Veritabanı Sızma Testi Kapsamı

Veritabanı sızma testi kapsamını belirlemek, güvenlik stratejisinin temel taşlarından biridir. Bu başlık altında, tipik olarak hangi alanların değerlendirileceğini ve test süreçlerinde dikkat edilmesi gereken noktaları somut bir çerçevede paylaşmak istiyorum.

Kapsam belirlemesi ve sınırlar

• Proje hedeflerini netleştirmek için müşteriyle birlikte hangi veritabanı türlerinin dahil olduğunu (RDBMS, NoSQL), hangi sürümlerin hedeflenmesi gerektiğini ve testlerin hangi ortamlarda yapılacağını yazılı olarak belirlemek gerekiyor.
• Hassas verilerin kapsam dışı bırakılması veya belirli tablolara, sütunlara erişimin kısıtlanması gibi kısıtlar açıkça tanımlanır. Yetkili kullanıcı hesaplarıyla yapılacak iç güvenlik testleri ile dışarıdan yapılan taramalar arasında ayrım yapılır.

Test alanları ve teknik odaklar

• Kimlik doğrulama ve yetkilendirme: zayıf parolalar, hesap kilitleme politikalarının uygulanması, rol tabanlı erişim kontrollerinin etkinliği.
• Ağ ve bağlantı güvenliği: veritabanı ile uygulama katmanı arasındaki TLS/SSL konfigürasyonları, bağlantı güvenliği ve yönlendirme zafiyetleri.
• Sorgu güvenliği: SQL enjeksiyonu riskleri, parametreli sorguların kullanımı, kullanıcı girdisinin doğrulanması, saklı prosedürlerin güvenliği.
• Veritabanı konfigürasyonu: varsayılan hesaplar, aşırı geniş yetkiler, yedekleme ve loglama yapılandırmasının güvenliği.
• Veri sızıntısı önleme: hangi verilerin ne düzeyde sızdırılabileceğini varsayımsal senaryolarla test etmek; hassas verilerin maskeleme veya sınırlı erişimle korunması.
• İzleme ve olay yönetimi: DBA ve güvenlik ekiplerinin olayları ne hızda tespit ettiğini ve müdahale süresini değerlendirmek.

Raporlama ve iletişim

• Bulgular, risk seviyesi, etkilediği alanlar ve tam teknik ayrıntılarla birlikte, uygulanabilir öneriler ve kısa/kısa vadeli düzeltme adımlarıyla raporlanır.
• Testin kapsamı içinde hangi verinin işlendiği, hangi izlerin toplandığı ve hangi çıktının paylaşıldığı konusunda net bir iletişim çerçevesi gerekir.

Bu kapsam üzerinde kendi organizasyonunuz için bir kontrol listesi veya şablon oluşturmaya ne hak ediyoruz? Deneyimlerinizi ve üzerinde çalıştığınız projelere özel zorlukları paylaşır mısınız?