Allah’ın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım. Bu makalemizde Sızma testi ile kötü niyetli hackleme arasındaki farkı. Web uygulaması ve ağ sızma testlerinin temel odak alanlarını tanımlamak. Zafiyet, tehdit ve riski tanımlamak ve gerçek dünya senaryolarını değerlendirmek için Zafiyet × Tehdit = Risk ilişkisini uygulamak ve son olarak, Risk yönetimi döngüsünün dört aşamasını açıklamak ve risklerin ne zaman azaltıldığını, kabul edildiğini veya devredildiğini tanımayı öğreneceğiz allahın izniyle.
Sızma Testi ve Kötü Amaçlı Saldırı Arasındaki Fark
Sızma Testi Nedir?
Sızma testi veya “pentesting”, sistemler, uygulamalar veya ağlar üzerinde gerçekleştirilen yetkili bir güvenlik değerlendirmesidir. Bu test, sistem sahibinden açık izin alınarak ve üzerinde anlaşılmış sınırlar dahilinde gerçekleştirilir.
Sızma testi önemlidir çünkü modern sistemler karmaşık ve sürekli değişmektedir. Bu faktörler, kuruluşların tasarım ve geliştirme süreçleriyle tüm zayıflıkları tespit etmesini zorlaştırır. İyi yapılandırılmış sistemlerde bile saldırılara maruz kalabilecek zafiyetler bulunabilir. Sızma testi bu boşluğu doldurur ve kuruluşların bu zayıflıkların nasıl istismar edilebileceğini anlamasına yardımcı olur. Böylece bu zafiyetler saldırganlar tarafından kullanılmadan önce giderilmeleri önceliklendirilebilir ve risk azaltılabilir.
Sızma testi birçok nedenden dolayı önemli bir güvenlik hizmetidir. Kuruluşların, zayıflıklarla ilişkili risk seviyesine göre düzeltme (remediation) çalışmalarını önceliklendirmesini sağlar. Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (Payment Card Industry Data Security Standard - PCI-DSS) ve Genel Veri Koruma Yönetmeliği (General Data Protection Regulation - GDPR) gibi birçok düzenleyici çerçeve ve endüstri standardına uyumu sağlamak için, ödeme bilgileri veya kişisel olarak tanımlanabilir bilgiler (PII) gibi hassas müşteri verilerinin gizliliğini korur. Gerçek dünya saldırı senaryolarının değerlendirilmesi ve bir kuruluşun genel güvenlik duruşunun analiz edilmesi, güvenlik kontrollerinin etkili olup olmadığını gösterir. Bu süreç, yönetime, paydaşlara ve müşterilere zayıflıkların proaktif bir şekilde ele alındığı konusunda güvence sağlar.
Sızma Testi vs Kötü Niyetli Hackleme
Sızma testi uzmanları ve kötü niyetli saldırganlar benzer araçlar kullanabilse de, çalışma biçimleri tamamen farklıdır. Aşağıdaki tabloda yer alan temel faktörler, sızma testini kötü niyetli hacklemeden ayıran unsurlardır:
Sızma Testinin Odak Alanları
Bir sızma testinde, bir kuruluşun genel güvenlik duruşunu tam olarak değerlendirebilmek için kapsamlı bir kapsama (coverage) kritik öneme sahiptir. Anlamlı bir kapsama elde edebilmek için, bir sızma testi uzmanının incelediği farklı alanları anlamak önemlidir
Web Uygulaması Sızma Testi
Web uygulaması sızma testi, bir web uygulamasındaki boşlukları ve zayıflıkları tespit etmeye odaklanır. Testler genellikle bir kullanıcı perspektifinden gerçekleştirilir ve uygulamanın kullanıcı arayüzü ile API’leriyle etkileşim kurularak yapılır. Amaç, uygulamanın kullanıcı girdisini, kimlik doğrulamayı, yetkilendirmeyi, oturumları ve veri işleme süreçlerini nasıl ele aldığını değerlendirmektir. Web uygulamalarındaki zayıflıklar, bu uygulamalar genellikle internete açık olduğundan, kullanıcılar üzerinde büyük etkilere yol açabilir.
Yukarıdaki diyagram, bir sızma testi uzmanı ile bir web uygulaması ve onun bileşenleri arasındaki basit bir etkileşimi özetlemektedir. Bir web uygulaması sızma testinde, uygulama kimlik doğrulama, yetkilendirme, oturum yönetimi, giriş ve çıkış doğrulaması ile güvenlik yapılandırması gibi farklı alanlardaki zayıflıklara karşı test edilir.
Ağ sızma testi, sistemleri birbirine bağlayan temel altyapıdaki zafiyetleri tespit etmeye odaklanır. Testler, dışarıdan veya içeriden bir kullanıcı perspektifinden gerçekleştirilebilir.
Dış ağ sızma testi, dış bir kullanıcı bakış açısından ve dışa açık sistemler hakkında çok az ya da hiç bilgiye sahip olmadan yapılır. Bu tür değerlendirme; internete açık sunucular, güvenlik duvarları (firewall), ağ geçitleri (gateway) ve uzaktan erişim hizmetleri gibi dışa bakan altyapılara odaklanır. Amaç, bu sistemlerin nasıl açığa çıktığını değerlendirmek ve yetkisiz kullanıcılara karşı bu sistemleri koruyan güvenlik kontrollerini incelemektir.
İç ağ sızma testi ise “ihlal varsayımı” (assumed breach) senaryosuna dayanır; yani tehdit aktörünün zaten ağ içerisindeki bir sisteme erişim sağladığı kabul edilir. Bu tür değerlendirme, bir saldırganın bundan sonra neler yapabileceğini; örneğin sistemler arasında yatay hareket (lateral movement), yetki yükseltme veya hassas verilere erişim gibi faaliyetleri inceler. Amaç; güven ilişkilerini, erişim kontrollerini ve ağ yapılandırmalarını değerlendirerek zayıf noktaları tespit etmek ve güvenlik kontrollerinin bir ihlalin etkisini sınırlandırıp sınırlandıramadığını belirlemektir.
Yukarıdaki diyagram, bir sızma testi uzmanı ile bir ağ arasındaki basit etkileşimi hem dış hem de iç perspektiften göstermektedir.
Güvenlik Açığı, Tehtit ve Risk
Zafiyet (vulnerability), tehdit (threat) ve risk (risk), siber güvenlikte birlikte kullanılan temel kavramlardır. Bu kavramlar, kuruluşların güvenlik endişelerini yapılandırılmış bir şekilde değerlendirmesine ve yönetmesine olanak tanır. Bir sızma testi uzmanı olarak, bu kavramlar arasındaki ilişkiyi anlamak, bulguları ve bunların önemini paydaşlara net bir şekilde iletebilmenizi sağlar.
Zafiyet (Vulnerability)
Bir zafiyet, bir kuruluşun ortamında sistemlerin, verilerin veya operasyonların güvenliğini tehlikeye atmak için istismar edilebilecek bir zayıflık veya boşluktur. Tek başına zarar vermez, ancak istismar edilme fırsatı sunar.
Zafiyetler birçok farklı türde olabilir. Basitlik açısından, teknik zafiyetlere odaklanacağız. Bunlar; yazılım, sistemler veya yapılandırmalardaki zayıflıklardır ve kodlama hataları, güvensiz ayarlar veya hatalı sistem tasarımı nedeniyle istismar edilebilirler.
Örneğin, bilinen güvenlik açıklarına sahip eski (güncel olmayan) bir yazılım çalıştıran bir web sunucusu bir zafiyettir. Bu zayıflık mevcuttur, ancak kimse bundan yararlanmadıkça herhangi bir zarar oluşmaz.
Tehdit (Threat)
Tehdit, bir zafiyeti istismar edebilen ve bir kuruluşun ortamına zarar verebilen her şeydir. Kuruluşun sistemlerinin gizlilik, bütünlük ve erişilebilirliğini (confidentiality, integrity, availability) tehlikeye atmak için bir zayıflıktan faydalanabilen bir tehlike kaynağını ifade eder.
Tehditler; siber suçlular, içeriden gelen tehditler (insider threats) gibi kötü niyetli aktörleri veya otomatik saldırılar gerçekleştirmek için kullanılan araçları içerebilir. Bunun yanı sıra sistem arızaları, insan hatası veya çevresel olaylar gibi kötü niyetli olmayan durumlar da tehdit olarak değerlendirilebilir.
Örneğin, internette güncel olmayan sunucuları tarayan bir saldırgan bir tehdittir. Çünkü bir zafiyeti istismar etmek için gerekli yetenek ve niyete sahiptir.
Son dönemde saldırganlar, saldırıları otomatikleştirmek, zayıflıkları büyük ölçekte tespit etmek ve istismar sürecini hızlandırmak için yapay zekâ (AI) teknolojilerinden yararlanmaktadır. Bu durum, saldırıların hızını ve karmaşıklığını artırma kapasitesi nedeniyle yapay zekâyı modern güvenlik ortamlarında önemli bir tehdit haline getirmektedir.
Risk (Risk / Risk)
Risk, bir tehdidin bir zafiyeti başarıyla istismar etmesi durumunda ortaya çıkabilecek potansiyel zarardır. Bir zafiyetin genel risk seviyesini, istismar edilme olasılığı ve etkisini (impact) birleştirerek belirleyebiliriz. Bazı durumlarda zararsız gibi görünen bir zafiyet, kritik sistemleri etkiliyorsa ciddi bir risk oluşturabilir. Buna karşılık, zararlı gibi görünen bir zafiyet, yalnızca izole bir ortamda bulunuyorsa düşük bir risk seviyesine sahip olabilir.
Genel riski basitleştirmek için yaygın olarak şu formül kullanılır: Zafiyet × Tehdit = Risk.
Bu formül, katkı sağlayan faktörler arasındaki ilişkiyi göstermek için kullanılan basitleştirilmiş bir modeldir; resmi bir risk hesaplama yöntemi değildir. Eğer bir tehdidin istismar edebileceği bir zafiyet yoksa, tek başına bir zafiyet risk oluşturmaz. Benzer şekilde, istismar edilecek bir zafiyet yoksa bir tehdit de etkide bulunamaz.
Aşağıda riskin nasıl hesaplandığını gösteren pratik örnekler yer almaktadır
Düşük Risk
Bir web uygulamasının, geçersiz giriş yapıldığında ayrıntılı hata mesajları gösterdiğini düşünün.
Bir web uygulamasının, kullanıcıların bir hesap ID parametresini değiştirerek başka kullanıcıların verilerine erişmesine izin verdiğini düşünün.
Risk yönetimi, birçok kuruluşun güvenlik risklerini zaman içinde tanımlamak, değerlendirmek ve kontrol etmek için kullandığı yapılandırılmış bir süreçtir. Etkili risk yönetimi, hangi risklerin daha önemli olduğunu anlamayı ve bu risklerin etkisini veya istismar edilme olasılığını ortadan kaldırmak ya da azaltmak için uygun kontroller uygulamayı içerir.
Risk yönetimi genellikle dört aşamadan oluşan sürekli bir döngüdür:
Bir şirketin riski kabul etmesine örnek olarak, iç web uygulamasının sunucu sürümünü HTTP header içinde göstermesi verilebilir. Şirket, bu riski kabul etmeyi seçer çünkü sürüm günceldir, web uygulaması yalnızca iç ağda erişilebilirdir ve hassas veri içermez. Ancak riski azaltmak maliyetli, zaman alıcı ve kaynak gerektirmektedir.
Buna karşılık, bir şirketin riski devretmesine örnek olarak, müşterilerinin kişisel ve ödeme bilgilerini saklayan bir çevrimiçi platform işletmesi verilebilir. Şirket, güçlü güvenlik kontrolleri mevcut olmasına rağmen risk tamamen ortadan kaldırılamadığı için, olası bir veri ihlali durumunda finansal maliyeti karşılamak amacıyla siber sigorta poliçesi satın alarak riski devretmeyi tercih eder.
Güvenlik Açıkları Neden var????
Zafiyetler; kusurlar (flaws), özellikler (features) veya insan hatası (human error) yoluyla ortaya çıkabilir ve bu durum veri ve kaynakların ele geçirilmesiyle sonuçlanabilir. Saldırganlar ise hedeflerine ulaşmak için bu zafiyetlerden birini veya birden fazlasını istismar edebilir.
İnsan Varsayımları (Human Assumptions)
Güvenlik farkındalığı olmayan geliştiriciler genellikle kullanıcıların sistemleri yalnızca tasarlandığı şekilde kullanacağını varsayar. Saldırganlar ise bu varsayımları bilerek zorlar ve sistemleri amaçlanmayan şekillerde kullanarak zayıflıkları ortaya çıkarır.
Örneğin, bir geliştirici kullanıcıların profil resmi olarak yalnızca görüntü dosyaları yükleyeceğini varsayabilir. Dosya doğrulama kontrollerinin eksik olması, bir saldırganın kötü amaçlı bir betik yüklemesine izin verir ve bu betik daha sonra sunucu tarafından çalıştırılabilir.
Yazılım Hataları (Software Bugs)
Programlama hataları, güvenlik riski oluşturabilecek istenmeyen davranışlara yol açabilir; bu durum mantık hatalarından ve eksik doğrulamalardan kaynaklanabilir. Kötü yazılmış bir kod tasarlandığı şekilde çalışsa bile, güvenli şekilde geliştirilmemişse kusurlu olabilir.
Örneğin, bir web uygulaması veritabanıyla etkileşim kuran form verilerini işlerken girdileri düzgün şekilde doğrulamazsa, bir saldırgan özel olarak hazırlanmış bir giriş göndererek SQL sorgusunu değiştirebilir ve bu sayede hassas verilere yetkisiz erişim elde edebilir.
Sistem Karmaşıklığı (System Complexity)
Modern ortamlar; API’ler, mikroservisler, veritabanları ve üçüncü taraf entegrasyonları gibi birçok birbirine bağlı bileşenden oluşur. Bu karmaşık ortamlarda yanlış yapılandırma (misconfiguration) oluşma olasılığı daha yüksektir ve bu durum istismar edilebilir bir zafiyete yol açabilir.
Örneğin, bir şirketin web uygulamasına kimlik doğrulama sağlayıcısı veya üçüncü taraf ödeme işlemcisi gibi birden fazla servis entegre edilmiş olabilir. Bu süreçte yapılan bir yapılandırma hatası, yönetimsel API’lerin açığa çıkmasına neden olabilir. Bu bileşenler arasındaki etkileşimlerin karmaşıklığı nedeniyle, bu yanlış yapılandırma saldırganın erişmemesi gereken kritik yönetimsel API’lere erişmesine izin verebilir.
Aşırı Özelleştirme (Over Customisation)
Yazılımların veya iş akışlarının aşırı derecede özelleştirilmesi, tutarsızlıklara ve beklenmeyen güvenlik boşluklarına yol açabilir. Özel geliştirilen özellikler genellikle standart güvenlik uygulamalarını takip etmeyebilir ve yoğun şekilde değiştirilmiş sistemlerin bakımı, güncellenmesi veya yamalanması zor olabilir.
Örneğin, bir kuruluş standart bir giriş (login) çerçevesi kullanmak yerine özel bir kimlik doğrulama özelliği geliştirirse; şifre saklama, oturum yönetimi ve hesap kurtarma mantığını kendi iç gereksinimlerine göre tasarlayabilir. Ancak bu sistemlerin uzun vadede bakımı zor olabilir. Yapılan özelleştirmeler zamanla güncelliğini yitirebilir ve zayıf hash algoritmaları veya tutarsız oturum zaman aşımı gibi güvensiz uygulamalara yol açabilir.
Teknik ve Tasarım Kusurları (Technical and Design Flaws)
Teknik ve tasarım kusurları, güvenlik en baştan tasarıma dahil edilmediğinde ortaya çıkabilir. Bu kusurların kaynağı her zaman kasıtlı değildir, ancak bir kuruluşun güvenliği açısından büyük bir risk oluşturabilir.
Örneğin, mevcut bir web uygulamasına çok faktörlü kimlik doğrulama (MFA) eklenmesi durumunda, geliştiriciler bu özelliği uygulamış olabilir; ancak MFA süreci tamamlanmadan önce tam yetkilendirilmiş bir oturum çerezi (session cookie) verildiği mevcut tasarımı gözden kaçırabilirler. Bu ihmal, bir saldırganın MFA sürecini tamamlamadan yetkili sayfalara erişmesine olanak tanır.
Yaygın Nedenler ve Ortaya Çıkan Zafiyetler
Aşağıdaki tablo, her bir yaygın nedeni, bir saldırganın istismar edebileceği ortaya çıkan zafiyetle eşleştirmektedir.
Okuduğunuz için teşekkür ederim
CW-Ommah
Bug Researchers Tim Sundu...
Selamun aleyküm dostlarım. Bu makalemizde Sızma testi ile kötü niyetli hackleme arasındaki farkı. Web uygulaması ve ağ sızma testlerinin temel odak alanlarını tanımlamak. Zafiyet, tehdit ve riski tanımlamak ve gerçek dünya senaryolarını değerlendirmek için Zafiyet × Tehdit = Risk ilişkisini uygulamak ve son olarak, Risk yönetimi döngüsünün dört aşamasını açıklamak ve risklerin ne zaman azaltıldığını, kabul edildiğini veya devredildiğini tanımayı öğreneceğiz allahın izniyle.
Sızma Testi ve Kötü Amaçlı Saldırı Arasındaki Fark
Sızma Testi Nedir?
Sızma testi veya “pentesting”, sistemler, uygulamalar veya ağlar üzerinde gerçekleştirilen yetkili bir güvenlik değerlendirmesidir. Bu test, sistem sahibinden açık izin alınarak ve üzerinde anlaşılmış sınırlar dahilinde gerçekleştirilir.
Sızma testi önemlidir çünkü modern sistemler karmaşık ve sürekli değişmektedir. Bu faktörler, kuruluşların tasarım ve geliştirme süreçleriyle tüm zayıflıkları tespit etmesini zorlaştırır. İyi yapılandırılmış sistemlerde bile saldırılara maruz kalabilecek zafiyetler bulunabilir. Sızma testi bu boşluğu doldurur ve kuruluşların bu zayıflıkların nasıl istismar edilebileceğini anlamasına yardımcı olur. Böylece bu zafiyetler saldırganlar tarafından kullanılmadan önce giderilmeleri önceliklendirilebilir ve risk azaltılabilir.
Sızma testi birçok nedenden dolayı önemli bir güvenlik hizmetidir. Kuruluşların, zayıflıklarla ilişkili risk seviyesine göre düzeltme (remediation) çalışmalarını önceliklendirmesini sağlar. Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (Payment Card Industry Data Security Standard - PCI-DSS) ve Genel Veri Koruma Yönetmeliği (General Data Protection Regulation - GDPR) gibi birçok düzenleyici çerçeve ve endüstri standardına uyumu sağlamak için, ödeme bilgileri veya kişisel olarak tanımlanabilir bilgiler (PII) gibi hassas müşteri verilerinin gizliliğini korur. Gerçek dünya saldırı senaryolarının değerlendirilmesi ve bir kuruluşun genel güvenlik duruşunun analiz edilmesi, güvenlik kontrollerinin etkili olup olmadığını gösterir. Bu süreç, yönetime, paydaşlara ve müşterilere zayıflıkların proaktif bir şekilde ele alındığı konusunda güvence sağlar.
Sızma Testi vs Kötü Niyetli Hackleme
Sızma testi uzmanları ve kötü niyetli saldırganlar benzer araçlar kullanabilse de, çalışma biçimleri tamamen farklıdır. Aşağıdaki tabloda yer alan temel faktörler, sızma testini kötü niyetli hacklemeden ayıran unsurlardır:
| Temel Faktör | Sızma Testi Uzmanı | Kötü Niyetli Saldırgan |
|---|---|---|
| Yetkilendirme | Sızma testi uzmanları, sistem sahibinden açık yazılı izin alarak çalışır. | Saldırganlar izinsiz çalışır ve kuruluşun haklarını ve güvenliğini ihlal eder. |
| Kapsam | Sızma testi uzmanları, kritik sistemleri korumak amacıyla kuruluş tarafından belirlenen açık ve net bir kapsam dahilinde çalışır. | Saldırganlar kapsam ile sınırlı değildir ve hedeflerine ulaşmalarını sağlayacak her şeyi hedef alırlar. |
| Kapsama Alanı | Sızma testi uzmanları geniş bir kapsama ulaşmayı hedefler ve bir sistemin birden fazla alanını değerlendirir. | Saldırganlar başarıya ulaşmak için en hızlı veya en etkili yolu hedefler ve genellikle finansal kazanç sağlayabilecek sistemleri ve verileri hedef alır. |
| Sorumluluk | Sızma testi uzmanları, eylemlerinden ve çalışmalarının etkisinden sorumludur ve her zaman profesyonel davranmakla yükümlüdür. | Saldırganlar eylemlerinden sorumlu hissetmez ve verdikleri zarardan dolayı sorumluluk almazlar. |
Sızma Testinin Odak Alanları
Bir sızma testinde, bir kuruluşun genel güvenlik duruşunu tam olarak değerlendirebilmek için kapsamlı bir kapsama (coverage) kritik öneme sahiptir. Anlamlı bir kapsama elde edebilmek için, bir sızma testi uzmanının incelediği farklı alanları anlamak önemlidir
Web Uygulaması Sızma Testi
Web uygulaması sızma testi, bir web uygulamasındaki boşlukları ve zayıflıkları tespit etmeye odaklanır. Testler genellikle bir kullanıcı perspektifinden gerçekleştirilir ve uygulamanın kullanıcı arayüzü ile API’leriyle etkileşim kurularak yapılır. Amaç, uygulamanın kullanıcı girdisini, kimlik doğrulamayı, yetkilendirmeyi, oturumları ve veri işleme süreçlerini nasıl ele aldığını değerlendirmektir. Web uygulamalarındaki zayıflıklar, bu uygulamalar genellikle internete açık olduğundan, kullanıcılar üzerinde büyük etkilere yol açabilir.
- Kimlik doğrulama (Authentication): Bu alan, uygulamanın kimlik bilgilerini yönetme biçimindeki zayıflıklar açısından değerlendirilir. Şifre politikası, hesap kilitleme mekanizmaları, çok faktörlü kimlik doğrulama (MFA) uygulaması, brute-force ve credential stuffing gibi otomatik saldırılara karşı koruma, şifre sıfırlama akışı ve genel kimlik doğrulama mantığı incelenir.
- Yetkilendirme (Authorisation): Bu alan, uygulamanın erişim kontrol mekanizmalarındaki zayıflıklar açısından değerlendirilir. Kullanıcıların yalnızca rollerine izin verilen kaynaklara erişebilmesi ve işlemleri gerçekleştirebilmesi sağlanır; dikey ve yatay ayrıcalık yükseltme saldırılarına karşı koruma kontrol edilir.
- Oturum yönetimi (Session management): Bu alan, oturumların nasıl oluşturulduğu, sürdürüldüğü ve geçersiz kılındığı konusundaki zayıflıklar açısından değerlendirilir. Oturum sabitleme (session fixation) riskleri, çıkış sonrası oturumun sonlandırılması, boşta kalma zaman aşımı (idle timeout), güvenli çerez (cookie) özellikleri ve cross-site request forgery (CSRF) saldırılarına karşı koruma gibi konular incelenir.
- Girdi ve çıktı doğrulaması (Input and output validation): Bu alan, uygulamanın veri işleme kontrollerindeki zayıflıklar açısından değerlendirilir. Enjeksiyon saldırılarına karşı koruma, veri tipi doğrulaması ve çıktıların güvenli şekilde işlenmesi bu kapsamda ele alınır.
- Güvenlik yapılandırması (Security configuration): Bu alan, sunucu ve uygulama yapılandırmalarındaki boşlukları kapsar. Güvenlik başlıkları (security headers), hata yönetimi davranışları, hız sınırlama (rate limiting) kontrolleri, kriptografik yapılandırmalar ve gereksiz servis veya özelliklerin açık bırakılması gibi konular değerlendirilir.
Ağ sızma testi, sistemleri birbirine bağlayan temel altyapıdaki zafiyetleri tespit etmeye odaklanır. Testler, dışarıdan veya içeriden bir kullanıcı perspektifinden gerçekleştirilebilir.
Dış ağ sızma testi, dış bir kullanıcı bakış açısından ve dışa açık sistemler hakkında çok az ya da hiç bilgiye sahip olmadan yapılır. Bu tür değerlendirme; internete açık sunucular, güvenlik duvarları (firewall), ağ geçitleri (gateway) ve uzaktan erişim hizmetleri gibi dışa bakan altyapılara odaklanır. Amaç, bu sistemlerin nasıl açığa çıktığını değerlendirmek ve yetkisiz kullanıcılara karşı bu sistemleri koruyan güvenlik kontrollerini incelemektir.
İç ağ sızma testi ise “ihlal varsayımı” (assumed breach) senaryosuna dayanır; yani tehdit aktörünün zaten ağ içerisindeki bir sisteme erişim sağladığı kabul edilir. Bu tür değerlendirme, bir saldırganın bundan sonra neler yapabileceğini; örneğin sistemler arasında yatay hareket (lateral movement), yetki yükseltme veya hassas verilere erişim gibi faaliyetleri inceler. Amaç; güven ilişkilerini, erişim kontrollerini ve ağ yapılandırmalarını değerlendirerek zayıf noktaları tespit etmek ve güvenlik kontrollerinin bir ihlalin etkisini sınırlandırıp sınırlandıramadığını belirlemektir.
- Kimlik doğrulama mekanizmaları (Authentication mechanisms): Bu alan, ağ seviyesindeki kimlik doğrulama kontrollerindeki zayıflıklar açısından değerlendirilir. Şifre politikası, çok faktörlü kimlik doğrulama (MFA) zorunluluğu, kimlik bilgisi tekrar kullanımı, varsayılan kimlik bilgilerinin (default credentials) kullanımı ve yönetici panelleri, VPN, SSH veya RDP gibi hizmetlere yönelik saldırılara karşı koruma mekanizmaları incelenir.
- Yetkilendirme ve erişim kontrolleri (Authorisation and access controls): Bu alan, ağ erişim kontrol mekanizmalarındaki zayıflıklar açısından değerlendirilir. Kullanıcıların ve sistemlerin yalnızca rollerine veya güven seviyelerine göre izin verilen kaynaklara erişebilmesi sağlanır.
- Ağ segmentasyonu ve güven ilişkileri (Network segmentation and trust relationships): Bu alan, kullanıcı ve sistemler arasındaki güven ilişkilerindeki zayıflıklar, güvenlik duvarı kuralları ve izolasyon kontrolleri açısından değerlendirilir.
- Yapılandırma ve yama yönetimi (Configuration and patch management): Bu alan, cihaz yapılandırmalarındaki ve hizmetlerdeki boşluklar açısından değerlendirilir. Güncel olmayan yazılımlar, güvensiz varsayılan yapılandırmalar ve zayıf şifreleme protokolleri gibi konular incelenir.
Güvenlik Açığı, Tehtit ve Risk
Zafiyet (vulnerability), tehdit (threat) ve risk (risk), siber güvenlikte birlikte kullanılan temel kavramlardır. Bu kavramlar, kuruluşların güvenlik endişelerini yapılandırılmış bir şekilde değerlendirmesine ve yönetmesine olanak tanır. Bir sızma testi uzmanı olarak, bu kavramlar arasındaki ilişkiyi anlamak, bulguları ve bunların önemini paydaşlara net bir şekilde iletebilmenizi sağlar.
Zafiyet (Vulnerability)
Bir zafiyet, bir kuruluşun ortamında sistemlerin, verilerin veya operasyonların güvenliğini tehlikeye atmak için istismar edilebilecek bir zayıflık veya boşluktur. Tek başına zarar vermez, ancak istismar edilme fırsatı sunar.
Zafiyetler birçok farklı türde olabilir. Basitlik açısından, teknik zafiyetlere odaklanacağız. Bunlar; yazılım, sistemler veya yapılandırmalardaki zayıflıklardır ve kodlama hataları, güvensiz ayarlar veya hatalı sistem tasarımı nedeniyle istismar edilebilirler.
Örneğin, bilinen güvenlik açıklarına sahip eski (güncel olmayan) bir yazılım çalıştıran bir web sunucusu bir zafiyettir. Bu zayıflık mevcuttur, ancak kimse bundan yararlanmadıkça herhangi bir zarar oluşmaz.
Tehdit (Threat)
Tehdit, bir zafiyeti istismar edebilen ve bir kuruluşun ortamına zarar verebilen her şeydir. Kuruluşun sistemlerinin gizlilik, bütünlük ve erişilebilirliğini (confidentiality, integrity, availability) tehlikeye atmak için bir zayıflıktan faydalanabilen bir tehlike kaynağını ifade eder.
Tehditler; siber suçlular, içeriden gelen tehditler (insider threats) gibi kötü niyetli aktörleri veya otomatik saldırılar gerçekleştirmek için kullanılan araçları içerebilir. Bunun yanı sıra sistem arızaları, insan hatası veya çevresel olaylar gibi kötü niyetli olmayan durumlar da tehdit olarak değerlendirilebilir.
Örneğin, internette güncel olmayan sunucuları tarayan bir saldırgan bir tehdittir. Çünkü bir zafiyeti istismar etmek için gerekli yetenek ve niyete sahiptir.
Son dönemde saldırganlar, saldırıları otomatikleştirmek, zayıflıkları büyük ölçekte tespit etmek ve istismar sürecini hızlandırmak için yapay zekâ (AI) teknolojilerinden yararlanmaktadır. Bu durum, saldırıların hızını ve karmaşıklığını artırma kapasitesi nedeniyle yapay zekâyı modern güvenlik ortamlarında önemli bir tehdit haline getirmektedir.
Risk (Risk / Risk)
Risk, bir tehdidin bir zafiyeti başarıyla istismar etmesi durumunda ortaya çıkabilecek potansiyel zarardır. Bir zafiyetin genel risk seviyesini, istismar edilme olasılığı ve etkisini (impact) birleştirerek belirleyebiliriz. Bazı durumlarda zararsız gibi görünen bir zafiyet, kritik sistemleri etkiliyorsa ciddi bir risk oluşturabilir. Buna karşılık, zararlı gibi görünen bir zafiyet, yalnızca izole bir ortamda bulunuyorsa düşük bir risk seviyesine sahip olabilir.
Genel riski basitleştirmek için yaygın olarak şu formül kullanılır: Zafiyet × Tehdit = Risk.
Bu formül, katkı sağlayan faktörler arasındaki ilişkiyi göstermek için kullanılan basitleştirilmiş bir modeldir; resmi bir risk hesaplama yöntemi değildir. Eğer bir tehdidin istismar edebileceği bir zafiyet yoksa, tek başına bir zafiyet risk oluşturmaz. Benzer şekilde, istismar edilecek bir zafiyet yoksa bir tehdit de etkide bulunamaz.
Aşağıda riskin nasıl hesaplandığını gösteren pratik örnekler yer almaktadır
Düşük Risk
Bir web uygulamasının, geçersiz giriş yapıldığında ayrıntılı hata mesajları gösterdiğini düşünün.
- Zafiyet: İç dosya yollarını açığa çıkaran ayrıntılı hata mesajları
- Tehdit: Saldırganların sistem hakkında bilgi toplamak için hata üretmesi
- Risk: Doğrudan sistemi ele geçirmeyen, ancak keşif (reconnaissance) aşamasında yardımcı olabilecek sınırlı bilgi sızıntısı
Bir web uygulamasının, kullanıcıların bir hesap ID parametresini değiştirerek başka kullanıcıların verilerine erişmesine izin verdiğini düşünün.
- Zafiyet: Kullanıcı verilerine yetkisiz erişime izin veren bozuk erişim kontrolü
- Tehdit: Saldırganların istek parametrelerini değiştirerek hassas kullanıcı bilgilerini elde etmesi veya değiştirmesi
- Risk: Hassas müşteri verilerinin açığa çıkması veya manipüle edilmesi, veri gizliliği ihlalleri ve yasal/düzenleyici sonuçlar doğurması
Risk yönetimi, birçok kuruluşun güvenlik risklerini zaman içinde tanımlamak, değerlendirmek ve kontrol etmek için kullandığı yapılandırılmış bir süreçtir. Etkili risk yönetimi, hangi risklerin daha önemli olduğunu anlamayı ve bu risklerin etkisini veya istismar edilme olasılığını ortadan kaldırmak ya da azaltmak için uygun kontroller uygulamayı içerir.
Risk yönetimi genellikle dört aşamadan oluşan sürekli bir döngüdür:
- Tanımlama (Identification): Kuruluşu etkileyebilecek varlıkların, zafiyetlerin ve potansiyel tehditlerin belirlenmesi.
- Analiz (Analysis): Risklerin değerlendirilerek olası etki ve istismar edilme olasılığının belirlenmesi; bu sayede her bir riskin ciddiyeti ortaya konur ve iyileştirme (remediation) planlaması yapılır.
- Azaltma (Mitigation): Belirlenen risklerin azaltılması veya kontrol altına alınması. Bu; güvenlik yamalarının uygulanmasını, erişim kontrollerinin güçlendirilmesini, yapılandırmaların iyileştirilmesini, izleme araçlarının devreye alınmasını veya güvensiz süreçlerin yeniden tasarlanmasını içerebilir.
- İzleme (Monitoring): Risklerin sürekli olarak takip edilmesi; kontrollerin etkinliğinin sürdürülmesi, yeni zafiyetlerin tespit edilmesi ve ortaya çıkan tehditlerin zamanında ele alınması.
Bir şirketin riski kabul etmesine örnek olarak, iç web uygulamasının sunucu sürümünü HTTP header içinde göstermesi verilebilir. Şirket, bu riski kabul etmeyi seçer çünkü sürüm günceldir, web uygulaması yalnızca iç ağda erişilebilirdir ve hassas veri içermez. Ancak riski azaltmak maliyetli, zaman alıcı ve kaynak gerektirmektedir.
Buna karşılık, bir şirketin riski devretmesine örnek olarak, müşterilerinin kişisel ve ödeme bilgilerini saklayan bir çevrimiçi platform işletmesi verilebilir. Şirket, güçlü güvenlik kontrolleri mevcut olmasına rağmen risk tamamen ortadan kaldırılamadığı için, olası bir veri ihlali durumunda finansal maliyeti karşılamak amacıyla siber sigorta poliçesi satın alarak riski devretmeyi tercih eder.
Güvenlik Açıkları Neden var????
Zafiyetler; kusurlar (flaws), özellikler (features) veya insan hatası (human error) yoluyla ortaya çıkabilir ve bu durum veri ve kaynakların ele geçirilmesiyle sonuçlanabilir. Saldırganlar ise hedeflerine ulaşmak için bu zafiyetlerden birini veya birden fazlasını istismar edebilir.
İnsan Varsayımları (Human Assumptions)
Güvenlik farkındalığı olmayan geliştiriciler genellikle kullanıcıların sistemleri yalnızca tasarlandığı şekilde kullanacağını varsayar. Saldırganlar ise bu varsayımları bilerek zorlar ve sistemleri amaçlanmayan şekillerde kullanarak zayıflıkları ortaya çıkarır.
Örneğin, bir geliştirici kullanıcıların profil resmi olarak yalnızca görüntü dosyaları yükleyeceğini varsayabilir. Dosya doğrulama kontrollerinin eksik olması, bir saldırganın kötü amaçlı bir betik yüklemesine izin verir ve bu betik daha sonra sunucu tarafından çalıştırılabilir.
Yazılım Hataları (Software Bugs)
Programlama hataları, güvenlik riski oluşturabilecek istenmeyen davranışlara yol açabilir; bu durum mantık hatalarından ve eksik doğrulamalardan kaynaklanabilir. Kötü yazılmış bir kod tasarlandığı şekilde çalışsa bile, güvenli şekilde geliştirilmemişse kusurlu olabilir.
Örneğin, bir web uygulaması veritabanıyla etkileşim kuran form verilerini işlerken girdileri düzgün şekilde doğrulamazsa, bir saldırgan özel olarak hazırlanmış bir giriş göndererek SQL sorgusunu değiştirebilir ve bu sayede hassas verilere yetkisiz erişim elde edebilir.
Sistem Karmaşıklığı (System Complexity)
Modern ortamlar; API’ler, mikroservisler, veritabanları ve üçüncü taraf entegrasyonları gibi birçok birbirine bağlı bileşenden oluşur. Bu karmaşık ortamlarda yanlış yapılandırma (misconfiguration) oluşma olasılığı daha yüksektir ve bu durum istismar edilebilir bir zafiyete yol açabilir.
Örneğin, bir şirketin web uygulamasına kimlik doğrulama sağlayıcısı veya üçüncü taraf ödeme işlemcisi gibi birden fazla servis entegre edilmiş olabilir. Bu süreçte yapılan bir yapılandırma hatası, yönetimsel API’lerin açığa çıkmasına neden olabilir. Bu bileşenler arasındaki etkileşimlerin karmaşıklığı nedeniyle, bu yanlış yapılandırma saldırganın erişmemesi gereken kritik yönetimsel API’lere erişmesine izin verebilir.
Aşırı Özelleştirme (Over Customisation)
Yazılımların veya iş akışlarının aşırı derecede özelleştirilmesi, tutarsızlıklara ve beklenmeyen güvenlik boşluklarına yol açabilir. Özel geliştirilen özellikler genellikle standart güvenlik uygulamalarını takip etmeyebilir ve yoğun şekilde değiştirilmiş sistemlerin bakımı, güncellenmesi veya yamalanması zor olabilir.
Örneğin, bir kuruluş standart bir giriş (login) çerçevesi kullanmak yerine özel bir kimlik doğrulama özelliği geliştirirse; şifre saklama, oturum yönetimi ve hesap kurtarma mantığını kendi iç gereksinimlerine göre tasarlayabilir. Ancak bu sistemlerin uzun vadede bakımı zor olabilir. Yapılan özelleştirmeler zamanla güncelliğini yitirebilir ve zayıf hash algoritmaları veya tutarsız oturum zaman aşımı gibi güvensiz uygulamalara yol açabilir.
Teknik ve Tasarım Kusurları (Technical and Design Flaws)
Teknik ve tasarım kusurları, güvenlik en baştan tasarıma dahil edilmediğinde ortaya çıkabilir. Bu kusurların kaynağı her zaman kasıtlı değildir, ancak bir kuruluşun güvenliği açısından büyük bir risk oluşturabilir.
Örneğin, mevcut bir web uygulamasına çok faktörlü kimlik doğrulama (MFA) eklenmesi durumunda, geliştiriciler bu özelliği uygulamış olabilir; ancak MFA süreci tamamlanmadan önce tam yetkilendirilmiş bir oturum çerezi (session cookie) verildiği mevcut tasarımı gözden kaçırabilirler. Bu ihmal, bir saldırganın MFA sürecini tamamlamadan yetkili sayfalara erişmesine olanak tanır.
Yaygın Nedenler ve Ortaya Çıkan Zafiyetler
Aşağıdaki tablo, her bir yaygın nedeni, bir saldırganın istismar edebileceği ortaya çıkan zafiyetle eşleştirmektedir.
| Kök Neden | Örnek Senaryo | Ortaya Çıkan Zafiyet |
|---|---|---|
| İnsan Varsayımları | Geliştirici, kullanıcıların profil fotoğrafı alanına yalnızca görüntü yükleyeceğini varsayar ve hiçbir doğrulama uygulanmaz. | Kısıtlanmamış dosya yükleme: Bir saldırgan web shell yükleyerek sunucu üzerinde işletim sistemi komutlarını çalıştırabilir. |
| Yazılım Hataları | Form verileri parametreli sorgular yerine doğrudan veritabanı sorgusuna eklenir (concatenation). | SQL enjeksiyonu: Bir saldırgan hassas kayıtları veritabanından çekmek veya değiştirmek için özel olarak hazırlanmış girişler oluşturabilir. |
| Sistem Karmaşıklığı | Birden fazla entegre servis, yanlış yapılandırılmış bir API uç noktasının gözden kaçmasına neden olur. | Açığa çıkmış yönetici API’si: Bir saldırgan, kamuya açık olması amaçlanmayan yönetim fonksiyonlarına erişebilir. |
| Aşırı Özelleştirme | Özel kimlik doğrulama sistemi, bakımı zor olan standart dışı bir yapı ile değiştirilir. | Zayıf kimlik doğrulama: Güncelliğini yitirmiş hash algoritmaları ve bozuk oturum mantığı kullanıcı hesaplarının ele geçirilmesine yol açabilir. |
| Teknik ve Tasarım Kusurları | MFA süreci tamamlanmadan önce kimliği doğrulanmış bir oturum çerezi verilir. | MFA atlatma: Bir saldırgan MFA sürecini tamamlamadan yetkili sayfalara erişebilir. |
Okuduğunuz için teşekkür ederimCW-Ommah
Bug Researchers Tim Sundu...
Son düzenleme:
