Açık taraması nedir?
Açık taraması (vulnerability scanning), sistemlerdeki bilinen güvenlik açıklarını, yapılandırma hatalarını ve eksik yamaları otomatik araçlarla tespit etme işlemidir. Tarayıcı hedefi bilinen zafiyet veritabanlarıyla karşılaştırır ve bulguları risk düzeyine göre listeler.
Bu tarama hızlı ve tekrarlanabilirdir; bu yüzden düzenli güvenlik hijyeninin önemli bir parçasıdır. Ancak bulunan her kayıt gerçek bir risk olmayabilir, bulguların doğrulanması gerekir.
Nasıl çalışır?
Tarayıcı önce hedefteki açık portları ve servisleri keşfeder, ardından sürüm bilgisi ve yapılandırmaya bakarak bilinen açıklarla eşleştirir. Kimlik doğrulamalı tarama, sisteme geçerli bir hesapla giriş yaparak yüklü paketleri ve ayarları daha derinlemesine inceler ve daha az yanlış sonuç verir. Kimlik doğrulamasız tarama ise dışarıdan bir saldırganın göreceğini yansıtır.
Sonuçlar genellikle ciddiyet puanıyla gelir. Yanlış pozitifler (olmayan açığı bildirme) ve yanlış negatifler (var olan açığı kaçırma) olabileceğinden çıktı körü körüne uygulanmamalıdır.
Sunucu ve hosting ortamında
Sunucu için tarama; işletim sistemi paketleri, web sunucusu, PHP ve veritabanı sürümleri, açık servisler, TLS yapılandırması ve web uygulaması zafiyetlerini kapsayabilir. Web uygulamaları için ayrı araçlar, CMS sürümü ve eklentilerdeki bilinen açıkları da arar.
Yalnızca sahibi olduğunuz ya da yazılı izniniz bulunan sistemleri taramalısınız. Paylaşımlı hosting ve bulutta sağlayıcının tarama politikasını öğrenmek gerekir; yoğun taramalar yük yaratabilir ve izinsiz taramalar kuralları ihlal edebilir.
Nasıl uygulanır?
- Taramaları düzenli aralıklarla ve büyük değişikliklerden sonra çalıştırın
- Mümkünse kimlik doğrulamalı tarama kullanın
- Bulguları risk, erişilebilirlik ve istismar durumuna göre önceliklendirin
- Düzeltme sonrası yeniden tarayıp kapandığını doğrulayın
- Yanlış pozitifleri belgeleyin ve tekrar tekrar incelemekten kaçının
- Üretim sistemlerinde yoğunluğu ayarlayın ve uygun saatleri seçin
Sık yapılan hatalar
- Tarama raporunu alıp kimsenin üstlenmemesi
- Yalnızca ciddiyet puanına bakmak, sistemin bağlamını dikkate almamak
- Tarama yapmamak ve “bir şey olmadı” demek
- Taramayı sızma testinin yerine koymak
Sık sorulan sorular
Açık taraması nedir?
Sistemlerdeki bilinen güvenlik açıklarını ve hatalı ayarları otomatik araçlarla bulma işlemidir. Sonuçlar risk düzeyine göre sıralanarak düzeltilecek maddeleri gösterir.
Açık taraması ile sızma testi arasındaki fark nedir?
Açık taraması otomatik ve geniş kapsamlıdır, bilinen zafiyetleri listeler. Sızma testi ise insan uzmanlığıyla bulguları doğrular ve gerçek saldırı etkisini kanıtlar.
Açık taraması ne sıklıkla yapılmalı?
En azından düzenli bir takvimle (örneğin aylık) ve önemli değişikliklerden sonra yapılması önerilir. Kritik sistemlerde sürekli tarama daha uygun olabilir.
İlgili terimler
- Adli bilişim (digital forensics)Dijital delillerin bozulmadan toplanması, korunması ve analiz edilerek bir olayın nasıl gerçekleştiğinin ortaya çıkarılması.
- Ağ bölümleme (network segmentation)Ağı birbirinden yalıtılmış bölgelere ayırarak bir ihlalin yayılmasını ve saldırı yüzeyini sınırlama yaklaşımı.
- Bug bounty (açık ödül programı)Güvenlik araştırmacılarının bulduğu açıkları ödül karşılığı bildirmesi.
- CrowdSecTopluluk destekli IP itibarı kullanan, açık kaynaklı saldırı önleme aracı.
- CSP (İçerik güvenliği politikası)Sayfanın hangi kaynaklardan betik, stil ve görsel yükleyebileceğini sınırlayan başlık.
- Derinlemesine savunma (defense in depth)Tek bir korumaya güvenmek yerine birbirini tamamlayan birden çok güvenlik katmanını üst üste kullanma yaklaşımı.