Güvenlik Açığı Testi Nedir? VAPT Tarama Araçları
Thomas Hamilton
⚡ Akıllı Özet
Güvenlik Açığı Değerlendirme Testi (VAPT), saldırganlar bunları istismar etmeden önce sistemleri, uygulamaları ve ağları tarayarak güvenlik zafiyetlerini keşfetme, sınıflandırma ve önceliklendirme sürecidir ve her modern VAPT programının temelini oluşturur.
Güvenlik Açığı Testi Nedir?
Güvenlik Açığı TestiGüvenlik Açığı Değerlendirmesi olarak da adlandırılan bu yöntem, tehdit olasılığını azaltmak için yazılım, ağ ve altyapıdaki güvenlik risklerini değerlendirir. Amaç, davetsiz misafirlerin yetkisiz erişim elde etme şansını düşürmektir. Bu, Güvenlik Açığı Değerlendirmesi ve Sızma Testi (VAPT) olarak bilinen birleşik uygulamanın keşif kısmını oluşturur.
Bir güvenlik açığı, bir sistemin güvenlik prosedürlerinde, tasarımında, uygulamasında veya iç kontrollerinde güvenlik politikasını ihlal edebilecek herhangi bir kusur, zayıflık veya yanlış yapılandırmadır. Örnekler arasında yamalanmamış yazılımlar, zayıf parolalar ve açıkta kalan hizmetler yer alır.
Güvenlik Açığı Değerlendirmesi neden yapılır?
- Bu, her kuruluşun güvenlik duruşu için hayati önem taşır.
- Zayıf noktaları tespit edip raporlayarak, ekiplerin birileri bunları istismar etmeden önce güvenlik açıklarını sıralayarak sorunları çözmelerini sağlar.
- Bu işlem tarama yapar. işletim sistemleriUygulama yazılımlarını ve ağı inceleyerek güvensiz kimlik doğrulama, eksik yamalar ve yanlış yapılandırmalar gibi sorunları tespit eder.
- Düzenli değerlendirmeler, PCI DSS, HIPAA, ISO 27001, SOC 2 ve OWASP Top 10 (2021 sürümü; 2025 sürümü 2026 itibarıyla hala taslak aşamasında) gibi uyumluluk çerçevelerini desteklemektedir.
Güvenlik Açığı Değerlendirme Süreci
İşte adım adım Güvenlik Açığı Değerlendirme Süreci Sistemdeki güvenlik açıklarını belirlemek ve önceliklendirmek için kullanılır.
Adım 1) Hedefler ve Amaçlar: Güvenlik açığı analizinin hedeflerini, korunacak varlıkları ve işletme risk toleransını tanımlayın.
Adım 2) Kapsam: Testlere başlamadan önce kapsamı net bir şekilde tanımlayın. Olası üç kapsam şunlardır:
- Siyah Box Test yapmak: Dahili ağ ve sistemler hakkında önceden bilgi sahibi olmadan, harici bir ağdan test yapılması.
- Gri Box Test yapmak: Hem harici hem de dahili ağlardan, dahili ağın kısmen bilinmesiyle gerçekleştirilen testler. Bu, Black algoritmasının bir kombinasyonudur. Box Test ve Beyaz Box Test yapmak.
- Beyaz Box Test yapmak: Ağ ve sistem hakkında tam bilgi sahibi olarak iç ağ içinde yapılan testler. Buna İç Test de denir.
3. Adım) Bilgi Toplama: Ağ topolojisi, IP aralıkları, işletim sistemi sürümleri ve açıkta bulunan hizmetler gibi BT ortamı verilerini toplayın. Bu, her üç kapsam türü için de geçerlidir.
Adım 4) Güvenlik Açığı Tespiti: Ortamı güncel CVE raporlarıyla karşılaştırmak ve mevcut güvenlik açıklarını belirlemek için tarayıcılar kullanın.
Adım 5) Analiz ve Planlama: CVSS ile bulguları puanlayın ve sorunu gidermek için bir plan geliştirin veya uygun durumlarda etkilenen sistemlere sızmayı simüle edin.
ManageEngine Vulnerability Manager Plus Bu, güvenlik açığı tarama, tespit, değerlendirme ve giderme için uçtan uca kapsam sağlayan güçlü bir güvenlik açığı değerlendirme ve yönetim aracıdır. Kuruluşların ağlarındaki güvenlik zayıflıklarını proaktif olarak belirlemelerine, risk ciddiyetine göre tehditleri önceliklendirmelerine ve güvenlik duruşlarını güçlendirmek için yama dağıtımını otomatikleştirmelerine yardımcı olur.
Güvenlik Açığı Değerlendirmesi nasıl yapılır?
Aşağıda adım adım süreç gösterilmektedir Güvenlik Açığı Değerlendirmesi nasıl yapılır?:
Adım 1) Kurulum
- Çalışma kapsamı, varlıklar ve iletişim bilgilerine ilişkin dokümantasyona başlayın.
- Sistem sahiplerinden güvenli yazılı izinler alın.
- Tarayıcı imzalarını ve eklentilerini en son sürüme güncelleyin.
- Daha detaylı kontroller için izin verilen yerlerde araçları kimlik doğrulamalı erişimle yapılandırın.
Adım 2) Testin Yürütülmesi
- Tarama işlemlerini kapsam dahilindeki sunuculara, uygulamalara ve ağ aralıklarına karşı çalıştırın.
- Gerektiğinde veri paketlerini yakalayın ve inceleyin. Paket, bir kaynak ve bir hedef arasında yönlendirilen veri birimidir; TCP katmanı dosyaları numaralandırılmış parçalara böler ve alıcı bu parçaları yeniden birleştirir.
Adım 3) Güvenlik Açığı Analizi
- Kapsam dahilindeki ağ veya sistem kaynaklarını tanımlayın ve sınıflandırın.
- Her kaynağa bir öncelik atayın (örneğin, Yüksek, Orta veya Düşük).
- Her bir kaynağa yönelik potansiyel tehditleri belirleyin.
- Öncelikli sorunları ilk önce ele alan bir strateji geliştirin.
- Saldırının sonuçlarını en aza indirecek kontrolleri tanımlayın ve uygulayın.
Adım 4) Raporlama
- Her bulguyu, CVSS puanını, etkilenen varlığı ve önerilen çözümü listeleyen bir rapor hazırlayın.
- Mühendisler için teknik detayları özet bölümünden ayrı tutun.
Adım 5) İyileştirme
- Her bir güvenlik açığını yama yükleme, yapılandırma değişikliği veya telafi edici kontrol yöntemleriyle giderin.
- Onarım işleminden sonra kapanmayı doğrulamak için yeniden tarama yapın.
Güvenlik açığı tarayıcısının türleri
Ana Bilgisayar Tabanlı
- Belirli bir sunucuda veya işletim sistemi örneğinde ortaya çıkan sorunları belirler.
- Tarama, yapılandırma ve yama düzeyindeki güvenlik açıklarını teşhis eden ana bilgisayar tabanlı tarayıcılar kullanılarak gerçekleştirilir.
- Sunucu tabanlı araçlar genellikle hedef sisteme bir aracı yerleştirir veya bir aracı işlem yükler. tracOlayları takip eder ve güvenlik analistine rapor verir.
Ağ Tabanlı
- Açık portları tespit eder ve bu portlarda çalışan bilinmeyen hizmetleri belirler, ardından her hizmetle ilişkili olası güvenlik açıklarını haritalandırır.
- Bu işlem, IP aralıklarında kimlik doğrulamalı veya kimlik doğrulamasız taramalar yapabilen ağ tabanlı tarayıcılar tarafından gerçekleştirilir.
Veritabanı Tabanlı
- SQL enjeksiyon yollarını, zayıf ayrıcalıkları ve yanlış yapılandırmaları tespit eden araç ve teknikleri kullanarak veritabanı sistemlerindeki güvenlik açıklarını belirler. SQL enjeksiyonu, kötü niyetli kullanıcıların, erişmemeleri gereken verileri okumak veya değiştirmek için uygulama giriş alanları aracılığıyla SQL ifadeleri enjekte etmeleri durumunda meydana gelir.
Güvenlik Açığı Taraması Araçları
1) Teramind
Teramind İçeriden gelen tehditleri önleme ve çalışan izleme için kapsamlı bir çözüm paketi sunar. Davranış analizi ve veri kaybı önleme yoluyla güvenliği artırır, uyumluluğu sağlar ve iş süreçlerini optimize eder.
Özellikler:
- İçeriden Gelen Tehditlerin Önlenmesi: İçeriden gelen tehditleri gösteren kullanıcı eylemlerini tespit eder.
- İş Süreci Optimizasyonu: Süreçleri iyileştirmek için davranış analizini kullanır.
- İşgücü Verimliliği: Üretkenlik, güvenlik ve uyumluluk davranışlarını izler.
- Uyumluluk Yönetimi: Küçük işletmeler, büyük şirketler ve kamu kurumları için ölçeklenebilir.
- Olay Adli Tıp: Olay müdahalesi ve tehdit istihbaratı için kanıt.
- Veri kaybı önleme: Hassas verilerin kaybolmasına karşı koruma sağlar.
- Çalışan Takibi: Tracks çalışan performansı ve faaliyetleri.
- Davranış Analizi: Uygulama davranış verilerini analiz ederek içgörüler elde eder.
- Özelleştirilebilir İzleme: Belirli kullanım durumları veya önceden tanımlanmış kurallar için ayarlar.
- Kontrol Paneli Analizleri: Kapsamlı bir gösterge paneli aracılığıyla uygulanabilir bilgiler.
Ötesinde Teramind2026 yılında en yaygın olarak kullanılan tarayıcılar şunlardır: Sürdürülebilir Nessus, OpenVAS / Greenbone, Qualys VMDR, Rapid7 InsightVM, Wireshark, Nikto, Nmap, ve MetasploitAşağıdaki eski tablo, alet kategorileri için yararlı bir tarihsel referans olmaya devam etmektedir.
| Kategoriler | araç | Açıklama |
|---|---|---|
| Ana Bilgisayar Tabanlı | STAT | Ağ genelindeki birden fazla sistemi tarar. |
| TARA | Tiger Analitik Araştırma Asistanı. | |
| Cain & Abel | Ağ trafiğini izleyerek ve HTTP kimlik bilgilerini kırarak parolaları kurtarır. | |
| Metasploit | Geliştiriciler için açık kaynak kodlu platformpingSaldırı kodlarının test edilmesi ve doğrulanması. | |
| Ağ Tabanlı | Cisco Güvenli Tarayıcı | Ağ güvenliği sorunlarını teşhis eder ve onarır. |
| Wireshark | Linux için açık kaynaklı ağ protokolü analizcisi. Windows, ve macOS. | |
| Nmap | Ağ keşfi ve güvenlik denetimi için ücretsiz açık kaynaklı bir araç. | |
| Nessus | Ajan tabanlı ve ajansız denetim, raporlama ve yama yönetimi entegrasyonu. | |
| Veritabanı Tabanlı | SQL diyeti | SQL Server için sözlük saldırısı aracı. |
| Güvenli Denetçi | İşletim sistemlerinde numaralandırma, tarama, denetim, sızma testi ve adli bilişim işlemlerini gerçekleştirir. | |
| Veritabanı taraması | Temel tarama yöntemiyle veritabanı Truva atlarını tespit eder. |
Güvenlik Açığı Değerlendirmesinin Avantajları
- Açık kaynaklı araçlar, örneğin OpenVASNmap ve Nikto ücretsizdir.
- CVE kodu bulunan bilinen hemen her güvenlik açığını tanımlar.
- Otomatik taramalar geniş arazileri hızlı bir şekilde kapsar.
- Sürekli izleme için kolayca zamanlanabilir.
Güvenlik Açığı Değerlendirmesinin Dezavantajları
- Analistlerin önceliklendirmesini gerektiren yüksek oranda yanlış pozitif sonuç üretme eğilimindedir.
- Gürültülü taramalar yapıldığında, saldırı tespit sistemleri ve güvenlik duvarları tarafından tespit edilebilir.
- İmza içermeyen en yeni sıfır gün veya mantık açıklarını gözden kaçırabilirsiniz.
Güvenlik Açığı Değerlendirmesi ve Sızma Testinin Karşılaştırılması
| Güvenlik Açığı Değerlendirmesi | Penetrasyon testi | |
|---|---|---|
| Çalışma | Güvenlik açıklarını keşfedin | Güvenlik açıklarını belirleyin ve bunlardan yararlanın |
| Mekanizma | Keşif ve tarama | Simulation |
| odak | Derinlikten ziyade genişlik | Derinlik genişlikten üstün |
| Tamlık Kapsamı | Yüksek | Düşük |
| Ücret | Düşük ila orta | Yüksek |
| Tarafından gerçekleştirilen | Şirket içi personel veya yönetilen hizmet | Etik bir bilgisayar korsanı veya sızma testi uzmanı |
| Test Uzmanı Bilgisi | Yüksek | Düşük |
| Ne sıklıkla Çalıştırılmalı | Sürekli veya her yeni dağıtım sonrasında | Genellikle yılda bir veya iki kez |
| Sonuç | Her bir güvenlik açığına ilişkin kısmi ayrıntılar. | Saldırının tüm detayları ve kanıtı |
Güvenlik Açığı Test Yöntemleri
Aktif Test
- Aktif test aşamasında, test uzmanı yeni güvenlik açığı değerlendirme test verilerini girer ve sonuçları analiz eder.
- Test süreci boyunca, test uzmanı, test edilen yazılımla etkileşim kurdukça gelişen, sistemin zihinsel bir modelini oluşturur.
- Test uzmanı aktif olarak yeni test senaryoları ve saldırı fikirleri arar; bu nedenle aktif test olarak adlandırılır.
Pasif Test
- Pasif test, genellikle günlük kayıtlarını ve ağ trafiğini gözlemleyerek, yeni test senaryoları veya veriler eklemeden test edilen yazılımın çalışma sonucunu izler.
Ağ testi
- Ağ testleri, ağın belirli bir süre boyunca mevcut çalışma durumunu ölçer ve kaydeder.
- Ağın yük altında nasıl davranacağını öngörür ve yeni hizmetlerin yarattığı sorunları ortaya çıkarır.
- Test edilecek temel ağ özellikleri şunlardır:
- Kullanım seviyeleri
- kullanıcı sayısı
- Uygulama kullanımı
Dağıtılmış Test
- Dağıtılmış testler, aynı anda birden fazla istemciye hizmet veren dağıtılmış uygulamalar için geçerlidir. Bu tür bir uygulamayı test etmek, istemci ve sunucu bölümlerini hem ayrı ayrı hem de birlikte çalıştırmak anlamına gelir.
- Çalışma sırasında ilgili parçalar etkileşim halindedir ve senkronize kalmalıdır; senkronizasyon, dağıtık testlerde en önemli noktalardan biridir.
Yapay Zeka, Güvenlik Açığı Değerlendirmesini Nasıl Değiştiriyor?
Yapay zeka yeniden şekillendiriliyorping Güvenlik açığı değerlendirmesi üç pratik yolla yapılır. Birincisi, makine öğrenimi motorları, tarayıcı bulgularını canlı istismar telemetrisi ve CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğuyla ilişkilendirerek hangi CVE'lerin silah olarak kullanıldığını gösterir. İkincisi, büyük dil modelleri tarama çıktısını düzeltme adımlarına ve yama komut dosyalarına dönüştürür. Üçüncüsü, Tenable ExposureAI gibi araçlar, Qualys TruRisk ve Rapid7 Active Risk puanlama bulguları, ham CVSS verileri yerine iş etkisi bazında değerlendirilir. Yapay zeka, insan yargısının veya manuel sızma testinin yerini almaz, ancak uzun zamandır güvenlik açığı programlarını rahatsız eden gürültüyü önemli ölçüde azaltır.
Sonuç
In yazılım MühendisliğiGüvenlik açığı testi, birbirini tamamlayan iki mekanizmaya bağlıdır: Güvenlik Açığı Değerlendirmesi ve Sızma Testi. Olgun bir güvenlik programı, riskin eksiksiz bir resmini elde etmek için her ikisini de birleştirir. Doğru araçları bulmak için bunları inceleyin. penetrasyon test araçları.
