Zafiyet Taraması Hizmeti: Düzenli Tarama ve Rapor

Zafiyet taraması, kurumun sunucularını, ağ cihazlarını ve web uygulamalarını bilinen güvenlik açıklarına karşı otomatik araçlarla taramak, bulguları önem sırasına koymak ve kapatılmalarını takip etmektir. Bu işi iki biçimde yapıyoruz: bir kerelik bir tarama ile bugünkü durumunuzun fotoğrafını çekiyor ya da düzenli tarama ile yeni çıkan açıkları çıktıkları hafta yakalıyoruz.

Bir kan tahlilini düşünün. Tahlil, bilinen değerleri ölçer ve referans aralığının dışında kalanları işaretler: şu değer yüksek, şu değer sınırda. Ama tanı koymaz; işaretlenen değerin sizde gerçekten bir hastalığa işaret edip etmediğini ileri tetkik söyler. Tahlil de bir kez yapılıp unutulmaz, çünkü değerler zamanla değişir. Zafiyet taraması da aynı işi görür:

• Tahlil paneli taramanın kapsamıdır: dış yüzey, iç ağ, web uygulaması.
• Referans dışı değer bulgudur: eski bir sürüm, eksik bir yama, zayıf bir ayar.
• Değerin ne kadar dışarıda olduğu bulgunun önem derecesidir.
• Periyodik check-up düzenli taramadır.
• İleri tetkik sızma testidir.

Bu sayfa siber güvenlik hizmetimizin denetim koluna odaklanıyor. Taramanın bulduğu bir maddenin sizin ortamınızda gerçekten sömürülebilir olup olmadığını kanıtlamak sızma testi sayfasının konusudur; iki iş birbirini tamamlar ve çoğu kurumda tarama, sızma testinin aralarını doldurur.

Zafiyet Taramasında Ne Yapıyoruz, Ne Yapmıyoruz?

Kapsamımız taramanın kendisiyle bitmez; asıl iş, taramanın ürettiği listeyi kurumun gerçekten kapatabileceği bir iş sırasına çevirmektir. Sınırı baştan çiziyoruz, çünkü “tarama yaptık” cümlesi bir raporu e-postayla göndermekten bulguların kapandığını doğrulamaya kadar her şeyi anlatabilir.

Yaptıklarımız:

• Kapsam ve izin. Hangi sistemlerin, hangi yoğunlukta ve hangi saatlerde taranacağını yazılı hale getiriyor, hassas cihazları ayrı işaretliyoruz.
• Tarama. Dış yüzeyi, iç ağı ve web uygulamalarını kendi aracımız Shrike ile tarıyoruz; iç ağda cihazlara credential’la (kimlik bilgisi) bağlanıp eksik yamaları da çıkarıyoruz.
• Önceliklendirilmiş rapor. Bulguları ham listeyle değil, önem derecesi ve sizin ortamınızdaki etkisiyle sıralıyor, yanlış alarmları ayıklıyoruz.
• Kapatma planı. Hangi bulgunun kim tarafından ve ne zaman kapatılacağını sizin ekibinizle birlikte planlıyoruz.
• Tekrar tarama. Kapatma bittiğinde yeniden tarıyor ve bulgunun gerçekten kapandığını gösteriyoruz.

Bu işin bittiği yer:

• Tarama, açığın sömürülebilir olduğunu kanıtlamaz. O iş sızma testinin işidir ve ayrı yürür.
• Kapsam dışındaki sistemlere dokunmuyoruz. Tarama yalnız yazılı izinle ve kapsamda tanımlanan sistemlerde yapılır.
• Aracı satmıyoruz. Shrike işin parçası olarak bizim elimizde çalışır; kurum kendi tarama aracını kurmak isterse o ayrı bir iştir.

Zafiyet Taraması Kime Gerekir?

Zafiyet taraması çoğu kurumun gündemine bir olaydan, bir denetimden ya da bir değişiklikten sonra girer. En sık karşılaştığımız durumlar şunlar:

• Dışa açık sistemi olan her kurum. Web sitesi, uzaktan erişim kapısı, e-posta sunucusu ya da müşteri portalı internete açıksa, orayı saldırgan da sizinle aynı anda görür.
• Bir denetim ya da müşteri talebi geldi. ISO 27001 hazırlığı, KVKK teknik tedbirleri ya da büyük bir müşterinin tedarikçi güvenlik anketi düzenli tarama kaydı ister.
• Sızma testi yaptırıldı, aralar boş. Yılda bir yapılan sızma testi o günün derin fotoğrafını çeker; arada yayımlanan açıkları düzenli tarama yakalar.
• Büyük bir değişiklik yapıldı. Yeni bir sunucu, yeni bir uygulama ya da bir altyapı taşıması, eski tarama sonuçlarını geçersiz kılar.

Dürüst bir alt sınır da çizelim. Dışa açık hiçbir sistemi olmayan, beş kişilik bir ofiste düzenli tarama yerine yılda bir kontrol ve iyi bir yama alışkanlığı çoğu zaman yeterlidir.

Zafiyet Taramasının Üç Yüzeyi: Dış, İç ve Web

Tahlil panelleri nasıl farklı değerleri ölçüyorsa, zafiyet taraması da üç ayrı yüzeye ayrı gözle bakar. Her yüzeyin sorusu, aracı ve bulgusu farklıdır; kapsamı yazarken hangisinin gerektiğini birlikte seçiyoruz.

Dış Yüzey Taraması

Dış yüzey taraması, kurumun internetten görünen her şeyine saldırganın baktığı yerden bakar ve açık portları, çalışan servisleri, bu servislerin sürümlerini ve sertifikalarını çıkarır. Bu taramanın bulabileceği en değerli şey bir açık değil, kimsenin envanterinde olmayan bir servistir: yıllar önce açılıp unutulmuş bir test sunucusu ya da geçici diye açılmış bir uzaktan erişim portu. Portların ne anlattığını port rehberimizde ayrıca anlattık.

İç Ağ Taraması ve Credential’lı Tarama

İç ağ taraması, içerideki sunucuları, istemcileri ve ağ cihazlarını tarar. Burada farkı yaratan şey taramanın credential’la yapılıp yapılmadığıdır. Credential olmadan tarayıcı cihazın kapısından bakar ve dışarıdan görünenle yetinir; credential’la ise cihaza girip kurulu yazılımları, eksik yamaları ve yapılandırmayı okur. İkincisi çok daha fazla ve çok daha doğru bulgu üretir; bu yüzden iç ağda credential’lı taramayı varsayılan olarak öneriyoruz.

Web Uygulaması Taraması

Web uygulaması taraması, kurumun kendi yazdığı ya da kullandığı web uygulamalarını; eski kütüphaneleri, hatalı yapılandırmaları ve bilinen saldırı kalıplarına açık formları arar. Web sitesinin güvenlik testi olarak da aranan bu iş, uygulamanın iş mantığındaki hatayı bulmaz; o derinlik sızma testinin web uygulaması bölümüne aittir.

Zafiyet Taraması Raporu: Liste Değil, Öncelik Sırası

Bir tarama aracı yüzlerce satırlık bir liste üretir ve o listeyi olduğu gibi göndermek, işin en kolay ama en az işe yarayan hâlidir. Tahlil sonucunu hastaya yorumsuz vermek gibi: değerler oradadır, ama hangisinin önemli olduğunu kimse söylememiştir.

Raporu üç adımda önceliklendiriyoruz:

1. Önem derecesi. Her bulgu, dünyada ortak kullanılan CVSS ölçeğinde 0 ile 10 arasında puanlanır; 9 ve üstü kritik, 7 ile 8,9 arası yüksek sayılır.
2. Sizin ortamınızdaki bağlam. İnternete açık bir sunucudaki yüksek bulgu, yalnız içeriden erişilen bir test makinesindeki kritik bulgudan önce gelebilir. Puan bir başlangıçtır, sıralamayı bağlam belirler.
3. Yanlış alarmın ayıklanması. Araç bazen kurulu olmayan bir sürümü kurulu sanır ya da zaten kapatılmış bir açığı yeniden raporlar. Bu satırları elden geçirip rapordan çıkarıyoruz.

Sonuçta elinize geçen şey yüzlerce satır değil, “önce şu beşi, sonra şu on beşi” diyen bir iş sırasıdır. Raporun iki okuru olduğunu da unutmuyoruz: yönetim için bir sayfalık bir özet, teknik ekip için ise her bulgunun nerede olduğunu ve nasıl kapatılacağını gösteren ayrıntılı bir liste hazırlıyoruz.

Tek Seferlik mi, Düzenli Zafiyet Taraması mı?

Tek seferlik tarama bugünkü durumun fotoğrafını çeker; düzenli tarama ise o fotoğrafı her ay yeniden çekip farkı gösterir. İkisini de yapıyoruz ve hangisinin uygun olduğunu kurumunuzun durumu belirler.

Benzetme burada kopuyor ve kopma noktası düzenli taramanın asıl gerekçesidir. Kan değerleriniz yavaş değişir; bir yıl sonraki tahlil çoğu zaman bir öncekine benzer. Sistemlerinizde ise siz hiçbir şeye dokunmasanız bile risk değişir, çünkü yeni zafiyetler her gün yayımlanır. Dün temiz çıkan bir sunucu, bugün duyurulan bir açıkla kritik hale gelebilir.

Düzenli tarama, yönetilen hizmet aboneliğimizin içinde ya da tek başına bir tarama aboneliği olarak yürür; hangisinin size uyduğunu ilk görüşmede konuşuyoruz.

Zafiyet Bulgusundan Kapanışa: Yama, Yapılandırma ve Tekrar Tarama

Bir bulgu rapora yazıldığında değil, kapandığında değer üretir. Kapatma işleri çoğunlukla üç türdür: eksik bir yamanın kurulması, zayıf bir ayarın düzeltilmesi ya da gereksiz bir servisin kapatılması. Yama tarafının düzene oturması, yani hangi yamanın hangi sırayla ve ne zaman kurulacağının yönetilmesi, taramanın en uzun ömürlü çıktısıdır.

Ayar tarafındaki bulgular çoğu zaman tek tek düzeltilmekten fazlasını ister; aynı zayıf ayar birçok cihazda tekrarlanıyorsa kök çözüm bir standart belirleyip hepsine uygulamaktır. Bunun nasıl yapıldığını güvenlik sıkılaştırma sayfamızda anlattık.

Kapatma bittiğinde tekrar tarıyoruz. Tahlilde de böyledir: tedaviden sonra kontrol tahlili yapılır, değerin normale döndüğü ancak o zaman bilinir. Tekrar taramanın sonucu raporun son sayfasına girer ve hangi bulgunun kapandığını, hangisinin açık kaldığını gerekçesiyle gösterir.

Zafiyet Taramasını Nasıl Yürütüyoruz?

Süreç beş adımdır ve son adım bir doğrulamayla biter.

1. İlk görüşme, uzaktan ve ücretsiz. Dışa açık sistemlerinizi, iç ağınızın büyüklüğünü ve taramadan ne beklediğinizi konuşuyoruz.
2. Kapsam ve izin. Taranacak sistemler, tarama saatleri ve hassas cihazlar yazılı hale gelir; tarama bu izinle başlar.
3. Tarama. Dış yüzeyi, iç ağı ve web uygulamalarını Shrike adını verdiğimiz kendi aracımızla, kapsama göre tarıyoruz. Shrike’ı Türkiye’deki şirketlerin ihtiyaçlarına göre geliştirdik; bulgu motoru da raporlama birimleri de tamamen bizim. Tarama verisi ve bulgular üçüncü taraf bir hizmete gönderilmediği için sistemlerinizle ilgili bilgi dışarı sızmıyor.
4. Rapor ve kapatma planı. Önceliklendirilmiş raporu sizinle birlikte okuyor, kapatma sırasını ve sorumlularını belirliyoruz.
5. Tekrar tarama. Kapatma bittiğinde yeniden tarıyor, sonucu raporun son sayfasına ekliyoruz.

Taramanın ortaya çıkardığı yapılandırma açıklarının bir kurumda nasıl kapatıldığını güvenlik duvarı sıkılaştırma vakamızda anlattık; orada da iş, bir listeyi kurumun uygulayabileceği bir sıraya çevirmekle başladı.

Zafiyet Taraması Fiyatını Ne Belirler?

Bedeli taramanın ne kadar derin olacağı ve kaç farklı yüzeyi kapsayacağı belirler. Teklifi etkileyen kalemler şunlar:

• Kapsamdaki sistem sayısı. Taranacak IP adresi, sunucu ve web uygulaması sayısı işçiliği doğrudan belirler.
• Yüzey sayısı. Yalnız dış yüzey ile dış yüzey, iç ağ ve web uygulamaları birlikte aynı iş değildir.
• Credential’lı tarama. İç ağda cihazlara girerek yapılan tarama daha fazla hazırlık ve daha uzun bir rapor ister.
• Periyot. Tek seferlik bir tarama ile aylık ya da üç aylık düzenli tarama farklı fiyatlanır.
• Kapatma desteği. Bulguların kapatılmasını sizin ekibiniz mi yapacak, yoksa bizden mi isteyeceksiniz?

Teklif karşılaştırırken tek bir soru çoğu şeyi ayırır: teslim edilen şey ham bir araç çıktısı mı, yoksa önceliklendirilmiş ve tekrar taramayla doğrulanmış bir rapor mu? Birincisi bir liste, ikincisi bir iş sırasıdır.

Sonuç: Zafiyet Taramasının Değerini Düzen Belirler

Zafiyet taraması bir kan tahlili gibidir: tanı koymaz, ama neyin referans dışında olduğunu zamanında gösterir. Değerini tek bir sonuç değil düzen belirler; bulgular önceliklendirildiğinde, kapatıldığında ve tekrar taramayla doğrulandığında tarama kurumun güvenlik takviminin sessiz ama sürekli bir parçasına dönüşür.

O noktada sorulacak soru da tek olur: bugün yayımlanan bir açık, sizin sistemlerinizde ne zaman fark edilecek?

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn