Standart Internet Güvenlik Testi Neleri Kapsar?

Standart bir güvenlik testi aşağıdaki bileşenlerden oluşur:
I. Kayıt veritabanı (registry database) arama ve kontrolleri
1. Kullanılan IP adresleri ve alan adlarının (domain) belirlenmesi
2. Kuruluş bilgileri ve ilgili kişi isimlerinin doğruluğunun teyidi
3. Farklı kuruluşların kullandığı benzer isimli domainlerin saptanması

II. Internet yönlendirme (routing) kontrolü
1. Kullanılan tüm IP adreslerinin kuruluş dışına yönlendirilip yönlendirilmediğinin test edilmesi.

III. DNS arama ve kontrolleri
1. Kuruluşun DNS bilgilerinden kuruluş sunucularına erişimin testi.
2. DNS sunucularındaki konfigürasyon hatalarının belirlenmesi

IV. Internet yönlendirici (Router) kontrolü
1. Kuruluşun İnternet yönlendiricisinden ağa ait bilgilerin elde edilmeye çalışılması.
2. Yönlendirmedeki (routing) boşluk ve açık noktaların belirlenmesi.
3. Paket filtrelemedeki boşluk ve açık noktaların belirlenmesi
4. Yönlendirici üzerindeki servislerin belirlenmesi, bu servislerin kontrolü
5. Ana bilgisayar (host) üzerinde bulunan yönlendiricilerde işletim sisteminden kaynaklanan açık noktaların belirlenmesi.

V. Firewall kontrolleri
1. Proxy hizmetlerindeki açık noktaların belirlenmesi
2. Yönlendirmedeki açık noktaların belirlenmesi
3. Paket filtrelemedeki açık noktaların belirlenmesi
4. İşletim sistemindeki boşlukların belirlenmesi

VI. Internet sunucuları kontrolü (DNS sunucu, Web sunucu, Posta sunucu, FTP sunucu vs.)
1. Internet sunucuları üzerinde dışarıdan erişilebilen servislerin kontrolü
2. İşletim sisteminden kaynaklanan boslukların belirlenmesi
3. Sunulan hizmetlere özgü boşluklar
4. Posta ve haber sunucularına yetkisiz erişimin denetlenmesi

VII. Sunucu olmayan ama dışsarıdan host olarak görülen bilgisayarların saptanması
1. Yerel ağ üzerinde ancak kuruluşun Internet sunucusu olmayan herhangi bir bilgisayara Internet üzerinden erişimin denetimi
2. Bu sistemler üzerinde bulunan erişebilir hizmetlerin saptanması
3. İşletim sisteminden kaynaklanan boslukların belirlenmesi
4. Sunulan hizmete özgü boşlukların belirlenmesi.

Testin kapsamı ve kısıtları
Snap-Shot
Yapılan test yalnızca testin yapıldığı andaki durumu belirler

Sunucunun hizmet vermeyi reddetmesini sağlayan (denial of service) saldırı yöntemleri kullanılmaz
Bu tür saldırılar çalışmakta olan sistemler üzerinde veri kaybına yol açabilirler ve müşteriler tarafından özellikle talep edilmedikçe kullanılmazlar. Bu tür saldırılara karşı güvenli olmama ihtimali olan sistemlerin testi başka yöntemlerle yapilir.

Şifreler ele geçirilmeye çalışılmaz
Sisteme tanımlı kullanıcıların şifrelerini ele geçirmeye yönelik testlerin genellikle kuruluş çalışanların yapması daha doğrudur. Bu nedenle müşteriden özel bir talep gelmedikçe bu tür girişimler test kapsamı dışındadır.