Zafiyet taraması hizmetleri

Zafiyet taraması, kurumunuzun sistemlerinde bilinen açıkları ve yanlış yapılandırmaları düzenli aralıklarla ve geniş bir kapsamda görmenizi sağlar. Ancak bir tarama aracının ürettiği liste tek başına bir risk tablosu değildir. Asıl mesele, hangi bulgunun gerçekten istismar edilebilir olduğunu ve neyin önce kapatılması gerektiğini bilmektir. Bu sayfada zafiyet taramasının nasıl çalıştığını, türlerini, ne zaman gerektiğini ve tarama çalışmalarımızın nasıl ilerlediğini bulabilirsiniz.

Zafiyet taraması nasıl çalışır?

Tarama araçları, bir sistemin ağ üzerinden verdiği yanıtlardan hangi yazılımın hangi sürümle çalıştığını çıkarır ve bu bilgiyi kamuya açıklanmış zafiyet kayıtlarıyla (CVE) karşılaştırır. Aynı yöntemle zayıf şifreleme seçenekleri, gereksiz yere açık bırakılmış servisler ve varsayılan ayarlarla bırakılmış bileşenler de ortaya çıkar.

Bu yaklaşım, çok sayıda sistemi kısa yoldan görünür kılar; ama aracın söylediği her şey kesin değildir. Bir bulgu gerçekte var olmayabilir ya da var olsa bile ortamınızda kullanılamayabilir. Bu yüzden bulgular, otomatik çıktı olarak bırakılmaz; uzmanlarımızca değerlendirilir ve önceliklendirilir. Yanlış pozitifleri nasıl ele aldığımızı aşağıdaki sık sorulan sorularda ayrıca anlatıyoruz.

Zafiyet taraması türleri

Tarama hizmetlerimiz S koduyla listelenir:

• Dış ağ zafiyet taraması (S/01): İnternete açık IP adresleriniz, alan adlarınız ve servisleriniz bir saldırganın bakış açısıyla taranır. TLS yapılandırması ile e-posta ve DNS güvenlik kayıtları (SPF, DKIM, DMARC) incelenir; envanter dışında kalmış varlıklar ayrıca listelenir.
• İç ağ zafiyet taraması (S/02): Sunucular, istemciler ve ağ cihazları kurum içinden taranır; eksik yamalar, varsayılan parolalar, gereksiz servisler ve Active Directory kaynaklı yapılandırma zayıflıkları görünür hâle gelir.
• Web uygulama güvenlik taraması (S/03): Web uygulamalarınız ve API’leriniz, oturum açılmış ve açılmamış senaryolarda OWASP Top 10 başta olmak üzere yaygın zafiyet sınıflarına karşı, otomatik dinamik tarama ve uzman incelemesiyle değerlendirilir.
• Bulut yapılandırma değerlendirmesi (S/04): AWS, Azure ve Google Cloud hesaplarınız, salt okuma yetkili bir erişimle, CIS kıyaslamaları ve sağlayıcı önerileri temel alınarak incelenir; ortamınızda hiçbir değişiklik yapılmaz.

Dışarıdan bakmak ve içeriden bakmak

Ağ üzerinden yapılan bir tarama, bir sistemi ancak dışarıya gösterdiği kadarıyla tanır. İç ağ taramalarında ise sistemlere sizin vereceğiniz hesaplarla bağlanmak mümkündür. Bu durumda yüklü yazılımlar ve yama seviyeleri tahmin edilmez, doğrudan kontrol edilir; sonuç, dışarıdan yapılan taramaya göre çok daha isabetli olur. Bu yöntemin ne zaman gerektiğini aşağıdaki sorularda bulabilirsiniz.

Zafiyet taraması ne zaman gerekir?

Tarama, tek seferlik bir kontrolden çok düzenli bir alışkanlık olarak değer kazanır: yeni zafiyetler sürekli yayımlanır ve sistemler değiştikçe saldırı yüzeyi de değişir. Genel olarak şu durumlarda tarama yapılması yararlıdır:

• İnternete açık varlıklarınızın güncel ve eksiksiz bir listesine sahip olduğunuzdan emin olmadığınızda.
• Yeni sunucular, servisler ya da bulut kaynakları devreye alındığında.
• Yama ve yapılandırma çalışmalarının sahada gerçekten uygulandığını görmek istediğinizde.
• Bir sızma testine hazırlanırken bilinen zafiyetleri önceden kapatmak istediğinizde.

Taramayı bir kez yaptırabileceğiniz gibi aylık ya da üç aylık bir düzene de bağlayabilirsiniz. Tekrarlanan çalışmalarda her rapor bir öncekiyle karşılaştırılır; hangi bulguların yeni olduğu, hangilerinin sürdüğü ve hangilerinin kapandığı tek bakışta görülür.

Tarama çalışmalarımız nasıl ilerler?

Her tarama, neyin taranacağının netleşmesiyle başlar. IP adreslerinizi, alan adlarınızı ve sistemlerinizi sizinle tek tek teyit eder, hangi saatlerde çalışılacağını ve hangi sistemlerin dışarıda kalacağını birlikte kararlaştırırız; yazılı yetkiniz olmadan hiçbir tarama başlatılmaz.

Dış taramalarda işe keşifle başlarız: genel kayıtlar, DNS verileri ve sertifika şeffaflık kayıtları, internete açık hangi varlıklarınız olduğunu gösterir. Envanter dışında kalmış sistemler bu aşamada ayrıca listelenir.

Tarama yoğunluğu, sistemlerinizin kaldırabileceği düzeye göre ayarlanır. Bunun nasıl sağlandığını aşağıdaki sorularda anlatıyoruz.

Bulguların ciddiyeti, CVSS temel puanıyla birlikte ilgili varlığın işiniz için taşıdığı değer ve dışarıdan erişilebilirliği hesaba katılarak belirlenir. Rapor iki okuyucuyu gözetir: karar verecek yöneticileri ve düzeltmeyi yapacak teknik ekibi. Düzeltmeler tamamlandığında kapatıldığı bildirilen bulgular yeniden kontrol edilir ve son durum bir doğrulama raporuyla belgelenir.

Taramadan sızma testine

Bir tarama, sistemlerinizde bilinen hangi açıkların bulunduğunu geniş bir kapsamda gösterir. Bu açıklarla bir saldırganın gerçekte nereye kadar gidebileceğini görmek ise sızma testinin işidir. İki yaklaşım birbirinin yerine geçmez, birbirini tamamlar: düzenli taramalar saldırı yüzeyinizin güncel bir resmini verir, sızma testleri ise seçilen hedeflerde derinlemesine bir değerlendirme sunar.

Fiyatlandırma nasıl belirlenir?

Zafiyet taramasının fiyatı kapsama göre belirlenir. Başlıca etkenler: taranacak varlıkların sayısı ve türü (IP adresi, alan adı, web uygulaması, bulut ortamı), taramanın dış ya da iç ağdan yapılması, tek seferlik mi yoksa aylık ya da üç aylık mı olduğu ve rapor beklentisi. Kapsamı ilk görüşmede birlikte belirleriz; ilk ön görüşmemiz ücretsizdir ve teklif kapsama göre hazırlanır.

Hangi taramayı seçmelisiniz?

• İnternetten görünen yüzeyinizi merak ediyorsanız dış ağ zafiyet taramasıyla başlayabilirsiniz.
• Kurum içindeki sunucu ve istemcilerin yama durumunu görmek istiyorsanız iç ağ zafiyet taraması uygundur; tarama, kurum içinde konumlandırılan bir tarama noktası üzerinden ya da güvenli uzaktan erişimle yapılır.
• Müşterilerinize ya da çalışanlarınıza açık web uygulamaları ve API’ler için web uygulama güvenlik taraması uygundur.
• İş yükleriniz AWS, Azure ya da Google Cloud üzerindeyse bulut yapılandırma değerlendirmesi, riskin çoğu zaman kaynaklandığı yapılandırma hatalarına odaklanır.

Hangi taramayla başlamanın doğru olacağına ilk görüşmede birlikte karar veririz. Kapsamı birlikte belirlemek için güvenlik testi talebinizi iletin. İlk ön görüşmemiz ücretsizdir.