Sürekli Sızma Testi: Modeller, Sıklık ve Maliyet

Terim bir yöntemi değil, bir sonucu tanımlar: değişime ayak uyduran test. Pratikte size üç modelden biri sunulur:

• PTaaS (hizmet olarak sızma testi). Bir platform üzerinden çalışan insan test uzmanları: testleri rezerve edersiniz, bulguları bulundukça görürsünüz, test uzmanlarıyla konuşursunuz ve belirli bir süre içinde yeniden test alırsınız. Cobalt, Synack, HackerOne, NetSPI, Bishop Fox ve BreachLock bu modeli satıyor; çoğu zaman otomasyon ve artık yapay zekâ ajanları da ekleniyor.
• Otonom sürekli test. Saldırıyı kendisi, bir takvime göre ve her çalıştırma için bir test uzmanı olmadan yürüten yazılım. Horizon3.ai NodeZero, Pentera ve XBOW örneklerdir; Zero Hunt da öyle. Bkz. otonom sızma testi ve yapay zekâ sızma testi ajanları.
• Hibrit. Bir platform otomatik ya da yapay zekâ destekli testleri sürekli olarak yürütür; insan test uzmanları bulguları doğrular ya da yazılımın test edemediklerini test eder.

İlgili terimler örtüşür: sürekli otomatik red teaming (CART) genellikle aynı fikrin dış yüzeye uygulanması anlamına gelir; Gartner'ın Adversarial Exposure Validation kategorisi ise otomatik sızma testini breach and attack simulation ile bir araya getirir.

OWASP Continuous Penetration Testing Framework'ü arıyorsanız: proje sayfası mevcuttur, ancak yalnızca uygulamayı standartlaştırma niyetini belirtir ve deposu 2022'den beri değişmemiştir. İzlenecek bir çerçeve dokümanı yoktur.

• Değişim. Her yeni sunucu, güvenlik duvarı kuralı, bulut hesabı ya da yazılım sürümü, geçen yılın raporunun hiç görmediği bir yol açabilir.
• Yeni zafiyetler. Uç cihazlar, VPN'ler ve dosya aktarım sunucuları, açıklanmalarından birkaç gün sonra istismar edilen kritik CVE'ler almaya devam ediyor. Mart'taki bir test, Haziran'da yayımlanan bir CVE hakkında hiçbir şey söylemez.
• Sapma (drift). Düzeltmeler geri alınır, geçici istisnalar kalıcı hâle gelir ve kimlik bilgileri yeniden kullanılır.
• Giderimin kanıtı. Yeniden test olmadan kapatılmış bir kayıt (ticket) bir kanıt değil, bir iddiadır.

Bunların hiçbiri yıllık insan liderliğindeki testi işe yaramaz kılmaz. Onu tek kontrol değil, derinlemesine kontrol yapar.

Çoğu kural bir alt sınır belirler ve değişiklik için bir tetikleyici ekler; sürekli testin yanıt verdiği kısım da budur:

• PCI DSS v4.0.1, gereksinim 11.4: iç ve dış sızma testleri en az 12 ayda bir ve her önemli altyapı ya da uygulama yükseltmesi veya değişikliğinden sonra. Bkz. PCI DSS 11.3 ve 11.4.
• DORA, Mad. 24(6): kritik ya da önemli işlevleri destekleyen tüm BİT sistemleri ve uygulamaları üzerinde en az yılda bir uygun testler; Mad. 26, belirlenen kuruluşlar için en az üç yılda bir TLPT ekler. Bkz. TLPT'nin ötesinde DORA sızma testi.
• NIS2, Mad. 21(2)(f): risk yönetimi önlemlerinin etkinliğini değerlendirmeye yönelik politikalar ve prosedürler; sıklık belirlenmemiştir. İtalya'da ACN'nin Allegato 2'si, temel kuruluşların zafiyet değerlendirmesi ve/veya sızma testini periyodik olarak ve canlıya geçişten önce yürütmesini şart koşar. Bkz. NIS2 yükümlülükleri ve son tarihler.
• NIST SP 800-53 Rev. 5, CA-8: kurumun belirlediği bir sıklıkta sızma testi.

Örüntü şudur: yıllık bir alt sınır ve önemli değişikliklerden sonra testler. Değişiklikler her hafta oluyorsa, testler de her hafta yapılmalıdır.

1. 1Dış saldırı yüzeyi: haftalık. İnternete açık servisler en hızlı değişen ve ilk saldırıya uğrayan servislerdir.
2. 2İç ağ ve Active Directory: aylık, sıradan bir kullanıcı hesabıyla varsayılan ihlal (assumed breach) konumundan (gray box).
3. 3Her önemli değişiklikten sonra: yeni lokasyon, birleşme, büyük sürüm, güvenlik duvarı ya da kimlik sağlayıcı değişikliği.
4. 4İlgili bir KEV kaydından sonra: etkilenen sistemleri yama beklenirken ve yamadan sonra tekrar test edin. Bkz. KEV acil yama playbook'u.
5. 5İtalyan NIS2 kurallarının temel kuruluşlardan istediği gibi, ilgili bir sistemin canlıya geçişinden önce.
6. 6Her düzeltmeden sonra: bulguyu kanıtla kapatmak için aynı testi yeniden çalıştırın.
7. 7Yılda bir kez: insan liderliğinde bir test; iş mantığı, özel uygulamalar ve düzenlemenin nitelikli test uzmanlarına ayırdığı her şey için.

Kamuya açık fiyatlar nadirdir, ancak modeller nettir ve sürekli testin size maliyetini belirler:

• Krediler ya da test uzmanı saatleri (PTaaS). Bir test süresi havuzu satın alırsınız. Örneğin Cobalt, her biri sekiz sızma testi saatine karşılık gelen krediler satıyor. Daha sık test etmek, daha fazla kredi satın almak demektir.
• Test aralığı başına abonelikler. Yılda sabit sayıda test ya da bir test dönemi; bazen aralarında sürekli izleme ile.
• Yıllık lisans (otonom platformlar). Varlık, IP ya da lokasyon sayısına göre fiyatlandırılır ve sınırsız çalıştırma içerir. Burada haftalık test etmenin maliyeti aylık test etmekle aynıdır; yüksek bir sıklığı karşılanabilir kılan da budur.

Teklifleri karşılaştırırken broşürdeki sıklığı değil, ihtiyacınız olan sıklığı fiyatlandırın: yılda 52 dış ve 12 iç çalıştırma, artı yeniden testler. Daha fazlası otomatik sızma testinin maliyeti sayfasında.

• Her testi kim ya da ne yürütüyor? Bir insan mı, yazılım mı, yoksa sonuçları bir insanın kontrol ettiği yazılım mı?
• Sözleşmede sürekli ne anlama geliyor? Aylık çalıştırma sayısı, dahil olan yeniden testler, talep üzerine değişiklik sonrası test?
• İç ağı ve Active Directory'yi test edebiliyor mu, yoksa yalnızca internete açık varlıkları mı?
• Bulgular, kimlik bilgileri ve kanıtlar nereye gidiyor? Üreticinin bulutu, seçtiğiniz bir bölge ya da kendi tesisiniz?
• Kapsam nasıl denetleniyor ve bir testi anında kim durdurabilir?
• Her bulguyla birlikte hangi kanıt geliyor ve bir yeniden test düzeltmeyi kanıtlıyor mu?
• Raporlar hangi düzenlemelerle eşleşiyor ve bunlar tabi olduğunuz düzenlemeleri içeriyor mu?

Değerlendirme rehberi bu soruları bir pilot planına dönüştürür.

Sürekli sızma testi ile PTaaS arasındaki fark nedir? PTaaS bir sunum modelidir: abonelik olarak satın alınan, bir platform üzerinde çalışan insan test uzmanları. Sürekli sızma testi ise işler değiştiği sıklıkta test etme hedefidir; PTaaS oraya ulaşmanın bir yolu, otonom test yazılımı da bir başka yoludur.

Sürekli sızma testi zafiyet taramasıyla aynı şey mi? Hayır. Bir tarayıcı neyin zafiyetli olabileceğini listeler. Sürekli olsun ya da olmasın bir sızma testi, onu istismar etmeye ve bulguları saldırı yollarına zincirlemeye çalışır. Bkz. zafiyet değerlendirmesi ve sızma testi.

Sürekli test yıllık sızma testinin yerini alır mı? Genişlik ve sıklık açısından alabilir; iş mantığı ve özel uygulamalar üzerinde derinlik için ve bir kuralın nitelikli test uzmanları ya da TLPT şart koştuğu durumlarda, insan liderliğinde bir testi sürdürün.

Sürekli sızma testi için bir standart var mı? Hayır. Bu adı taşıyan OWASP projesi 2022'den beri hiçbir şey yayımlamadı. Otonom platformlar için OWASP Autonomous Penetration Testing Standard kapsamı, güvenliği, insan gözetimini ve kanıtları ele alır.

Zero Hunt sürekli sızma testini nasıl yapıyor? Zero Hunt, ağlar ve altyapı için kendi modellerine sahip on-premise bir appliance üzerinde çalışan otonom bir yapay zekâ red team'dir; bu nedenle hiçbir müşteri verisi appliance'tan çıkmaz. Kampanyalar bir kez, günlük, haftalık, aylık ya da özel bir takvimle, black-box veya gray-box modunda çalışır ve bir operatör bir değişiklikten sonra kampanya başlatabilir. Bir düzeltmeden sonra yeniden çalıştırma, kapanışı imzalı kanıtla gösterir. Beş otonomi seviyesi hangi eylemlerin bir operatörü bekleyeceğini belirler, kapsam araç çağrılarında ve üretilen betiklerde doğrulanır ve bulgular dünya genelinde 34 uyum çerçevesiyle eşleştirilir. Zero Hunt henüz benchmark sonucu yayımlamıyor; değerlendirme metodolojisi hazırlanma aşamasındadır.