Hızlı cevap: Bir sızma testi, rapor teslim edildiğinde bitmez; asıl iş, bulunan açıkların kapatılması ve bunun doğrulanmasıyla tamamlanır. Yeniden test (retest), kurumun düzelttiğini söylediği açıkların gerçekten kapatılıp kapatılmadığını, bir uzmanın tekrar kontrol etmesidir. Bu neden gerekli? Çünkü bir açığın "düzeltildi" olarak işaretlenmesi, gerçekten düzeltildiği anlamına gelmez; yama eksik olabilir, yanlış yere uygulanmış olabilir ya da düzeltme başka bir açık açmış olabilir. İyi bir süreç şu döngüyü izler: test, raporlama, düzeltme, yeniden test ve doğrulama. Yeniden test yapılmayan bir sızma testi yarım kalmıştır; çünkü açıkların kapandığına dair tek gerçek kanıt, bir uzmanın onları tekrar sömürmeye çalışıp başarısız olmasıdır.

Çoğu kurum bir sızma testini rapor teslim edildiğinde bitmiş sayar. Rapor bir çekmeceye kaldırılır, bazı düzeltmeler yapılır ve herkes işine döner. Ama asıl soru cevapsız kalır: o açıklar gerçekten kapandı mı? Bir açığı "düzeltildi" olarak işaretlemek kolaydır; onun gerçekten kapandığını kanıtlamak başka bir şeydir. Bu yazı, bir sızma testinin en çok ihmal edilen ama en kritik aşamasını, yani yeniden test ve düzeltme doğrulamasını anlatıyor.

Neden "düzeltildi" yeterli değil

Bir açık bulunduğunda, ekip onu düzeltmeye çalışır ve genelde bir yönetim panelinde "kapatıldı" olarak işaretler. Ama bu işaret, bir niyet beyanıdır, bir kanıt değil. Pratikte pek çok "düzeltilmiş" açık aslında hâlâ açıktır: yama yanlış ortama uygulanmıştır, düzeltme yalnızca yüzeysel bir belirtiyi gizlemiştir, ya da bir yapılandırma değişikliği sonradan geri alınmıştır. Bazen daha kötüsü olur: bir açığı kapatmak için yapılan değişiklik, başka bir yerde yeni bir açık yaratır. Bu yüzden bir düzeltmenin gerçekten işe yaradığının tek kanıtı, onu tekrar test etmektir.

Sağlıklı bir test döngüsü

Aşama Ne olur Çıktı
Test Uzman açıkları bulur ve sömürür Doğrulanmış bulgular
Raporlama Bulgular önceliklendirilir Aksiyon listesi
Düzeltme Ekip açıkları kapatır Düzeltilmiş sistemler
Yeniden test Uzman düzeltmeleri kontrol eder Kapanış doğrulaması
Doğrulama Kapanan ve kalan açıklar netleşir Nihai durum raporu

Bu döngü, bir sızma testini tek seferlik bir olaydan, gerçek bir iyileşme sürecine dönüştürür. Raporun nasıl okunacağını ve bulguların nasıl önceliklendirileceğini sızma testi raporu nasıl okunur yazısında ele aldık.

Yeniden test tam olarak ne yapar

Yeniden testte, uzman ilk testte bulduğu her açığı tek tek ele alır ve kurumun uyguladığı düzeltmenin ardından onu tekrar sömürmeye çalışır. Sonuç üç kategoriden birine düşer: açık gerçekten kapatılmış (sömürü başarısız), açık hâlâ açık (düzeltme işe yaramamış) ya da açık kısmen kapatılmış (belirli koşullarda hâlâ sömürülebilir). Bu, kurumun elindeki "düzeltildi" listesini gerçek bir duruma dönüştürür. İyi bir yeniden test raporu, her bulgunun son durumunu net biçimde gösterir.

Ne zaman ve ne sıklıkla

Yeniden test, düzeltmeler tamamlandıktan sonra, ideal olarak ilk testten birkaç hafta ya da ay içinde yapılmalıdır; çünkü zaman geçtikçe hem düzeltmelerin geçerliliği belirsizleşir hem de yeni açıklar ortaya çıkabilir. Sürekli değişen ortamlar için, tek seferlik bir yeniden testten çok, sürekli sızma testi (PTaaS) modeli daha uygun olabilir; burada test ve doğrulama sürekli bir döngü halinde işler. Kritik olan, düzeltme ile doğrulama arasındaki boşluğu kısa tutmaktır.

Uyum ve kanıt boyutu

Yeniden test yalnızca teknik bir gereklilik değil, çoğu zaman bir uyum ve kanıt gereksinimidir. Bir denetim ya da müşteri, açıkların bulunduğunu değil, kapatıldığını görmek ister; yeniden test raporu, bu kapanışın bağımsız kanıtıdır. "Açıkları düzelttik" demek yerine "açıkların düzeltildiği bağımsız bir uzman tarafından doğrulandı" diyebilmek, hem denetimlerde hem müşteri ilişkilerinde çok daha güçlü bir duruştur.

KAOS ve DSET yaklaşımı

DSET, bir sızma testini rapor teslimiyle bitmiş saymaz; düzeltme ve yeniden test aşamasını sürecin ayrılmaz parçası olarak ele alır. Yerel yapay zekâ motorumuz KAOS, ilk testte bulduğu her açığı bir kanıtla belgeler ve yeniden test aşamasında aynı açığı tekrar sınayarak düzeltmenin gerçekten işe yarayıp yaramadığını doğrular. Her bulgunun son durumu, çalışan bir kanıtla raporlanır. Amaç, bir açığın "kapatıldı" denmesiyle değil, gerçekten kapandığının kanıtlanmasıyla kapanmasını sağlamaktır.

Sık sorulan sorular

Açıkları düzelttiysem yeniden test şart mı? Şiddetle önerilir. "Düzeltildi" işareti bir niyet beyanıdır, bir kanıt değil. Pratikte pek çok düzeltme eksik uygulanır, yanlış ortama gider ya da yeni bir açık yaratır. Bir düzeltmenin gerçekten işe yaradığının tek kanıtı, bir uzmanın o açığı tekrar sömürmeye çalışıp başarısız olmasıdır. Yeniden test yapılmadan, açıkların kapandığından emin olamazsınız.

Yeniden test ne zaman yapılmalı? Düzeltmeler tamamlandıktan sonra, ideal olarak ilk testten birkaç hafta ya da ay içinde. Bu boşluğu kısa tutmak önemlidir; zaman geçtikçe düzeltmelerin geçerliliği belirsizleşir ve yeni açıklar ortaya çıkabilir. Sürekli değişen ortamlarda, tek seferlik yeniden test yerine sürekli test ve doğrulama modeli daha uygundur.

Yeniden test için baştan ödediğimin aynısını mı ödüyorum? Genelde hayır. Yeniden test, ilk testin tüm kapsamını baştan yapmaz; yalnızca bulunan açıkların kapatılıp kapatılmadığını doğrular, bu yüzden daha odaklı ve genelde daha düşük maliyetlidir. Çoğu güvenlik firması, yeniden testi ilk test paketinin bir parçası olarak sunar. Bu maliyeti baştan netleştirmek, hazırlık aşamasının bir parçası olmalıdır.

Kaynaklar

Sızma testi sonrası düzeltmelerinizi doğrulamak ve döngüyü tamamlamak için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan sızma testi, yeniden test ve doğrulama sağlıyoruz.