöne yönlendirecektir.
Sızma Testi Firmanızı Akıllıca Seçin
Aralarından seçim yapabileceğiniz birkaç tür olsa da sızma testi esas olarak iki kategoride sınıflandırılır: kara kutu ve beyaz kutu. Bir beyaz kutu senaryosunda, test eden kişinin test konusu hakkında ayrıntılı bilgisi veya ona erişimi vardır. Yakın ve kişisel doğası gereği, bu tür testler dahili uygulamalar veya içeriden tehditler için idealdir. Bir kara kutu senaryosunda, test uzmanının test konusu hakkında bilgisi yoktur. Test uzmanının, halka açık bilgiler nedeniyle ortaya çıkan tüm güvenlik açıklarını tanımlaması gerekir. Kara kutulama, harici saldırıları simüle ettiği için sızma testinin geleneksel şeklidir. Her sızma testi stratejisinin avantajları ve dezavantajları vardır. Seçtiğiniz yöntem, ayırdığınız zaman, bütçe ve insan gücünün hedeflerinizle uyumlu bir sonuç üretmesini sağlamak için hayati önem taşır.
ISO 27001:2022, PCI DSS vb bir çok standart ve yasal mevzuatlar sızma testinin yapılması gerekli kılar. Unutmayınız, siber güvenlik bir seçenek değil bir ihtiyaç olmalıdır.
CertBy firması, sizin güçlü olmanız için gereken her türlü desteği siber güvenlik anlamında verir. Uzman kadrolarıyla, Yazılım Güvenliği Konusunda yetkilendirilmiş ISO 15504/330xx SPICE belgelendirme kuruluşu, ISO 15408 Ortak Kriterler Siber Güvenlik test laboratuvarı ve TSE A Sınıf Sızma Testi firması olarak en geniş hizmeti sunuyoruz. Hizmetlerimizi işletmenizde de olması için lütfen bizimle iletişime geçiniz.
