Sızma Testi Otomasyon Araçları Nelerdir ve Ne İçin Kullanılır?
Sızma testi otomasyon araçları, bir kuruluştaki veya sistemlerindeki güvenlik açıklarını ve zayıflıkları belirlemek için kullanılan yazılım araçlarıdır. Sızma testi, bir sistem veya ağdaki güvenlik açıklarını belirlemek, kötü niyetli bir saldırganın yararlanabileceği güvenlik açıklarını keşfetmek ve bu güvenlik açıklarını düzeltmek için gerçekleştirilen bir güvenlik değerlendirmesidir. Bu süreçlerin daha hızlı, daha etkin ve daha sistematik gerçekleştirilebilmesi için sızma testi otomasyon araçları kullanılmaktadır.
Sızma testi otomasyon araçları genellikle aşağıdaki görevleri yerine getirmek için kullanılır:
Zayıf Nokta Taraması (Vulnerability Scanning): Otomatik araçlar, güvenli olmayan web siteleri veya kullanıcı tarafından erişilebilen uygulamalar gibi ağınızın dışından gelebilecek tehditleri, yani internete maruz kalan sistem altyapısındaki güvenlik açıklarını tespit eder.
Sızma Testi Otomasyonu (Penetration Testing Automation): Bazı otomasyon araçları, sızma testi simülasyonları gerçekleştirmek için kullanılır. Bu, saldırganların nasıl bir yol izleyebileceğini ve sistemlerin hangi güvenlik kontrollerini geçebileceğini test etmek için kullanılır.
Parola Elde Etme (Password Cracking): Şifrelerin ne kadar güvenli olup olmadığını tanımlanan güvenlik düzeylerine göre karşılaştırma yapar ve şifrenin kırılmış halini uygulamaya verir.
Ağ Haritalama (Network Mapping): Sızma testinin yol haritası olan ağ haritasını çıkarır bu sayede nereden başlanacağı belirlenir ve ilerleyiş bu haritaya bakarak şekillenir.
Sosyal Mühendislik Testleri: Bu araçlar sayesinde sosyal mühendislik saldırılarının yetkililere uygulanmasını sağlayıp test edebilir.
Güvenlik Kontrol Testleri: Sistemlerde güvenlikle ilgili bulunan (güvenlik duvarı vs…) yapıları test eder. Açıkları, yapısı ve işleyişi hakkında bilgi verir.
Raporlama ve Analiz: Sızma testi sonuçlarını kritiklik seviyesine göre ayrıştırıp belli başlıklar altına koyarak raporunu oluşturur.
Sızma testi otomasyon araçları yukarda da belirttiğimiz gibi bize büyük oranda yardımcı olmakta. Bu otomasyon araçları kullandığımızda bizlere sistemlerde bulunan açıkları ayrıntılı bir şekilde ve en önemlisi hızlı bir şekilde bize sunmakta.
Penetrasyon Test Araçları
Burp
Burp by Portswigger Web Security, web güvenlik açığı tarayıcısıdır. Kullanımı ve arayüzü oldukça basittir. Sızma testi araç setleri içerisinde kesinlikle yer alır. Burp ile istekleri görebilir üzerinde oynamalar yapıp istediğimiz şekilde yönlendirebiliriz. Ayriyeten brute force atakları yapılmasına da imkân sağlamaktadır.
Metasploit
Metasploit, güvenlik açıklarının taranmasını ve test edilmesini sağlar. Bilinen açıklardan yararlanan açık kaynaklı büyük bir veritabanıyla desteklenir ve metasploit pratik bir arayüze sahiptir ve güncel sürüm içerisinde 1500 ’den fazla exploit, 900’ den fazla auxiliary, 450 ‘den fazla payloads, 39 encoders ve 8 nops barındırır.
Nessus
Nessus, yaygın olarak kullanılan ücretli bir güvenlik açığı değerlendirme aracıdır. Ücretsiz olarak kullanırsak 16 IP tarama imkânı vermektedir. Filtreler alanı oldukça geniştir taramak istediğimiz alanları seçme imkânı sunmaktadır. Test sonucunda kritiklik seviyeleri ayarlanıp bize sunulmaktadır.
Fiddler
Fiddler, web hata ayıklama, web oturumu manipülasyonu ve güvenlik/performans testi ile uğraşmak için kullanışlı bir manuel araçları içerir. Web sunucusu veya sunucular arasındaki HTTP ve HTTPS trafiğini günlüğe kaydetmek, incelemek ve değiştirmek için kullanılan bir hata ayıklama proxy sunucu aracıdır.
Nmap
Nmap, bir penetrasyon test aracından çok bir port tarayıcıdır. Taranan ağın haritasını çıkarabilir ve ağ makinalarında çalışan servislerin durumlarını, işletim sistemlerini, portların durumlarını gözlemleyebilir.
Wireshark
Wireshark genellikle güvenlik araç setinde bulunur. Ağda işlenen etkinliği anlamak ve yararlı bilgiler toplamak için ağ trafiğini yakalar. Yakalanan her paketi okunabilir bir formata dönüştürmek için bir dizi farklı görüntü filtresi mevcuttur. Bu aynı zamanda kullanıcıların ağ güvenliği sorunlarının kaynağını belirlemesine ve potansiyel siber suç faaliyetlerini tespit etmesine de olanak tanır.
Aircrack-Ng
Aircrack-ng, Kali Linux’ta önceden yüklenmiş olarak gelen ve wifi ağ güvenliği ve bilgisayar korsanlığı için kullanılan bir araçtır. Aircrack, hepsi bir arada paket dinleyicisi, WEP ve WPA/WPA2 kırıcı, analiz aracı ve karma yakalama araçlarından birisidir. Birçok amaçla kullanılanan bu araç genel olarak wifi kesmek için kullanılan bir araçtır.
John the Ripper
John the Ripper, parola güvenlik açığını kontrol etmek için kullanılan basit bir araçtır. Hızlı ve kullanışlı bir yapıya sahiptir. Parola çözücüleri tek paket içinde bir araya getiren, parola test eden ve çözen en popüler araçlardan biridir.
Sızma Testlerinde Otomasyon Araçların Bize Sağladıkları Faydalar
Hız ve Verimlilik:
Bu araçlar sayesinde manuel testlerde teker teker uğraşmadan her şeyi sırayla hızlı bir şekilde halledebiliriz.
Büyük ve karmaşık sistemlerdeki düzeni anlamak için uğraşmaz hızlı bir şekilde testleri gerçekleştirir.
Aynı testleri tekrar tekrar yapma gerekliliğini azaltır, böylece zaman ve kaynak tasarrufu sağlar.
Kapsamlı Testler:
Otomasyon araçları filtreleme kısmında hangi kapsamı istersek o hizmeti bize sağlayacaktır bu da ne kadar büyük kapsam verirsek verelim bu kapsamı yapacağı anlamına gelmektedir.
Farklı senaryoları ve kullanım durumlarını kapsayacak şekilde testler otomatik olarak yapılabildiği için daha fazla hata tespit edilebilir.
Daha İyi Hata Tespiti:
Otomasyon, hataları daha tutarlı bir şekilde ayrıştırabilir sınıflandırabilir ve listeleyebilir. Bu sayede daha kolay bir müdahale süreci gerçekleşebilir.
Sızma testlerini otomasyonlar daha hızlı şekilde taradıkları için istediğimiz vakitte tarama imkânı buluruz bu sayede kontol sürekli bizde olur. Herhangi bir olumsuzluk durumunda hızlı müdahale etme imkânı da bulmuş oluruz.
İnsan Hatasını Azaltma:
İnsan faktöründen kaynaklanan hataları en düşük seviyeye getirmeye olanak sağlar. Bu da verimliliği artırır.
Manuel testler sırasında meydana gelen eksiklikleri ve olumsuzlukları ortadan kaldırır.
Planlanmış Zaman Testleri:
Otomasyon, sisteme girilen tarih ve saat bilgilerini kaydeder ve bu vakitte istenilen testleri sisteme gerçekleştirir. Bu sayede uygun olmayan bir vakitte bile planlanmış olarak sisteme istenilen test uygulanır. Böylece sistem gece-hafta sonu da dahil olmak üzere test edilebilir.
Bu, sürekli bir güvenlik izleme ve hızlı müdahale imkânı sağlar.
Raporlama ve İzleme:
Bu araçlar sayesinde test sonuçlarını ayrıntılı ve anlaşılır bir şekilde kullanıcıya sunma imkânı tanır.
Sürekli izleme ve raporlama, güvenlik açıkları hakkında daha iyi bilgi sahibi olmanıza yardımcı olur.
Maliyet Tasarrufu:
Otomasyon, yapay zekâ olarak çalıştığı için manuel testlerdeki gibi çalışan sayısındaki kadar fazlalığa ihtiyaç duymaz. Bu da maliyet açısından kazanç sağlayacaktır.
Uzun vadede, hataların hızlı bir şekilde tespit edilmesi ve müdahalenin hızlı yapılması doğabilecek zararlardan bizi kurtaracağı için maliyette tasarruf sağlayacaktır.
Tekrarlanabilirlik:
Test senaryolarını ve işlemlerini otomatikleştirmek, testlerin tekrarlanabilirliğini artırır.
Aynı testleri sürekli olarak yürütmek, güncel bir tehdit çıktığında tespit edilmesine olanak sağlayacaktır.
Skript ve Kod Paylaşımı:
Test skriptlerini ve kodlarını paylaşmayı kolaylaştırır, bu da ekibin iş birliğini artırır ve bilgi paylaşımını teşvik eder.
