Kara kutu güvenlik testlerinde kullanılan teknolojiler
Kara kutu güvenlik testlerinde kullanılan teknolojileri aşağıdaki gibi sınıflandırabiliriz:
Fuzzing: Bir uygulamada zafiyet tespit edebilmek için uygulamaya rastgele veya sistematik veriler göndererek, uygulamanın farklı isteklere verdiği cevapları analiz etmek için kullanılır. Fuzzing, test yapılacak uygulamanın arka planında ki işlevsel ve yazılımsal özellikler bilinmediğinden ve gönderilen verilerin uygulamada oluşturduğu etki ve sonuçların analizine dayandığından, uygulama test tekniklerinden black-box kategorisine girmektedir.Yazılım geliştirme ve test süreçlerinde ve ters mühendislik işlemlerinde kullanıldığı gibi, web uygulamalarında zayıflık tespiti veya bilgi toplama amaçlı da kullanılmaktadır. Web uygulamaları için geliştirilmiş olan fuzzing araçlarını (fuzzer) iki kategoride incelenebilir:
* ?id=3961, ?id=3916, ….., ?id=1693 yinelenerek gönderilecek ve her bir dönen sonuç incelenecektir.Â
Replacive Fuzzing: ‘DeÄŸiÅŸtirmeli fuzzing’ olarakta adlandırabileceÄŸimiz bu teknikte ise, seçilmiÅŸ deÄŸerin / parametrenin deÄŸiÅŸtirilerek gönderilmesi esastır.
Syntax Testing (Söz dizimi Testleri): Genellikle yazımlar tarafından kullanılan veri formatları ve protokollerinin bazı bilgileriyle geniş bir aralıkta yasal ve yasal olmayan giriş değerleri üretilirek yapılan testlerdir.
Exploratory Testing (Keşif Testi): Test sonuçları hakkında özel bir beklenti ve genel olarak tam bir test planı olmadan yapılan testlerdir.
Data Analysis (Veri Analizi): Özellikle içerik şifrelemede bir uygulama tarafından oluşturulan verinin test edilmesidir.
Test Scaffolding (İskele Testi): Kara kutu testlerini yürütmek için ihtiyaç duyulan destek araçları sağlamaktadır.
Monitoring Program Behavior (Program Davranışlarını İzleme): Çok sayıda testin otomatik olarak uygulandığında, programın nasıl cevap verdiğini izlemek için kullanılır. Anormal davranışları kontrol etmek için el ile müdahale etmek gerekebilir. Bu anormallikler güvenlik açığının varlığını açıkca işaret ettiği unutulmamalıdır.
Securtiy Stress Testing (Güvenlik Stres Testi): Kaynak tüketimi veya donanım hataları ile ilişkilendirilmiş aşırı çevre koşulları oluşturularak yapılan testlerdir. Geleneksel stress testi devam ederken, uygulamalar aşırı koşullar karşısında belirlenmiş servisin kalitesini sağlamaya devam edebilir. Bu nedenle Stres testi güvenlik test sürecinin önemli bir parçası ve yoğun olarak bilgi işlem ortamlarında özellikle dikkate alınmalıdır.
November 18th, 2009 | Author: Cüneyt Bergel
