Sızma Testi nedir?

Sızma testi (pentest), yetkili uzmanların gerçek bir saldırganın yöntemleriyle sistemlere sızmayı deneyerek açıkları raporlamasıdır. Otomatik tarama araçlarından farkı, bulunan açıkların gerçekten kullanılabilir olup olmadığını ve birleştirildiğinde nereye kadar ilerlenebildiğini göstermesidir.

Perakendede nasıl kullanılır

Perakendede öncelikli sızma testi kapsamları şunlardır: e-ticaret sitesi ve mobil uygulama, ödeme akışı, dışarıya açık uygulamalar ve VPN, mağaza ağı ve kasalar, iç ağdan merkez sistemlere ilerleme senaryoları. Test türü de önemlidir: dışarıdan (siyah kutu) test saldırganın ilk adımını, içeriden (gri kutu) test ise bir mağaza cihazı ele geçirildiğinde neler olabileceğini gösterir. Yeni bir sistem canlıya alınmadan önce ve büyük değişikliklerden sonra test yapılması önerilir.

Nelere dikkat etmeli

• Kapsam ve yetki: Test edilecek sistemler, test zamanı ve yöntemler yazılı olarak belirlenmeli; kampanya dönemlerinde canlı sistemlere yük bindirilmemelidir.
• Bulguların kapatılması: Testin değeri rapor değil, bulguların önceliklendirilip kapatılmasıdır; her bulgu için sorumlu ve tarih belirleyin.
• Doğrulama testi: Kapatılan açıkların gerçekten kapandığını tekrar test ettirin.
• Düzenlilik: Yılda bir kez yapılan test, sürekli değişen perakende ortamında yetersiz kalabilir; kritik sistemler için sıklığı artırın.

Sızma testi raporu, yönetime güvenlik yatırımının gerekçesini somut örneklerle anlatmanın da en etkili araçlarından biridir.

Sık sorulan soru

Sızma testi ile zafiyet taraması arasındaki fark nedir?

Zafiyet taraması otomatik araçlarla sistemlerdeki bilinen açıkları listeler; hızlıdır ve sık tekrarlanabilir, ancak bulunan açığın gerçekten kullanılabilir olup olmadığını göstermez ve yanlış alarmlar içerebilir. Sızma testinde ise uzmanlar açıkları gerçekten kullanmayı ve birbirine bağlayarak ilerlemeyi dener; sonuç, bir saldırganın nereye kadar ulaşabileceğini gösterir. İkisi birbirinin yerine değil, birlikte kullanılır.