Sürekli Sızma Testi

Yıllık testin sorunu

Klasik sızma testi bir tarih aralığında yapılır ve o tarihteki durumu raporlar. Rapor teslim edildiği anda geçerlidir. Üç hafta sonra yeni bir sürüm yayına alındığında, o sürümün getirdiği açıklar bir sonraki yıllık teste kadar görülmez.

Bu arada saldırganlar beklemiyor. İnternete açık sistemler sürekli taranıyor; yeni bir alt alan adı, açık kalmış bir yönetim paneli veya güncellenmemiş bir bağımlılık ortalama birkaç saat içinde keşfediliyor. Savunma tarafının yılda bir kez baktığı bir yerde, saldırgan tarafı her gün bakıyor.

Sürekli test nasıl işliyor?

Saldırı yüzeyinizi sürekli izliyoruz: yeni açılan portlar, yayına alınan alt alan adları, değişen sertifikalar ve dışarıya açılan yeni servisler. Bir değişiklik tespit edildiğinde ilgili kapsam yeniden test ediliyor.

Bu yalnızca otomasyon değildir. Otomatik araçlar değişikliği tespit eder ve bilinen zafiyetleri tarar; iş mantığı hataları, yetki aşımı senaryoları ve zincir saldırılar ise her döngüde manuel olarak inceleniyor. Otomasyonun tek başına yeterli olduğunu iddia eden bir hizmet, aslında zafiyet taramasıdır.

Kimler için uygun?

Yıllık testin yerine mi geçiyor?

Çoğu durumda evet. Sürekli test modelinde yıl sonunda konsolide bir rapor üretiyoruz; bu rapor KVKK, ISO 27001 ve PCI-DSS denetimlerinde yıllık test yerine kullanılabilir. Denetçinin görmek istediği düzenli test kanıtını, tek seferlik bir çalışmadan daha güçlü biçimde karşılar.

Testin denetimde nasıl kanıt olarak kullanıldığını KVKK sızma testi sayfamızda ayrıntılı anlattık.

Sürekli test ile otomatik taramanın neden aynı şey olmadığını Zafiyet Taraması, Zafiyet Yönetimi ve Sızma Testi yazısında karşılaştırdık.