Sızma Testi hazırlıkları esnasında 1.Safha olan koordinasyon işlemlerinin genel yapısını bu bağlantıdaki yazımızda incelemiştik. Şimdi ise, yine toplantı esnasında görüşülecek konulardan bir tanesini detaylı olarak inceleyeceğiz.

Bahsettiğimiz koordinasyon işlemleri içerisinde bulunan Kapsamın tespiti esnasında, hizmet alan firmanın amacını ortaya çıkarabilmek için hizmet veren güvenlik firması bazı sorular sorar. Aşağıda, yapılacak testin tipine göre sorulabilecek soruları açıklayacağız. Hizmet alacak firma, toplantı esnasında meydana gelebilecek belirsizliklerin önüne geçmek maksadıyla, bu sorulara verilecek cevaplar konusunda koordinasyon toplantısı öncesinde hazırlık yapmalıdır.

Ağ Testi

  1. Firma, sistem elemanlarına neden ağ testi yaptıracak?
  2. Ağ testi, bir standardın yerine getirilmesi zorunluluğundan mı yaptırılıyor?
  3. Firma, testin aktif olarak hangi zaman dilimlerinde yapılmasını daha uygun buluyor?
    1. Mesai saatlerinde mi?
    2. Mesai saatleri dışında mı?
    3. Hafta sonlarında mı?
  4. Toplam kaç IP adresi test edilecek?
    1. Test edilecek dahili ağ IP adres sayısı nedir?
    2. Test edilecek harici ağ IP adres sayısı nedir?
  5. Test edilecek Ağ topolojisi içerisinde Firewall, IPS / IDS veya Yük Dengeleyici sistem var mı?
  6. Sisteme giriş gerçekleştirilebilirse, testi yapan ekip nasıl hareket edecek?
    1. Giriş sağlanan sistemde yerel zafiyet taraması gerçekleştirilecek mi?
    2. Giriş sağlanan sistemde en yetkili kullanıcı olmak için çalışılacak mı?
    3. Giriş sağlanan sistemde parolaları elde etmek için sözlük saldırıları gerçekleştirilecek mi?

Web Uygulama Testi

  1. Kaç adet uygulama için test yapılacak?
  2. Kaç adet oturum açma sistemi test edilecek?
  3. Kaç adet statik sayfa için test yapılacak?
  4. Kaç adet dinamik sayfa için test yapılacak?
  5. Testi yapılacak uygulamanın kaynak kodları verilecek mi?
  6. Uygulamaya ait herhangi bir doküman verilecek mi?
    1. Cevap evet ise, bu dokümanlar nelerdir?
  7. Uygulama üzerinde statik analizler yapılacak mı?
  8. Talep edilen diğer konular nelerdir?

Kablosuz Ağ Testi

  1. Sistemde kaç adet kablosuz ağ var?
  2. Bunlardan hangileri test edilecek?
  3. Sistemde, misafir kullanımı için kablosuz ağ var mı?
  4. Kablosuz ağların kriptolama teknikleri nelerdir?
  5. Misafir ağlara bağlı kullanıcılar test edilecek mi?
  6. Kablosuz ağların yayın mesafeleri nedir?
  7. Bu kablosuz ağları ortalama kaç kişi kullanıyor?

Fiziksel Güvenlik Testleri

  1. Test edilecek mekan sayısı ve yerleri nelerdir?
  2. Test edilecek mekan, başka birimlerle ortak kullanılıyor mu?
  3. Mekanda kaç kat var?
  4. Bulunan katlardan hangileri kapsama dahildir?
  5. Mekanda, geçilmesi gereken güvenlik görevlileri var mı?
  6. Görevlileri teçhizat durumları ve yetkileri nelerdir?
  7. Güvenlik hizmeti, 3.taraf bir firmadan mı alınıyor?
  8. Mekanın kaç girişi mevcut?
  9. Video kayıt güvenlik önlemi var mı?
  10. Testi yapacak ekip, video kayıt cihazlarına erişimi test edecek mi?
  11. Alarm sistemi var mı?

Sosyal Mühendislik Testi

  1. Sosyal Mühendislik testleri için e-posta adres listesi verilecek mi?
  2. Sosyal Mühendislik testleri için telefon numaraları listesi verilecek mi?
  3. Sosyal mühendislik sonucu sisteme fiziksel olarak giriş yetkisi veriliyor mu?

Yukarıda belirtilen testlerle ilgili sorular genişletilebilir. Tecrübelere dayanarak farklılaştırmak da mümkündür.

!!!Sponsor/Reklam

VPN 100

Yazar

İnternette araştırdığı faydalı bilgileri bu blogta yayınlamaktadır.
Genel olarak Linux ve güvenlik konularına ilgi duyar.
Yazara ait blog yazıları eğitim amaçlıdır.
Etik kuralların dışında kullanım sorumluluğu kullanıcıya aittir.

subscribe via RSS