Dışişleri Bakanlığı, sekiz adet sözleşmeli bilişim personeli alımı için bir ilan yayınladı. İlandaki “ethical hacker” ifadesi dikkat çekti.
İlanda, tam zamanlı olarak işe alınacak bir “Bilgi Güvenliği Uzmanı” pozisyonu için Certified Ethical Hacker (CEH) belgesine sahip olmanın tercih sebebi olduğu belirtildi. Bu belgeler, siber korsanlık faaliyetlerine hâkim olan, ancak bunu etik ve yasal amaçlar için kullanan “beyaz şapkalı hacker” olarak adlandırılan bilgisayar uzmanları tarafından alınabiliyor.
Resmi Gazete’de yayımlanan ilana göre, Dışişleri Bakanlığı sekiz sözleşmeli bilişim personeli alacak. İlanda, uygulamalı/yazılı ve sözlü sınav sonuçlarına göre başarı sırasına göre sekiz sözleşmeli bilişim personeli alınacağı ifade edildi. Bu pozisyonlar arasında üç tam zamanlı “Yazılım Uzmanı”, bir tam zamanlı “İş Analisti”, bir tam zamanlı “Ağ Uzmanı”, bir tam zamanlı “Bilgi Güvenliği Uzmanı” ve iki tam zamanlı “Sistem Uzmanı” bulunuyor.
Bilgi güvenliği uzmanı pozisyonu için, başvuru sahiplerinden Certified Ethical Hacker (CEH) Sertifikası ya da buna denk bir belge talep ediliyor. Bu belgeye sahip olanlar, siber güvenlik açıklarını tespit etmek amacıyla bilgisayar sistemlerine sızma yöntemlerini bilen, ancak bunu etik amaçlar için kullanan uzmanlar.
İlana başvuracak adaylardan, “beyaz şapkalı hacker” yeteneklerine sahip olmaları için şu sertifikalardan en az birine sahip olmaları isteniyor: “Tercihen, Certified Ethical Hacker (CEH), ECSA/LPT (Ec-Coincil Certified Security Analist/Licensed Penetration Tester), Offensive Security Certified Professional (OSCP), Web Application Penetration Tester (GWAPT) veya CPTE (Certified Penetration Testing Engineer) sertifikalarından en az birine sahip olmak veya ISO 27001 Baş Denetçi Sertifikası’na sahip olmak.”
Ayrıca, bu pozisyonda çalışacak uzmanlardan, bilişim sistemlerine ait güvenlik sistemleri hakkında bilgi sahibi olmaları, standart güvenlik araçlarını kullanabilmeleri, sızma testleri ve güvenlik açığı değerlendirme araçları konusunda deneyimli olmaları, zafiyet yönetimi ve zafiyetlerin giderilmesi konularında bilgi sahibi olmaları, ayrıca Siber Olaylara Müdahale Ekibi kurulumu, yönetimi ve dokümantasyonunda deneyim sahibi olmaları bekleniyor.
İlanda, işe alınacak personelin ücretlendirilmesiyle ilgili olarak, aylık brüt sözleşme ücretinin 657 sayılı Devlet Memurları Kanunu’nun 4’üncü maddesinin (B) bendine göre belirlenen sözleşme ücret tavanının ÖZEL ŞARTLAR başlığı altında belirtilen brüt sözleşme ücret tavanının katları ile çarpımı sonucu bulunacağı, ancak kurumun, tavan ücretin altında sözleşme düzenlemeye ve ödeme yapmaya yetkili olduğu kaydedildi.
Güvenlik zafiyetlerini tarama araçları, sistem açıklarının her gün ortaya çıktığından ve birçok kurum için kritik önemde olduğundan BT departmanlarının vazgeçilmezleri arasında yer alıyor.
İşletim sistemi, donanım, uygulama ve ağ sistemlerindeki güvenlik zafiyetlerini tespit etmek isteyen pentesterlar için zafiyet tarama araçları kilit işlevde. Siber tehdit aktörlerini uzak tutmak için bir hayli önemli olan bu araçlardan en iyi 10 zafiyet tarama aracını sizin için derledik.
GÜVENLİK ZAFİYETİ TARAMA ARAÇLARI NE YAPAR?
Güvenlik zafiyeti tarayıcıları, sürekli ve otomatik tarama prosedürleriyle ağı potansiyel boşluklar için tarayabiliyor.
Tarama araçları internet üzerinde veya herhangi bir cihazımızda, BT departmanlarının güvenlik açığını tanımlamasına ve hem manuel hem de otomatik olarak düzeltmesine yardımcı oluyor.
Vulnerability Manager Plus, güvenlik zafiyetlerini tespit eden ve bunları gerçek zamanlı olarak azaltmaya yardımcı olan kapsamlı bir çözüm sağlamak için tehdit ve güvenlik zafiyeti yönetimi işlevlerini entegre ediyor.
Tüm güvenlik zafiyeti yönetim süreci, merkezî bir konsolla güvenlik zafiyetlerinin tespitinden düzeltilmesine kadar kolaylaştırılıyor.
Temel özellikleri şöyle sıralayabiliriz:
Birden fazla işletim sistemi, üçüncü taraf uygulamalar ve ağ cihazları için güvenlik zafiyetlerinin anlık tespiti.
Ağınızı güvenlik zafiyetlerinden korumak için otomatik yama.
Sıfırıncı gün güvenlik zafiyetlerini tespit etmek için gelişmiş tehdit istihbaratı ve resmî yamalar yayınlanmadan önce uygulanabilecek geçici çözümler.
En son CIS ölçütleri için otomatik kontroller sağlayarak ve uyumluluk durumu hakkında ayrıntılı raporlar oluşturarak ağınızda CIS uyumluluğu sağlar.
Güvenlik yapılandırma yönetimi ile ağ güvenliğinizi sıkılaştırır.
Ağınızı yüksek riskli yazılımlara karşı denetlemek için düzenli taramalar yapar, BitLocker şifreleme uyumluluğunu kontrol eder ve olası güvenlik zafiyetleri için aktif bağlantı noktalarını izler.
Web sunucusu ayarlarınızı güçlendirerek ihlal edilmelerini önler.
Ağ yöneticilerinin mevcut güvenlik zafiyetlerini kontrol etmesine olanak tanıyan saldırgan tabanlı analizler sağlar.
Ek olarak, otomatik taramalar, etki değerlendirmesi, yazılım risk değerlendirmesi, yanlış güvenlik yapılandırmaları, yama, sıfırıncı gün güvenlik zafiyeti azaltma tarayıcısı ve Web Sunucusu Sızma Testi ve sertleştirme, Vulnerability Manager Plus’ın diğer önemli özellikleri arasında yer alıyor.
Tripwire IP360, kullanıcıların şirket içi ve bulut varlıkları da dâhil olmak üzere ağlarındaki her şeyi tanımlamalarına olanak tanıyan, pazardaki önde gelen Güvenlik Zafiyeti Değerlendirme Tarama Araçlarından biri.
Tripwire, BT departmanlarının varlıklarına bir ajan ve ajan olmayan taramalar kullanarak erişmelerine imkan sağlıyor.
Ayrıca güvenlik zafiyeti yönetimi ve risk yönetimi ile entegre bir şekilde çalışarak BT yöneticilerinin ve güvenlik uzmanlarının güvenlik yönetimine bütünsel bir yaklaşım getirmelerine olanak tanıyor.
OpenVAS Vulnerability Scanner
OpenVAS Vulnerability Scanner, kapsamlı yapısı sayesinde BT departmanlarının sunucuları ve ağ cihazlarını taramasına olanak tanıyan en iyi güvenlik zafiyeti tarayıcı aracı olarak biliniyor.
Bu tarayıcılar bir IP adresi arar ve mevcut tesislerdeki açık portları, yanlış yapılandırmayı ve güvenlik zafiyetlerini tarayarak herhangi bir açık hizmet olup olmadığını kontrol ediyor.
Tarama tamamlandığında, otomatik bir rapor oluşturulur ve daha fazla çalışma ve düzeltme için e-posta olarak gönderiliyor.
OpenVAS harici bir sunucudan da çalıştırılabilir ve size tehdit aktörünün bakış açısını verir, böylece açık portları veya hizmetleri tanımlar ve bunlarla zamanında ilgilenir.
Hâlihazırda kurum içi bir olay müdahale veya tespit sisteminiz varsa, OpenVAS Ağ Pentesting Araçlarını ve uyarıları bir bütün olarak kullanarak ağ izlemenizi geliştirmenize yardımcı olacaktır.
Comodo HackerProof
Comodo HackerProof, BT departmanlarının güvenlik zafiyetlerini günlük olarak taramasına olanak tanıyan iyi özelliklere sahip bir başka önde gelen iyi güvenlik zafiyeti tarayıcısı.
PCI tarama seçenekleri, drive-by saldırılarını önleme ve yeni nesil web sitesi taramasına yardımcı olan Site Inspector teknolojisine sahip.
Ayrıca HackerProof, müşterilerinizin alışverişleri sırasında kendilerini güvende hissetmelerini sağlayan görsel bir damga sunuyor. Bu damga dönüşüm oranınızı arttırıp, yarıda kesilen ya da tamamlanmaktan vazgeçilen alışveriş sayısını azaltıyor.
Nessus Vulnerability Scanner
Nessus Professional, çok çeşitli işletim sistemleri ve uygulamalar üzerinde yama, yazılım sorunları, kötü amaçlı yazılım, reklam yazılımı kaldırma aracı ve yanlış yapılandırmalarla ilgileniyor.
Nessus, tehdit aktörleri bir ağa sızmak için kullanmadan önce güvenlik zafiyetlerini zamanında tespit ederek proaktif bir güvenlik prosedürü getiriyor ve ayrıca uzaktan kod yürütme zafiyetleriyle da ilgileniyor
Sanal, fiziksel ve bulut altyapısı dâhil olmak üzere ağ cihazlarının çoğuyla ilgileniyor.
Nexpose Community
Nexpose Community, Rapid7 tarafından geliştirilen bir güvenlik zafiyeti tarama aracı ve ağ kontrollerinizin çoğunu kapsayan açık kaynaklı bir çözüm.
Bu çözümün çok yönlülüğü BT yöneticileri için bir avantaj. Böylece herhangi bir yeni cihaz ağa eriştiği anda cihazları tespit edip tarayabilen bir Metasploit çerçevesine dâhil edilebilir.
Ayrıca gerçek dünyadaki güvenlik zafiyeti risklerini izler ve hepsinden önemlisi, buna göre düzeltmeler geliştirmek için tehdidin yeteneklerini tanımlıyor.
Nexpose şu anda bir yıllık ücretsiz deneme sunuyor.
Nikto
Nikto, Nexpose Community gibi çevrim içi kullanımı ücretsiz olan bir başka güvenlik zafiyeti tarayıcı aracı.
Nikto, sunucu işlevlerini anlamaya, sürümlerini kontrol etmeye, tehditleri ve kötü amaçlı yazılım varlığını belirlemek için web sunucularında bir test gerçekleştirmeye ve HTTPS, httpd, HTTP ve daha fazlası gibi farklı protokolleri taramaya yardımcı oluyor.
Ayrıca bir sunucunun birden fazla portunu kısa sürede taramaya yardımcı olan Nikto, verimliliği ve yetenekleri nedeniyle tercih ediliyor.
Retina Network Security Scanner
Retina Network Security Scanner, merkezî bir konumdan güvenlik zafiyeti yönetimiyle ilgilenen web tabanlı açık kaynaklı bir yazılımı.
Özellikleri arasında yama, uyumluluk, yapılandırma ve raporlama yer alıyor.
VCenter entegrasyonları ve uygulama tarama sanal ortamları için tam destek ile veri tabanları, iş istasyonları, sunucu analizi ve web uygulamaları ile ilgileniyor.
Eksiksiz bir çapraz platform güvenlik açığı değerlendirme araçları listesi ve güvenliği sunan birden fazla platformla ilgileniyor.
Wireshark
Wireshark, piyasadaki en güçlü ağ protokolü analizörlerinden biri olarak kabul ediliyor. Linux, macOS ve Windows cihazlarında başarıyla çalışıyor.
Birçok devlet kurumu, işletme, sağlık hizmetleri ve diğer endüstriler tarafından ağlarını çok keskin bir şekilde analiz etmek için kullanılıyor. Wireshark tehdidi tanımladıktan sonra, incelemek için her şeyi çevrim dışı hale getiriyor.
Wireshark’ın diğer önemli özellikleri arasında standart üç bölmeli paket tarayıcı, GUI kullanılarak gezilebilen ağ verileri, güçlü ekran filtreleri, VoIP analizi, Kerberos, WEP, SSL/TLS gibi protokoller için şifre çözme desteği ve daha fazlası yer alıyor.
Aircrack-ng
Aircrack-ng, BT departmanlarının Wi-Fi ağ güvenliğine dikkat etmelerine yardımcı oluyor.
Aircrack-ng, ağ denetimlerinde kullanılır ve Wi-Fi güvenliği ve kontrolü sunuyor.
Veri paketlerini yakalayarak kayıp anahtarlarla ilgilenir. NetBSD, Windows, OS X, Linux ve Solaris’te destekleniyor.
Güvenlik zafiyeti tarayıcı araçları, zafiyetlerin proaktif bir şekilde tespit edilmesine ve yamalanmasına yardımcı oluyor.
Otomatik tarama seçenekleri ile haftalık güvenlik zafiyeti analiz raporları oluşturabilir ve daha fazla bilgi edinmek için sonuçları karşılaştırabilirsiniz.
Türk siber güvenlik firması RSU Bilişim, sandık güvenliğine katkı sağlamak için ücretsiz sızma testi hizmeti vereceğini duyurdu.
Seçim döneminin yaklaşması ile sandık güvenliğini sağlamayı hedefleyen birçok yeni uygulama STK’lar ve siyasi partiler tarafından kullanılmaya başlandı.
Bu platformlar Türkiye Cumhuriyeti vatandaşı birçok seçmen ve seçim görevlisinin önemli bilgilerini içeriyor. Türkiye Cumhuriyeti vatandaşlarının veri güvenliğini sağlayabilmek amacı ile olarak bu platformlara ücretsiz sızma testi hizmeti vereceğiz .
Konuya ilişkin talepler firmanın iletişim sayfası üzerinden iletilebilecek.
Küresel Sızma Testi Pazarının sektörde öne çıkan istatistikleri çıkardığı rapor, pazarın değerinin 2028 yılında 5,28 milyar dolara yükseleceğini ön görüyor.
Küresel Sızma Testi Pazarı, küresel ölçekte giderek artan siber güvenlik ihtiyaçlarından doğan sızma testleri sağlayan pazar hakkında ayrıntılı bir rapor paylaştı.
Rapora göre söz konusu pazarın değeri 2021’de 1,87 milyar dolar değerinden 2028 yılında 5,28 milyar dolara yükselecek.
SIZMA TESTİ NEDİR?
Sızma testi, istismar edilebilir güvenlik zafiyetlerini belirlerken sistemlerin güvenliğini değerlendirmek için bir bilgisayar sistemi üzerinde kasıtlı olarak gerçekleştirilen bir tür etik bilgisayar korsanlığı olarak adlandırılıyor.
Test uzmanları, siber saldırılar tarafından kullanılan benzer donanım, araç ve taktikleri benimsiyor. Siber suçlara maruz kalma olasılığı yüksek kuruluşlar, bilgisayar altyapılarının genel güvenliğini sağlamak için bu test yöntemini benimsiyorlar.
Siber saldırıların artması, bulut bilişim çözümlerinin giderek daha fazla benimsenmesi ve bu alandaki teknolojik gelişmeler, öncelikle bu iş kolunun görünümünü de güçlendiriyor.
Ayrıca, gelişen BT endüstrisi, sıkı veri güvenliği düzenlemeleri ve çeşitli bölgelerde hızla gelişen teknolojik altyapı, bu pazarın gelişmesi için kazançlı fırsatlar yaratıyor.
RAPORDA ÖNE ÇIKAN DETAYLAR
Küresel Sızma Testi Pazarı’nın paylaştığı ayrıntılı raporda söz konusu büyüme artışının nedenini şöyle açıkladı:
“Bu alanda artan Ar-Ge faaliyetleri, çeşitli endüstri dikeylerinde yükselen dijitalleşme eğilimleri ve dünya çapında artan veri merkezi sayısı, Küresel Sızma Testi Pazarının gelişimine ivme kazandırmaktadır. Ayrıca, yüksek hızlı internet bağlantısına artan talep, uzaktan çalışmanın artan popülaritesi ve artan siber saldırı karmaşıklığı vakaları, bu sektör dikeyinin genel dinamiklerini teşvik etmektedir.”
Pazarın rekabetçi ortamını karakterize eden Küresel Sızma Testi Pazarı, bu alanda önde gelen şirketleri paylaştı.
Şirketler arasında, Checkmarx, Coalfire Systems, Core Security Technologies, FireEye, HackerOne Inc., ImmuniWeb SA, Indium Software, International Business Machines Corporation, Netragard LLC, Netsparker Ltd., OffSec Services Limited, Micro Focus International plc., Acunetix ve diğer şirketler yer alıyor.
Bu şirketler küresel pazardaki konumlarını güçlendirmeye çalışıyor. Eğrinin önünde kalmak için birleşme ve devralmalar, ürün lansmanları, Ar-Ge yatırımları, ortaklıklar ve iş birlikleri dahil olmak üzere çeşitli stratejiler benimsiyorlar.
Hangi tür hizmetlerin alındığı ve hangi iş kollarının bu hizmetleri aldığı da ayrıntılı bir şekilde paylaşılan raporda öne çıkan hizmetler arasında, Hizmetler Kablosuz Ağ Sızma Testi Hizmetleri, Ağ Sızma Testi, Web Uygulaması Sızma Testi, Sosyal Mühendislik Sızma Testi, Mobil Uygulama Sızma Testi ve diğerleri bulunurken, iş kolları arasında da sağlık hizmetleri, hükûmet ve savunma, perakende, BT ve telekom bulunuyor.
SIZMA TESTLERİNE OLAN İHTİYAÇ NEDEN ARTTI?
Sızma testlerine olan ihtiyacın neden arttığına dair ayrıntılı bilgi sunan raporda şu ayrıntılara değinildi:
“Dünya genelinde çeşitli endüstri dikeylerinde siber saldırılar giderek artmaktadır. Aslında, suç operatörleri siber saldırıları sofistike hâle getirmek için yapay zeka, analitik ve makine öğrenimi gibi ileri teknolojileri benimsemeye başladılar. Kuruluşların çoğu hazırlıklı olmadığından ve üst düzey araçlara sahip olmadığından, bu tür saldırılar fark edilmeme veya tespit edilmeme eğilimindedir. Birçok işletme bu tür saldırılar nedeniyle büyük mali kayıplara uğramakta ve bu da pazardaki itibarlarını etkilemektedir. Bu durum, çok sayıda kuruluşta sofistike siber suç riskini en aza indirmek için etkili araç ve taktiklere olan talebi artırmıştır.
Çok çeşitli sektörlerde yükselen dijitalleşme trendi, veri gizliliği endişelerinin artmasına neden oldu. İnternetin yaygınlaşması ve akıllı cihazların giderek daha fazla benimsenmesi nedeniyle sağlık, eğitim ve perakende gibi sektörler, insan hatalarına yer bırakmadan genel giderlerini azaltmak amacıyla operasyonlarını kolaylaştırmaya çalışıyor. Ancak bu durum, bu kuruluşların sistemlerine kolayca girebildikleri ve gizli verileri elde edebildikleri için bilgisayar korsanlarına karlı fırsatlar sağladı. Siber suçlular bu değerli varlıkları ele geçirdikten sonra bunları karanlık ağda satıyor ve büyük kârlar elde ediyor. Bu nedenle, bu kuruluşların birçoğu siber güvenlik birimlerini güçlendirdi ve bu da penetrasyon testi çözümlerinin dağıtımını artırıyor.”
COVID-19 DA SIZMA TESTLERİNE OLAN İHTİYACI ARTIRDI
Küresel Sızma Testi Pazarı, Covid-19 salgınının da sızma testlerine olan ihtiyacı artırdığını raporlarına taşıdı. Raporda, “COVID-19 salgınının başlangıcı, Küresel Sızma Testi pazarının ilerlemesine ivme katıyor. Sıkı kilitlenmeler kitlelerin hareketliliğini tamamen kısıtladı ve ticari komplekslerin geçici olarak kapatılmasına yol açtı. Bu, kuruluşları sanal bir operasyon moduna geçmeye itti ve böylece uzaktan çalışma eğilimlerini popülerleştirdi. Ne yazık ki bu durum, siber saldırıların artmasına neden olmuş ve bu da çevrimiçi iletişim, veri aktarımı ve diğer faaliyetler sırasında kullanıcı veri güvenliğini ve gizliliğini sağlamak için etkili taktiklerin ve araçların kullanılmasını gerektirmiştir.” denildi.
DİKEY HIZDA BÜYÜYEN BÖLGELER
Küresel Sızma Testi Pazarı, yayımladıkları raporda bu alanda en hızlı büyümeyi kaydeden bölgeleri nedenleriyle birlikte ayrıntılı bir biçimde paylaştı. Buna göre sektör içerisinde en dikine büyümeyi kaydeden bölge Kuzey Amerika oldu.
Bunun nedeni ise raporda şu şekilde belirtildi:
“Kuzey Amerika, internetin hızla yaygınlaşması, akıllı cihazların giderek daha fazla benimsenmesi ve kitlelerin artan harcanabilir geliri nedeniyle bu pazarda en hızlı büyüyen bölgelerden biri olarak ortaya çıkmıştır.”
Asya-Pasifik pazarının da ilerleyen dönemde önemli bir gelir payı elde edeceği söylenen raporda “Asya Pasifik’in, artan siber saldırılar, gelişen BT sektörü ve bu alandaki teknolojik yenilikler nedeniyle tahmin dönemi boyunca önemli bir gelir payı elde edeceği düşünülmektedir.” ifadelerine yer verildi.
Oltalama saldırılarına karşı çözüm geliştiren Keepnet Labs’in kurucusu siber güvenlik uzmanı Ozan Uçar, Londra’nın siber güvenlik alanında başarılı girişimcileri arasında kendisine yer buldu.
Best Startup UK adlı internet sitesi, 81 başarılı siber güvenlik girişiminin listelendiği ayrıntılı bir haber yayımladı.
“Siber güvenlik alanında Londra’nın en etkileyici ve en başarılı 81 kurucusu” başlıklı haberde, Türk girişimci Uçar da yer aldı.
Haberde Uçar’ın KeepnetLabs’in kurucusu ve teknolojiden sorumlu genel müdürü olduğu belirtildi. Makalede ayrıca yaklaşık 16 yıldır siber güvenlik yeniliklere imza atan Uçar’ın sızma testi, beyaz şapkalı hackerlık ve adli bilişim alanlarında uluslararası akreditasyonlara sahip olduğu vurgulandı.
Best Startup UK, İngiltere’deki 130.000’den fazla girişimi ve bu şirketlerde önemli pozisyonlarda bulunan 500.000’den fazla kişiyi takip ediyor. Web sitesi 81 kişilik listeyi hazırlarken, bu kişilerin inovasyon, bulunduğu pazarda göstermiş olduğu büyüme, sıradışı yönetim kabiliyetleri ve toplumsal etki alanındaki başarılarını göz önüne alıyor.
Söz konusu haberde, 81 kurucunun bilgilerinin siber güvenlik alanında daha fazla ilgi ve takdiri hak ettiklerini vurgulamak için yayımlandığı vurgulandı.
