TRK STANDARDLARI

ENSTTS

SIZMA TEST TEKNK KRTERLER

PROGRAMI

Srm 1.0

01.12.2013

Revizyon Tarihesi

Srm Tarih Gncelleme

1.0 01.12.2013 lk srm

Bu dokmana aadaki Web sayfasndan eriilebilir:

- Trk Standardlar Enstits Resmi Web sitesi (TSE) (bilisim.tse.org.tr) ;

http://www.tse.org.tr/

NDEKLER

1. Test ncesi .................................................................................................................. 6

1.1 Kapsam belirleme ........................................................................................................ 6

1.2 Kapsam belirleme nasl yaplmaldr? .......................................................................... 6

1.3 Zaman tahmini iin parametreler.................................................................................. 6

1.4 Kapsam belirleme toplants ......................................................................................... 7

1.5 Saat bana cretlendirilen ilave destek ....................................................................... 8

1.6 Anketler ....................................................................................................................... 8

1.7 Kapsamdaki kontrol d deiikler ve genileme ........................................................11

1.8 IP aralnn ve etki alanlarnn belirlenmesi ................................................................12

1.9 nc taraflarla ilikiler .............................................................................................12

1.10 Kabul edilebilir sosyal mhendislik senaryolarnn belirlenmesi.................................13

1.11 Hizmet aksatma ........................................................................................................14

1.12 demelerle ilgili hkmler .........................................................................................14

1.13 Szma testinin amalar.............................................................................................14

1.14 letiim kanallarnn tesis edilmesi .............................................................................15

1.15 Acil durum irtibat bilgisi ............................................................................................15

1.16 Olay raporlama prosedr ........................................................................................16

1.17 kurallar .................................................................................................................17

1.18 Mevcut yetenekler ve teknoloji ..................................................................................20

2. stihbarat toplama ...................................................................................................... 20

2.1 Genel ..........................................................................................................................20

2.2 stihbarat toplama .......................................................................................................21

2.3 Hedef seimi ...............................................................................................................21

2.4 Ak kaynak istihbarat ................................................................................................22

2.5 rtl bilgi toplama .....................................................................................................32

2.6 Bilgi tarama ................................................................................................................32

2.7 Koruma mekanizmalarnn belirlenmesi ......................................................................40

3. Tehdit modellemesi ................................................................................................... 41

3.1 Genel ..........................................................................................................................41

3.2 deer analizi ...........................................................................................................42

3.3 proses analizi ..........................................................................................................44

3.4 Tehdit unsurlar/zmresi analizi ..................................................................................45

3.5 Tehdit yetenek analizi .................................................................................................47

3.6 Saldr motivasyonunun modellenmesi........................................................................47

3.7 Bilgileri ele geirilen kyaslanabilir kurulularla ilgili haberlerin bulunmas ...................48

4. Aklk analizi ............................................................................................................. 48

4.1 Aklk Testi ................................................................................................................48

4.2 Aktif aklk testi ..........................................................................................................48

4.3 Pasif aklk testi .........................................................................................................53

4.4 Dorulama ..................................................................................................................53

4.5 Aratrma ....................................................................................................................55

5. stismar etme ............................................................................................................. 58

5.1 Maksat ........................................................................................................................58

5.2 Kar tedbirler .............................................................................................................58

5.3 Kanma .....................................................................................................................60

5.4 sabet doruluu .........................................................................................................60

5.5 stee gre uyarlanm istismar kulvar .......................................................................61

5.6 Uygun hale getirilmi istismarlar .................................................................................61

5.7 stismarn istee gre uyarlanmas .............................................................................61

5.8 Sfrnc gn ................................................................................................................61

5.9 rnek saldr kulvarlar ................................................................................................64

5.10 Nihai hedef ...............................................................................................................64

6. stismar sonras ......................................................................................................... 64

6.1 Maksat ........................................................................................................................64

6.2 Angajman kurallar ......................................................................................................65

6.3 Altyap analizi .............................................................................................................67

6.4 Pillaging (soygunculuk) ...............................................................................................69

6.5 Kymetli/kritik hedefler .................................................................................................76

6.6 Verilerin dar szmas ...............................................................................................76

6.7 Kalclk .......................................................................................................................77

6.8 Altyapya ynelik daha ileri derecede szma ...............................................................77

6.9 z temizleme ...............................................................................................................78

7 Raporlama .................................................................................................................. 78

7.1 Giri ............................................................................................................................78

7.2 Raporun Yaps ...........................................................................................................79

7.3 Ynetici zeti .............................................................................................................79

7.4 Teknik Rapor ..............................................................................................................83

EK A .............................................................................................................................. 88

Szma testi aamalar kontrol listesi ............................................................................... 88

EK B .............................................................................................................................. 92

Ksaltlm terimler ......................................................................................................... 92

1. Test ncesi

1.1 Kapsam belirleme

Kapsam belirleme szma testinin ok nemli ve genellikle gz ard edilen bileenlerinden biridir. Bir

aa eriim iin kullanlabilecek farkl aralar ve teknikler hakknda birok kitap yazlmtr. Ancak, teste

nasl hazrlanlaca konusunda ok az yayn vardr. Bu husus testi icra edenler iin kapsamda kontrol

d deiiklikler ve bymeler, hukuki konular ve ikayeti mteriler gibi alanlarda sorunlara yol

aabilir.

Bu blmn amac bu gibi tuzaklardan kanmanz iin sizlere baz aralar ve teknikler salamaktr.

Bu blmdeki bilgilerin byk bir ksm bunlar yazan test uzmanlarnn tecrbelerinin sonulardr.

Unutulmamaldr ki, aldmz derslerin ou, zorlukla rendiklerimizdir.

Kapsam belirleme spesifik olarak neyi testte tabi tutacanzla ilgilidir. Testi nasl yapacanz

kapsayan blmden olduka farkldr. Testin ne ekilde icra edilecei i kurallar blmnde

kapsanacaktr.

Bir szma testi araynda olan bir mteri kurulu konumundaysanz bu dokmann genel sorular

blmne bakmanz neririz. Bu blmde bir teste balamadan nce cevaplanmas gereken temel

sorular kapsanmaktadr. Bir szma testinde bir cephelemenin olmamas gerekir. Bu test, testi icra

edenin sizi hackleyip, hackleyemeyeceini grmek iin gerekletirilen bir faaliyet olmamaldr. Bu

testin amac bir saldr ile ilgili olarak ortaya kabilecek i risklerinin belirlenmesi olmaldr. yi bir test

firmas, kapsam belirleme faaliyeti gelitike kurulua zg olarak dzenlenmi ilave sorular sormaya

balar.

1.2 Kapsam belirleme nasl yaplmaldr?

Bir testin kapsamnn belirlenmesinin anahtar bileenlerinden birisi testin icracs olarak zamannz

tam olarak nasl geireceinizi anlamaya almaktr. rnein, bir mteri kurulu sizden 100 adet IP

adresini test etmenizi isteyebilir ve bunun iin size sadece 100.000 TL demek isteyebilir. Bu ortalama

olarak her bir IP bana 1000 TL demektir. Bu durumda sizden ok kritik olan sadece bir uygulamay

test etmeniz istendiinde bu cret yaps uygun olacak mdr? Szma testinde cretler dorusal olarak

belirlenemez.

Sonu olarak, baz szma testlerinde elinizde ilerinden seerek bir testin bir blm kapsamnda bir

aa eriim salamak zere teste tabi tutulacak ok sayda IP adresi bulunacaktr. Ayn zamanda tek

bir spesifik uygulama iin haftalarnz harcayacanz (aylar deilse bile), st derecede

odaklanacanz testler de olacaktr. Burada anahtar husus aradaki fark bilmektir. Bu ekildeki bir

anlay ile bir mteri kuruluun istediinin ne olduunu, mteri bunu tam olarak ifade edemese de

bilmek durumunda olacaksnz.

1.3 Zaman tahmini iin parametreler

Zaman parametreleriyle ilgili hususlar ounlukla testi icra edeceiniz alandaki tecrbenize bal

olacaktr. rnein, imdiye kadar herhangi bir uygulama iin tam kapsaml, derinlemesine bir test icra

ettiniz mi? imdiye kadar geni bir yelpazedeki IP adreslerini teste tabi tuttunuz mu? Bu i iin geriye

dnerek iletilerinizi ve tarama gnlklerinizi inceleyin. Bulduunuz zaman deerleri bir yere yazn ve

buna asgari %20 lsnde bir sre ilave edin.

Zaman deerine neden %20 ilave ediyoruz? Buna ihtiya duyulmasnn nedeni her ite testin icras

aamasnda kk duraksamalarn yaanabileceidir. rnein bir a blt kebilir (sizin test

faaliyetlerinize bal olarak olmamas umulur). Test yapmadan geen bu sre, aslnda size bir test

uzman maliyeti getirir. Dier bir rnek toplantlarn yavalatmasdr. ou zaman sistemde ok byk

lde bir aklk tespit edilir ve bu husus mteri kurulu ile paylalr. Mteri kurulu bu durumda

sizden st ynetimle bir toplantya katlmanz isteyecektir. Tabii ki siz de katlacaksnz ve bu toplant

sizin genel test srenizden gtrecektir.

Fazladan koyduunuz %20lik ek sreye ihtiya duymazsanz ne olur? Bu srenin karlnda alnan

paray cebe atmak tabii ki etik olmaz. Bunun yerine mteri kurulua test bakmndan ilave deerler

salanr. Firmann gvenlik timi ile akln istismarna ynelik olarak attnz admlarn zerinden

gidebilirsiniz. Orijinal anlamada mevcut deilse, bir ynetici zeti verebilirsiniz ya da balang testi

esnasnda anlalmas zor olan bir akl krmak iin ilave biraz zaman harcayabilirsiniz.

Zaman parametrelerinin ve testin icrasnn baka bir bileeni de projenizin kesin bir teslim tarihinin

bulunmasdr. yi bir projenin bir balangc ve bir sonu olur. Sizin testinizin de olmas nerilir. Testin

sone erecei belirli tarihe gelinirse ve i bitmemise veya bu tarihten sonra sizden herhangi bir ilave

test talebinde bulunulursa yaplacak olan ii ve bu i iin gereken zaman belirten imzal bir i

aklamasnn bulunmas gerekir.

Baz test uzmanlar bunu yapmakta ok zorlanrlar nk maliyetlere ve saatlere gelindiinde

kendilerini bask altnda hissederler. Ancak yazarn tecrbesine gre esas test iin olaanst bir

deer sunduunuz taktirde mteri kurulu saladnz ilave hizmet iin deme yapmada ayak

diremeyecektir.

1.4 Kapsam belirleme toplants

ou zaman kapsam belirleme toplants anlama imzalandktan sonra yaplr. Bizim nerimiz gizlilik

szlemesi imzalanmadan derinlikli, herhangi bir kapsam belirleme grmesinin yaplmamasdr.

Kapsam belirleme toplantsnn amac neyi test edeceinizi grmektir. Bu toplant ile ilgili kurallar

kapsamaz. Bu toplant maliyetleri de kapsamaz. e balamadan ncesinin konular olan bu farkl

hususlarnn ayr toplantlara ve blmlere ayrlmasnn daha iyi olacan dnmekteyiz. Bu dzeyde

bir ayrmn yaplmasnn nedeni, toplant hedefleri ak olarak ortaya konmadnda grmelerin

karmak hale gelebilmesidir. Bu husus bir toplantnn konuyla ilgisi olmayan konumalarla kmaza

sokulmamas iin toplantnn kontrol altna alnmas ve srdrlmesinin bir parasdr.

imdi projenin yaklak bykl hakknda kabaca bir fikre sahip olduunuza gre mteri kurulu ile

varsaymlarn dorulanmas iin bir toplant yapmann zaman gelmitir. ncelikle mteri kurulua

hangi IP aralnn testle ilgili olarak kapsam dahilinde olduunu ak bir ekilde sormanz

gerekecektir. Baz mteriler bu noktada geriye ekilerek, aynen kt adamlarn yapt gibi alar

belirlemenin ve bu aa saldrda bulunmann size bal olduunu syleyeceklerdir. Test ortamnda

herhangi bir hukuki kstlamann bulunmamas iyi olur. Ancak test uzmanlar olarak bizim doru

sistemleri test ettiimizi ve doru sistemlere ynelik saldrda bulunduumuzdan emin olmak iin daha

ileri gitmemiz gerekir. rnein, toplantda mteri kuruluun hedef tekil edecek ortamlara, DNS

sunucusuna, e-posta sunucusuna, Web sunucularnn zerinde alt esas donanma ve bunlarn

gvenlik duvar / IDS / IPS zmlerine sahip olup olmad sorulmaldr.

lave olarak hedef ortamn hangi lkelerde iletildiini belirlememiz gerekir. AB lkelerinde bireylerin

gizliliini kuatan baz ok sk kanunlar bulunabilir. Bu hususun iinizin sosyal mhendislik yn

zerinde bir etkisi olabilir.

1.5 Saat bana cretlendirilen ilave destek

Ak bir ekilde yaplacak iin kapsamna alnmayan herhangi bir eye dikkatle yaklalmaldr. Bunun

birka nedeni vardr. Birinci neden, bunun kapsamda kontrol d deiiklere ve bymelere yol

amasdr. Bu gibi grevler sizin iten elde edeceiniz kar kolaylkla yok edebilir ve mteri kurulula

aranzda kafa karklna ve sinirlenmelere yol aabilir. Plansz olarak ilave iler alnmasnda ou

test uzmannn dnmedii baka bir husus ta konunun hukuki bakmdan dallanp budaklanmasdr.

Plansz olarak yaplan i isteklerinin ou uygun bir ekilde belgelendirilmemilerdir ve buna bal

olarak herhangi bir anlamazlk ya da hukuki ilem durumunda bu ii kimin istediini belirlemek g

olacaktr. Dahas elinizdeki szleme yaplacak olan ii belirten hukuki bir dokmandr.

nerimiz, herhangi bir ilave talebin, yaplacak olan ii ak bir ekilde belirten, i aklamas biiminde

bir belgeye dklmesidir. Szlemede ayn zamanda ilave ilerin saat ba sabit bir cret karlnda

yaplaca ve imzal ve onayl bir szleme mevcut olmadka ilave ilerin tamamlanamayaca ak

bir ekilde belirtilmelidir.

1.6 Anketler

Mteri kurulula ilk defa iletiim kurmaya baladnzda, szma testinin kapsamn tam olarak

belirleyebilmenizden nce cevaplandrlmasna ihtiya duyacanz bir grup soru olacaktr. Bu

sorularn sorulmas ok nemlidir ve sizin iin mteri kuruluun szma testinden ne elde etmek

istediini, mteri kuruluun kendi ortamna ynelik olarak neden bir szma testi gerekletirilmesini

istediini ve szma testinin icras esnasnda mteri kuruluun belirli trde testlerin yaplmasn isteyip

istemediini daha iyi anlamanza olanak salamaldr.

Aadaki sorular yaplacak iin mteri kurulu iin maliyetinin ne olacann tam olarak belirlenmesi

ncesinde cevaplandrlmas gerekebilecek baz sorulardr:

Genel sorular

A szma testi iin sorular

1. Mteri kurulu neden kendi ortamna ynelik olarak bir szma testi gerekletirilmesini

istemektedir?

2. Szma testine zel bir uygunluk gereksiniminin karlanmasna ynelik olarak m ihtiya

duyulmaktadr?

3. Mteri kurulu icra edilecek olan szma testinin aktif blmlerinin (tarama, sayma, istismar

etme vb.) ne zaman uygulanmasn istemektedir?

4. saatleri ierisinde mi?

5. saatleri dnda m?

6. Hafta sonlar m?

7. Toplamda ka adet IP adresi teste tabi tutulacaktr?

8. Ka adet i IP adresi teste tabi tutulacaktr (uygulanabiliyorsa)?

9. Ka adet d IP adresi teste tabi tutulacaktr (uygulanabiliyorsa)?

10. Szma testinin sonularn etkileyebilecek gvenlik duvar, sisteme izinsiz girileri

tespit/engelleme sistemi, Web uygulamas gvenlik duvar veya i yk dengeleyici gibi

aralar mevcut mudur?

11. Sisteme szmann gereklemesi durumunda ne yapmalyz?:

Gizlilii ihlal edilmi olan bilgisayarda lokal bir aklk deerlendirmesi mi gerekletirilmelidir? Gizlilii

ihlal edilmi olan bilgisayar zerinde en st derecede yetki ayrcal (unix bilgisayarlarda root,

Windows bilgisayarlarnda sistem ya da ynetici) m elde edilmeye allmaldr? Elde edilen yerel

parola karmalarna ynelik olarak; hi bir saldr gerekletirmemeli miyiz? Yoksa, asgari lde,

szlk destekli olarak veya kapsaml bir parola saldrs m gerekletirmeliyiz?

Web uygulamas szma testi iin sorular

1. Ka adet Web uygulamas deerlendirmeye tabi tutulmaktadr?

2. Ka adet oturum ama sistemi deerlendirmeye tabi tutulmaktadr?

3. Ka adet statik Web sayfas deerlendirmeye tabi tutulmaktadr? (yaklak olarak)

4. Ka adet dinamik Web sayfas deerlendirmeye tabi tutulmaktadr? (yaklak olarak)

5. Bakmak iin kaynak kodu mevcut olacak mdr?

6. Herhangi bir dokmantasyon mevcut olacak mdr? Eer olacaksa bunlar ne tr

dokmantasyon olacaktr?

7. Bu uygulama zerinde statik analiz gerekletirecek miyiz?

8. Mteri kurulu bu uygulamaya kar fuzzing gerekletirmemizi istiyor mu?

9. Mteri kurulu role dayal test icra etmemizi istiyor mu?

10. Mteri kurulu Web uygulamalarnda yetki bilgilerini kullanarak taramalar gerekletirmemizi

istiyor mu?

Kablosuz a szma testi iin sorular

1. Ka adet kablosuz a mevcuttur?

2. Bir misafir kablosuz a kullanlmakta mdr? Eer kullanlyorsa:

3. Misafir kablosuz a kimlik sorgulamas gerektirmekte midir?

4. Kablosuz alarda hangi tr ifreleme kullanlmaktadr?

5. Kapsama alannn bykl nedir?

6. Sisteme bal olan ancak eriim ve ilem yetkisi olmayan aygtlarn saysn tespit edecek

miyiz?

7. Mteri kurululara kar gerekletirilen kablosuz saldrlar deerlendirmeye tabi tutacak

myz?

8. Yaklak olarak ka adet kullanc kablosuz a kullanyor olacak?

Fiziki Szma Testi iin sorular

1. Ka adet lokasyon deerlendirmeye tabi tutulacaktr?

2. Fiziki lokasyon bakalar ile paylalmakta olan bir tesis midir? Eer yleyse:

3. Ka bina kat kapsam dahilindedir?

4. Hangi bina katlar kapsam dahilindedir?

5. Atlatlmas gereken gvenlik grevlileri var mdr? Eer varsa:

6. Gvenlik grevlileri nc bir kii/kurulu tarafndan m altrlmaktadrlar? Silahl mdrlar?

G kullanma yetkileri var mdr?

7. Binaya ka adet giri vardr?

8. Her kapy aan trde anahtarlara msaade edilmekte midir?

9. Mevcut gvenlik politikalarna ve prosedrlerine uygunluun teyit edilecei fiziki bir szma testi

mi gerekletireceiz? Yoksa sadece bir denetim mi gerekletireceiz?

10. Kapsam dahilindeki alann ls nedir?

11. Tm fiziki gvenlik tedbirleri dokmante edilmi midir?

12. Video kameralar kullanlmakta mdr? Kullanyorsa bu kameralar mteri kurulua m aittir?

13. Mteri kurulu kamera verilerinin saklanmakta olduu yere eriim salama giriiminde

bulunmamz istiyor mu?

14. Kullanlmakta olan bir alarm sistemi var mdr? Eer varsa:

15. Alarm, sessiz bir alarm mdr?

16. Alarm sistemi hareketle mi tetiklenmektedir?

17. Alarm sistemi kaplarn veya pencerelerin almasyla m tetiklenmektedir?

Sosyal mhendislik iin sorular

1. Mteri kurulu, sosyal mhendislik giriiminde bulunabileceimiz personelin elektronik posta

adreslerini bize salayacak mdr?

2. Mteri kurulu, sosyal mhendislik giriiminde bulunabileceimiz personelin telefon

numaralarn bize salayacak mdr?

3. Fiziki eriime ynelik olarak sosyal mhendislik giriiminde bulunacak myz? Eer bu

yaplacaksa:

4. Ka kii hedeflenecektir?

Szma testinin farkl dzeylerinde i birim yneticileri, sistem yneticileri ve yardm masas personeline

ynelik olarak baz sorulara gerek duyulmayabilir. Ancak aadaki sorular bir klavuz olarak

kullanlabilir.

birimi yneticileri iin sorular

Bir szma testi icra edilirken i birimlerinin yneticileri gz ard edilemez. Bu kiiler bir hizmet d

kalma durumu ortaya kt taktirde, bu durumdan en fazla etkilenecek olan kiilerdir.

1. Bir testin uygulanmak zere olduunu biliyor musunuz?

2. fa edilmesi, bozulmas veya silinmesi durumunda kurum iin en byk riskin ortaya kaca

esas veriler nelerdir?

3. Kendi i uygulamalarnzn doru bir ekilde altn teyit etmek iin test ve dorulama

prosedrleri gerekletiriyor musunuz?

4. Kendi kalite gvence test prosedrleriniz mevcut mudur?

5. Uygulama verilerinize ynelik olarak acil kurtarma prosedrleriniz mevcut mudur?

Sistem yneticileri iin sorular

Sistem yneticilerinin szma testi ve gvenlikle ilgili olarak gleri gz ard edilemez. Sistem

yneticileri kendi sistemlerini o kurumdaki herkesten ok daha iyi bilirler ve eer herhangi bir ey

yanl gidiyorsa muhtemelen dzeltici ilemlerin n safhalarnda onlar olacaklardr.

1. Krlgan olan sistemleri belirtir misiniz? (kmeye meyilli olan sistemleri, eski iletim

sistemlerinin olup olmadn veya herhangi bir nedenden tr yama yaplmam sistemleri

sorunuz.)

2. Ada, sistem yneticisine ait olmayan, ilave onay alnmasn gerektirebilecek sistemler mevcut

mudur?

3. Deiim ynetimi prosedrleri mevcut mudur?

4. Sistem kesintilerinde ortalama onarm sresi ne kadardr?

5. Herhangi bir sistem izleme yazlm mevcut mudur?

6. En kritik sunucularnz ve uygulamalarnz hangileridir?

7. Yedeklemeler dzenli olarak test edilmekte midir?

8. En son ne zaman yedeklemelerden geri ykleme yaplmtr?

1.7 Kapsamdaki kontrol d deiikler ve genileme

Szma testinin kapsamndaki kontrol d deiikler ve bymeler her eyi mahvedebilir. Bu husus

genellikle bir szma testi firmasnn varlna son vermesinin en etkili yollarndan biridir. Esas olan

husus, birok firmann ve firma yneticisinin byle bir durumun ortaya ktn nasl belirleyebileceini

ya da byle bir duruma nasl bir reaksiyon gstereceini ya hi bilmemesi ya da ok az ey bilmesidir.

Szma testinin kapsamndaki kontrol d deiikler ve bymelerle mcadelede aklda tutulmas

gereken birka husus mevcuttur. Bunlardan ilki, iyi bir i kardysanz mteri kuruluun ilave iler

talep etmesinin ok yaygn olmasdr. Mteri kurulu sizi ilave i iin ilave para talep etmeniz

nedeniyle brakyorsa bu mteri sizi kullanmaya alyordur. Siz de bu szlemeyi srdrmek

istemezsiniz zaten.

kinci husus daha da kritiktir. Mevcut mteriniz sizden ilave iler talep ederse ondan para szdrmaya

almayn. Fiyatlarnz drmeyi telafi edebilirsiniz. in peinde komanz gerekmemitir. Resmi

teklif prosedrlerini takip etmenize gerek kalmamtr. Bunlara bal olarak mteri kurulua %10luk

bir indirim yapmanz size bir ey kaybettirmez. Dahas, ilerdeki ileriniz iin en iyi kaynanz mevcut

mterilerinizdir. Onlara iyi davranrsanz onlar da size dner.

in balang ve biti tarihlerini belirleyin

Szma testinin kapsamndaki kontrol d deiikler ve bymeleri engellemenin anahtar bir bileeni de

iin balang ve biti tarihlerinin belirlenmesidir. Test uzmanlarnn ban yakan bir husus, yeniden

teste tabi tutma ilemidir. Yeniden teste tabi tutma bir szlemenin uygulanmasnda iyi bir fikirmi gibi

grnmektedir. Ancak ou zaman test uzmanlar ilerin tamam bitene kadar deme

alamayacaklarn unuturlar. Bu iler yeniden teste tabi tutmay da kapsamaktadr. Bunu halletmenin bir

yolu yeniden teste tabi tutma ileminin nihai raporun sunulmasndan sonra 30 gn iinde

gerekleeceinin szlemeye dahil edilmesidir. O zaman yeniden teste tabi tutma ileminin programa

alnmas konusunda n ayak olmanz gerekecektir. Mteri kurulu bir uzatma talep ederse,

szlemede belirtilen zaman ierisinde size deme yaplmas kouluyla buna olanak tanyn. te o

zaman doru bir ekilde uygulanan yeniden teste tabi tutma, yaplan iin en nemli ksm olur.

Unutmayn ki, ilerdeki ileriniz iin en iyi kaynanz mevcut mteri tabannzdr.

1.8 IP aralnn ve etki alanlarnn belirlenmesi

Bir szma testine balamadan nce szma giriiminde bulunacanz hedeflerin neler olduunu

bilmeniz gerekir. Bu hedefler balangtaki anket safhasnda, mteri kurulutan elde edilebilir. Mteri

kurulu tarafndan hedefler, belirli IP adresleri, a snrlar veya etki alanlar isimleri biiminde

verilebilir. Baz durumlarda mteri kuruluun size verdii tek hedef kuruluun ismi olur ve mteri

kurulu geri kalann sizin kendinizin ortaya karmanz ister. Test uzman ile nihai hedef arasndaki

gvenlik duvarlar ve sisteme izinsiz girileri tespit/engelleme sistemleri veya a donanmnn

tanmlanmas da nemlidir.

Snrlarn dorulanmas

Hedeflere ynelik olarak saldrya balamadan nce bu hedeflerin gerekten szma testini

gerekletirdiiniz mteri kurulua ait olup olmadnn teyit edilmesi zorunludur. Bir bilgisayara

saldr dzenlediniz ve baarl bir ekilde szma gerekletirdiniz. Ancak daha sonra bu bilgisayarn

aslnda baka bir kuruma (bir hastane veya bir kamu kurumu gibi) ait olduunu rendiniz. Bu

durumda karlaabileceiniz hukuki sonular dnn.

Hedeflerin gerekten mteri kurulua ait olup olmadn teyit etmek iin hedeflere ynelik olarak bir

kimlik sorgulama ilemi gerekletirebilirsiniz. Hedefe ynelik olarak bir kimlik sorgulama ilemi

gerekletirmek iin Webde mevcut olan Internic gibi bir kimlik sorgulama aracn kullanabilirsiniz.

1.9 nc taraflarla ilikiler

Baz durumlarda sizden nc bir tarafn makinesinde bulunan bir hizmet veya uygulamann teste

tabi tutulmas istenebilecektir. Bulut hizmetleri kurulular tarafndan daha fazla kullanldka bu husus

daha yaygn olarak ortaya kmaktadr. Burada aklda tutulmas nemli olan husus, sizin test yapmak

iin mteri kurulutan aldnz bir iznin olabilecei, ancak ayn zamanda nc bir taraftan da izin

almanzn gerekebileceidir. En kts, uluslararas hukuk ile sorun yaayabilirsiniz. Baz kurulular

bulut hizmetlerinden faydalandklarn bile bilmiyor olabilirler, ya da baz uygulamalarn baka bir

yerdeki ana makinede bulunduunu unutabilirler. Test esnasnda onlara bu gibi bilgileri vermeye hazr

olun veya i aklamasna, nc taraf kaynaklarnn aklanmadan kullanlmasn kapsayan bir

madde koyun.

Bulut hizmetleri

Bulut hizmetinin test edilmesinde en nemli husus tek bir fiziki ortamda birka farkl kuruluun

verilerinin saklanyor olmasdr. ou zaman bu farkl verilerin etki alanlar arasndaki gvenlik ok

gevektir. Bulut hizmetini salayan servis salaycsnn test konusunda uyarlmas ve testin

gereklemekte olduundan haberdar edilmesi ve servis salaycnn test uygulama kuruluuna test

yapma izni vermesi gerekir. lave olarak, bulutun dier mterilerini etkileyebilecek olan bir gvenlik

aklnn tespit edilmesi durumunda dorudan balant kurulabilecek olan bir gvenlik irtibat noktas

bulunmas gerekir. Baz bulut hizmeti salayclarnn, szma testi uzmanlarnn takip etmesi gereken

zel prosedrleri mevcuttur ve bu prosedrler test uzmanlarndan baz formlarn, szma testinin

zamannn veya ak iznin testin balamasndan nce talep edilmesini gerektirebilir.

Bu, test iin klfetli bir onay prosedr gibi grnebilir, ancak aksi durumda test uzmanlar iin riskler

ok byktr.

nternet servis salaycs

nternet servis salaycsnn mteri kurulu ile olan hizmet kullanm artlar teyit edilmelidir. ou

ticari durumda nternet servis salaycs szma testi iin zel hkmler ierir. Bu hkmlerin bir saldr

yaplmadan nce dikkatli bir ekilde gzden geirilmesi gerekir. nternet servis salaycsnn kt

niyetli olarak belirledii belirli trafii dlad ve engelledii durumlar sz konusudur. Bu gibi durumlar

mteri kurulu iin kabul edilebilir olabilir ya da olmayabilir. Her iki durumda da bu husus test

ncesinde mteri kurulu ile ak bir ekilde konuulmaldr.

Web sayfalarnn barndrlmas

Testin kapsam ve zamanlamasnn Web hizmeti salaycs ile ak bir ekilde konuulmas gerekir.

Ayn zamanda mteri kurulu ile dorudan grme esnasnda sadece Web aklklarn test

edeceinizi ak bir ekilde ifade etmeniz gerekir.

MSSP

MSSPde test hakknda bilgilendirilmelidir. MSSPye ait olan sistemlerin ve servislerin test edilmesi

esnasnda zellikle bilgi vermeniz gerekir.

Ancak MSSPyi bilgilendirmeyeceiniz baz durumlar sz konusudur. MSSPnin yantlama sresini

test ederken MSSPnin bilgilendirilmesi testin faydasna olmayacaktr.

Genel bir kural olarak, ak bir ekilde MSSPye ait olan bir cihaz veya servis ne zaman teste tabi

tutulsa, MSSP bilgilendirilmelidir.

Sunucularn barndrld lkeler

Sunucularn barndrld lkelerin teyit edilmesi de test uzmannn faydasnadr. lke teyit edildikten

sonra, teste balamadan nce bu belirli lkenin mevzuat incelenmelidir.

Firmanzn hukuk blmnn bu ilemi sizin iin yapmasn ve onlarn bu ilemi tam bir ekilde

yapacan beklemeyin. Uluslararas hukukun ihlal edilmesi durumunda hibir koulda firmanzn sizin

eylemlerinizin sorumluluunu almasn beklemeyin. Kanunlar kendiniz inceleyin. Unutmayn ki, biri

hapse girecekse, bu byk bir olaslkla hukuku ihlal eden test uzman olacaktr.

1.10 Kabul edilebilir sosyal mhendislik senaryolarnn belirlenmesi

ou kurulu gvenlik yaplarnn gncel saldrlarla ayn seviyedeki bir biimde test edilmesini isterler.

Sosyal mhendislik ve spear-phishing saldrlar gnmzde ou saldrgan tarafndan yaygn olarak

kullanlan saldrlardr. ou baarl saldrda cinsellik ve uyuturucu senaryo olarak kullanlsa da baz

senaryolar i ortamnda kabul edilebilir deildir. Firmanz tarafndan test iin kullanlmak zere seilen

senaryolarn test balamadan nce yazl olarak onaylandndan emin olun.

1.11 Hizmet aksatma

e balamadan nce gerilim testi veya hizmet d brakma testi grlmelidir. Bu konu testin doas

gerei verebilecei muhtemel zarara bal olarak ou kuruluun rahatsz olduu konulardan biridir.

Bir kuruluun verilerinin gizlilii veya btnl hakknda tereddtleri yoksa stres testinin yaplmas

gerekmeyebilir. Ancak kuruluun ayn zamanda salad hizmetlerin kullanlabilirlii hakknda

tereddtleri varsa stres testi retim ortamna benzer olan ancak retim yaplmayan bir ortamda icra

edilmelidir.

1.12 demelerle ilgili hkmler

Test iin hazrlanlmasnda ou test uzmannn unuttuu bir dier husus demelerin nasl

yaplacadr. Szleme tarihlerinde olduu gibi belirli deme tarihleri ve demeler iin de hkmler

olmaldr. Byk bir kuruluun test hizmetleri iin size deme yapmay mmkn olduunca ertelemesi

olaand bir durum deildir.

Aada demelerin ne ekilde yaplabilecei ile ilgili birka seenek sunulmaktadr. Bunlarn sadece

birer seenek olduu unutulmamaldr. Sizin firmanzn ve mteri kuruluun ihtiyalarna uyan bir

deme yaps ve plan gelitirebilirsiniz.

Net 30

deme yaplacak miktarn tamamnn nihai raporun teslimini mteakip 30 gn iinde yaplmas. Bu

deme planna genellikle ilave olarak aylk bir gecikme cezas eklenir. Mteri kurulua

tanyabileceiniz sre deiebilir (45 veya 60 gn gibi).

cretin yarsnn nceden alnmas

Test balamadan nce denecek tutarn yarsnn istenmesi olaand bir durum deildir. Bu, zellikle

uzun dnemli ilerde ok yaygndr.

Srekli deme

Srekli bir deme plan da olabilir. Bu daha ok uzun sreli iler iindir. rnein bir firmayla bir ya da

iki yl kapsayan bir szleme yapabilirsiniz. Mteri kuruluun size yl boyunca dzenli taksitlerle

deme yapmas hite olaand bir durum deildir.

1.13 Szma testinin amalar

Her szma testi ama odakl olmaldr. Szma testi mteri kuruluun iten veya grev hedeflerinden

dn vermesine yol aabilecek belirli aklklar belirlemek iin yaplmaktadr. Test, yama yaplmam

sistemlerin belirlenmesinden ibaret deildir. Test, kuruluu olumsuz olarak etkileyebilecek risklerin

belirlenmesi ile ilgilidir.

Temel amalar

Bir szma testinin temel amac uygunlua bal olarak karlmamaldr. Bu dncenin birka farkl

gerekesi vardr. ncelikle uygunluk gvenliin dengi deildir. ou kuruluun uygunluk maksadyla

teste tabi tutulmas anlalabilir bir durum olsa da uygunluk, szma testinin esas amac olmamaldr.

rnein bir PCI gerekliliinin bir ksmn test etmek zere bir i alabilirsiniz. Kredi kart bilgilerini ileme

tabi tutan ok sayda firma vardr. Ancak sizin hedef kuruluunuzu rekabeti bir ortamda tek ve

benzersiz klan ve hayatta kalmasn salayan zellikler, bu zelliklerden dn verildii taktirde hedef

kurulu zerinde ok byk bir etki yaratr. Kredi kart bilgilerinin nc taraflarn eline gemesi ok

kt olabilir. Hedef kuruluun mterilerinin tamamnn elektronik posta adreslerinin ve kredi kart

numaralarnn nc taraflarn eline gemesi ise bir felaket olur.

kincil amalar

kincil amalar dorudan uygunlukla ilgili olanlardr. Genellikle bu amalar esas amalara ok sk bir

ekilde baldr. rnein, kredi kartlarnn elde edilmesi ikincil bir amatr. Kuruluun iiyle ilgili

verilerin gizliliinin ihlal edilmesinin veya kuruluun misyonunu belirleyen prensiplerin bozulmasnn

denenmesi szma testinin temel amacdr.

analizi

Szma testini uygulamadan nce mteri kuruluun gvenlikle ilgili olgunluk dzeyinin belirlenmesi iyi

bir fikirdir. Herhangi bir gvenlik olgunluk dzeyi belirlenmeden dorudan szma testine geilmesini

isteyen ok sayda firma mevcuttur. Bu mteri kurulular iin nce bir aklk analizinin yaplmas iyi

bir fikirdir. Aklk analizi almasnn yaplmasnn kesinlikle kanlacak bir taraf yoktur.

Unutulmamas gerekir ki ama, hedef kuruluunuza ynelik olan risklerin belirlenmesidir. Bir firma, tam

kapsaml bir szma testi iin hazr deilse, byk bir ihtimalle yaplacak olan bir aklk analizinden

szma testine gre ok daha fazla yarar grecektir. Mteri kurulu ile nceden sistemler hakknda

sizin neleri bilmenizi istediklerinin belirlenmesi gerekir. Bu arada mteri kurulutan nceden haberdar

olduklar aklklar hakknda bilgi almak isteyebilirsiniz. Mteri kurulularn nceden bilgileri dahilinde

olan hususlarn yeniden kefedilerek raporlanmasna gerek kalmamas sizin iin zamandan, mteri

kurulu iin paradan tasarruf salayacaktr. Uygunluk bakmndan kesin bir gereklilik yoksa, tam veya

ksmi bir beyaz kutu testi mteri kurulu iin kara kutu testinden daha fazla fayda salayabilir.

Bir i aa szma testi uygulamanz isteniyorsa (bu durumda saldrgann ierden saldrya baladn

veya zaten orada olduunu farz etmelisiniz) kapsam hakknda daha fazla bilgi toplamanz gerekir.

1.14 letiim kanallarnn tesis edilmesi

Herhangi bir szma testinin en nemli ynlerinden birisi mteri kurulu ile iletiimin salanmasdr.

Mteri kurulu ile ne sklkla etkileimde bulunduunuz ve sizin mteri kurulua yaklama biiminiz

mteri kuruluun tatmin olma duygusunda ok byk bir fark yaratr. yi bir konumac olmanz

gerekmez. Bu dokmanda sizi bu konuda destekleyecek ve mteri kuruluun test faaliyetleri ile ilgili

olarak kendisini iyi hissetmesini salayacak bir iletiim erevesi tanmlanacaktr.

1.15 Acil durum irtibat bilgisi

Acil bir durumda mteri kurulula veya hedef kurulula temasa geilebilmesinin hayati olduu aktr.

Acil durumlar beklenen veya beklenmeyen bir ekilde ortaya kabilir ve byle bir durumda kiminle

temasa geeceinizi bilmelisiniz.

Bir acil durum temas listesi oluturun. Bu liste test kapsamndaki tm taraflarla ilgili iletiim bilgilerini

iermelidir. Acil durum temas listesi oluturulduunda, listede olan tm kiilerle paylalmaldr. Hedef

kuruluun mteriniz olmayabileceini aklnzda tutun.

Acil bir durumda ulalacak kiiler hakknda aadaki bilgileri derleyin:

1. smi

2. Unvan ve operasyonel sorumluluu

3. Test faaliyetleri ile ilgili olarak detaylarn grlme yetkisi (nceden belirlenmemise)

4. 7/24 hemen irtibat kurulacak iki kiinin cep telefonu, ar cihaz veya ev telefonu (mmknse)

5. SFTP veya ifrelenmi e-posta gibi gvenli bir toplu veri aktarm biimi

Not: Size yardm masas veya harekt merkezi gibi bir grubun isim ve telefon numaralar verilebilir.

Bunlar acil durumda irtibat kurulacak bir kiinin yerine sadece buralarda 7/24 personel

bulunduruluyorsa geebilir.

Szma testinin yaps acil durumda irtibat kurulacak kii listesinde kimlerin olmas gerektiini belirler.

Sadece siz acil durumda temas bilgilerine ihtiya duymazsnz. Mteri kurulularda acil bir durumda

sizinle irtibata geme ihtiyac duyabilirler. Bu liste tercihen aadaki kiileri iermelidir:

1. Test iin oluturulan gruptaki tm test uzmanlar

2. Test grubunun yneticisi

3. Her bir hedef kurulutan iki teknik balant eleman

4. Mteri kurulu tarafndan iki teknik balant eleman

5. Mteri kurulu tarafndan bir st dzey ynetici veya ile ilgili bir balant eleman

Yukardaki listede baz rtmelerin olmas mmkndr. rnein, hedef kurulu ayn zamanda

mteri kurulu olabilir. Test grubunun yneticisi ayn zamanda testi icra ediyor olabilir. Ya da mteri

kuruluun teknik balant eleman ayn zamanda st dzey ynetici olabilir. Ayn zamanda teste

mdahil olan her bir taraf, sz konusu taraflara liderlik eden ve onlar adna sorumluluu stlenen tek

bir irtibat elemann belirlemelidir.

1.16 Olay raporlama prosedr

Bir ie balamadan nce kuruluun mevcut olaylara tepki yeteneklerinin grlmesi birka nedenden

dolay nemlidir. Szma testi sadece kuruluun mevcut gvenliinin test edilmesi deildir, ayn

zamanda kuruluun olaylara tepki yeteneklerinin ne olduunun da tespit edilmesidir. Siz szma testine

balayp sonuna kadar gittiinizde, hedef kurulu sizin orada olduunuzun hi farknda olmazsa, ak

bir ekilde kuruluun gvenlik yaplanmasnda nemli bir boluu belirlemisiniz demektir. Teste

balamadan nce, siz testi icra ederken kurulutan birisinin farknda olup, buna bal olarak olay tepki

timinin bir saldrya uradklarn veya bilgilerinin alndn dnerek gecenin bir yarsnda gerekli

kiileri aramaya balamamasn da garanti altna almak isteyeceksinizdir.

Olay tanm

NISTin tanmlamasna gre, Bir bilgisayar gvenlik olay, bilgisayar gvenlik politikalarna, kabul

edilebilir kullanm politikalarna veya standart gvenlik uygulamalarna ynelik bir ihlal veya ok yakn

bir ihlal tehdididir. Burada bilgisayar mantnn dnda dnldnde, herhangi birinin bir kurulua

zorla girmesi ile de fiziki bir olay ortaya kar. Teste tabi tuttuunuz kurulu farkl tiplerdeki olaylar iin

farkl kategoriler ve dzeyler belirlemelidir.

Durum raporu periyodu

Durum raporunun periyodu byk lde deikendir. Raporlama zaman plann etkileyen faktrler

testin tamamnn uzunluu, testin kapsam, hedef kuruluun gvenlik olgunluk derecesi vb. ierir.

Mteri kuruluun kendisini iin iinde hissetmesine olanak tanyacak bir zaman plan

kararlatrlmaldr. Gz ard edilen mteri, artk eski bir mteridir.

Durum raporunun periyodu ve zaman plan bir kere belirlendikten sonra buna bal kalnmaldr. Bir

durum raporunun ertelenmesi veya geciktirilmesi gerekli olabilir, fakat bu durum kroniklememelidir.

Gerekli olduunda yeni bir zaman plan iin mteri kuruluun onay alnmaldr. Bir durum raporunun

tamamen atlanmas profesyonel bir davran deildir ve bundan kanlmaldr.

PGP protokol ve dier alternatifler (ifreleme seenekler arasnda deildir)

Mteri kurulu ile iletiim herhangi bir szma testi iinin kesinlikle gerekli olan bir yndr ve iin

hassas doasna bal olarak, hassas bilgiler ve zellikle nihai rapor iletiim esnasnda ifrelenmelidir.

Testlerinizi icra etmeye balamadan nce mteri kurulu ile gvenli bir iletiim yolu belirleyin. Yaygn

olan birka ifreleme yolu aada sunulmaktadr:

1. PGP/GPG protokollerinin her ikisi de e-posta ile haberlemede ve nihai raporun

ifrelenmesinde kullanlr

2. Mterinin anda gvenli bir posta kutusu barndrlr

3. Telefon

4. Yz yze yaplan toplantlar

5. Nihai raporun teslimatnda, raporu AES ifreli ariv dosyasnda da saklayabilirsiniz. Ancak

ariv hizmetinizin AES ifrelemesini desteklediinden emin olmalsnz

6. Ayn zamanda hangi bilgilerin yazl hale getirilebileceini ve hangi bilgilerin sadece szl

olarak iletilmesi gerektiini sormalsnz. Siz onaylasanz da onaylamasanz da baz

kurulularn baz gvenlik bilgilerinin kendilerine yazl olarak aktarlmasnda snrlama

getirmeleri iin ok iyi gerekeleri vardr.

Mteri kurulu ile gvenli bir iletiim yolunun nceden tesis edilmesi ve ayn zamanda bu yolun

mteri kuruluun yetenekleri dahilinde olmas ve mteri kuruluun kendini rahat hissetmesinin

salanmas nemlidir.

1.17 kurallar

Kapsam neyi test edeceinizi tanmlarken, i kurallar test ileminin ne ekilde gerekletirileceini

tanmlamaktadr. Bunlar birbirinden bamsz olarak ele alnmas gereken iki farkl husustur.

Zaman izelgesi

Test iin ak bir zaman izelgeniz olmaldr. Kapsamda balang ve biti zamanlar tanmlanrken

imdi balang ve biti zamanlarnn arasndaki her eyin tanmlanmasnn zaman gelmitir. Test

ilerledike zaman izelgesinin deimesi anlalabilir bir durumdur. Bir zaman izelgesi yaratmaktaki

ama kesin, deimez bir zaman izelgesine sahip olmak deildir. Aslnda bir zaman izelgesi sizin

iin ve mteri kurulu iin balangta yaplmas gereken ilerin ak bir ekilde belirlenmesi ve

ilerden kimlerin sorumlu olacann tespit edilmesine olanak salar. Genellikle yaplacak iin ve iin

her bir belirli blmnn alaca zamann belirlenmesinde GANTT izelgeleri ve i dkm yaps

kullanlmaktadr. Zaman plannn dkmnn bu ekilde grlmesi sizin iin tahsis edilmesi gerekecek

kaynaklarn belirlenmesinde ve mteri kurulu iin test esnasnda karlalabilecek muhtemel

engellerin belirlenmesinde yardmc olacaktr.

nternette kullanma ak olan ok sayda GANTT izelgesi arac mevcuttur. Sizin iin en iyi olann

bulun ve bir testin yol haritasn olutururken youn olarak kullann. Bu ara, hedef kuruluun st

ynetimi ile aranzda mkemmel bir iletiim ortam salayacaktr.

Lokasyonlar

Mteri kurulu ile test iin nerelere seyahat etmeniz gerekeceini grmeniz de nemlidir. Bu en

basitinden yerel otellerin belirlenmesi, en karmak anlamda ise belirli bir hedef lkenin kanunlarnn

belirlenmesi iindir.

Baz durumlarda bir kuruluun ok sayda lokasyonu mevcuttur ve sizin birka rnek lokasyonu

belirlemeniz gerekebilir. Bu gibi durumlarda mteri kuruluun tm lokasyonlarna seyahat etmekten

kanmaya almalsnz. ou zaman testte kullanmak zere Yerel Alan A balantlar mevcut olur.

Hassas bilgilerin aklanmas

Amalarnzdan birisi hassas bilgilere eriim salamak olsa da, aslnda bu bilgileri grmek veya

indirmek istemeyebilirsiniz. Bu yeni test uzmanlar iin biraz tuhaf gelebilir ancak hedef bilgilerin

sisteminizde bulunmasn istemeyeceiniz ok sayda durum vardr. ou durumda test sisteminizin

bir gvenlik duvar ya da sistemde almakta olan bir anti-virs uygulamas yoktur. Bu gibi durumlar

kiisel kimlik bilgilerinizi bilgisayarnzn yaknnda bir yerde bulundurmay istemeyeceiniz

durumlardr.

Bu durumda soru una dnmektedir; Verileri elde etmeden eriim saladm nasl ispat

edeceim? Verileri gstermeksizin eriim saladnz ispat etmenin birok yolu mevcuttur. rnein,

bir veri taban emas gsterebilirsiniz, eriim saladnz sistemlerin izinlerini gsterebilirsiniz veya

ierii gstermeden dosyalar gsterebilirsiniz.

Testlerinizde geerli olmasn istediiniz paranoya dzeyi, mteri kurulula birlikte karar vermeniz

gereken bir husustur. Her durumda testlerin arasnda test bilgisayarnzda bulunan sonular

temizlemek isteyeceksiniz. Bu husus ayn zamanda kullanacanz raporlama ablonu iin de

geerlidir.

zel bir ek bilgi olarak, kanun d ierikle (ocuk pornosu vb.) karlatnz durum larda derhal

emniyet glerini ve daha sonra mteri kuruluu belirtilen sra dahilinde bilgilendirmelisiniz. Mteri

kuruluu bilgilendirip ondan konuyla ilgili talimat almaynz. Bu gibi ieriin en basit ekliyle izlenmesi

dahi su tekil eder.

Kantlarn kullanlmas

Bir testin kantlarnn kullanlmasnda, raporun farkl aamalarnda verilere byk bir zen gsterilmesi

inanlmaz lde nemlidir. Daima ifrelemeyi kullannz ve testlerin arasnda test iin kullandnz

bilgisayar temizleyiniz. Gvenlik toplantlarnda iinde test raporlarnn bulunduu USB ubuklarn

hibir ekilde bakasna teslim etmeyiniz. Ve ne yaparsanz yapn, baka bir mterinin raporunu bir

ablon olarak yeniden kullanmaynz. Bir dokmannzda baka bir kurulua ait referanslarn

bulunmas hite profesyonelce bir davran olmaz.

Dzenli durum toplantlar

Test prosedr boyunca mteri kurulu ile dzenli toplantlar yaplarak onlarn testin genel gidiat

konusunda bilgilendirilmesi kritik bir husustur. Bu toplantlar gnlk olarak dzenlenmeli ve mmkn

olduunca ksa tutulmaldr. Genel olarak toplantlar basit hususu kapsar: planlar, ilerleme ve

problemler.

Planlar blmnde o gn iin neyi yapmay planladnz tanmlarsnz. Bunun maksad bir deiim

veya hizmet d kalma esnasnda test icra etmeyeceinizden emin olunmasdr.

lerleme blmnde bir nceki toplantdan beri neleri tamamladnz hususunda bilgi vermelisiniz.

Problemler blmnde testin genel olarak zamanlamasn etkileyecek her konu mteri kurulu ile

grlmelidir. Herhangi bir durumu dzeltmek zere belirlediiniz belirli kiiler varsa, probleme

ynelik zm toplantda tartmamalsnz.

Durum toplantlarnda ama 30 dk. veya daha az sreli bir toplant yapmak ve geri kalan grmeleri

sadece problemi zmek iin gerekli olan kiilerle evrimd olarak yapmaktr.

Gnn hangi saatlerinde test yaplaca

ou mteriler bakmndan gnn baz saatlerinde testin icra edilmesi dier saatlere gre daha iyidir.

Maalesef bu szma testi uzmanlar iin ou zaman gece ge saatler demektir. Testin balamasndan

nce testin uygulanaca saatlerin mteri kurulu ile grldnden emin olunuz.

Saldrlardan saknma

Saldrlardan saknmann tamamen kabul edilebilir olduu zamanlar ve saldrlardan saknmann testin

ruhuna uygun olmad zamanlar vardr. rnein, eer uyguladnz test sadece teknolojinin deil

ama ayn zamanda hedef kuruluun gvenlik ekibinin yeteneklerinin teste tabi tutulduu bir kara kutu

testi ise saldrlardan saknmak tamamen uygundur. Ancak ok sayda sistemi hedef kuruluun

gvenlik ekibiyle koordineli olarak teste tabi tutuyorsanz saldrlardan saknlmas testin faydasna

olmayacaktr.

Test iin izin

Bu dokman test yaparken alabileceiniz muhtemelen en nemli belgedir. Bu belge testin kapsamn

belgelendirir ve mteri kuruluun gvenlik aklklar bakmndan teste tabi tutulacaklar ve

sistemlerinin nc ahslarn kontrolne geebilecei gereini imza altna aldklar belgedir. lave

olarak, bu izin belgesi ak bir ekilde testin sistemde dengesizliklere yol aabileceini ve proses

esnasnda test uzmanlar tarafndan sistemlerin kertilmemesi iin her trl ihtimamn gsterileceini

ifade eder. Ancak testin icras dengesizliklere yol aabileceinden, mteri kurulu test uzmanlarn

herhangi bir sistem dengesizlii veya kmesinden sorumlu tutamaz.

Bu dokman mteri kurulu tarafndan imzalanmadan testin balamamas ok nemlidir.

lave olarak baz servis salayclar kendi sistemlerinin test edilmesine balanmadan nce bir n

bildirimde bulunulmasn ve/veya ayr bir izin alnmasn isterler. rnein, Amazonda doldurulmas

gereken evrimii bir talep formu mevcuttur ve kendi bulutlarndaki herhangi bir makinenin

taranmasndan nce bu istein onaylanmas gerekir.

Hukuki mlahazalar

Szma testlerinde yaygn olan baz faaliyetler baz yerel kanunlara aykr olabilir. Bu nedenle yaygn

olarak kullanlan szma testi grevlerinin almann gerekletirilecei yerdeki hukuka uygunluunun

kontrol edilmesi tavsiye edilir. rnein, szma testi esnasnda nternet zerinden yaplan herhangi bir

aramann yakalanmas baz blgelerde telefon dinleme olarak deerlendirilebilir.

1.18 Mevcut yetenekler ve teknoloji

yi bir szma testi sadece yama yaplmam sistemleri aramaz. Bu testler ayn zamanda hedef

kuruluun yeteneklerini de test eder. Buradan hareketle aada test esnasnda nirengi noktas olarak

kullanlabilecek hususlarn bir listesi verilmektedir:

1. Bilgi toplamann tespit edilmesi ve buna karlk verilmesi

2. Ayrt edici zelliklerin aratrlmasnn tespit edilmesi ve buna karlk verilmesi

3. Tarama yaplmasnn ve aklk analizi yaplmasnn tespit edilmesi ve buna karlk verilmesi

4. Sisteme szmann (saldrlar) tespit edilmesi ve buna karlk verilmesi

5. Verilerin biriktirilmesinin tespit edilmesi ve buna karlk verilmesi

6. Verilerin dar szdrlmasnn tespit edilmesi ve buna karlk verilmesi

Bu bilgiler izlenirken zaman bilgisinin de alndndan da emin olunmaldr. rnein, bir tarama faaliyeti

tespit edilirse size bilgi verilmeli ve hangi dzeyde bir tarama gerekletirildii belirtilmelidir.

2. Bilgi toplama

2.1 Genel

Bu blmde szma testinin bilgi toplama faaliyetleri tanmlanmaktadr. Bu dokmann maksad zellikle

bir hedefe (tipik olarak bir firma, askeri kurulu veya ilgili dier kurulular) ynelik olarak keif faaliyeti

gerekletiren szma testi uzmanlar iin gelitirilmi bir dokman salamaktr. Bu dokmanda

dnce aamas ve szma testi kefinin amalar detaylandrlmaktadr ve uygun bir ekilde

kullanldnda bu dokman okuyucusuna bir hedefe saldr icra etmek iin yksek dzeyde stratejik bir

plan hazrlamasnda yardmc olur.

2.2 stihbarat toplama

Nedir?

stihbarat toplama, bir hedefe szma gerekletirirken, aklk deerlendirmesi ve istismar etme

safhalarnda faydalanmak zere mmkn olduu kadar ok bilgi toplamak iin bir hedefe ynelik

olarak keif faaliyeti gerekletirmektir. Bu aamada ne kadar ok bilgi toplayabilirseniz daha

sonra o kadar ok saldr vektr kullanabilirsiniz.

Ak kaynak istihbarat kamuya ak kaynaklardan bilgilerin bulunmas, seilmesi ve elde

edilmesini ve bu bilgilerin eyleme dntrlebilir istihbarat retmek iin analiz edilmesini ieren

bir istihbarat toplama ynetim biimidir.

Neden yaplmaktadr?

Ak kaynak istihbarat toplama faaliyetini bir kuruluun eitli giri noktalarn belirlemek iin

gerekletiririz. Bu giri noktalar fiziki noktalar, elektronik noktalar ve/veya insanlar olabilir. ou

firmalar kendileri hakknda hangi bilgileri herkese atklarn ve bu bilgilerin azimli bir saldrgan

tarafndan ne ekilde kullanlabilecei hususlarn gzden karrlar. Bunun da tesinde ou

alanlar kendileri hakknda hangi bilgileri herkese ak hale getirdiklerini ve bu bilgilerin onlara

veya iverenlerine kar ne ekilde kullanlabilecei hususlarn gz ard ederler.

Ne deildir?

Ak kaynak istihbarat toplama faaliyetinde elde edilen bilgiler doru ve zamanl olmayabilir. Bilgi

kaynaklar kasten/kazara yanl bilgiler yanstmak zere maniple edilebilir. Zaman getike

bilgiler eskimi olabilir veya basit bir ekilde bilgiler eksik olabilir.

Bu istihbarat faaliyetleri ie yarayacak bir eyler bulmak amacyla yaplan p kartrmay ya da

tesis ierisinde bulunan fiziki nesnelerden firma hakknda bilgi karlmasn kapsamaz.

2.3 Hedef seimi

Hedefin belirlenmesi ve adlandrlmas

Bir hedef kurulu ele alnrken, firmann ok sayda farkl TDL ve ikincil ilerinin olabileceinin bilinmesi

nemlidir. Bu bilgiler kapsam belirleme safhasnda belirlenmi olsa da ie balamadan nce

balangta grlm olan kapsamda olmayabilen ilave sunucularn, etki alanlarnn ve firmalarn

belirlenmesi allmadk bir durum deildir. rnein bir firmann .com eklinde bir st dzey etki alan

olabilir. Ancak ayn firmann .net, .co ve .xxx eklinde etki alanlar da olabilir. Bu etki alanlar

dzeltilmi kapsamn bir ksmn oluturabilir ya da snrlarn dnda tutulabilir. Her iki durumda da

testin balamasndan nce bu hususun mteri kurulu ile akla kavuturulmas gerekir. Bir firma

iin firmann altnda yer alan ok sayda alt firmann olmas da allmadk bir durum deildir.

kurallarndaki kstlamalarn dikkate alnmas

Bu noktada i kurallarnn gzden geirilmesi iyi bir fikir olabilir. Test esnasnda bunlarn unutulmas

olduka yaygn bir durumdur. Bazen test uzmanlar olarak bulduklarmza ve saldr imknlarna

kendimizi kaptrp hangi IP adreslerine, etki alanlarna ve alara saldr gerekletirebileceimizi

unuturuz. Testinizin odaklanmasn muhafaza etmek iin daima i kurallarna bavurunuz. Bu sadece

hukuksal bakmdan deil ayn zamanda test kapsamnda kontrol d deiikler ve bymeler

olmamas bakmndan da nemli bir husustur. Esas hedeflerden sapmanz sizin iin zaman kaybna ve

uzun dnemde firmanz iin para kaybna mal olacaktr.

Testin sresinin dikkate alnmas

Testin tamamnn sresi, gerekletirilebilecek istihbarat toplama faaliyetinin miktarn dorudan

etkiler. Baz testlerde toplam sre iki ila aydr. Bir test firmas bu gibi ilerde olduka byk bir

zaman esas i birimlerini ve firmann personelini aratrmak iin harcar. Ancak daha ksa sreli

testlerde hedefler daha taktik olabilir. rnein, spesifik bir Web uygulamasnn teste tabi tutulmasnda

firmann genel mdrnn finansal kaytlarnn aratrlmasna gerek grlmeyebilir.

Testin nihai amacnn dikkate alnmas

Bilgi toplama safhasndan ne elde etmek istediinizin belirlenmesi

Sonu almak iin plan yaplmas

2.4 Ak kaynak istihbarat

Ak kaynak bilgilerinin biimi vardr; pasif, yar pasif ve aktif.

Pasif istihbarat toplama: Pasif istihbarat toplama sadece, istihbarat toplama faaliyetlerinin hedef

tarafndan tespit edilmemesi gibi ok ak bir gereklilik varsa kullanldr. Hedef kurulua ne

kendimiz ne de kendi makinelerimizden, anonim makinelerden veya nternet genelindeki

servislerden hibir trafik gnderilmediinden bu tr bir profil karma ileminin teknik olarak

gerekletirilmesi gtr. Bu sadece arive alnan veya saklanan bilgileri toplayabileceimiz

anlamna gelmektedir. Sadece nc taraflardan toplanan sonularla kstlandmza bal

olarak bu bilgiler zaman gemi veya yanl bilgiler olabilmektedir.

Yar pasif istihbarat toplama: Yar pasif istihbarat toplamann amac, normal nternet trafii veya

normal alma davranlar gibi grnen yntemlerle hedefin profilinin karlmasdr. Bilgi iin

sadece aklanm olan sunucular sorgularz, derinlikli tersine aramalar gerekletirmeyiz veya

brute force DNS isteklerinde bulunmayz, aklanmam sunucularda veya dizinlerde arama

yapmayz. A dzeyinde port taramas yapmayz veya gezginleri altramayz ve sadece

yaynlanm dokmanlar ve dosyalardaki meta verilere bakarz. Aktif olarak gizlenmi ierik

aratrmayz. Burada anahtar husus faaliyetlerimizin dikkat ekmemesidir. lem sonrasnda hedef

geriye dnk olarak keif faaliyetlerini tespit edebilir fakat bu faaliyeti kimseye isnat edemez.

Aktif istihbarat toplama: Aktif istihbarat toplama, pheli ve kt niyetli davranlar hedef

tarafndan tespit edilmelidir. Bu aamada aktif olarak a yapsn karrz, aktif bir ekilde ak

servisleri listeleriz ve/veya aklk analizi taramas yaparz. Aklanmam dizinlerde, dosyalarda

ve sunucularda aktif olarak arama yaparz. Bu faaliyetlerin ou standart szma testinin tipik keif

veya tarama faaliyetleridir.

Firma

Fiziki bilgiler

Lokasyonlar

Her bir lokasyonun iin ak adres, mlkiyet, ilgili dier bilgilerin (ehir, vergi, hukuki vb.) listelenmesi.

Lokasyondaki tm fiziki gvenlik tedbirlerinin (kamera yerleri, sensrler, tel rgler, devriyeler, giri

kontrol, kaplar, kimlik tr, tedariki girii, IP bloklarna/konum belirleme servislerine dayal fiziki

lokasyonlar vb.) listelenmesi.

Sahibi

Arazi/vergi kaytlar

Paylaml/mstakil

Saat dilimleri

Makineler/A operasyon merkezi

Firmann yaylmas

Bir hedef kurulu iin ok sayda birbirinden ayr fiziki lokasyonun bulunmas allmadk bir durum

deildir. rnein bir bankann merkez ofisleri vardr ancak ayn zamanda ok sayda uzak ubeleri de

bulunmaktadr. Merkez lokasyonlarda fiziki ve teknik gvenlik ok iyi olabilirken, uzak lokasyonlarn

gvenlik denetimleri ounlukla zayftr.

likiler

ortaklar, gmrkler, tedarikiler, firmann Web sayfasnda ak olarak paylalanlar yoluyla analiz

edilenler, kiralama firmalar vb. Bu bilgiler ile ilgili veya kurumsal projelerin daha iyi anlalmasnda

kullanlabilir. rnein, hedef kurulu iin hangi rnlerin ve hizmetlerin kritik olduu gibi.

Bu bilgiler ayn zamanda baarl sosyal mhendislik senaryolarnn yaratlmasnda da kullanlabilir.

likiler

Paylalan ofis alanlar

Paylalan altyap

Kiralanm/finansal olarak kiralanm tehizat

Mantksal ba kurma

Ortaklar, mteriler ve rakipler hakknda toplanan bilgiler: Her biri iin ticari unvan, i adresi, iliki tr,

temel finansal bilgiler, ana makineleri/a bilgisinden oluan tam bir liste.

ortaklar

Hedefin ilan edilmi i ortaklar. Bazen esas nternet sitesinde ilan edilir.

mterileri

Hedefin ilan edilmi mterileri. Bazen esas nternet sitesinde ilan edilir.

Rakipler

Hedefin rakipleri kimlerdir? Bunun tespiti basit olabilir veya ileri bir analiz gerektirebilir.

rtibat izelgesi

rtibat izelgesi (insanlar arasndaki sosyal balarn grsel bir sunumu) kurulu ierisindeki

kiilerin potansiyel etkileimlerini ortaya karmada ve bu kiilere dardan (irtibat izelgesi d

topluluklar ierdiinde ve iki seviyeden daha yukarda bir derinlikte oluturulduunda) nasl eriim

salanabileceinin belirlenmesinde size yardmc olur.

Temel irtibat izelgesi o ana kadar derlenmi olan bilgilerden karlan kurumsal yapy

yanstmaldr ve ilave olarak izelgede yaplacak mteakip genilemeler de bu bilgilere dayal

olmaldr (irtibat izelgesi genellikle kurumsal olarak odaklanlan varlklar daha iyi gsterdiinden

ve muhtemel yaklama vektrlerini aa kardndan).

Hoovers profili

Nedir? Yar kullanma ak bir istihbarat kaynadr (genellikle demeli abonelik ile). Bu gibi

kaynaklar firmalar hakknda ile ilgili bilgilerin toplanmas konusunda ve i hakknda normalize

edilmi bir bak as salamada uzmanlamlardr.

Neden kullanlr? Bilgiler fiziki lokasyonlar, rekabet ortamn, anahtar personeli, finansal bilgileri

ve ile ilgili dier bilgileri ierir (kaynaa bal olarak).

Nasl kullanlr? Web sitesinde ticari unvan kullanlarak yaplacak bir arama firmann tam bir

profilini ve firma hakknda mevcut olan tm bilgileri karr. Bilgilerin birka kaynak kullanmak

suretiyle apraz olarak sorgulamasnn yaplmas ve en gncel bilgilerin elde edildiinden emin

olunmas nerilir.

retim hatt

Hedef kuruluun sunduu rnler ve kurulu hizmet retiyorsa bu hizmetler hakknda ilave bir

analiz yaplmas gerekebilir.

Dikey pazar

Hedef kuruluun hangi endstri kolunda faaliyet gsterdii (finans, savunma, tarm, kamu vb.)

Pazarlama hesaplar

Pazarlama faaliyetleri hedefin pazarlama stratejileri hakknda zengin bilgiler salar.

Hedef kuruluun sosyal balantlarn belirlemek iin tm sosyal medya alar incelenmelidir.

Hedef kuruluun gemiteki pazarlama kampanyalar incelenmelidir.

Toplantlar

Toplant tutanaklar yaynlanyor mu?

Toplantlara halka ak m?

Firma iin nemli tarihler

Ynetim kurulu toplantlar

Tatiller

Yldnmleri

rn/hizmet balanglar

olanaklar

Bir kuruluun i olanaklar listelerini (genellikle kuruluun Web sitesinin kariyer blmnde

bulunurlar) incelemek suretiyle kurulu ierisinde ne tr teknolojilerin kullanlmakta olduunu

belirleyebilirsiniz. rnein bir kuruluta Solaris Sysadmin gibi bir i olana olmas, kuruluun

Solaris systems kullandn ok ak bir ekilde gsterir.

Hayr kurumlar ile balar

Bir hedef kuruluun yneticilerinin hayr kurumlar ile ilikilerinin bulunmas ok yaygn olarak

grlr. Bu bilgiler yneticiler hedeflendiinde salam sosyal mhendislik senaryolarnn

yaratlmas iin kullanlabilir.

Teklif/Fiyat teklifi alma ve dier kamu ihale bilgileri

Teklif/Fiyat teklifi alma faaliyetleri firma tarafndan kullanlan sistemlerin tipleri hakknda ve

altyaplarndaki potansiyel eksikler hakknda ok miktarda bilgi gsterir.

haleleri kazananlarn kimler olduunun belirlenmesi kullanlmakta olan sistemlerin tiplerini veya

firma kaynaklarnn kuruluun dnda bulundurulduu bir lokasyonu gsterebilir.

Mahkeme kaytlar

Mahkeme kaytlar genellikle ya serbeste kullanlabilir durumdadr ya da bir cret karl

alnabilir.

Eski alanlarn at davalar ieren ancak bunlarla snrl olmayan davalarn ierii firmadan

ikayeti olanlar hakknda bilgiler verebilir.

Mevcut ve eski alanlar hakkndaki sabka kaytlar sosyal mhendislik gayretleri iin bir dizi

hedef salayabilir.

Balar

Balar ve dier finansal katklarn belirlenmesi gl bir pozisyonda olmayabilen ancak firmann

mevcut bir kar bulunan nemli kiilerin belirlenmesi bakmndan nemlidir.

Balarn karlmas lkeden lkeye bilgi edinme zgrlne bal olarak deiir fakat ou

durumda baka lkelerden yaplan yardmlar mevcut veriler kullanlmak suretiyle geriye doru

takip edilebilir.

Mesleki lisanslar ve tesciller

Hedef kuruluunuzun mesleki lisanslarnn ve tescillerinin elde edilmesi sadece firmann nasl alt

hakknda deil ayn zamanda bu lisanslar muhafaza etmek iin takip ettikleri klavuzlar ve

dzenlemeler hakknda da bir bak salar. Buna iyi bir rnek olarak, bir firmann ISO Standardlar

sertifikas firmann belli klavuzlar ve prosesleri takip ettiini gsterir. Test uzman asndan bu

proseslerin ve bu proseslerin kuruluta gerekletirilmekte olan testlere nasl bir etkisi olacann

farknda olunmas nemlidir.

Bir firma genellikle bu gibi detaylar Web sayfalarna bir onur iareti olarak koyar. Aksi durumda dikey

bir pazarda, kuruluun bu pazarn bir yesi olup olmadnn anlalmas iin tescillerin aratrlmas

gerekebilir. Kullanlabilir olan bilgiler byk lde dikey pazara ve ayn zamanda firmann corafi

konumuna baldr. Uluslararas firmalarn farkl bir ekilde lisanslandrlm olabileceine ve lkeye

bal olarak farkl standardlarla veya yasal organlarla tescil edilmelerinin gerekebileceine de dikkat

edilmelidir.

Firmann organizasyon emas

Grev tanmlar

Kurulutaki nemli kiiler

zellikle hedeflenecek kiiler

lemler

tirakler

Elektronik

Dokman meta verileri

Nedir? Meta veri bir verinin/dokmann kapsam hakknda bilgi verir. Yazar/oluturann ismi, tarih

ve saat, kullanlan/bavurulan standardlar, bir bilgisayar andaki yeri (yazc/dosya/dizin/yol vb.

bilgiler), corafi etiket vb. gibi bilgileri ierebilir. Bir resim iin meta veri renk, derinlik, znrlk,

kamerann yaps/tr ve hatta koordinat ve konum bilgilerini ierebilir.

Meta veri niin kullanlr? Meta veri nemlidir nk i a, kullanc isimleri, e-posta adresleri,

yazclarn konumlar vb. bilgileri ierir ve lokasyonun bir plannn karlmasna yardmc olur.

Meta veri ayn zamanda ilgili dokmanlarn yaratlmasnda kullanlan yazlm hakknda bilgileri de

ierir. Bu, saldry gerekletirenin bir profil yaratmasn ve/veya alar ve kullanclar hakkndaki

dahili bilgilerle zel amal saldrlar icra etmesini mmkn klar.

Nasl elde edilir? Dosyadan (pdf/word/resim) meta verileri karan FOCA (GUI-tabanl),

metagoofil (python- tabanl), meta-extractor, exiftool (perl-tabanl) gibi aralar mevcuttur. Bu

aralarn meta verileri karma ve sonular HTML, XML, GUI, JSON vb. gibi formatlarda sunma

yetenekleri vardr. Bu aralarda kullanlacak olan girdiler ou zaman mterilerin kamuya ak

varlklarndan indirilen ve daha sonra hakknda daha fazla bilgi edinmek iin analiz edilen bir

belgedir. Belgeleri aramanza, indirmenize ve analiz etmenize yardmc olan FOCA olsa da tm

bunlar FOCAnn GUI arayz araclyla gerekletirilir.

Pazarlama iletiimleri

Gemi pazarlama kampanyalar yrrlkten kalkm olabilen ancak halen eriilebilir olan projeler

hakknda bilgi salar.

Gncel pazarlama iletiimleri, ou dahili olarak kullanlan tasarm bileenlerini de (renkler,

fontlar, grafikler vb.) ierir.

D pazarlama kurulular gibi ilave iletiim bilgileri.

Altyap varlklar

Sahip olunan a bloklar

Kurulu tarafndan sahip olunan a bloklar WHOIS aramalar gerekletirmek suretiyle pasif

olarak elde edilebilir. DNSStuff.com bu gibi bilgilerin dorudan elde edilebilecei bir yerdir.

IP adreslerine ynelik olarak gerekletirilen aramalar hedefteki altyapnn tipi hakknda bilgiler

verebilir. Yneticiler genellikle IP adresi bilgilerini eitli destek sitelerindeki yardm istekleri

balamnda gnderirler.

E-posta adresleri

E-posta adresleri geerli kullanc adlarnn ve etki alan yapsnn potansiyel bir listesini salar.

E-posta adresleri kuruluun Web sitesi de dahil olmak zere birok kaynaktan toplanabilir.

D altyap profili

Hedefin d altyap profili dahili olarak kullanlan teknoloji hakknda geni bilgi salayabilir.

Bu bilgiler eitli kaynaklardan pasif ya da aktif bir ekilde toplanabilir.

Profil, d altyapya ynelik olarak bir saldr senaryosunun oluturulmasnda kullanlmaldr.

Kullanlan teknolojiler

Destek forumlar, posta listeleri ve dier kaynaklarda yaplan ak kaynak istihbarat aramalaryla

hedefte kullanlan teknolojiler hakknda bilgi toplanabilir.

Belirlenen bilgi teknolojileri kuruluuna kar sosyal mhendislik kullanlmaldr.

rn satclarna kar sosyal mhendislik kullanlmaldr.

Satn alma anlamalar

Satn alma anlamalar donanm, yazlm, lisanslar ve hedefte mevcut olan ilave fiziki varlklar

hakknda bilgi ierir.

Uzaktan eriim

alanlarn ve/veya mterilerin uzaktan eriim iin hedef kurulua nasl bal olduu hakknda

bilgi elde edilmesi potansiyel bir giri noktas salar.

ou zaman uzaktan eriim portalna balant hedef kuruluun ana sayfasnda bulunur.

Nasl yaplr (How To) dokmanlar, uzaktaki kullanclara uygulamalar/prosedrleri gsterir.

Uygulama kullanm

Hedef kurulu tarafndan kullanlan bilinen uygulamalarn bir listesini oluturun. Bu, genellikle herkesin

eriimine ak olan dosyalardan meta verilerin karlmas ile yaplabilir (nceden bahsedildii gibi).

Savunma teknolojileri

Kullanmda olan savunmaya ynelik teknolojilerin ayrt edici zelliklerinin belirlenmesi, kullanmda olan

savunma sistemlerine bal olarak birka yolla yaplabilir.

Pasif bir ekilde ayrt edici zelliklerinin belirlenmesi

Hedef kuruluun teknisyenlerinin baz konular tartmalar veya kullanmda olan teknolojilerle ilgili

yardm istemeleri muhtemel olan forumlarda ve kamuya ak olarak eriilebilir olan bilgilerde

arama yapn.

Hedef kurulua ve ayn zamanda popler teknoloji satclarna ynelik pazarlama bilgilerini

aratrn.

Tin-eye programn (veya baka bir resim eleme aracn) kullanarak hedef kuruluun logosunun

satclarn referans sayfalarnda veya dier pazarlama materyalinde bulunup bulunmadna

ynelik olarak bir arama yapn.

Aktif bir ekilde ayrt edici zelliklerinin belirlenmesi

Hedefin halka ynelik sistemlere engellenen rntleri test etmek iin uygun sorgulama paketleri

gnderin. Belirli Web uygulamas gvenlik duvar tiplerinin ayrt edici zelliklerini belirlemek iin

birka ara mevcuttur.

Hem hedef kuruluun Web sitesinden gelen yantlarn, hem de e-postalarn st bilgileri genellikle

hem kullanlmakta olan sistem hakknda hem de devreye alnm olan zel gvenlik

mekanizmalar hakknda bilgiler verir.

nsan kaynaklarnn yetenekleri

Hedef bir kuruluun insan kaynaklarnn savunmaya ynelik yeteneklerinin tespit edilmesi gtr.

Hedef kuruluun gvenliinin sorgulanmasnda yardmc olabilecek birka anahtar bilgi mevcuttur.

Firma genelinde SOME timlerinin bulunup bulunmadn kontrol edin.

Gvenlikle ilgili bir pozisyon iin ne sklkla personel arandn grmek iin i ilanlarn kontrol

edin.

Gvenlikle ilgili olmayan ilerde (rnein, gelitiriciler) gvenliin bir gereklilik olarak belirtilip

belirtilmediini grmek iin i ilanlarn kontrol edin.

Hedef kuruluun gvenliinin ksmen veya tamamen d kaynaklardan karlanp karlanmadn

grmek iin d kaynak kullanm anlamalarn kontrol edin.

Firma iin almakta olan, gvenlik alanlarnn arasnda olmas muhtemel belirli kiileri

aratrn.

Finansal hususlar

Raporlama

Hedef kuruluun finansal raporlar byk lde kuruluun lokasyonuna baldr. Raporlama her bir

mnferit ube tarafndan deil de kuruluun genel merkezi araclyla yaplyor olabilir.

Pazar analizi

Ticari sermaye

Hedef kuruluun tarihsel olarak finansal deeri

Kiiler

alanlar

Tarihsel bilgiler

Mahkeme kaytlar

Nedir? Mahkeme kaytlar ilgilenilen bir kii ya da kuruluun lehine veya aleyhine olarak,

sularla ve/veya ikyetlerle, davalarla veya dier hukuki ilemlerle ilgili kamusal kaytlardr.

Niin aratrlr? Mahkeme kaytlar potansiyel olarak mnferit bir alanla ya da tm

firmayla ilgili hassas bilgiler gsterebilirler. Bu bilgilerin kendisi faydal olabilir veya ilave bilgi

elde etmek iin bir ara tekil edebilirler. Bu bilgiler szma testinin sonraki aamalarnda

sosyal mhendislik veya baka maksatlarla da kullanlabilirler.

Nasl elde edilir? Bu bilgilerin ou nternette herkese ak mahkeme Web siteleri ve kayt

veri tabanlar araclyla elde edilebilir. Baz ilave bilgiler LEXIS/NEXIS gibi cretli servisler

araclyla elde edilebilir. Baz bilgiler kaytlarn talep edilmesiyle veya ahsi mracaatla elde

edilebilir.

Balar

Nedir? Balar bir kiinin kendine ait parasn belirli bir siyasi adaya, siyasi partilere veya

zel bir ilgi sahasndaki kurululara ynlendirmesidir.

Niin aratrlr? Balar potansiyel olarak bir kii hakknda faydal bilgiler sunabilir. Bu

bilgiler sz konusu kiilerle politikaclar, siyasi adaylar ve siyasi kurulular arasndaki

balantlar ortaya karmada yardmc olmak zere sosyal a analizinin bir paras olarak

kullanlabilir. Bu bilgiler ayn zamanda szma testinin ileriki aamalarnda sosyal mhendislik

veya dier maksatlarla da kullanlabilir.

Nasl elde edilir? Bu bilgilerin ou gnmzde nternette kii baznda siyasi balar takip

eden halka ak Web siteleri (rnein, http://www.opensecrets.org/) araclyla elde

edilebilmektedir.

Mesleki lisanslar ve tesciller

Nedir? Mesleki lisanslar veya tesciller belirli bir lisans hakk kazanm olan veya bir

topluluun belirli bir dzeyde mensubu olan kiiler hakknda ye listelerini ve dier ilgili

bilgileri ieren bilgi depolardr.

Niin aratrlr? Ticari lisanslar potansiyel olarak bir kii hakknda faydal bilgiler gsterebilir.

Bu bilgiler bir kiinin gvenilirliini teyit etmek iin (gerekten iddia ettikleri gibi belirli bir

sertifikaya sahip midirler?) veya kiilerle baka kurulular arasndaki balantlar ortaya

karmada yardmc olmak zere sosyal a analizinin bir paras olarak kullanlabilir. Bu

bilgiler ayn zamanda szma testinin sonraki aamalarnda sosyal mhendislik veya dier

maksatlarla da kullanlabilir.

Nasl elde edilir? Bu bilgilerin ou gnmzde nternette halka ak Web siteleri araclyla

elde edilebilmektedir. Tipik olarak her kurulu kendi tescil bilgilerini evrimii olarak elde

edilebilir ekilde muhafaza etmektedir ya da belki de bu bilgilerin toplanmas iin ilave baz

admlar atmak gerekebilir.

Sosyal a profili

Meta verilerden szdrlan bilgiler

Fotoraf meta verileri araclyla lokasyonun bilinmesi

letiim tonu

letiimde kullanlan tonun znel olarak belirlenmesi saldrgan, pasif, sempatik, vc,

aalayc, kmseyen, kibirli, sekinci, mazlum, lider, desteki, taklit edici vb.

Yaynlarn periyodu

Yaynlarn periyodunun belirlenmesi (saatte/gnde/haftada bir vb.). lave olarak iletiimin

gnn hangi saatinde, haftann hangi gnnde olmasna ynelik bir meyil olduu.

Lokasyon tespiti

Bing Map Apps

Foursquare

Google Latitude

Yelp

Gowalla

Hedefin sosyal medyadaki mevcudiyeti

http://www.opensecrets.org/

Hangi siteleri kullanyorlar?

Hedefin nternetteki mevcudiyeti

E-posta adresi

Nedir? E-posta adresleri kullanclarn genel posta kutusu kimlikleridir.

Niin aratrlr? E-posta adreslerinin toplanmas veya aratrlmas nemlidir nk birok

maksatla kullanlrlar. E-posta adresleri daha sonra eriim iin bir brute force saldrsna tabi

tutulabilecek muhtemel bir kullanc kimlii salar ama daha da nemlisi zel amal

istenmeyen e-postalarn gnderilmesine yarar. Bu istenmeyen e-postalar istismar eleri,

zararl kodlar vb. ierebilir ve bir kullancya zel spesifik bir ierikten bahsedebilir.

Nasl elde edilir? E-posta adresleri eitli Web sitelerinde, gruplarda, bloglarda, forumlarda,

sosyal medya portallarnda vb. aranabilir ve kartlabilir. Bu e-posta adresleri eitli teknik

destek Web sitelerinden de elde edilebilir. Bir etki alan ile eleen e-posta adreslerine ynelik

olarak arama yapan e-posta toplama aralar da mevcuttur (ihtiya duyulduu taktirde).

Kiisel tantclar/takma adlar

Kaytl kiisel etki alan adlar

Atanm statik IPler/a blm (IP aral)

Fiziki lokasyon

Hedefin fiziki lokasyonunu elde edebilirsiniz

Telefon bilgi taramas

Telefon numaras

Cihaz tr

Kullanm

Kurulmu uygulamalar

Telefonun sahibi/yneticisi

deme karl elde edilecek bilgiler

Gemi sorgulamas

Linked-In

LEXIS/NEXIS

2.5 rtl bilgi toplama

Firmann yerinde bilgi toplama

Fiziki gvenlik denetlemeleri

Kablosuz a taramas / Radyo frekans taramas

alan davranlar eitimlerinin denetlenmesi

Girilebilir / Komu tesisler (ortak alanlar)

Bir eyler bulmak amacyla yaplan p kartrmas

Kullanlan tehizat tipleri

Dardan bilgi toplama

Veri merkezi lokasyonlar

A hizmeti salama/salaycs

nsanlar hakknda bilgi toplama

nsan hakknda bilgi toplama baka bir yolla elde edilemeyecek bilgiler saladndan hedef varlk

hakknda daha pasif bir anlayla yaplan bilgi toplamay btnler ve ayn zamanda istihbarat resmine

daha kiisel (duygular, tarih, anahtar kiiler arasndaki ilikiler, atmosfer vb.) ynler ekler.

nsan istihbaratnn elde edilmesi metodolojisi daima fiziki ya da szl olarak dorudan temas ierir.

Bilgi toplama faaliyeti optimal lde bilginin aa kmas ve sorgulama esnasnda hedef varln

ibirliinin salanmasna ynelik olarak zel bir takma kimlikle yaplmaldr.

lave olarak, daha hassas hedeflerden istihbarat toplanmas, fiziksel olarak yerinden ya da

elektronik/uzaktan eriim aralar (kapal devre kamera sistemleri, Web kameralar vb.) kullanmak

suretiyle gzlemden faydalanmak suretiyle gerekletirilebilir. Bu gzlemler genellikle davransal

paternleri (ziyaret sklklar, kyafet zorunluluu, eriim yollar, kafeler gibi ilave eriim salayabilecek

anahtar lokasyonlar gibi) ortaya karmak maksadyla gerekletirilir.

Sonular

Anahtar alanlar

Ortaklar/Tedarikiler

Sosyal mhendislik

2.6 Bilgi tarama

NEDR? Dardan bilgi toplama, bilgi toplamann footprinting olarak ta adlandrlan, bilgi edinmek

maksadyla kuruluun dndan bir bak asyla hedefle yaplan etkileimleri ieren bir safhasdr.

NEDEN YAPILIR? ou bilgiler hedeflerle etkileme girilerek toplanabilir. Bir servisi ya da cihaz

sorgulamak suretiyle genellikle bu servis ya da cihazn ayrt edici zelliklerini tespit edebileceiniz

senaryolar yaratabilirsiniz. Hatta daha basit olarak cihaz tanmlayacak bir banner satn alabilirsiniz.

Bu admda hedefleriniz hakknda daha ok bilgi toplamanz gerekmektedir. Bu aamann sonunda

amacnz nceliklendirilmi bir hedef listesi elde etmektir.

D bilgi tarama

Mteri kuruluun d snrlarnn belirlenmesi

Bir szma testi esnasnda istihbarat toplamann temel amalarndan biri kapsam dahilinde olacak

makinelerin belirlenmesidir. Hedefin etki alanlarndaki ve snrlarnn ierisindeki sistemlerin

belirlenmesinde ters DNS aramalar, DNS brute force saldrlar, WHOIS aramalar gibi

kullanlabilecek ok sayda teknik mevcuttur. Belirtilen bu teknikler ve dierleri aada

aklanmaktadr.

Pasif keif

WHOIS aramalar

D bilgi tarama iin ncelikle peinde olduumuz bilginin hangi WHOIS sunucularnda ierildiinin

belirlenmesine ihtiya vardr. Buradan hareketle hedefin etki alannn en st dzey etki alann

bilmemiz, daha basit olarak hedefin etki alannn kaytl olduu kayt yetkilisinin konumunu

belirlememiz gerekmektedir.

WHOIS bilgisi aa eklinde bir hiyerariye dayanr. ICANN tm en st dzey etki alanlar iin kayt

yetkilisidir ve tm manuel WHOIS sorgulamalar iin nemli bir balang noktasdr.

WHOIS aramas

ICANN - http://www.icann.org

IANA - http://www.iana.com

NRO - http://www.nro.net

AFRINIC - http://www.afrinic.net

APNIC - http://www.apnic.net

ARIN - http://ws.arin.net

LACNIC - http://www.lacnic.net

RIPE - http://www.ripe.net

Kayt yetkilisi sorgulandnda etki alan kayt bilgisini elde edebiliriz. WHOIS bilgilerini veren ok

sayda nternet sitesi mevcuttur. Ancak belgelendirmede kesinliin salanmas maksadyla sadece

uygun kayt yetkilisinin kullanlmas gerekir.

InterNIC - http://www.internic.net/ http://www.internic.net]

ARINda (American Registry for Internet Numbers Amerikan nternet numaralar kayt defteri)

yaplacak basit bir WHOIS aramas doru kayt yetkilisini verecektir.

BGP aynalar

BGPye dhil olan alarn otonom sistem numarasnn belirlenmesi mmkndr. BGP yollar dnya

genelinde ilan edilmitir ve BGP4 ve BGP6 aynalar kullanlmak suretiyle bunlar tespit edilebilir.

http://www.icann.org/http://www.iana.com/http://www.nro.net/http://www.afrinic.net/http://www.apnic.net/http://ws.arin.net/http://www.lacnic.net/http://www.ripe.net/http://www.internic.net/http://www.internic.net/

BGP4 - http://www.bgp4.as/looking-glasses

BPG6 - http://lg.he.net/

Aktif bilgi tarama

Port taramas

Port taramas teknikleri, test iin elde mevcut olan zamana ve testin gizli olarak icra edilmesi

gerekliliine bal olarak deiir. Sistemler hakknda hibir bilgi yoksa, sistemlerin belirlenmesinde hzl

bir ping taramas kullanlabilir. lave olarak kullanlabilir durumda olan yaygn olarak kullanlan

portlarn tespit edilmesi iin ping dorulamasz, hzl bir tarama altrlmaldr. Bundan sonra daha

kapsaml bir tarama altrlabilir. Baz test uzmanlar sadece ak TCP portlar ve ayn zamanda UDP

portlarna bakarlar.

http://nmap.org/nmap_doc.html adresindeki dokman, port taramas tiplerini detayl olarak

aklamaktadr. Nmap, a denetimi/taramas iin fiili olarak geerli olan standarttr. Nmap hem

Linux hem de Windows iletim programlarnda alr.

Nmapin kullanlmas hakknda detayl bilgiyi Szma Testi Teknik Klavuzunda (http://www.pentest-

standard.org/index.php/PTES_Technical_Guidelines#Nmap_.28Windows.2FLinux.29) bulabilirsiniz.

Nmapte dzinelerce seenek bulunmaktadr. Bu blm port taramas ile ilgili olduundan bu blmde

bu grevin yerine getirilmesi iin gerekli olan komutlara odaklanlacaktr. Kullanlan komutlarn esas

olarak eldeki zamana ve taramaya tabi tutulan portlarn saysna bal olacann bilinmesi nemlidir.

Bu grevlerin yerine getirilecei ne kadar ok port varsa veya elde ne kadar az zaman varsa, makineyi

o kadar daha az bir sre aratrabiliriz. Mevcut seeneklerden bahsedildike bu husus daha ak hale

gelecektir.

Banner Grabbing

Banner Grabbing uygulamas bir aa bal bilgisayar sistemleri ve bu bilgisayarlarn ak portlarnda

almakta olan servisler hakknda bilgi toplamak iin kullanlan bir listeleme tekniidir. Banner

Grabbing adaki uygulamalarn srmlerini ve hedef makinenin alt iletim sistemini belirlemek

iin kullanlr.

Banner Grabbing genellikle HTTP, FTP ve SMTP protokollerinin, srasyla 80, 21, ve 25 portlarnda

gerekletirilir. Banner Grabbing uygulanmasnda yaygn olarak kullanlan aralar Telnet, nmap

ve Netcattir.

SNMP Sweeps

SNMP sweeps belirli bir sistem hakknda ok fazla bilgi salad iin uygulanr. SNMP protokol

durum bilgisi kullanmaz ve datagram uyumlu bir protokoldr. Ancak SNMP sunucular geersiz

dizilerle yaplan sorgulara cevap vermez ve kulland UDP protokol, kapal UDP portlarn eksiksiz

bir ekilde raporlamaz. Bu nedenle sorgu gnderilen bir IP adresinden cevap alnamamas, aadaki

hususlardan biri nedeniyle olabilir:

Makine eriilebilir deildir

SNMP sunucusu almamaktadr

Hatal bir sorgu dizisi gnderilmitir

Cevap datagram henz ulamamtr

http://www.google.com/url?q=http%3A%2F%2Fwww.bgp4.as%2Flooking-glasses&sa=D&sntz=1&usg=AFQjCNGJNLNRaL6xeGcya4mZ9NPyOFd8Tghttp://lg.he.net/http://nmap.org/nmap_doc.htmlhttp://www.pentest-standard.org/index.php/PTES_Technical_Guidelines#Nmap_.28Windows.2FLinux.29http://www.pentest-standard.org/index.php/PTES_Technical_Guidelines#Nmap_.28Windows.2FLinux.29

Alan transferleri

DNS alan transferi, ya da bilinen dier adyla AXFR bir tr DNS ilemidir. DNS alan transferi bir dizi

DNS sunucusu zerindeki DNS verilerini ieren veri tabanlarnn kopyasnn karlmas iin

gelitirilmi olan bir mekanizmadr. Alan transferleri iki eittir: tam alan transferi (AXFR) ve artan alan

transferi (IXFR). DNS alan transferi gerekletirme yeteneinin test edilmesinde kullanlabilecek olan

ok sayda ara mevcuttur. Alan transferlerinin gerekletirilmesinde yaygn olarak kullanlan aralar

host, dig ve nmaptir.

SMTP Bounce Back

Ayn zamanda, teslim edilmedi raporu/alnds (NDR), (baarsz) ileti durum raporu (DSN) iletisi,

iletilmedi bildirimi (NDN) veya basite bounce olarak ta adlandrlan SMTP bounce back, bir e-posta

sisteminden gelen bir iletinin gndericisini, iletisinin adresine teslim edilmesi ile ilgili bir problem

yaandna dair bilgilendiren, otomatik olarak yaratlan bir elektronik iletidir. Bir bounce iletisi,

yazlm ve srmler dahil olmak zere kullanlan SMTP sunucusu hakknda bilgi ieriyor

olabileceinden, bir saldrgan iin SMTP sunucusunun ayrt edici zelliklerinin tespit edilmesinde

yardmc olabilir.

Bu basit bir ekilde hedefin etki alan ierisinde sahte bir adres yaratmak suretiyle gerekletirilebilir.

rnein, asDFADSF_garbage_address@target.com, target.comu test etmek zere kullanlabilir.

Gmail, test uzmanlarnn seimini kolaylatracak ekilde, sayfa bal bilgilerine tam eriim olana

salamaktadr.

DNS kefi

DNS kefi, etki alannn yetkili ad sunucusunun WHOIS kaytlarna bakmak iin gerekletirilir. lave

olarak, asl etki alan adndaki deiiklikler kontrol edilmeli ve Web sitesinde hedefin denetiminde

olabilecek baka etki alanlarna atfta bulunulup bulunulmad da kontrol edilmelidir.

Dz/TersDNS

Ters DNS, bir kurulu ierisinde kullanmda olan geerli sunucu isimlerinin elde edilmesi iin

kullanlabilir. Verilen bir IP adresinden, bir adn zmlenebilmesi iin IP adresinin PTR (ters) DNS

kaydn ieriyor olmas gerekir. zmleme yaplrsa sonular dndrlr. Bu ilem genelde

sunucunun eitli IP adresleri ile test edilmesi ve herhangi bir sonu dndrp dndrmediine

baklmas ile gerekletirilir.

DNS Bruteforce

stemci etki alan/etki alanlar ile ilgili tm bilgiler belirlendikten sonra DNS sorgular yaplr. DNS, IP

adresleri ile alan adlarn eletirmek ve bu ilemin tersi iin kullanldndan, bu uygulamann gvenlik

aklar ierecek ekilde mi yoksa gvenlik aklar iermeyecek ekilde mi yaplandrldn

belirlemek gerekir. Burada gvenlik aklar sz konusu ise istemci hakknda daha fazla bilgi

edinebilmek iin DNS kullanlabilir. DNSin hatal yaplandrlmas sonucu ortaya kacak en ciddi

durum, DNSin nternet kullanclarna bir DNS alan transferi yapma olana salad durumdur.

DNSin alan transferine olanak salayp salamadn belirlemek ve bunun yannda bilinmeyen ilave

alan adlarn tespit edebilmek iin kullanlabilecek olan birok ara mevcuttur.

Web uygulamas kefi

Szma testi srasnda zayf Web uygulamalarnn belirlenmesi zellikle yararl bir ilem olabilir.

Aranmas gerekenler, yanl olarak konfigre edilmi olan OTS uygulamalar, fonksiyonellik eklentisi

yapan OTS uygulamalar (eklentiler ou zaman esas uygulamaya gre saldrlara kar daha hassas

kodlar ierir) ve istee gre uyarlanm uygulamalardr. yi bir sonu elde etmek iin WAFP gibi, Web

uygulamalarnn ayrt edici zelliklerini tespit eden uygulamalar kullanlabilir.

Sanal makinelerin tespiti ve sralanmas

Web sunucular genellikle fonksiyonellii pekitirmek maksadyla birka sanal makine barndrr. Birka

sunucu ayn DNS adresini iaret ediyorsa bunlar ayn sunucuda barndrlyor olabilirler. Bir IP adresini

bir sanal makine kmesi ile eletirmek iin MSN aramas gibi aralar kullanlabilir.

D hedef listesinin oluturu