Menü

Güvenlik Açığı Değerlendirmesi ve Sızma Testi Farkı

  • Ana
  • Diğer
  • Güvenlik Açığı Değerlendirmesi ve Sızma Testi Farkı

vulnerability assessment

Sorunları Ortadan Kaldırmak Için Enstrümanımızı Deneyin

Sızma Testi ve Güvenlik Açığı Taraması:

Zaman zaman, test uzmanlarının ve işletme sahiplerinin sızma testi ve güvenlik açığı taramasının arkasındaki temel fikri anlamakta yanıldığını gördüm.

Her ikisi de genellikle aynı hizmetler olarak karıştırılır. İşletme sızma testi veya güvenlik açığı testine girip girmeyeceğine karar veremediğinde. Sızma testi, güvenlik açığı testiyle aynı mı yoksa farklı mı? Farklılarsa o zaman birbirleriyle ilişkili mi? Hangisini seçmeli - Penetrasyon testi veya Güvenlik Açığı testi ?

Bu eğitimde yukarıdaki tüm soruların cevaplarını bulmaya çalışacağız.

Penetrasyon Testi - Güvenlik Açığı Taraması

Ne öğreneceksin:

Giriş

Öncelikle beş cümle okumanızı istiyorum:

  • Muzlar bir ağaçta büyür.
  • Normal bir insan beyninin yalnızca% 10'unu kullanır.
  • Parmak eklemlerinizi çatlatmak, yaşlılıkta artrite neden olur.
  • Yarasalar kördür.
  • Sızma testi, Güvenlik Açığı taramasıyla aynıdır.

Yukarıdaki tüm ifadeler arasında ortak bir şeyi tahmin edebilir misiniz? Hepsi efsanedir. Evet bu doğru. Hepsi gerçekten efsanelerdir.

Ancak, bu dersimizde, ne Muzlar ne de Yarasalar hakkında endişelenmiyoruz. Tek umursadığımız Penetrasyon testinin Güvenlik Açığı taramasıyla karşılaştırılmasıdır. Karşılaştırma hakkında daha fazla bilgi edinmek veya ifadenin bir efsane olduğunu kanıtlamak için önce Penetrasyon testi ve Güvenlik Açığı taramasını ayrı ayrı analiz edeceğiz.

Penetrasyon Testine Giriş

Penetrasyon testi, kısaca 'Kalem Testi' olarak da bilinir. Bu tür bir test, sisteme bir yol bulmak için bir sisteme yapılır. Bu, sistem tarafından depolanan önemli verileri dış dünyaya ifşa edebilir.

Genel olarak, penetrasyon testi hedefi şunlar olabilir: Beyaz kutu tipi veya Kara kutu tipi .

Kara Kutu Penetrasyon Testi:

Tipik olarak, test cihazına, adı dışında sistemle ilgili herhangi bir ayrıntı verilmez. Bu, bilgisayar korsanının uygulamanın adı dışında hiçbir şeyin farkında olmadığı gerçek hayat korsanlarına çok benzer.

Kara kutu testi, gerçek yaşam koşullarını kopyalar ve zaman alıcı değildir. Bununla birlikte, kaynak kodu ve altyapı ile ilgili bilinmeyen alanlar nedeniyle, sistemin bazı kısımlarının gözden kaçma olasılığı her zaman vardır.

Beyaz Kutu Penetrasyon Testi:

Bu süreçte, penetrasyon testinden geçmesi gereken sistemle ilgili gerekli tüm veriler Test Cihazına sağlanır.

Veriler ağ mimarisi, sistem konfigürasyonları, kaynak kodları vb. Olabilir. Bu, Kara Kutu tipi Kalem testinden daha uzun bir süreçtir. Bu kapsamlı bir süreçtir ve Kara kutu türüne kıyasla daha derin bir kapsama sahiptir.

Kalem testi her zaman müşterinin izni / talebi ile yapılır. Sahibinin izni olmadan bir sitede Kalem testi yapmak yasa dışıdır ve Hacking olarak adlandırılabilir.

Şimdiye kadar, sızma testinin ne olduğunu biliyoruz ve kuruluşların bunu neden tercih ettiğini bilmenin zamanı geldi. Güvende olmanın üzgün olmaktan daha iyi olduğu söylenir. Kalem testi, bir mimariyi daha güçlü ve saldırılara karşı dirençli hale getirir.

Güvenlik Açığı Taramasına Giriş

Bir sistemdeki güvenlik açıklarını / zayıflıkları bulmak için bir güvenlik açığı taraması kullanılır. Bu görev, hedef bilgisayarda bir uygulama (güvenlik açığı tarayıcısı olarak adlandırılır) çalıştırılarak gerçekleştirilir. Bu uygulamalar veya tarayıcılar, doğrudan hedef bilgisayarda veya bir ağ konumundan yürütülebilir.

Ağ konumu, daha büyük kuruluşlar için resme girerken, tarayıcıyı her zaman yerel bilgisayarlarda çalıştırmak mümkün değildir.

Şimdi, Uygulamanız için hangi tarayıcının çalışabileceğini nasıl anlarsınız? Cevabı oldukça basit. Yani, Güvenlik Açığı tarayıcıları, tarama sırasında sistem ayrıntılarını / parametrelerini neredeyse hiç kullanmaz.

Tek ihtiyaçları olan sistemin IP'si. Yalnızca IP ile, bir güvenlik açığı tarayıcısı, sistemde bir saldırının gerçekleştirilebileceği potansiyel yerleri bulabilir.

Bir şirketin Intranet'e sahip olduğu ve tüm bilgisayarların internet dünyasına açık olmadığı durumlar vardır. Bu durumda, güvenlik açığı tarayıcısının, hem dahili güvenlik açıkları hem de harici güvenlik açıkları için taramanın yakalanabileceği Intranet içinden çalıştırılması gerekir.

Bir test / tarama tamamlandığında, tarayıcı tüm olası güvenlik açıklarını gösteren bir rapor alınmasına yardımcı olur. Oluşturulan rapor, içindeki güvenlik açıklarıyla ilgili çeşitli verilere sahiptir.

Veriler, sunucu istatistikleri (güvenlik açığı indeksine dayalı), farklı sunucularda çalışan farklı hizmetlerin durumu, önem düzeylerine bağlı olarak bulunan güvenlik açıklarının durumundan değişir.

Bir rapor oluşturulduktan sonra, gerçek durumu bulmak için analiz edilmesi gerekir. Bulunan güvenlik açıkları her zaman o kadar ciddi değil. Tarayıcının adı, beklenen veriler çıktıyla eşleşmediği için alacağı durumlar olabilir. Ancak, sonuçta bu gerçek bir güvenlik açığı olmayabilir.

Bulunan güvenlik açığının doğru olup olmadığını anlamak için bir güvenlik açığı tarama raporunda daha fazla analiz yapılması gerekmesinin nedeni budur.

Sızma Testi ve Güvenlik Açığı Taraması

Artık Penetrasyon testi sürecinin ne olduğunu ve güvenlik açığı taramasının ne olduğunu biliyoruz.

Şimdi iki dev arasında kafa kafaya bir çatışma ile ilerlemek eğlence dolu bir şey olurdu.

Sızma Testi ve Güvenlik Açığı Taraması

Misal:

İkisi arasındaki farkı anlamak için gerçek hayattan bir örneğe geçeceğiz.

Bay X'i bir örnek olarak ele alalım. Bay X bir soygun uzmanıdır. Bir sonraki soygun planını inceleyeceğiz. Şehrin ortasında bulunan bir banka soymayı planlıyor.

Banka binası bir Polis karakolu, bir itfaiye istasyonu, (geceleri kapalı kalan) bir Halk Parkı ve bir Gölet ile çevrilidir. Banka binası, üzerinde helikopter pisti bulunan 20 katlı bir yapıdır. Bankayı gerçekten soymadan önce, Banka binasına olası giriş noktalarını bulması gerekiyor.

Karakol ve İtfaiye istasyonunun bulunduğu binanın yan kısımlarına girilmesi imkansız. 7 gün 24 saat çalışıyorlar ve kim polis odasını giriş noktası olarak kullanarak bir bankayı soymaya cesaret edebilir! Bu, Bay X'e başka 3 seçenek bırakıyor. Evet, doğru anladın. Ayrıca Çatı'yı Giriş noktası olarak görüyor (Batman Üçlemesi'nden Heath Ledger'ı hatırlıyor musunuz?).

Bina sadece 20 katlı olduğu ve çevrenizdeki insanlardan yakalanma şansı çok yüksek olduğu için Rooftop burada garip bir seçim gibi görünüyor. Banka, bölgedeki tek yüksek katlı binadır. Bu da Çatı girişini büyük bir HAYIR yapar! Kalan iki seçenekle, Bay X, Gölü bir giriş noktası olarak analiz etmeye başlar.

Göl iyi bir giriş yolu olabilir, ancak görünürlük bir endişe kaynağı olacaktır. Gece yarısı Banka binasına doğru yüzen birini görürse, birisi nasıl tepki verirdi? Son seçenek Halk Parkı'dır.

Parkı ayrıntılı olarak inceleyelim. Akşam saat altıdan sonra halka kapalıdır. Parkta, gerekli gölgeyi veren ve gizli mod için destek sağlayan birçok ağaç vardır. Park, Banka binaları ile paylaşılan bir sınır duvarına sahiptir.

Şimdi, yukarıdaki tüm analizler Güvenlik Açığı taraması olarak söylenebilir. Bir tarayıcı tüm bunları yapar. Girmek için savunmasız bir konum bulmak için.

Hikayemize geri dönecek olursak, Bay X'in bankaya Herkese açık park giriş noktasından girmekte başarılı olduğunu varsayalım. Sonra ne yapacak? Parayı almak için Kasaya girip girmediği veya değerli eşyaları almak için emanet dolapları.

Bu bölüm Penetrasyon testidir. Erişim elde edersiniz ve sistemden yararlanmaya çalışırsınız. Bu saldırı ile gidebileceğiniz derinliği öğreneceksiniz.

Not: Bu öğretici yazılırken hiçbir banka soyulmadı. Ayrıca, Bay X'in ayak izlerini takip etmeniz de tavsiye edilmez.

İkisi arasındaki fark hakkında daha fazla netlik elde edebilmeniz için sizi aşağıdaki karşılaştırma tablosuyla bırakıyorum.

Karşılaştırma

Güvenlik Açığı Taraması ve Sızma Testi birbiriyle ilişkili mi?

Evet, Güvenlik açığı taraması ve sızma testi birbiriyle ilişkilidir. Sızma testi, güvenlik açığı taramasına göre bir bağımlılığa sahiptir.

Sızma testini başlatmak için, tam bir güvenlik açığı taraması yapılır, böylece test cihazı sistemde mevcut olan tüm güvenlik açıklarını bilir ve ardından bunları kullanır.

java'da bir dizi dizgi oluşturmak

Dolayısıyla, güvenlik açığı taraması ile olası güvenlik açıklarını öğreniriz, ancak bu güvenlik açıklarından bu noktaya kadar yararlanılmaz. Güvenlik açığından ne ölçüde yararlanılabileceğini doğrulayan sızma testidir.

Ayrıca aşağıdaki resimde gösterildiği gibi belirli noktalarda birbirleriyle kesişirler:

Güvenlik Açığı Değerlendirmesi ve Sızma Testi

Hangisini Seçmelisiniz - Kalem Testi mi, Güvenlik Açığı Taraması mı?

İkisi arasındaki farkı anladıktan sonra, şimdi soru şu şekilde ortaya çıkıyor - hangisini seçmeli?

Güvenlik açığı taramasının amacı, sisteminizin zayıf yönlerini bulmak ve düzeltmektir. Oysa sızma testinin amacı, birinin sisteminizi kırıp kıramayacağını ve eğer öyleyse, o zaman saldırının derinliği ne olacak ve ne kadar anlamlı veri elde edebileceklerini bulmaktır.

Güvenlik açığı taraması ve kalem testi birlikte size neyin risk altında olduğunu ve nasıl düzeltilebileceğini söyleyebilir. Amaç, sisteminizin genel güvenliğini artırmaktır. İşletmenizin kritikliğine bağlı olarak ikisi arasında seçim yapmanız gerekir. Bir kalem testine giderseniz, güvenlik açığı taramasını da kapsar.

Bununla birlikte, kalem testi çok maliyetlidir (yaklaşık 4.000 ila 20.000 ABD Doları) ve güvenlik açığı taramasına kıyasla da zaman alan bir testtir. Nedeni, çok doğru ve kapsamlı sonuçlar getirmesi ve yanlış pozitif güvenlik açıklarını ortadan kaldırmasıdır.

Bu arada, güvenlik açığı taraması, kalem testinden çok hızlı ve çok daha ucuzdur (satıcıya bağlı olarak IP başına yılda yaklaşık 100 $). Bir kuruluş olarak, aylık, üç aylık ve hatta haftalık olarak güvenlik açığı taramasına gidebilirsiniz. Ve yıllık olarak kalem testi yapmayı tercih edin.

En Popüler Araçlar

Güvenlik Açığı Taraması için yaygın olarak kullanılan araçlardan bazıları şunlardır:

  • Nessus
  • Kimse
  • SAINT
  • OpenVAS vb.

Kalem Testi için yaygın olarak kullanılan araçlar şunları içerir:

  • Qualys
  • Çekirdek Etki
  • Metasploit vb.

Kalem testi yapanlar da ihtiyaca göre kendi istismar kodlarını yazarlar.

Sonuç

Bu eğitimden, hem Kalem Testi hem de Güvenlik Açığı Taramasının, uygulamayı saldırılara karşı daha güvenli hale getirmek için gerçekleştirilen tamamen iki farklı etkinlik olduğunu anlıyoruz. Gerekirse birlikte de kullanılabilirler.

Güvenlik açığı testi, olası boşlukları tanımlar ve Kalem testi, iş açısından kritik bilgilerin başına gelebilecek hasar / hırsızlık kapsamını ortaya çıkarmak için bu boşluklardan yararlanır. Açıkları gidermek ve bilgi sistemine yönelik olası saldırıları ve güvenlik ihlallerini önlemek için yapılırlar.

Daha fazla okuma

Önerilen Kaynaklar

^