sızma / pentest
Penetrasyon
Test
Güçlü, deneyimli ve profesyonel kadrosu ile bir çok sektörde çözüm üretme tecrübesini, uzmanlık alanlarına uygun yazılımlar geliştirmek ve bu geliştirilen ürünler ile birlikte danışmanlık hizmetlerini müşterilerine uygun maliyetli, hızlı, kaliteli çözümler sunmaktır.
pentest
Penetrasyon
Test Hizmeti
ARYOM Yazılım ve Yüksek Teknoloji A.Ş. olarak bilgi güvenliği ve bilgi teknolojileri alanında danışmanlık, denetim ve eğitim tecrübesini, güvenlik çözümleri yetkinliği ile birleştirerek uçtan uca bilişim ve siber güvenlik hizmetleri sağlamaktadır.
ARYOM kurumsal bilgilerin neredeyse tamamen teknolojik ortamlarda tutulduğu, bilgi güvenliğini sağlamak yanında yerel ve dünya çapında mevzuat ve standartlarla uyumun da kritik hale geldiği günümüzde, kurumların bilgi güvenliği, iş sürekliliği, bilgi riskleri, denetim ve uyumla ilgili ihtiyaçlarına yanıt verebilmek amacıyla, sektörde engin deneyime sahip, yetkinliği yerel ve dünya çapında ortamlarda taşıdığı unvan ve sertifikaları (CISA, CISSP, CISM, CRISC, CGEIT, CEH, PCI-DSS, ITIL, COBIT, ISO27001 LA, ISO27701 LA ) ile belgelendirilmiş uzmanlar tarafından hizmet sağlamaktadır.
ARYOM Ailesi olarak Penetrasyon test hizmetleri ve siber güvenlik danışmanlık hizmetleri tüm sektörlerde ulusal mevzuat ve uluslararası standartlar açısından kurumların bilgi risk yönetimi, bilgi güvenliği, uyum ve mevzuat konularının bir bütün olarak ele almasına katkıda bulunmaktadır. Penetrasyon Testi çalışmalarında The Information System Security Assessment Framework (ISSAF) çerçevesini temel almaktadır.
ARYOM Ailesi olarak ana hedefimiz paket çözümler yerine, kuruma özel çözüm ve yaklaşımlar üreterek kurumların Bilgi Güvenliği ve BT Yönetimi’ni sağlamalarına katkıda bulunmaktadır. Pentest esnasında kullanılan tüm yazılımlar ve tarama uygulamalarımızın tamamı lisanslıdır. Açık kaynak kodlu sisteminize zarar verebilecek hiçbir yazılım kullanmıyoruz.
Penetrasyon Testi Hizmeti Tanımı ve Kapsamı
1. Web Uygulaması Testleri
Web uygulamalarına yapılacak testler sisteme zarar vermeyecek şekilde duruma göre farklı kullanıcı tipleri göz önüne alınarak gerçekleştirilmektedir. Yapılacak testler, sadece sunucular üzerinde çalışan servislerin ya da işletim sisteminin bilinen açıklıklarının araştırılmasından oluşmayıp sistemdeki uygulamalara has güvenlik açıklıkları da araştırılmaktadır. Bu kapsamdaki denetlemeler aşağıda detaylı olarak açıklanmıştır.
Veri Denetimi
• Girdi denetimi • Çıktı denetimi • Değiştirilen içeriğin tespiti • HTML etiketlerinin filtrelenmesi • SQL enjeksiyonu • Sunucu taraflı girdi denetimi • URL yönlendirmeler • Diğer enjeksiyonlar • XSS enjeksiyonu (XSS Injection) • HTTP yanıt bölme (HTTP response splitting)
Oturum Yönetimi
• Giriş sonrası oturum bilgisi yenileme, oturum sabitleme • Çerezlerin içeriği • Oturum sonlandırma • Oturum bilgisinin URL içinde taşınması • Oturum çalma (Session riding) • Siteler arası istek sahteciliği (Cross-Site request forgery, CSRF)
Kimlik Doğrulama ve Yetkilendirme
• Yetki artırımı • Yetki dışı işlem • Şifre politikaları • Bilenen hesap/şifre bileşenlerinin denenmesi • Basit kimlik doğrulama kullanımı • Kimlik doğrulamanın atlatılması • Çıkış (Logout) işlevi • Tersine yol ( Path traversal) • Yetki atlatma (Bypass authorization) • Yetki artırımı (Privilege escalation) • Uygulama mantığı kontrolleri (Application logic flaw, business logic flaw)
Web Servis Testleri
• Web servislerin tespiti • Web servisi detay tarama • REST üzerinden web servisi • SOAP eklenti testi • Ajax testi
Bilgi Sızdırma ve Ayar Yönetimi
• Minimum bilgi prensibi • Yardım sayfaları • SSL kullanımı • HTML yorumları • Sunucu bilgisinin kısıtlanması • Hata sayfalarının gösterimi • Dosya uzantılarının test edilmesi • Yedeklenmiş ya da unutulmuş dosyalar • Yönetici arayüzü erişim testi • Desteklenen HTTP metotları ve XST açıklığı • Sitenin SSL sertifikasının geçerlilik testi
Hizmet Dışı Bırakma
• Güvenlik resmi (Captcha) kullanımı • Apache hizmet dışı bırakma saldırısı – Endless connection • İstemci talebine uyarınca bellekte nesne oluşturmak (User specified object allocation) • Fazla veri döndüren işlemler
DNS Servisi Testleri
• DNS sunucuların topolojik konumunun incelenmesi • DNS Sunucusunun alan yapılandırmasında yer alan kayıtların ortaya çıkarılmaya çalışılması • Sunucu üzerinden alan transferi (zone transfer) yapılmaya çalışılması • NXT ve NSEC kaynak kayıtları üzerinden bilgiler elde edilmeye çalışılması • Netcraft, Google, Whois sorguları yapılarak Müşteri Kurum alanında yer alan sunucuların tespit edilmeye çalışılması • DNS sunucular için ön bellek zehirlemesi gerçekleştirilmeye çalışılması • DNS sunucular üzerindeki kaynak kayıt girdilerinin incelenmesi • DNS sunucuların sürüm bilgisinin elde edilmeye çalışılması • Müşteri Kurum dışı alan isimlerinin sorgulanmaya çalışılması • Sunucular üzerinde DNS dışında bir servisin çalışıp çalışmadığının incelenmesi • Güvenlik Duvarında DNS sunucular için izin verilen portların incelenmesi • DNS sunucuların güvenlik taramasına tabi tutulması • DNS servisini veren yazılımın açıklıklarının araştırılması
E-posta Servisi Testleri
• E-posta sunucularının topolojik konumunun incelenmesi • Virüs tarayıcı ağ geçitlerinin sürüm bilgisi elde edilmeye çalışılması ve bu sürümlerin bilinen açıklıklarının araştırılması • Sunucular üzerindeki yönlendirme (relaying) zafiyetlerini incelemek için bir dizi e-posta gönderilmesi • Sunucular üzerinde e-posta dışında bir servisin çalışıp çalışmadığının incelenmesi • E-posta sunucu üzerinde kimlik doğrulamanın aktif olup olmadığının incelenmesi • E-posta sunucu üzerinde POP3, IMAP gibi istemci servislerinin erişime açık olup olmadığının kontrol edilmesi • E-posta sunucularının güvenlik taramasına tabi tutulması • Sistemlerde kullanılan e-posta içerik kontrolcüleri, anti-virüs ağ geçitleri, spam filtrelerinin kullandığı kütüphanelerde var olabilecek muhtemel açıklıkların incelenmesi • E-posta servisini veren yazılımların bilinen diğer açıklıklarının araştırılması • E-posta servislerinin gönderilen e-postaların boyutlarını sınırlayıp sınırlamadığını kontrol etmek amacı ile boyutu büyük e-postaların gönderilmesi • Muhtemel olarak kullanılan e-posta listesi yazılımlarının açıklıklarının tespit edilmeye çalışılması
Kablosuz Ağ Sızma Testleri
• Kurumda kullanılan kablosuz ağ cihazlarının genel mimari içindeki yerinin incelenmesi • İstemcilerin kablosuz ağ yapılandırmalarının incelenmesi • Kurumda bulunan kablosuz ağlar taranarak özelliklerinin keşfedilmeye çalışılması • Kablosuz ağlarda MAC adresi tabanlı filtrelemenin olup olmadığının incelenmesi • Kablosuz ağlarda kullanılan şifreleme ayarlarının incelenmesi • WEP ve WPA/WPA2 şifreleme kullanılan ağlarda kablosuz ağ şifresinin ele geçirilmeye çalışılması • Sahte kablosuz ağ erişim noktaları oluşturularak kurumda bulunan istemcilerin ele geçirilmeye çalışılması • İstemciler üzerinden kablosuz ağ taraması yapılarak, kurum etrafında bulunan diğer kablosuz ağların keşfedilmeye çalışılması • İstemciler üzerinden kablosuz ağ kullanılarak kurum dışına bağlantı yapılıp yapılamayacağının incelenmesi
Müşteri Kurum İç Ağında Gerçekleştirilecek Sızma Testleri
• Kurum ağı içerisinden internete yönelik hangi portların açık olduğunun tespit edilmesi • Belirlenen bu açık portlar üzerinden içerik filtreleme, güvenlik duvarı atlatma ve bilgi kaçırma testleri gerçekleştirilmesi • Kurum yerel ağ haritasının tespit edilmesi • Yerel alan ağı içerisinde zafiyet tarama ve sızma testleri gerçekleştirilmesi • Kurum yerel ağında araya girme teknikleri ile hassas bilgiler elde edilmeye çalışılması • Elde edilen bilgiler ışığında kullanıcı bilgisayarları ve sunucu sistemlerine yönelik ele geçirme saldırıları gerçekleştirilmesi • Ele geçirilen sunucu ve kullanıcı bilgisayarları üzerinden daha kritik bilgilere ulaşılmaya çalışılması
Aktif Cihaz Testleri ve Değerlendirmeleri
• Yönlendirici ve Anahtar kimlik doğrulama mekanizmalarının denetlenmesi • Anahtara uzaktan ve lokalden erişim kontrol mekanizmalarının denetlenmesi • Yönlendirici ve Anahtar üzerinde çalışan servislerin denetlenmesi • Yönlendirici üzerindeki parola saklama mekanizmalarının denetlenmesi • Yönlendirici erişim kontrol listelerinin denetlenmesi • Yönlendiricinin işletim sisteminin barındırdığı açıklıkların araştırılması. Tespit edilen açıkların uygulanabilirliklerinin sınanması • Anahtar üzerindeki VLAN ve trunk yapısının denetlenmesi • Anahtar üzerindeki port güvenliğinin denetlenmesi • Yönlendirici uzaktan yönetim mekanizmasının denetlenmesi • Yönlendirici ve Anahtar kayıt mekanizmasının incelenmesi • Yönlendirici ve Anahtar açıklık bulma araçları ile taranması
Güvenlik Duvarı ve VPN Testleri ve Değerlendirmeleri
• Güvenlik duvarı olay kayıt mekanizmasının denetlenmesi • Güvenlik duvarlarının, güvenlik açıklığı tarama yazılımlarıyla test edilmesi • Güvenlik duvarının üzerinde çalıştığı platformun barındırdığı açıklıkların araştırılması. Tespit edilen açıkların uygulanabilirliklerinin sınanması • Güvenlik duvarının yönetici modülünün denetlenmesi • Güvenlik duvarının genel yapılandırma ayarlarının denetlenmesi • VPN yapılandırma uygunluğunun kontrol edilmesi • VPN sisteminde kullanılan anahtarların güvenlik seviyelerinin kontrol edilmesi. Bu anahtarların ne kadar güvenli saklandığının saptanması • VPN sistemine hiçbir müdahalede bulunmadan, çıkan paketler incelenerek herhangi bir bilgiye ulaşılıp ulaşılamadığının test edilmesi Saldırı Tespit Sistemi Testleri ve Değerlendirmeleri • Saldırı tespit sistemi bileşenlerinin yönetici modülünün denetlenmesi • Saldırı tespit sistemi bileşenleri yazılımının yama denetimlerinin yapılması • Saldırı tespit sistemi bileşenlerinin saldırı imzalarının denetlenmesi
Sanallaştırma Ortamı Test ve Değerlendirmeleri
• Sanallaştırma sistemlerinin topolojisinin denetlenmesi • Sanallaştırma topolojisi içinde yönetim merkezi, host, sanal ve fiziksel ağlar ve merkezi disk sistemlerinin yerlerinin incelenmesi • Sanallaştırma sistemleri içinde bulunan sanal ve fiziksel ağların ayarlarının denetlenmesi • Sanallaştırma host sunucularının işletim sistemi güncelliğinin denetlenmesi • Sanallaştırma host sunucularının üzerinde çalışan servislerin denetlenmesi • Sanallaştırma host sunucuları üzerinde bulunan kullanıcı hesaplarının denetlenmesi • Sanallaştırma yönetim yazılımı/yazılımları işletim sistemi ve üzerindeki yazılımların güncelliğinin denetlenmesi • Sanallaştırma yönetim sunucuları üzerinde çalışan veritabanı ve uygulama sunucularının denetlenmesi • Sanallaştırma yönetim yazılımı üzerinde kullanıcı ve grupların yapılandırmalarının denetlenmesi • Sanallaştırma sisteminde yapılan kullanıcı ve rol tabanlı yetkilendirmelerin denetlenmesi • Sanallaştırma sistemi bileşenlerinin genel açıklık tarama yazılımları ile taranacaktır.
Etki Alanı ve Kullanıcı Bilgisayarları Testleri ve Değerlendirmeleri
• Etki alanında uygulanan şifre, hesap kilitleme politikalarının kontrol edilmesi • Etki alanında kayıt toplama ve inceleme politikalarının kontrol edilmesi • Etki alanındaki yetkili kullanıcıların ayrıcalıkları ve kullanım şekillerinin kontrol edilmesi • Sunucu ve kullanıcı bilgisayarlarında uygulanan yama yönetimi politikalarının kontrol edilmesi • Sunucu ve kullanıcı bilgisayarlarında uygulanan virüs koruma politikalarının kontrol edilmesi • Sunucu ve kullanıcı bilgisayarlarında hassas bilgi içiren ve yetkisiz erişime olanak sağlayan paylaşımların kontrol edilmesi • Sunucu ve kullanıcı bilgisayarlarında taşınabilir aygıtların kullanımı ile ilgili güvenlik ayarlarının kontrol edilmesi • Sunucu ve kullanıcı bilgisayarlarındaki yerel kullanıcı hesabı ve kullanıcı gruplarının kontrol edilmesi • Kullanıcı bilgisayarlarının fiziksel saldırılara karşı güvenilirliğinin kontrol edilmesi
Veri tabanı Sunucuları Testleri ve Değerlendirmeleri
• Veritabanı sunucusunun fiziksel konumu ve güvenlik açısından etkilenebileceği çevresel faktörlerin incelenmesi • Sistemde fonksiyonelliği bozmayacak olan güncel sistem ve güvenlik yamalarının uygulanıp uygulanmadığının kontrol edilmesi • Veri tabanı için önemli olan işletim sistemi dosyalarının erişim izinlerinin kontrol edilmesi • Veri tabanı sunucusunun güvenlik açısından önemli olan yapılandırma ayarlarının incelenmesi • Veri tabanı sunucusunun parola atama ve değiştirme politikasının, kullanıcı hesapları güvenlik ayarlarının incelenmesi • Veri tabanı sunucusunda, güvenlik açısından önemli olan paketler, nesneler, roller, tablo ve hakların incelenmesi • Veri tabanı sunucusunda, denetleme mekanizmasının aktif olup olmadığının incelenmesi • Veri tabanı sunucusunun yedekleme ve kurtarma mekanizmasının incelenmesi • Veri tabanının kurulumu ile birlikte gelen ve kullanıcılar için atanan varsayılan değerlerin kontrol edilmesi • Veri tabanı sunucularına uzaktan erişimin güvenli olup olmadığının kontrol edilmesi
Dağıtık Servis Dışı Bırakma Testleri
• Testler sırasında dağıtık servis dışı bırakma saldırıları (DDOS) da uygulanır. DDOS Saldırılarında amaç, Bankaların bu kapsamdaki saldırılara karşı kullandığı savunma mekanizmalarının etkinliğini değerlendirmektir. DDOS saldırıları Müşteri Kurumun en az servis verdiği saatlerde ve sistem yöneticileri ile koordine olarak gerçekleştirilir.
A. IP seviyesinde gerçekleştirilecek DDOS saldırıları
• Herkese hizmet veren servislerin tespit edilmesi • DNS sunucularına yönelik dağıtık aşırı paket gönderimi ile güvenlik duvarı gibi aktif cihazlara yönelik yük testi gerçekleştirilmesi • Web sunucularına yönelik dağıtık aşırı paket gönderimi ile trafiğin üzerinden geçtiği Güvenlik duvarı gibi aktif cihazlara yönelik yük testi gerçekleştirilmesi • Herkese hizmet veren servislere yönelik dağıtık aşırı paket gönderimi ile trafiğin üzerinden geçtiği güvenlik duvarı gibi aktif cihazlara yönelik yük testi gerçekleştirilmesi
B. Uygulama seviyesinde gerçekleştirilecek DDOS saldırıları
• DNS sunucularına yönelik rastgele istek gönderimi ile DNS sunucu yük testi gerçekleştirilmesi • Web sunucularına yönelik aşırı paket gönderimi ile web sunucu yük testi gerçekleştirilmesi • E-posta sunucuya aşırı e-posta gönderimi ile e-posta sunucu yük testi gerçekleştirilmesi
Test Kapsamının Belirlenmesi
Penetrasyon testi genel zafiyet analizi ve açıklıkların taranması yan sıra uluslararası standartlara veya mevzuatlara uyum için de yaptırılabilmektedir. PCI-DSS – ISO 15504 SPICE – ISO 27001 – ISO 22301 gibi standartlara uym kapasımda yapılacak testlerde kurum ihtiyacınıza özel olarak test içerikleri revize edilmektedir. Her standart kanun yâda mevzuatı karışlayacak şekilde test yapılmaktadır.
Zaman Planlaması
Sızma Testi zaman planı müşteri ile belirlenir. Özellikle durdurma testleri yapılacak sistemler için ( DDos ) mutlaka sistem yedeklilikleri ve kesintiler de dikkate alınarak uzman ekibimizce müdahale edilebilecek durumda test hizmeti sağlanmaktadır.
Doğrulama Testi
Yapılan penetrasyon testinden sonra bulunan açıklık ve zafiyetler kapatıldıktan sonra sadece açıklık ve zafiyetleri tekrar taranması işlemidir.
Test Raporu
Internet Üzerinden Güvenlik Denetim Hizmeti ( Dışa Bacak IP Adreslerinin Tamamı ) Web Uygulamalarına Yönelik Güvenlik Denetim Hizmeti (Dış Kaynaklı web ve Uygulama Sunucularının Testi ) Yapılan denetimler sonucu tespit edilen açıklar ile ilgili iki adet rapor hazırlanır. Rapor testi yapan uzmanımız tarafından yazılmaktadır.
Rapor, iki temel kısımdan oluşacaktır:
1. Yönetici Özeti 2. Detaylı Sızma Testi Sonuçları Raporun “Yönetici Özeti” kısmında aşağıda yer alan detaylara yer verilecektir: • Yapılan çalışmanın amaç ve kapsamı • Çalışmada kullanılan yöntem • Denetimi yapılan sistemlere ait bilgiler • Denetim sonucu ortaya çıkan istatistiksel bilgiler • Denetim sonucu belirlenen kritik açıkların listesi • Bulunan açıkların ve genel olarak sistemin risk değerlendirmesi
Raporun “Detaylı Sızma Testi Sonuçları” kısmında ise aşağıda yer alan detaylara yer verilecektir:
• Çalışma yapılan sistemlerde açık olan servisler listesi • Bulunan tüm açıkların listesi • Açık detayları • Açık nasıl kapatılacağı ile ilgili kapatma önerilerimiz.
Sızma Testleri Hizmet Yaklaşımı ve Metodolojisi
Sızma/Zafiyet testleri çeşitli ana bileşenler ve bunları oluşturan alt bileşenler çerçevesinde gerçekleştirilmektedir. Bu hiyerarşik yapı, müşterinin sadece istediği bileşenleri net olarak seçebilmesine olanak vermekte ve çözümün karmaşıklığı ve maliyetini azaltmaya yardımcı olmaktadır. Bu bölümde yer alan test yöntemlerinden, müşteri talepleri doğrultusunda oluşturulan “Hizmet Kapsamına uygun olanlar seçilmektedir. Test süreci interaktif olup ilk aşamalarda tespit edilmeyen ağ ve cihazların ilerleyen adımlarda keşfine ve yeni testler gerçekleştirilmesine olanak sağlamaktadır.
Firmamız tarafından yapılan tipik bir güvenlik denetimi aşağıdaki aşamaları içermektedir:
1. Keşif – Bu adımda genele açık kaynaklar kullanılarak müşteriyle ilgili mümkün olduğunca bilgi edinilmesi hedeflenir. Farklı web arama motorları ve müşterinin web sitelerindeki bilgiler kullanılır. Bunun yanı sıra DNS sorgularından ve duruma göre diğer bilgi kaynaklarından faydalanılır. 2. Planlama – Bu aşamada, bir önceki aşamada keşfedilen bilgiler doğrultusunda taramalarda kullanılacak yöntem ve araçlar belirlenir. 3. Tarama – Bu aşamada farklı tarama araçları kullanılarak işletim sistemleri, protokoller, port’lar ve uygulamalar keşfedilir. Keşfedilen işletim sistemleri ve uygulamalar doğrultusunda, farklı diğer port, zafiyet ve uygulama tarayıcıları devreye sokularak ortamın daha net anlaşılması sağlanır. Bu aşamanın sonucunda hedef, uygulamaların ve tüm ağ cihazlarının versiyon ve konfigürasyonlarının detaylı ve net olarak anlaşılmasıdır. 4. Raporlama – Son aşamada yapılan çalışmalar detaylı bir şekilde dokümante edilir.
Test Parametreleri
ARYOM, test esnasında hiçbir zaman dosya ve veri silme işlemi gerçekleştirmez. Web sayfaları üzerinde hiçbir değişiklik yapmaz. Testler esnasında kimi zaman gerekli ve/veya olası olduğunda kullanıcı hesapları eklenmesi genel olarak kabul gören bir uygulama olmakla birlikte hiçbir kullanıcı hesabı silinmez. Testler esnasında bu şekilde hesap eklenmesi durumu olduğunda, müşterinin test sonrası bunları silebilmesi amacıyla raporda dokümante edilir. Yüksek riskli açıklar söz konusu olduğunda, sistemin işlevinin bozulması ihtimalini düşürmek amacıyla, çoğu zaman ekran görüntüleri alınmak suretiyle dokümante edilir.