Güvenlik Açığı Testi Nedir? VAPT Tarama Değerlendirme Aracı

Güvenlik Açığı Testi

Güvenlik Açığı Testi Ayrıca Güvenlik Açığı Değerlendirmesi olarak da adlandırılan, tehdit olasılığını azaltmak için yazılım sistemlerindeki güvenlik risklerini değerlendirme sürecidir. Güvenlik açığı testinin amacı, saldırganların/bilgisayar korsanlarının sistemlere yetkisiz erişim sağlama olasılığını azaltmaktır. Güvenlik Açığı Değerlendirmesi ve Penetrasyon Testi (VAPT) veya VAPT testi adı verilen mekanizmaya bağlıdır.

Güvenlik açığı, sistemin güvenlik prosedürleri, tasarımı, uygulaması veya herhangi bir iç kontrolündeki, sistemin güvenlik politikasının ihlaline yol açabilecek herhangi bir hata veya zayıflıktır.

Güvenlik Açığı Değerlendirmesi neden yapılır?

• Organizasyonun güvenliği açısından önemlidir.
• Birisi veya bir şey bunları istismar etmeden önce güvenlik açıklarını sıralayarak güvenlik sorunlarını tespit edip çözmenin bir yolunu sağlayan güvenlik açıklarını bulma ve raporlama süreci.
• bu süreçte Operating sistemleriUygunsuz yazılım tasarımı, güvenli olmayan kimlik doğrulama vb. gibi güvenlik açıklarının varlığını belirlemek amacıyla Uygulama Yazılımı ve Ağ taranır.

Güvenlik Açığı Değerlendirme Süreci

İşte adım adım Güvenlik Açığı Değerlendirme Süreci Sistem açıklarını belirlemek için.

Adım 1) Amaçlar ve Hedefler : – Güvenlik Açığı Analizinin amaçlarını ve hedeflerini tanımlayın.

Adım 2) Kapsam : – Değerlendirme ve Test yapılırken Görevin Kapsamının açıkça tanımlanması gerekir.

Mevcut üç olası kapsam şunlardır:

• Siyah Box Test yapmak : – Dahili ağ ve sistemler hakkında önceden bilgi sahibi olmadan harici bir ağdan test yapılması.
• Gri Box Test yapmak: – Dahili ağ ve sistem bilgisi ile harici veya dahili ağlardan test yapılması. Her iki Siyahın birleşimi Box Test ve Beyaz Box Test yapmak.
• Beyaz Box Test yapmak : – Dahili ağ ve sistem bilgisi ile iç ağ içerisinde test yapılması. Ayrıca Dahili Test olarak da bilinir.

Adım 3) Bilgi Toplama : – Ağlar, IP Adresi gibi BT ortamı hakkında mümkün olduğunca fazla bilgi edinme, OperaSistem Sürümünü vb. belirlemek. Siyah gibi üç Kapsam türü için de geçerlidir. Box Test, Gri Box Test ve Beyaz Box Test yapmak.

Adım 4) Güvenlik Açığı Tespiti : – Bu süreçte BT ortamını taramak ve güvenlik açıklarını tespit etmek için güvenlik açığı tarayıcıları kullanılır.

Adım 5) Bilgi Analizi ve Planlama : – Ağa ve sistemlere sızmaya yönelik bir plan hazırlamak için belirlenen güvenlik açıklarını analiz edecektir.

Güvenlik Açığı Değerlendirmesi nasıl yapılır?

Aşağıda adım adım süreç gösterilmektedir Güvenlik Açığı Değerlendirmesi nasıl yapılır?:

Adım 1) Kurulum

• Dokümantasyona Başlayın
• Güvenli İzinler
• Araçları Güncelle
• Araçları Yapılandır

Adım 2) Testin Yürütülmesi

• Araçları Çalıştırın
• Yakalanan veri paketini çalıştırın (Bir paket, bir kaynak ile hedef arasında yönlendirilen veri birimidir. Örneğin, e-posta mesajı, HTML dosyası, Tekdüzen Kaynak Bulucu (URL) isteği vb. herhangi bir dosya internetteki bir yerden başka bir yere gönderildiğinde, TCP/IP'nin TCP katmanı, dosyayı verimli yönlendirme için bir dizi "parçaya" böler ve bu parçaların her biri benzersiz şekilde numaralandırılır ve hedefin İnternet adresini içerir. Bu parçalara paket adı verilir. Tüm paketler ulaştığında, değerlendirme araçları çalıştırılırken alıcı taraftaki TCP katmanı tarafından orijinal dosyaya yeniden birleştirilirler.

Adım 3) Güvenlik Açığı Analizi

• Ağ veya Sistem kaynaklarını tanımlama ve sınıflandırma.
• Kaynaklara öncelik atama (Örn: – Yüksek, Orta, Düşük)
• Her kaynağa yönelik potansiyel tehditlerin belirlenmesi.
• Önce en öncelikli sorunları ele alacak bir strateji geliştirmek.
• Bir saldırı meydana geldiğinde sonuçları en aza indirmenin yollarını tanımlamak ve uygulamak.

Adım 4) Raporlama

Adım 5) İyileştirme

• Güvenlik açıklarını giderme süreci.
• Her güvenlik açığı için gerçekleştirilir

Güvenlik açığı tarayıcısının türleri

Ana Bilgisayar Tabanlı

• Ana bilgisayardaki veya sistemdeki sorunları tanımlar.
• İşlem, host tabanlı tarayıcılar kullanılarak gerçekleştirilir ve güvenlik açıkları teşhis edilir.
• Ana bilgisayar tabanlı araçlar, hedef sisteme bir aracı yazılım yükleyecektir; olayı izleyecek ve güvenlik analistine rapor edecektir.

Ağ Tabanlı

• Açık bağlantı noktasını algılayacak ve bu bağlantı noktalarında çalışan bilinmeyen hizmetleri tanımlayacaktır. Daha sonra bu hizmetlerle ilgili olası güvenlik açıklarını açıklayacaktır.
• Bu işlem Ağ Tabanlı Tarayıcılar kullanılarak yapılır.

Veritabanı Tabanlı

• SQL Enjeksiyonlarını önlemek için araç ve teknikleri kullanarak veritabanı sistemlerindeki güvenlik açıklarını belirleyecektir. (SQL Enjeksiyonları: – Veritabanındaki hassas verileri okuyabilen ve Veritabanındaki verileri güncelleyebilen kötü niyetli kullanıcılar tarafından veritabanına SQL ifadelerinin enjekte edilmesi.)

Güvenlik Açığı Taraması Araçları

1) Teramind

Teramind İçeriden gelen tehditlerin önlenmesi ve çalışanların izlenmesi için kapsamlı bir paket sunar. Davranış analitiği ve veri kaybını önleme yoluyla güvenliği artırır, uyumluluğu sağlar ve iş süreçlerini optimize eder. Özelleştirilebilir platformu, çeşitli kurumsal ihtiyaçlara uygun olup üretkenliği artırmaya ve veri bütünlüğünü korumaya odaklanan eyleme dönüştürülebilir bilgiler sağlar.

Özellikler:

• İçeriden Gelen Tehditlerin Önlenmesi: Verilere yönelik içeriden tehditlere işaret edebilecek kullanıcı eylemlerini algılar ve engeller.
• İş Süreci Optimizasyonu: Operasyonel süreçleri yeniden tanımlamak için veriye dayalı davranış analitiğini kullanır.
• İşgücü Verimliliği: İş gücünün üretkenliğini, güvenliğini ve uyumluluk davranışlarını izler.
• Uyumluluk Yönetimi: Küçük işletmeler, kuruluşlar ve devlet kurumları için uygun tek, ölçeklenebilir bir çözümle uyumluluğun yönetilmesine yardımcı olur.
• Olay Adli Tıp: Olaylara müdahaleyi, araştırmaları ve tehdit istihbaratını zenginleştirecek kanıtlar sağlar.
• Veri kaybı önleme: Hassas verilerin olası kaybına karşı izler ve koruma sağlar.
• Çalışan Takibi: Çalışan performansını ve faaliyetlerini izlemeye yönelik yetenekler sunar.
• Davranış Analizi: İçgörüler için ayrıntılı müşteri uygulaması davranış verilerini analiz eder.
• Özelleştirilebilir İzleme Ayarları: İzleme ayarlarının belirli kullanım durumlarına uyacak şekilde veya önceden tanımlanmış kuralları uygulayacak şekilde özelleştirilmesine olanak tanır.
• Kontrol Paneli Analizleri: Kapsamlı bir kontrol paneli aracılığıyla iş gücü faaliyetlerine ilişkin görünürlük ve eyleme geçirilebilir bilgiler sağlar.

Ziyaret edin Teramind >>

Kategoriler	araç	Açıklama
Ana Bilgisayar Tabanlı	STAT	Ağdaki birden fazla sistemi tarayın.
	TARA	Tiger Analitik Araştırma Asistanı.
	Cain & Abel	Ağı koklayarak, HTTP şifresini kırarak şifreyi kurtarın.
	Metasploit	Kodu geliştirmek, test etmek ve kullanmak için açık kaynak platformu.
Ağ Tabanlı	Cisco Güvenli Tarayıcı	Güvenlik Sorunlarını Teşhis Edin ve Onarın.
	Wireshark	Linux için Açık Kaynak Ağ Protokolü Analizörü ve Windows.
	Nmap	Güvenlik denetimi için ücretsiz Açık Kaynak yardımcı programı.
	Nessus	Aracısız denetim, Raporlama ve yama yönetimi entegrasyonu.
Veritabanı Tabanlı	SQL diyeti	SQL sunucusu için Sözlük Saldırısı aracı kapısı.
	Güvenli Denetçi	Kullanıcının işletim sistemi üzerinde numaralandırma, tarama, denetim, sızma testi ve adli tıp gerçekleştirmesine olanak tanıyın.
	Veritabanı taraması	Bir veritabanındaki Truva Atı'nın tespiti, temel taramayla gizli Truva Atı'nın tespiti.

Güvenlik Açığı Değerlendirmesinin Avantajları

• Açık Kaynak araçları mevcuttur.
• Neredeyse tüm güvenlik açıklarını tanımlar
• Tarama için Otomatik.
• Düzenli olarak çalıştırılması kolaydır.

Güvenlik Açığı Değerlendirmesinin Dezavantajları

• Yüksek yanlış pozitif oranı
• İzinsiz Giriş Tespit Sistemi Güvenlik Duvarı tarafından kolaylıkla tespit edilebilir.
• Çoğu zaman en son güvenlik açıklarını fark edemezsiniz.

Güvenlik Açığı Değerlendirmesi ve Sızma Testinin Karşılaştırılması

	Güvenlik Açığı Değerlendirmesi	Penetrasyon testi
Çalışma	Güvenlik Açıklarını Keşfedin	Güvenlik Açıklarını Belirleyin ve Suistimal Edin
Mekanizma	Keşif ve Tarama	Simulation
odak	Derinliğe Göre Genişlik	Genişliğe Göre Derinlik
Tamlık Kapsamı	Yüksek	Düşük
Ücret	Düşük-Orta	Yüksek
Tarafından gerçekleştirilen	Şirket İçi Personel	Bir saldırgan veya Kalem Test Cihazı
Test Uzmanı Bilgisi	Yüksek	Düşük
Ne sıklıkla Çalıştırılmalı	Her ekipman yüklendikten sonra	Yılda bir kez
Sonuç	Güvenlik Açıkları Hakkında Kısmi Ayrıntılar Sağlayın	Güvenlik Açıklarının Tam Ayrıntılarını Sağlayın

Güvenlik Açığı Test Yöntemleri

Aktif Test

• Aktif Olmayan Test, bir test uzmanı yeni güvenlik açığı değerlendirme test verilerini sunar ve sonuçları analiz eder.

• Test süreci sırasında, test uzmanları sürecin zihinsel bir modelini oluşturur ve test edilen yazılımla etkileşim sırasında bu model daha da büyüyecektir.
• Testi yaparken test uzmanı yeni test senaryolarını ve yeni fikirleri bulma sürecine aktif olarak katılacaktır. Bu yüzden buna Aktif Test denir.

Pasif Test

• Pasif test, yeni test senaryoları veya veriler eklemeden test edilen yazılımın çalıştırılmasının sonucunun izlenmesi

Ağ testi

• Ağ Testi, belirli bir süre boyunca ağ işleminin mevcut durumunu ölçme ve kaydetme işlemidir.
• Testler esas olarak yük altında çalışan ağın tahmin edilmesi veya yeni servislerin yarattığı sorunların ortaya çıkarılması amacıyla yapılır.
• Aşağıdaki Ağ Özelliklerini Test Etmemiz Gerekiyor:

• Kullanım seviyeleri
• Kullanıcı sayısı
• Uygulama Kullanımı

Dağıtılmış Test

• Dağıtılmış Testler, dağıtılmış uygulamaları test etmek için uygulanır, yani aynı anda birden fazla istemciyle çalışan uygulamalar. Temel olarak, dağıtılmış bir uygulamayı test etmek, istemci ve sunucu parçalarını ayrı ayrı test etmek anlamına gelir, ancak dağıtılmış bir test yöntemi kullanarak hepsini birlikte test edebiliriz.
• Test parçaları, savunmasız testte yer alanlar da dahil olmak üzere, Test Çalıştırması sırasında birbirleriyle etkileşime girecektir. Bu, onları uygun bir şekilde senkronize eder. SyncHronizasyon, dağıtılmış testlerde en önemli noktalardan biridir.

Sonuç

In Yazılım MühendisliğiGüvenlik açığı testleri, Güvenlik Açığı Değerlendirmesi ve Sızma Testi olmak üzere iki mekanizmaya bağlıdır. Bu testlerin her ikisi de güç ve gerçekleştirdikleri görevler bakımından birbirinden farklıdır. Ancak Güvenlik Açığı Testine ilişkin kapsamlı bir rapor elde etmek için her iki prosedürün birleştirilmesi önerilir. Bu görevlere yönelik doğru araçları bulmak için bunları keşfetmeyi düşünün penetrasyon test araçları.