EN

Sızma Testi ve Güvenlik Taraması Farklılıkları


İşletmeler genellikle sızma testi ve güvenlik taramasını aynı hizmetmiş gibi karıştırır. Bunun nedeni iki işlemde de BT sistemlerinde ki zayıflıkların araştırılmasıdır. Fakat bu hizmetlerde ve hangi durumlarda bu işlemlerin yapılması gerektiği konularında farklılıkları vardır.

Test Yapılış Yöntem ve Sıklık Farklılığı (Manuel-Otomatik, Tek seferlik-Sürekli)

Sızma testi, siber güvenlik uzmanının sistemlerinize girmenin bir yolunu bulmaya çalıştığı manuel bir güvenlik değerlendirmesidir. Web uygulaması, mobil sistemler, ağ ve bulut ortamları dahil olmak üzere çeşitli sistemlerde güvenlik kontrollerini değerlendirmek için uygulamalı, derinlemesine bir testtir. Bu tür testlerin tamamlanması birkaç hafta sürmesi, karmaşıklığı ve maliyeti nedeniyle genellikle yılda bir kez yapılır.

Güvenlik açığı taraması ise otomatiktir ve doğrudan ağınıza yüklenebilen veya çevrimiçi olarak erişilebilen araçlar tarafından gerçekleştirilir. Güvenlik açığı tarayıcıları, sistemlerinizde binlerce güvenlik kontrolü çalıştırarak düzeltme önerileriyle birlikte bir güvenlik açıkları listesi oluşturur. Bu nedenle, ekibinizde tam zamanlı bir siber güvenlik uzmanı olmadan bile sürekli güvenlik kontrolleri yapmak mümkündür.

Test Yapma Periyot Farklılığı

Sızma testleri, uzun zamandır birçok kuruluşun kendilerini siber saldırılara karşı koruma stratejisinin önemli bir parçası ve belirli bir zamanda sistem zafiyetlerini bulmanın iyi bir yolu olmuştur. Ancak tek başına sızma testi, kuruluşları test süreleri arasında savunmasız bırakabilir. Örneğin:

 - Yıllık yapılan pentest aralığında -o uzun yıl boyunca- kritik bir müşteri portalını çalıştıran Apache web sunucusunda kritik bir yeni güvenlik açığı çıkmış olabilir

- Yazılım geliştirici tarafından yanlış bir güvenlik yapılandırması yapılmış olabilir

- Bir ağ mühendisi geçici olarak güvenlik duvarında bir veritabanını internete açık hale getiren bir bağlantı noktası açıp ve onu kapatmayı unutabilir

Tek Başına Yeterlilik Açısından Farklılık

Kontrol edilmediği takdirde veri ihlaline veya tehlikeye yol açabilecek birçok güvenlik sorunu olabilir. Bu gibi sorunlar sürekli izlenmeden, takip edilmeden veya bir saldırgan tarafından kullanılmadan belirlenemez ve düzeltilemez. Her gün ortalama 20 güvenlik açığı tespit edilmektedir. Bu nedenle nadiren yapılan sızma testi siber güvenlik için yeterli değildir. 7/24 izleme, yeni güvenlik zafiyetlerinden haberdar olma ve güvenlik taramaları gibi çözümlerle sızma testi desteklenmelidir. Tıpkı bir binanın fiziksel çevresini 7/24 kontrol eden güvenlik görevlileri gibi.

Kaynak: The Hacker News

Yazar: Nazlıcan Hatice TANIN /Beyaz Net Bilgi Sistemleri Denetim Uzmanı

 






İlgili İçerikler: