Sızma testi
Tarihçe

1960'lı yılların ortalarına gelindiğinde, kaynakları iletişim hatları üzerinden erişilebilir kılan zaman paylaşımlı bilgisayar sistemlerinin popülaritesinin artması yeni güvenlik kaygıları yarattı. Bilim adamları Deborah Russell ve G. T. Gangemi, Sr. nin ifade ettiği gibi “1960'lar bilgisayar güvenliği çağının asıl başlangıcına işaret etmektedir.”
Örneğin, Haziran 1965’te, ülkenin önde gelen bilgisayar güvenliği uzmanlarından birkaçı, devlet müteahhidi olan System Development Corporation (SDC) tarafından ev sahipliği yapan, sistem güvenliği konusundaki ilk büyük konferanslardan birini düzenledi.Konferans sırasında bir SDC çalışanının SDC'nin AN / FSQ-32 zaman paylaşımlı bilgisayar sistemine eklenen çeşitli sistem korumalarını baltalayabildiği görüldü. Daha fazla sistem güvenliği çalışmasının faydalı olacağını uman katılımcılar “zaman paylaşımlı sistemde güvenlik korumasının ihlal edilmesi gibi alanlarda çalışmalar yapılmasını” istedi. Başka bir deyişle, konferans katılımcıları, bilgisayar penetrasyonunu sistem güvenliğini incelemek amacıyla bir araç olarak kullanmak için ilk resmi taleplerden birinde bulundu.
1967 baharında, Ortak Bilgisayar Konferansı'nda, birçok önde gelen bilgisayar uzmanı, sistem güvenliği endişelerini tartışmak için bir araya geldi. Bu konferans sırasında, bilgisayar güvenlik uzmanları Willis Ware, Harold Petersen ve RAND Corporation'ın tümü Rein Tern ve Ulusal Güvenlik Ajansı'ndan Bernard Peters (NSA), bir bilgisayar sistemine yönelik bir saldırıyı tanımlamak için "sızma" ifadesini kullandılar. Bir makalede, Ware ordunun uzaktan erişilebilir zaman paylaşımlı sistemlerine atıfta bulundu ve “Bu tür bilgisayar sistemlerine sızma konusunda kasıtlı girişimler beklendiği” uyarısında bulundu. Meslektaşları Petersen ve Turn, çevrimiçi iletişim sistemlerinin "gizliliğe yönelik tehditlere karşı " "kasıtlı sızma" dahil olmak üzere savunmasız olduklarını gözlemleyerek aynı endişeleri paylaştı. NSA'dan Bernard Peters da aynı şekilde, bilgisayar girdi ve çıktılarının bir bilgisayar penetrasyonu konusunda büyük miktarlarda bilgi sağlayacağını dile getirdi. Konferans sırasında bilgisayar penetrasyonu, resmi olarak çevrimiçi bilgisayar sistemlerine karşı büyük bir tehdit olarak tanımlandı.
Bilgisayar penetrasyonunun yarattığı tehdit, 1967 yılının sonlarında ABD Savunma Bakanlığı (DoD) tarafından düzenlenen büyük bir raporda ortaya kondu. DoD yetkilileri, zaman paylaşımlı bilgisayar sistemlerinin güvenliğini resmi olarak değerlendirmek üzere NSA, CIA, DoD, akademi ve sektör uzmanlarından oluşan bir görev gücüne liderlik etmek üzere Willis Ware'e başvurdu.1967 baharında yapılan Ortak Bilgisayar Konferansı sırasında sunulan birçok makaleye dayanarak, görev gücü, bilgisayar nüfuzunun yol açtığı sistem güvenliği tehdidini büyük ölçüde doğruladı. Ware'in raporu başlangıçta gizliydi, ancak ülkenin önde gelen bilgisayar uzmanlarının çoğu çalışmayı hızlı bir şekilde bilgisayar güvenliği konusunda kesin bir belge olarak tanımladı. Charles Babbage Enstitüsü'nden Jeffrey R. Yost, Ware raporunu daha yakın bir zamanda “... zamanının güvenli bilgisayar sistemleri ile ilgili teknik ve operasyonel konulardaki en önemli ve kapsamlı çalışması” olarak tanımladı. Aslına bakılırsa Ware raporu, bilgisayar penetrasyonunun yeni çevrimiçi zaman paylaşımlı bilgisayar sistemlerine karşı yarattığı tehlikeyi tekrar teyit etmiş oldu.
Sistem zayıflıklarını daha iyi anlamak amacıyla, Federal hükümet ve müteahhitleri çok geçmeden, bilgisayar penetrasyonunu kullanarak sistem güvenliğini test etmek için kaplan takımları (tiger teams) olarak bilinen sızma ekiplerini organize etmeye başladılar. Deborah Russell ve G. T. Gangemi Sr. “kaplan takımlarının ilk kez 1970'lerde bilgisayar sahnesinde ortaya çıktığını,devlet ve sektör destekli bu takımların zafiyetleri açığa çıkarmak ve nihayetinde yama yapmak için bilgisayar sistemlerinin savunmasını yıkmayı amaçladıklarını“ belirtti.
Bilgisayar güvenliği tarihinin önde gelen kişilerinden olan Donald MacKenzie, benzer şekilde, “RAND’ın, devlete ait zaman paylaşımlı sistemlere sızmak için bazı çalışmalar yaptığını” ifade etti.Charles Babbage Enstitüsü'nden Jeffrey R. Yost, bilgisayar güvenliği konusundaki kendi çalışmasında, hem RAND Corporation'ın hem de SDC'nin, zaman paylaşımlı sistemlerin zafiyetlerini test etmek için ilk sözde sızma çalışmalarını yürüttüğüne" değindi. Neredeyse tüm bu erken çalışmalarda, kaplan ekipleri, ülkenin zaman paylaşımlı sistemlerinin savunmaları zayıf olduğu için hedeflenen tüm bilgisayar sistemlerine başarıyla girdi.
İlk kaplan takımı eylemlerinin arasında RAND Corporation’ın, penetrasyonun sistem güvenliğinin değerlendirilmesinde bir araç olarak faydasını göstermekteki çabaları yer almıştır. Ek olarak, bazı RAND analistleri sızma testi egzersizlerinin kullanımın devam etmesini haklı kılan bazı faydalar sunduğunu vurguladı. Bir makalede “sistem zafiyet arayışında saldırgan bakış açısı kazanıldığı” belirtildi. Bu ve benzeri nedenlerle, RAND'daki birçok analist, sistem güvenliğinin değerlendirilmesinde penetrasyon tekniklerinin devam etmesini önermiştir.
Belki de sızma testinin şekillendiği bu yıllara yön veren kişi sistem güvenliğini incelemek için NSA, RAND ve diğer devlet kurumları ile birlikte çalışan James P. Anderson'dır. 1971'in başlarında, ABD Hava Kuvvetleri, Pentagon'daki zaman paylaşımlı sisteminin güvenliğini incelemek için Anderson'un özel şirketiyle sözleşme yaptı. Anderson, çalışmasında bilgisayar penetrasyonuna dahil olan bir dizi ana faktörü ortaya koydu. Anderson, genel bir saldırı sırasını şu adımlarla açıkladı:
1. İstismar edilebilir bir zafiyet bulun.
2. Zafiyetin çevresinde bir saldırı tasarlayın.
3. Saldırıyı test edin.
4. Kullanılan bir hattı ele geçirin.
5. Saldırıyı başlatın.
6. İstismar ederek bilgileri ele geçirin.
Zaman içinde Anderson’un genel sızma testi adımları birçok siber güvenlik araştırmacısına yol gösterdi.
İlerleyen yıllarda, güvenlik değerlendirmelerinde bilgisayar penetrasyonunun kullanılması daha incelikli ve karmaşık bir hale geldi. 1980'lerin başlarında, gazeteci William Broad, kaplan ekiplerinin devam eden sistem güvenliğini değerlendirme çabalarını kısaca özetledi. Broad'in bildirdiği gibi, DoD sponsorluğundaki Willis Ware'in raporu, “casusların bilgisayarlara nasıl aktif olarak girebileceğini, elektronik dosyaları çalabileceğini veya kopyalayabileceğini ve normalde çok gizli bilgileri koruyan cihazları altüst edebileceğini gösterdi. Çalışma, on yıldan uzun süredir devlet için çalışan bilgisayar bilimcilerinin hassas bilgisayarlara girmek için yürüttükleri sessiz faaliyetlere de değindi. Bunu her denemelerinde başardılar.”
Bu çeşitli çalışmalar ABD’deki bilgisayar güvenliğinin büyük bir sorun olmaya devam ettiğini ileri sürse de, uzman Edward Hunt daha yakın bir zamanda, bilgisayar penetrasyonunun bir güvenlik aracı olarak kapsamlı bir şekilde araştırılması gerektiği hakkında önemli bir noktaya değindi. Hunt sızma testi tarihi üzerine yazdığı son makalesinde savunma kuruluşlarının detaylı araştırmalar yaparak modern siber savaşta kullanılmak üzere birçok araç geliştirdiğini belirtti.