Sızma Testi

Bilgi sistemlerini oluşturan unsurlar karmaşık yapıların ortaya çıkmasını sağladığı gibi kendileri de karmaşık yapılara sahip olabilme potansiyeline sahiptir. Diğer bir anlatımla herhangi bir konuda kullanılan sunucular, bilgisayarlar, web sistemleri, güvenlik kameraları, pos cihazları, kasa sistemleri, mobil cihazlar, kablosuz iletişim ağları, yerel ağlar, harici ağlar ve benzeri olmak üzere genişleyebilir bir yapısal özelliğe sahip bilgi sistemlerini oluştururlar. Kişisel bilgisayarlar ya da iş amaçlı kullanılan bilgisayarlar ve sunucular gibi tüm bu unsurları bir araya getiren yerel ağlar, her organizasyonun mutlaka kullanmak zorunda olduğu bir teknolojik altyapı haline gelmiş durumdadır. Bilgi sistemlerinin yerel ağ, mobil ağ ve harici ağlar olmak üzere üç yönlü olarak ağ kullanımına başvurması, klasik bir bilgi sisteminin günümüzdeki performansını oluşturur. Yerel ağlar ve yerel ağların güvenliği, tüm organizasyonlar için diğer ağlarla birlikte çok önemli bir konuma sahiptir. Yerel ağ güvenliği, işletmenin sahip olduğu tüm finansal ve kişisel verilerin depolanması ve işlenmesi amacına hizmet eden yapısıyla, tüm bu verilerin en yüksek seviyede korunmasını da zorunlu hale getirir. Bu güvenliğin sağlanabilmesi için gerekli fiziki altyapının tamamlanmasının yanında, bilgi sistemlerini oluşturan tüm unsurların sahip oldukları teknolojinin de sürekli gelişmeye devam ediyor olması, olası güvenlik açıklarının sürekli ortaya çıkması ve artması sonucunu da oluşturur. Yerel Ağ Sızma Testleri Yerel ağ güvenliğinin sağlanması için, farklı bilgi sistemi yapılarına göre profesyonel bir inşa yöntemine başvurulmalıdır. Organizasyonların farklı yapılara, farklı hedeflere ve buna paralel bir biçimde tercih ettikleri bilgi ve yönetim sistemleri kullanmalarına neden olur. Bu çerçevede kurulacak bilgi sistemi ve onu oluşturan fiziki ve sanal unsurların da özenle ve doğru bir şekilde seçilmesi gereklidir. Bu sebeple oluşturulacak bilgi sisteminin hangi özelliklere sahip olması gerektiği konusunda uzmanlarımızın danışmanlığına başvurmanız, sisteminizin verimi ve ileride karşılaşılabilecek sorunların önceden çözümlenmesi açılarından büyük bir önem taşır. Ancak bir bilgi sisteminin altyapısal özelliklerinin kurulduğu andaki kabiliyeti en yüksek seviyede olsa bile, kısa süre içerisinde değişen yazılım ve teknolojik seviyesinin gerisine düşmesi kaçınılmaz bir durumdur. Bu sebeple bilgi sisteminin sürekli bir şekilde denetlenmesi ve olası güvenlik açıklarının gerekli güncellemeler yoluyla giderilmesi, buna yönelik bir kontrol ve yönetim sistemi standardı oluşturulması da büyük bir önem taşır. Yerel ağ güvenliği, bu çerçeve içerisinde en önemli güvenlik temelini oluşturan unsurdur. Sunucuların ve kişisel bilgisayarların organizasyonların hedefleri doğrultusunda yürüttüğü faaliyetler sırasında sahip olması gereken çeşitli erişim izinleri bulunur. Bu durum aynı zamanda geriye düşmüş bir yazılım ya da fiziki unsur olasılığının, güvenlik zafiyeti haline dönüşmesi riskini sürekli olarak taşır. En basit bir yerel ağ yapılanmasında bile sürekli olarak değişen güvenlik zafiyetleri bulunması, daha karmaşık ve geniş yapıya sahip bilgi sistemlerinde, çok daha büyük güvenlik zafiyetleri anlamına gelir. Yerel ağ güvenliği uzmanlarımız, ağa bağlı bulunan unsurların olası tehditlere karşı ne kadar güvenilir yanıt verebildiğini belirleme, ağın var olan ve olasılık halindeki güvenlik açıklarının tespiti, bu açıkların risk önceliğinin yapılması, eksiklerin giderilmesi için gerekli olan risk önceliğinin oluşturulmasını sağlayan bir rapora ulaşmanızı sağlar. Bu hedef kapsamında olası tehditlerin senaryolaştırılmasıyla gerçekleştirilen yerel ağ sızma testi, yerel ağ güvenliği uzmanlarımızın bilgi birikimleri ve deneyimleri doğrultusunda hazırlanmış senaryo ve yöntemlere sahiptir. Profesyonel yaklaşım ve uluslararası standartlara göre hazırlanan bu yöntem ve senaryo uygulamaları esnasında, kullanılan yazılımlar titizlikle seçilir. Organizasyonun büyüklüğü, bilgi sistemi yapısı, fiziki donanımların kapsamı gibi çeşitli değişkenlere bağlı olarak, uzmanlarımız tarafından gerçekleştirilen sızma testleri, farklı yöntemler ve senaryolarla uygulanmaktadır. Yerel Ağ Sızma Testi İle Güvenlik Açıklarınızı Keşfedin! İş dünyası, ekonomik sistem, kişisel yaşam gibi her alanda teknolojinin kullanım seviyesinde yaşanan artış, insanlık tarihinin en üst seviyesine ulaşmış durumda. Her gün artan bir gelişme hızına paralel olarak, iş dünyası içerisinde kullanılan teknolojik unsurların sayısı ve bunların küresel bağlantıya sahip olmaları kaçınılmaz bir haldedir. Bunun yanında tüm bu unsurları kullanan çalışanların teknoloji ve yazılım alanında ki bilgi birikimleri de diğer bir önemli faktör olarak öne çıkar. Yerel ağ güvenliğini oluşturan bu geniş kombinasyon çeşitliliği, olası güvenlik zafiyetlerinin de çeşitlilik kazanmasına ve hatta sürekli olarak artmasına yol açar. Oluşan bu karmaşanın önüne geçebilmekse, ancak planlı dönemlerde ve sürekli olarak gerçekleştirilen penetrasyon testi raporlarına bağlı olarak çözüme kavuşturulabilir. Yerel ağ güvenliği, tüm bilgi sisteminin temel unsuru olması dolayısıyla da büyük bir öneme sahiptir. Her ağın farklı işlevleri ve önemi bulunuyor olsa da yerel ağ, içlerinde en önemli altyapı olarak öne çıkar. Faaliyet gösterilen alana dair her türlü verinin depolanması ve saklanması işleviyle, bu bilgilerin güvenliğinin sağlanması konusu da önem kazanır. Yerel ağ güvenliğinin sürekli güncel olması ve olası tehditlere karşı tepki verebilme yeteneğine sahip olması sağlanmalıdır. Zamanında gerçekleştirilen sızma testinin sonuçları ve iş sürekliliği açısından etkileri, bu konuda deneyimi olmayan kişiler için anlaşılmaz ya da önemi tam anlaşılamayan bir konudur. Olası güvenlik zafiyetlerinin tüm bilgi sistemleri için oluşturduğu riskin büyüklüğü ve ne kapsama ulaşabileceğiyse mutlaka öngörülebilir olmak zorundadır. Gerçekleştirdiğimiz sızma testlerinin tamamının organizasyonun değişkenlerine göre belirlenen özelliklerde olması, alansal ihtiyaçlara yönelik çözümlerin geliştirilmesinde çok önemli bir katkı payı oluşturuyor. Yazılım uzmanlarımızın sahip olduğu bilgi birikimleri, aynı zamanda uzun çalışma saatlerine uzanan geniş çerçeveye ait bir tecrübeyle de destekleniyor. Sektörel farklılıklardan kaynaklı ihtiyaçlara en cazip ve doğru çözümleri sunabilme yeteneğimiz, iş dünyasında karlılığınızı ve rekabet şansınızı da arttıran bir geri dönüşüm oluşturuyor. Yerel ağ güvenliği uzmanlarımız tarafından hazırlanan senaryolar ve bu senaryoların uygulanması sırasında başvurulan tekniklerle birlikte yazılımlar, titiz bir deneyim süreci içerisinde oluşturulmuştur. Bunun yanında, uluslararası standartlar ve yasal zorunluluklarda yöntem, teknik ve yazılımlarımız konusunda en elverişli kombinasyonun oluşturulmasını sağlar. Yasal açıdan gerekliliklere sahip olan bilgi sistemlerinin, bu gereklilikleri yerine getirmesi zorunludur. Bu çerçevede karşılaşılabilecek çeşitli yaptırımların önüne geçebilmek için, kurulan bilgi sistemlerinin profesyonel kişiler tarafından gerçekleştirilmesi, buna bağlı yerel ağın da güvenliğinin sağlanması gereklidir. Yerel ağ güvenliği uzmanlarımız tarafından sunulan güvenlik hizmetleri geniş kapsamlı bir şekilde sunulur. Bilgi sistemini oluşturan tüm fiziki ve sanal unsurların kapsam dahilinde tutulduğu hizmetlerimiz, aynı zamanda bu sistemlerin doğru ve verimli bir şekilde kurulması sırasında sunulan danışmanlığımızla da desteklenir. Bu sayede her organizasyonun kullandığı bilgi sistemlerinin, uzmanlığımız kılavuzluğunda verimli, güvenli ve işlevsel olması sağlanır. Yerel ağ güvenliğinin sahip olduğu büyük önem, onun güvenlik zafiyetleri oluşturmasına engel olmak için metodik bir yaklaşım ve yönetim sistemine de sahip olmamızı zorunlu hale getirir. Yerel ağ üzerinde gerçekleştirilen güvenlik testleri, kapsam dahilinde istenen sunucu ve sistemlerin, kurum içerisinden denetlenmesi çalışmalarını kapsayan bir test türüdür. Yapılan test esnasında bilinen güvenlik zafiyetlerinin taranması, servis ve uygulama tipine göre güvenlik taramaları, sistem yapılandırma kontrolleri gibi testler yapılmakta ve analiz edilerek, bulgu ve çözüm önerilerinin detaylı bir şekilde raporlanmasını içeren güvenlik test hizmeti sunulmaktadır. Güvenlik açıklıklarının keşfedilmesi, Tespit edilen zafiyetlerin istismarının gerçekleştirilmesi, Zafiyetlerin analiz edilerek risk ölçeklenmesinin yapılması, Yerel ağ testleri, ağ düzeyinde kesinti ve hizmetlerin kullanılabilirliği üzerinde doğrudan bir etkiye sahip olabileceğinden, tüm iş operasyonlarının çalışır durumda olmasını sağlar. Yerel ağ sızma testleri, PCI, ISO 27001, HIPAA, FISMA gibi endüstri standartları ve yönetmelikleri tarafında sizlere yardımcı olur. Test gerçekleştirildikten sonraki süreçte her bir zafiyet için detaylı açıklama, kurum/uygulama bazında öneriler içeren ayrıntılı rapor sunuyoruz.

Belirlenen kapsam sonucunda beyaz kutu, gri kutu veya siyah kutu yöntemleri ile kurum/kuruluşların internete açık, dışarıdan erişilebilen varlıklarına uluslararası standartlara uygun bir şekilde yapılan güvenlik testidir.

Bu test hizmetinin sunulduğu kurum, kuruluş veya firmanın internet üzerinden ulaşılabilen bilgi sistemlerinin;

Güvenlik zafiyetleri ve mantık hatalarının belirlenmesi,

Tespit edilen zafiyetleri istismar etmeye çalışılması,

Zafiyetlerin analiz edilerek risk ölçeklenmesinin yapılması,

Tespit edilen her bir bulgu için temel nedeninin açıklanması firmaya/uygulamaya özel iyileştirme önerileri içerecek şekilde sonuçların raporlanması,

Otomatize araçlar (açık kaynak, ticari) tabanlı testler birlikte manuel testlere ciddi vakit ayrılması.

Kablosuz iletişim teknolojilerinde en önemli paya sahip olan Wi-Fi, radyo dalgalarının kullanılması yoluyla belirli mesafelerde bulunan çeşitli bilgisayarların birbirleri ile kablosuz iletişim kurabilmesini sağlar. Bu avantajı nedeniyle de süratli bir şekilde yaygınlaşan ve bu amaca dayalı teknolojilerinde son derece süratli bir şekilde geliştiği bir alan oluşturmuştur. Günümüzde Bilgi sistemlerini oluşturan alt yapılarında, çeşitli sayılarda bulunan kablosuz unsurlar, her açıdan yaşamlarımızı kolaylaştırmaya yöneliktir. Ancak kablosuz ağlarının sunduğu bunca avantajın yanında, aynı zamanda oluşturduğu güvenlik riskleri de bulunur. Kötü niyetli herhangi bir kişinin, fiziksel olarak çaba göstermek zorunda kalmadan, kablosuz ağlarda bulunan yazılım açıklarını kullanması, yazılım açığı bulunan kablosuz ağlara çeşitli güvenlik zafiyetlerinin olması, Kablosuz ağ güvenliği konusunda çok titiz bir yönetim anlayışına sahip olunmasını zorunlu hale getirir.

Kablosuz ağ sistemleri, belirli mesafelerde bulunan ve ağa dahil olması prensibine dayalı bir şekilde çalışır. Bununla birlikte yetkisi olmayan ancak menzil içerisinde bulunan diğer bilgisayarlarda, kablosuz ağları görebilir. Bu durum yetkisiz kişilerin bu ağda bulunan güvenlik açıklarını kullanarak, ağa bağlı olan tüm unsurlara yetkisiz bir şekilde erişebilmesine olanak tanıyan sorunlara neden olabilmektedir. Genellikle kablosuz ağlar, herhangi bir bilgi sistemine sızmak için ilk önce başvurulan yöntem olarak öne çıkar. Bunun ana nedeni, herhangi bir fiziksel uğraşı gösterilmeden kablosuz ağlara ulaşabilmektir. Bu sebepler Kablosuz Ağ Güvenliği konusunda, bilişim dünyasının en önemli konularından biri olmasına neden olur. Kablosuz ağların güvenliğinin sağlanmasına yönelik, donanım üreticileriyle birlikte, yazılım üreticileri çok büyük mesailer ve ekonomik değerler harcıyorlar.

Buna karşı yerinde durması olanaksız hale gelmiş olan teknolojik ilerleme, gerçekleştirilen her yeniliğin kısa süre içerisinde geride kalmasına neden olan bir dinamizm oluşturuyor. Oluşan dinamizm, geliştirilen donanımların ve buna paralel yazılımların güvenlik yeteneklerinin hızla geride kalma potansiyeline sahip olması sorununu da beraberinde getiriyor. Bu sebeple kötü niyetli kişilerin hedeflerine erişebilmeleri için, ilk önce tercih ettikleri bölüm, kablosuz ağlar olarak öne çıkıyor. Kablosuz ağ güvenliği konusu, bu sebepler kablosuz iletişim ağlarını kullanan donanımlara sahip herkes için önemli bir konu haline dönüşüyor.

İşletmeler ve benzeri organizasyonların kullandığı kablosuz ağlarda, veri koruma ve diğer olası sorunların engellenebilmesi açısından kritik öneme sahip bir konudur. Yaşamsal öneme sahip bir tesisin kullandığı bilgi sistemine kablosuz ağlar üzerinden yetkisiz bir erişim sağlamak her zaman mümkündür. Bu konuda sürekli geliştirilen çeşitli teknikler ve yazılımlar bulunuyor. Buna karşın olası güvenlik zafiyetlerinin engellenmesine yönelik yazılım ve donanım geliştirmeleri de yine süratle ilerleyen bir dinamiğe sahiptir. Her şekilde kablosuz ağların güvenliğinin sağlanması için verilecek çaba bir seferliğe mahsus bir durum olmaktan çok uzaktır. En son yeniliklere sahip bir şekilde kurulmuş bir kablosuz ağın, yetkisiz erişimlere karşı oluşturduğu güvenliğin sürekli bir şekilde denetlenmesi ve olası güvenlik zafiyetlerinin belirlenmesi gereklidir. Bunun için özel bir yönetim sistemi oluşturularak, gerekli otokontrolünde sağlanması büyük bir önem taşır.

Kablosuz ağ güvenliği alanında sunduğumuz hizmetlerimiz, alanında seçkin ve deneyimli uzmanlarımız tarafından özel bir alt yapıyla gerçekleştirilir. Farklı kombinasyonlardan ve çok karmaşık uzak yönetim sistemlerine ulaşabilen alt yapılara sahip bilgi sistemlerine uzanan bir yol bulunuyor. Bu durum aynı zamanda bu yapısal kargaşanın gerekli sızma testlerinin ve güvenlik zafiyetlerinin belirlenmesi konusunda da yöntemsel ve taktiksel çalışmaların sürekli gerçekleştirilmesini zorunlu hale getirir. Bu alanda sunulan hizmetlerimiz sırasında edindiğimiz çok geniş bir bilgi birikimi ve bu birikime dayalı olarak oluşan tecrübelerimiz bulunuyor. Bu avantajımız, uzmanlarımızın her kablosuz ağın kendisine özgü koşulları içerisinde değerlendirilmesi gerekli olan çeşitli özelliklerinin de sızma testi kapsamında değerlendirilmesi avantajı oluşturuyor.

Kablosuz ağ sızma testi nasıl yapılır?

Kablosuz ağ sızma testi, kablosuz ağlarda yer alan olası güvenlik zafiyetlerinin belirlenmesi, bu açıkların güncellemeler yoluyla ya da ilave donanımlar yoluyla çözümlenmesi, olası güvenlik sorunlarının önceden belirlenerek çözümlenmesi avantajlarını ortaya koyar. Bu sonuçlar aynı zamanda bilgi sisteminin güvenliğinin de artmasına yol açar. Planlı ve sürekli bir şekilde bilgi sisteminin güvenliğinin korunmasına sağladığı destek nedeniyle Kablosuz ağ güvenliği konusunda mutlaka profesyonel bir yardım alınması zorunlu hale gelir.

Özellikle karmaşık ve büyük yapılara sahip olan bilgi sistemlerinde, kablosuz ağ güvenliği konusunda yapılan alt yapısal yatırımlar ve sürekli kontrol mekanizması, çeşitli yasalarla da zorunlu hale getirilmiştir. Bu kapsamda kablosuz ağ güvenliği konusunda yapılan yatırımların yanı sıra, ağın güvenliğinin sürekli korunması için gerekli stratejik ve profesyonel yardımlara başvurulmalıdır.

Kablosuz ağ güvenliği sızma testi için gerçekleştirilen ilk iş, ağın kapsamının belirlenmesi yani keşif yapılmasıdır. Bu yöntemi kullanarak yapılan keşif sonucunda, ilgili kablosuz ağın uzaktan erişimle nasıl bir güvenlik yeteneğine sahip olduğu ölçülür. Kullanılan yazılımlar aracılığıyla olası güvenlik açıklarını kullanarak gerçekleştirilecek bir sızma sonrası istismar aşaması, kablosuz ağ güvenliği sızma testi aşamalarını oluşturur.

Ardından gerçekleştirilen istismara bağlı olarak belirlenmiş tüm güvenlik açıklarının ve ileride sorun oluşturma olasılığı bulunan güvenlik zafiyetlerinin tamının risk analizinin ölçeklendirildiği raporlama gerçekleştirilir. Aynı zamanda bazı iyileştirmelerin yapılması sağlanarak, ağın güvenliğinin arttırılması da kablosuz ağ güvenliği hizmetlerimiz arasında yer alan bir hizmettir. Hazırlanan rapor olası ve var olan güvenlik sorunlarının analizini içeren, çözümü için gerekli yol haritasının oluşturulması için önerilerin bulunduğu bir raporlama stiline sahiptir.

Kablosuz ağların, tüm bilgi sistemleri içerisinde kullanım ve sağladığı avantajlarının payının artmasına paralel olarak, güvenlik zafiyeti oluşturabilme riskleri de sürekli bir şekilde artış gösterir. Bu sorun ancak periyodik ve bir kontrol yönetiminin sağlanmasıyla çözüme kavuşturulabilen önemli bir konudur. Ağ güvenliği, bilgi sistemleri açısından ciddi emek, zaman ve maliyetin harcandığı alan olarak öne çıkar. Oluşturduğu kolaylıklar ve avantajlar kadar, istismar edilebilme riskleri de artan ağlar arasında kablosuz ağlar yüksek istismar olasılığına sahip ağ sistemleridir.

Kablosuz ağ güvenliği uzmanlarımız, ağın yapısına göre belirlediği çeşitli yöntemler ve teknikler kullanarak gerçekleştirdikleri sızma testlerinin, ağın tüm özelliklerine göre yapılan değerlendirmelere bağlı olarak belirler. Edinilen deneyimin de katkısıyla oluşan geniş bilgi birikimine sahip uzmanlarımızın, kablosuz ağların kendi özelliklerine göre belirlediği yöntemler ve tekniklerle sızma testlerini gerçekleştiriyorlar. Kablosuz ağların güvenliği ile ilgili var olan yasal zorunluluklar ve buna paralel yaptırımlardan kaçınabilmek için, ulusal ve uluslararası güvenlik standartlarının mutlaka erişilmesi gereken bir yapı olduğu unutulmamalıdır. Tüm organizasyonların bilgi sistemlerinin tamamıyla birlikte, kablosuz ağlarının güvenliğini en üst düzeyde sağlamaları ve bu güvenliğin sürekliliğinin sağlanması için yönetimsel bir anlayış sahibi olmaları günümüzün kaçınılmaz gerekleri arasında yer alıyor. Bilgi sistemlerinin güvenliğinin sürdürülebilirliğinin sağlanması aynı zamanda iş sürekliliğinin ve veriminin sağlanması sonucuna ulaşılmasını da sağlayacak bir öneme sahiptir.

Güvenlik zafiyetleri ve mantık hatalarının belirlenmesi,

Tespit edilen zafiyetleri istismar etmeye çalışılması,

Zafiyetlerin analiz edilerek risk ölçeklenmesinin yapılması,

Tespit edilen her bir bulgu için temel nedeninin açıklanması firmaya/uygulamaya özel iyileştirme önerileri içerecek şekilde sonuçların raporlanması,

Otomatize araçlar (açık kaynak, ticari) tabanlı testler birlikte manuel testlere ciddi vakit ayrılması.

SCADA ‘’Supervisory Control And Data Acquisition’’ kelimelerinin baş harflerinden oluşan bir kısaltmadır. Türkçe Merkezi Denetleme Kontrol ve Veri Toplama sistemi olarak çevirebiliriz. SCADA, tesisleri ve endüstriyel sistemleri kontrol etmek ve izlemek için kullanılan bir elektronik sistemdir.

Firmalar karmaşık endüstriyel süreçleri otomatikleştirmek, oluşabilecek sorunları hızlı bir şekilde tespit etmek veya düzeltmek için geliştirilen SCADA sistemleri güvenlik ve siber tehditlere karşı korunma gibi kritik işlevler göz önünde bulundurulmadan tasarlanmışlardır. Bu nedenle bu sistemler genel olarak açıklık barındıran sistemlerdir.

Endüstriyel Kontrol Sistemi’ne (EKS) yapılan sızma testi çalışması ile standart bir kurumsal ortamda gerçekleştirilen sızma testi arasında önemli farklılıklar vardır. Standart IT sistemlerinde kullanılan çeşitli araçlar bu sistemlerde kullanılmamalı veya dikkatli olunmalıdır. Ciddi tehlikelere (servisin çökmesi, yanıt alınamaması, prosesin durması vb.) sebep olabilir.

Kurumsal ortamlarda yapılan sızma testlerinde kullanılan güvenlik araçları EKS sistemlerinde kullanıldığında arızalanmasına veya tamamen durmasına sebep olabilir. Bu sebepler kurumsal yetkililer ve danışmanlar bir üretim sisteminde test gerçekleştirmenin potansiyel etkilerini göz önünde bulundurarak mümkün olduğunca hassas ve dikkatli yaklaşılmaldır.

Güvenlik Testleri:

Güvenlik zafiyetleri ve mantık hatalarının belirlenmesi,

Tespit edilen zafiyetleri istismar etmeye çalışılması,

Zafiyetlerin analiz edilerek risk ölçeklenmesinin yapılması,

Tespit edilen her bir bulgu için temel nedeninin açıklanması firmaya/uygulamaya özel iyileştirme önerileri içerecek şekilde sonuçların raporlanması,

Otomatize araçlar (açık kaynak, ticari) tabanlı testler birlikte manuel testlere ciddi vakit ayrılması.

Mobil iletişim teknolojileri ve kablosuz iletişim alt yapılarının, bilgi sistemleri alanında görmeye alıştığımız benzersiz bir süratle yaşamlarımıza dahil oldular. Sundukları avantajlar nedeniyle kısa süre içerisinde de vazgeçilmez bir hale dönüştüler. Mobil iletişim cihazlarının kullanımda oynadığı rolün yüzdesinin giderek daha fazla artıyor olması, işletmeler açısından hem yönetimsel hem de müşterilere bu alanda da sunulması gereken hizmetler bakımından önem taşıyor. Mobil cihazların bu denli, büyük ilgi görmesi, ilgili uygulamaların sayısının da çok büyük bir süratle artmasına yol açıyor. Tüm bu durum değişiklikleri ve güncellemeler, sürekli artan ve değişen bir büyük güvenlik sorununu da beraberinde getiriyor. Uygulamalar yoluyla finans, iş uygulamaları ve e-devlet sistemlerine kadar çok geniş bir yelpazede kullanım olanağına sahip olan mobil cihazların, güvenliğinin üst düzeyde sağlanması büyük bir öneme sahiptir. Hatta bağlı oldukları bilgi sistemleri nedeniyle, tüm sistem açısından da zararlar oluşturabilme potansiyelleri de bulunan mobil cihazların, güvenliklerinin sürekli kontrol altında tutulması gereklidir. Mobil Uygulama Güvenliği alanında sunduğumuz çeşitli hizmetlerden biri olan mobil uygulama sızma testi, kod incelemesi, uygulama mimarisi analizi, güvenlik açıkları için gerekli güncellemeler gibi tüm mobil cihaz güvenliğini kapsayacak şekilde oluşturulmuştur.

İşyerlerinin kullandığı bilgi sistemlerinin, çalışanlara hareketli bu sistemleri hareketli kullanım olanağı sunan mobil cihazların sayısı sürekli bir şekilde artmaya devam ediyor. Bu durum aynı zamanda tüm bilgi sistemlerinin güvenliği konusunda, mobil cihazların öneminin artmasına da yol açıyor. Aynı zamanda hem mobil cihaz kullanıcısı ve kullanılan iş yeri bilgi sistemleri, sürekli artan potansiyel bir güvenlik tehdidi oluşturuyor. Bu nedenle mobil cihazlarının güvenliğinin en güncel yöntemlerle sağlanması, olası ve sürekli güncellenen güvenlik açıklarının dönemsel bir şekilde tespit edilmesi zorunlu hale geliyor. Özellikle uygulamalar konusunda kullanılan yazılım alt yapılarının olağanüstü bir hızla gelişiyor olması, buna paralel mobil iletişim cihazlarının teknolojilerinin de çok yüksek bir hızla gelişmesini tetikliyor. Her iki durumun oluşturduğu dinamizm, cihazların güvenlik konusunda sürekli bir şekilde ve çok çeşitli tehditler altında olmalarına neden oluyor. Mobil cihazların güvenli bir şekilde iş ya da özel yaşam için kullanılabilmesi için, profesyonel yöntemler ve teknikler kullanılarak gerçekleştirilen penetrasyon testleri, var olan ve olası tüm güvenlik açıklarının önceden belirlenmesi ve çözümü için gerekli yol haritasının süratli bir şekilde çıkarılmasını sağlıyor. Dolayısıyla yine hızlı bir şekilde gerekli güncelleme ve yamaların yapılması sağlanabiliyor.

Mobil cihazların kullanımın yaygınlaşması, uygulamaların sunduğu avantajların boyutlarının yükselmesiyle doğru orantılı bir gelişim çizgisine sahiptir. Uygulamalar her alanda sunduğu çeşitli avantajlarla yaşam standartlarımız yükseliyor. Uygulamaların geliştirilmesinde kullanılan mimaride gerçekleşen ve çok süratli ilerleyen gelişmeler, aynı zamanda uygulamalarında potansiyel bir güvenlik açığı oluşturmalarına sebep oluyor. Bu durumun tespitinin yapılması ve gerekli önlemlerin alınması ise, sadece mobil uygulama sızma testleri aracılığıyla gerçekleşebiliyor. Mobil uygulama güvenliği uzmanları tarafından çeşitli senaryo ve yöntemlerle gerçekleştirilen sızma testleri, uygulamaların sahip oldukları güvenlik açıklarının belirlenmesinin yanında, olası zafiyetlerinde belirlenmesini, bu açıkların önceliklendirilmesi ve çözümleri için gerekli yol haritasının önceliklendirilmiş bir şekilde hazırlanması sürecini kapsıyor.

Mobil Uygulama Güvenlik Testi

Mobil cihazların farklı teknolojik özelliklere ve geliştirme mimarisine sahip olmaları, aynı zamanda değişken potansiyel güvenlik risklerine de sahip olmalarına neden oluyor. İş amaçlı kullanımın sunduğu avantajlar nedeniyle mobil cihazların organizasyonlarda kullanım oranının artık vazgeçilmez hale gelmesi, tüm bilgi sistemlerinin de güvenlik tehdidi altında olmasına sebep oluyor. Uygulamaların işlev görebilmesi için ihtiyaç duyduğu çeşitli verilerin depolanması ihtiyacı, aynı zamanda bu verilerin yüksek güvenlikle saklanması zorunluluğunu da oluşturur. Bunun yanında uygulamaların işlevsel bir şekilde hizmet sunabilmesi için ihtiyaç bulunan çeşitli izinlerin, mobil cihazların fonksiyonlarına uygulamalar tarafından gerçekleşen erişimlerinde güvenlik açıkları taşıması riskini ortaya çıkarır. IOS ve Android işletim sistemlerine sahip olan mobil cihazların farklı platformlar olmaları, aynı zamanda tüm olası güvenlik risklerinin de farklılaşmasına neden olur. Mobil Uygulama Güvenliği uzmanlarımız, tüm bu farklılıkların göz önüne alındığı bir yaklaşım sergileyerek sızma testlerini gerçekleştirme yeteneğine sahiptir.

Mobil cihazların web bağlantılarının farklı platformlar ile ilişkilendirilmiş yapısı, aynı zamanda bu alanda da potansiyel güvenlik zafiyetleri oluşturma olasılığına sahip olmalarına neden olur. Uygulamalar mobil cihazlarda en yüksek güvenlik riski potansiyeli oluşturan unsurlar olarak öne çıksa da, bir mobil cihazda potansiyel güvenlik sorunu oluşturabilme yetisine sahip tek unsur değildir. Web bağlantıları, bu konuda en önemli unsur olarak öne çıkar. Bunun yanında mobil cihazların sahip olduğu teknolojilerde, güvenlik açısından önemli bir paya sahiptir. Bu sebeplerle Mobil Uygulama Güvenliği alanında yapılacak çalışmalarında, kapsamlı ve profesyonel bir bakış açısına sahip olması zorunludur. Özellikle iş amaçlı kullanılan mobil cihazların sahip olduğu yerel veri depolaması, çeşitli bilgi sistemlerine erişim yetenekleri, çok geniş kapsamda zararlara neden olabilecek güvenlik risklerinin oluşabilmesine neden olabiliyor.

Olası tüm zafiyetlerin bu nedenle periyodik bir biçimde denetlenmesi büyük bir öneme sahiptir. Hızla gelişen teknolojiler ve yazılım teknolojileri, sürekli güncellenen dinamik bir yapının ortaya çıkmasını sağlıyor. Bu durum güvenlik açıklarının da mobil cihazlarda sürekli önem verilmesi gereken bir konu haline dönüşmesini zorunlu hale getiriyor. Mobil Uygulama Güvenliği uzmanlarımızın geniş bir kapsama sahip şekilde ele aldığı Mobil Uygulama Güvenliği, çeşitli alt başlıklara sahip olacak şekilde ve ihtiyaca göre planlanabilen bir özellikle sunulan bir hizmete dönüşüyor. Mobil cihazların yaşamlarımızda sahip oldukları rollerin ve önemlerinin son derece süratli bir şekilde artmaya devam ediyor olması, mobil uygulama güvenliği konusunun da öneminin süratle artmasına yol açıyor.

İşletmelerin entegre unsurlar olarak bilgi sistemlerine ilave ettiği mobil cihazların, hem lokal ve hem de geniş ölçekte güvenlik sorunları oluşturabilme potansiyelleri, bu cihazların yüksek standartlara sahip güvenlik kontrolü altında tutulmalarını gerektiriyor. Bu sayede sadece mobil cihazların değil, tüm bilgi sisteminin de güvenlik seviyesinin arttırılması avantajı oluşuyor. Mobil cihazlar ve cihazların kullandığı uygulamaların çok geniş bir perspektifte sahip olduğu potansiyel güvenlik zafiyetlerinin, sürekli değişen dinamik bir yapıda olması söz konusudur. Bu durumu kontrol altında tutabilmek ise ancak periyodik olarak gerçekleştirilebilecek sızma testleri aracılığıyla açıkların tespit edilmesine bağlıdır. Bu sayede tespiti sağlanan açıkların, risk önceliğine tabii tutularak gerekli güncellemelerin yapılması ve çözümlerinin hızla sağlanması mümkün hale gelir.

Sosyal mühendislik saldırıları kişisel banka hesaplarından, büyük şirketlerin altyapı ve veri sistemlerine kadar pek çok unsuru kapsamına alır. Bu sistemlere ilişkin alınan dijital güvenlik önlemleri ve siber saldırılara karşı savunma sistemleri sosyal mühendislik sayesinde elde edilen erişim verileri nedeniyle tamamen işlevsiz kalır. Sosyal mühendislik saldırıları pek çok farklı şekilde uygulanabilmektedir. Ağırlıklı olarak hedefte bulunan gerçek kişinin eylemleri gerçekleştirmeye ya da gizli bilgilerin ifşasını gerçekleştirmeye yönelik olarak psikolojik şekilde manipüle edilmesidir. Sosyal mühendislik saldırılarında kişiler, insanların duyguları, güvenme eğilimleri, zafiyetleri gibi noktalara yönelik manipüle edici yaklaşımlar sergiler. Kimi zaman ikna yöntemiyle kimi zamanda tamamen güvenini suiistimal ederek tuzakla arzulanan verilere/bilgilere erişilmektedir. Yaklaşım yöntemleri, oluşturduğu riskler sosyal mühendisliği günümüzde hem kişisel bilgi hem de kurumsal bilgi gizliliği ve güvenliği açısından önemli bir tehdit haline dönüştürür.

Sosyal mühendislik, günümüzde bir bilgi ve veriye erişim sağlamak maksadıyla en sık kullanılan saldırı tekniklerden birisidir. Sosyal mühendislik saldırıları, bilişim sistemleri adına bakıldığına dijital ortamda veya reelde bir sisteme veya bilgisayara yetkisiz biçimde erişim sağlayabilmek adına hassas bilgilerin açığa çıkartılması adında kullanılan saldırı tekniklerinden birisidir. Sistem, altyapı ve uygulamalar için hem fiziksel hem de yazılım odaklı oluşturulan güvenlik önlemlerine karşı siber saldırılar gerçekleştirilir. Sosyal mühendislik ise bu sistemlere yetkisiz erişimi teknik uzmanlık veya donanım gerekliliği çok düşük seviyede bu saldırıları yapabilmeyi olanak sağlamaktadır. Sosyal mühendislikte saldırılarında, insan açıklarının değerlendirilmesi, iyi niyetinin suiistimal edilmesi gibi yöntemler ile sistemlere, bilgilere erişim hedeflenmektedir.

Ana hedefte bulunan sisteme izinsiz şekilde erişimin gerçekleştirilebilmesi için bu sistemi kullanma yetkisine sahip olan kişiler sosyal mühendisler tarafından hedefe alınır. Hedefte bulunan gerçek kişiden çeşitli teknikleri kullanarak, sisteme erişim verilerinin alınması mümkündür. İnternet ortamında veya reelde insanların zafiyetlerinden yararlanarak farklı ikna, tuzak/kandırma yöntemleri ile hedefte bulunan sistem erişim bilgilerinin elde edilmeye çalışılmasıdır. Sosyal mühendislik saldırıları hedefte bulunan kişinin farkında dahi olmadan kendisinin siber saldırgana önemli ve hassas verileri vermesiyle sonuçlanmaktadır. Bu tip saldırılar günümüzde oldukça yaygın şekilde görülmektedir.

Sosyal Mühendislik Testi Nasıl Yapılır?

Sosyal mühendislikte, saldırgan tarafından bir kurgu oluşturulur. Bu kurgu doğrultusunda hedefinde bulunan kişinin ağına düşmesi için farklı yöntemleri devreye sokar. Saldırgan tarafından hedeflenen veri/bilgiye göre değişken yöntemleri kullanır. Özellikle hedefteki kişinin konumu/pozisyonu, yaşam görüşü, insan ilişkileri, hayat tarzı vb. gibi o kişinin benliğini oluşturan hususlara dair ön bilgi toplar. Daha sonra bu kişilerin zafiyetleri, korkuları, endişeleri, heyecanları gibi özel duygu durumları üzerinden açık verebileceği noktaları hedef alan kurgular düzenler. Bu kurgular üzerinden de hedefine yaklaşır. Dolayısıyla sosyal mühendislik saldırılarında sadece belirli yöntemlerin olması söz konusu değildir. Saldırının yapılış şekli ve kullanılan yöntemleri her saldırıda hedef olan kişiye göre önemli değişiklikler teşkil eder.

Sosyal mühendislik saldırılarında temel amaç hedefteki kişinin amaçlanan tuzağa çekilmesidir. Bu aşamada hedefin tuzağa nasıl düşeceği ise tamamıyla hedefle ilgili olarak belirlenmektedir. Örneğin bir şirkette muhasebe sistemlerine erişim yetkisi bulunan bir kişi için teknik destek yaklaşımı sergilenebilir. Bu kişiler için şirketin bilgi teknolojileri departmanından aradığını ve güvenlik riski ya da teknik sorun gibi olgular üzerinden şirketteki kişisel bilgilerini paylaşması sağlanabilir. Bunun dışında maillere yapılan oltalama atakları gibi kişinin sevineceği, endişe duyacağı veya merak uyandırıp edebilecek nitelikte tamamen kişisel bilgilerini çalmaya yönelik olarak hazırlanmış e-posta gönderimleri de kullanılabilmektedir. Bu tip saldırılarda hedef olan kişiler, saldırganın ulaşmayı amaçladığı güvenlik bilgilerini veya kişisel bilgilerini kendi rızasıyla verir. Bu süreçte karşı taraftaki kişinin kendisini manipüle ettiğinin dahi farkında olmadığından, bu durumun bir saldırı olduğunu anlayamaz.

Yaygın olarak kullanılan oltalama saldırıları ile aslında pek çok kişi defalarca karşı karşıya kalabiliyor. Hemen hemen hepsinde de bunun bir saldırı olduğunu dahi fark etmemektedir.  Oltalama saldırıları genel olarak e-posta kanalı üzerinden hedefteki kişinin tuzağa çekilmesiyle gerçekleştirilir. Örneğin bir banka sayfasının birebir kopyası hazırlanarak, kişinin ilgisini çekecek bir e-posta ile bu adrese girişi sağlanır. Kişi burada kişisel banka bilgilerini girerek, doğrudan sosyal mühendislik saldırısı gerçekleştiren kişiye bu bilgilerini vermiş olur. Kişisel bazdaki bu örnek farklı şekillerde şirket verilerine erişim amacıyla da kullanılmaktadır.

Sosyal Mühendislik Sızma Testleri

Günümüzde sosyal mühendislik ile kişisel veya kurumsal bilgilerin ele geçirilmesi çok sık karşılaşılan bir durum haline geldi. Öyle ki global ölçekte alınan verilere göre şirketlere yönelik yapılan siber saldırıların yaklaşık 98% gibi bir oranını sosyal mühendislik oluşturuyor. Günümüzde siber korsanlar tarafından kodlama, yazılım ve donanım gibi sistemler kullanılmadan, fazla uzmanlık gerektirmeyen bu yöntem ile siber saldırılar gerçekleştiriliyor. Tabii ki iyi bir konuşma, insanları kendine güvendirme ve insan çıkarımları konusunda kabiliyet sahibi olması bir sosyal mühendisin en temel gereklilikleridir. Sosyal mühendislik sızma testi ise günümüzde şirketler ve hatta kişiler açısından ciddi bir risk haline gelen bu saldırılara karşı güvenlik açıklarını belirlemek ve gerekli olan önlemlerin alınmasını sağlamaktadır. Özellikle sosyal mühendislik saldırılarına dair insanların/çalışanların bilgilendirilmesi ve tecrübe edinmeleri sosyal mühendislik sızma testi hizmetleri ile sağlanmaktadır.

Sosyal mühendislik sızma testi ile şirketlerin tüm çalışanlarının bu tip saldırılara karşı hazırlıklı olmaları ve karşı karşıya kalabilecekleri risklere dair bilinçlendirilmesi sağlanmaktadır. Sosyal mühendislik sızma testleri, uzman kişilerin siber sosyal mühendislerin kimliğine bürünmesiyle gerçekleştirilmektedir. Şirketin çalışma alanı, potansiyeli ve hedefte bulunan çalışanın özelliklerine göre bir kurgu oluşturularak sosyal mühendislik saldırısı gerçekleştirilir. Böylelikle hem şirketin hem de çalışanın sosyal mühendislik saldırılarına maruz kalabilecek açık ve zafiyetlerinin tespiti sağlanabilmektedir.

Şirket çalışanları için siber saldırganların uyguladığı yöntemler ile sosyal mühendislik saldırıları gerçekleştirilir. Bu sosyal mühendislik saldırıları karşısında çalışanların reaksiyonları üzerinden risk faktörlerinin tespiti sağlanmaktadır. Çalışanlara yönelik gerçekleştirilen bu saldırıların yanı sıra diğer sosyal mühendislik yöntemleri ile de sınamalar gerçekleştirilir. Bu şekilde şirketin karşı karşıya kalabileceği tüm saldırı risklerinin belirlenmesi ve bu saldırı risklerine karşı alınabilecek önlemler hususunda net bir rapor hazırlanmaktadır. Özellikle sosyal mühendislik saldırıları konusunda çalışanların, iş sahiplerinin ve diğer paydaşların daha bilinçli ve daha tecrübeli olmalarını sağlayacak eğitim programları gerçekleştirilmelidir.

Sosyal mühendislik saldırılarından korunmak için kişilerin bilinçli olması en temel olguyu oluşturur. Güvenilir kaynaklar tarafından hassas bilgilerin talep edilmeyeceği, bilinmeyen e-posta gönderilerine karşı titiz yaklaşılması, link yönlendirmelerinde adres teyitlerinin yapılması gibi çeşitli alışkanlıkların standart hale getirilmesi çok önemlidir. Bu konuda sosyal mühendislik saldırısı gerçekleştiren kişilerinde yeni yöntemler geliştirmeye devam ettiği göz ardı edilmemelidir. Bu nedenle güncel sosyal mühendislik saldırılarına karşı bilgi ve eğitim alınması da hem kişisel bilgilerin gizliliği hem de kurumsal verilerin güvenliği açısından çok önemlidir. Sosyal mühendislik sızma testi ile bu konudaki güvenlik risklerinin belirlenebilmesi mümkün olduğundan, günümüzde hem gerçek kişiler hem de tüzel kişiler açısından büyük bir önem taşımaktadır.