Saldırı olmadan önce güvenlik açıklarını görmek
Kurumsal ağlarda açık servisler, yanlış yapılandırmalar, gereğinden geniş yetkiler, güncel olmayan bileşenler veya uygulama katmanındaki zayıflıklar önemli riskler oluşturabilir. Güvenlik değerlendirmesinde amaç; belirlenen sistemleri ve kapsamı inceleyerek tespit edilen bulguları anlaşılır şekilde raporlamak ve hangi alanların öncelikli ele alınması gerektiğini ortaya koymaktır.
Siber güvenlik hizmet kapsamı
İç Ağ / Kapalı Ağ Güvenlik Testi
Kuruluş içindeki yetkilendirilmiş ağlarda servisler, erişim noktaları, segmentasyon, erişim kontrolleri ve görünür zafiyetler değerlendirilir.
Dış Ağ Güvenlik Değerlendirmesi
İnternete açık sistemler, servisler ve dışarıdan erişilebilir yüzeyler belirlenen kapsam içinde incelenir.
Sızma Testi
Önceden yazılı olarak izin verilmiş hedeflerde, belirlenen kurallar ve sınırlar dahilinde güvenlik zafiyetlerinin etkisi kontrollü biçimde değerlendirilir.
Web Uygulaması Güvenlik Testi
Yetkili web uygulamalarında kimlik doğrulama, oturum yönetimi, erişim kontrolleri, girdi işleme ve yapılandırma kaynaklı riskler incelenir.
Beyaz Kutu Testi
Sistem mimarisi, kullanıcı hesapları veya gerekli teknik bilgiler sağlanarak daha geniş görünürlükle güvenlik değerlendirmesi yapılır.
Siyah Kutu Testi
Sistem hakkında sınırlı bilgiyle, dışarıdan erişen bir tarafın görebileceği saldırı yüzeyi üzerinden kontrollü değerlendirme gerçekleştirilir.
Gri Kutu Testi
Sınırlı kullanıcı veya sistem bilgisi verilerek iç ve dış bakış açılarının birlikte değerlendirildiği ara kapsamlı test yaklaşımı uygulanır.
Zafiyet ve Yapılandırma Değerlendirmesi
Güncellik, gereksiz açık servisler, erişim yetkileri ve güvenli olmayan yapılandırmalar gibi alanlar tespit edilerek önceliklendirilir.
Test süreci nasıl ilerler?
Sızma testi ile zafiyet taraması aynı şey değildir
Otomatik zafiyet taraması sistemler hakkında faydalı göstergeler sağlayabilir; ancak her bulgunun gerçek etkisini tek başına açıklamayabilir. Sızma testi ve manuel güvenlik değerlendirmesi, tespitlerin bağlamını ve olası etkisini daha kontrollü biçimde incelemeye yardımcı olur. Çalışmanın kapsamı sistemin yapısına ve işletmenin ihtiyacına göre belirlenir.
Kimler için uygundur?
- Kurumsal iç ağı bulunan işletmeler
- İnternete açık sunucu veya servis kullanan firmalar
- Web uygulaması veya müşteri paneli bulunan işletmeler
- Yeni sistem devreye almadan önce güvenlik kontrolü isteyen kurumlar
- Erişim yetkileri ve ağ segmentasyonunu kontrol etmek isteyen ekipler
- Mevcut güvenlik durumunu teknik bulgularla görmek isteyen işletmeler
Sık sorulan sorular
Sızma testi nedir?
Önceden izin verilmiş sistemlerde, belirlenen kapsam dahilinde güvenlik açıklarının kontrollü biçimde araştırılması ve sonuçların raporlanmasıdır.
Beyaz kutu ve siyah kutu testi arasındaki fark nedir?
Beyaz kutu testinde sisteme ilişkin daha fazla teknik bilgi sağlanır. Siyah kutu testinde daha sınırlı bilgiyle dışarıdan görülebilen saldırı yüzeyi değerlendirilir. Gri kutu yaklaşımı ise ikisinin arasındadır.
Kapalı ağ testi yapılıyor mu?
Evet. Yetkilendirilmiş iç ağlarda erişim kontrolleri, servisler, segmentasyon ve görünür güvenlik zafiyetleri belirlenen kapsam dahilinde değerlendirilebilir.