Ağ Zafiyet Tarama Rehberi: İç ve Dış Ağ

Ağ Zafiyet Taramasına Genel Bakış

Ağ zafiyet taraması, bir organizasyonun ağ altyapısındaki güvenlik açıklarını otomatik araçlar aracılığıyla sistematik olarak tespit etme sürecidir. Sunucular, ağ cihazları, güvenlik duvarları, yönlendiriciler ve anahtarlar gibi ağ bileşenlerindeki bilinen zafiyetleri keşfeder.

Ağ taramaları, zafiyet yönetimi yaşam döngüsünün keşif aşamasını oluşturur ve düzenli olarak tekrarlanmalıdır. Taramaların etkinliği, kapsam doğruluğuna, tarama derinliğine ve sonuçların doğru yorumlanmasına bağlıdır.

Bu rehber, iç ve dış ağ taramalarının farklarını, tarama türlerini, ağ segmentasyonunun etkilerini ve performans optimizasyonu tekniklerini ele alarak kapsamlı bir çerçeve sunmaktadır.

Dış Ağ (External) Zafiyet Taraması

Dış ağ taraması, organizasyonun internetten erişilebilir varlıklarını hedef alır. Web sunucuları, e-posta sunucuları, VPN gateway'leri, DNS sunucuları ve bulut kaynaklarını kapsar. Bu tarama, bir saldırganın dış bakış açısını simüle eder.

Dış taramada dikkat edilecek temel noktalar şunlardır:

• Varlık keşfi: DNS envanteri, ASN bilgileri ve sertifika transparanlık loglarından başlayarak tüm dış varlıkları belirleyin.
• Port taraması: Standart portların ötesinde tüm 65535 TCP portunu ve yaygın UDP portlarını tarayın.
• Servis parmak izi: Açık portlardaki servislerin türü, sürümü ve konfigürasyonunu tespit edin.
• SSL/TLS analizi: Sertifika geçerliliği, protokol sürümleri ve şifreleme algoritmalarını kontrol edin.

"Dış ağ taraması, güvenlik çemberinizin ilk hattıdır. İnternetten erişilebilir her varlık potansiyel bir saldırı yüzeyidir ve düzenli olarak taranmalıdır."

Dış taramaları ayda en az bir kez, kritik varlıklar için haftalık olarak planlamak en iyi uygulamadır. Yeni bir varlık devreye alındığında tarama derhal tetiklenmelidir.

İç Ağ (Internal) Zafiyet Taraması

İç ağ taraması, organizasyonun güvenlik duvarı arkasındaki varlıkları hedef alır. İç ağda bulunan sunucular, iş istasyonları, yazıcılar, IoT cihazları ve ağ ekipmanları tüm taramaların kapsamında olmalıdır.

İç tarama, lateral movement (yanal hareket) senaryolarını anlamak için kritiktir. Bir saldırgan dış çemberi aştıktan sonra iç ağdaki zafiyetleri kullanarak yayılır; bu nedenle iç tarama ihmal edilmemelidir.

• IP aralığı tanımı: Tüm iç ağ subnet'lerini eksiksiz tanımlayın; unutulan bir subnet keşfedilmemiş zafiyetler barındırabilir.
• VLAN segmentasyonu: Her VLAN ayrı tarama profili ile taranmalıdır; VLAN'lar arası trafik kuralları test edilmelidir.
• Ayrıcalıklı tarama: İç taramalarda kimlik doğrulamalı (credentialed) tarama, çok daha kapsamlı sonuçlar üretir.
• DHCP ortamları: Dinamik IP adresli ortamlarda ajan tabanlı tarama veya sık periyodik taramalar tercih edilmelidir.

İç taramalar, iş saatleri dışında planlanarak ağ performansı üzerindeki etkiyi en aza indirmelidir. Kritik üretim sistemlerinde kademeli tarama (staggered scan) yaklaşımı tercih edilmelidir.

Kimlik Doğrulamalı ve Kimlik Doğrulamasız Tarama

Zafiyet taramasında iki temel yaklaşım bulunur: kimlik doğrulamalı (credentialed / authenticated) ve kimlik doğrulamasız (uncredentialed / unauthenticated) tarama. Her iki yöntemin güçlü ve zayıf yönleri vardır.

Kimlik doğrulamasız tarama, hedef sisteme herhangi bir erişim bilgisi sağlamadan yapılır. Ağ servislerinin dışarıdan görünen versiyonlarını kontrol eder, banner bilgilerinden zafiyet eşleştirmesi yapar. Hızlıdır ancak yanlış pozitif oranı yüksektir ve yüklü yazılımların iç zafiyetlerini göremez.

Kimlik doğrulamalı tarama, hedef sisteme yönetici veya okuma yetkili hesapla bağlanarak yapılır. İşletim sistemi yamalarını, yüklü yazılım güvenlik güncellemelerini, konfigürasyon ayarlarını ve dosya izinlerini detaylı olarak analiz eder.

"Kimlik doğrulamalı taramalar, doğrulamasız taramalara kıyasla ortalama %60-80 daha fazla zafiyet tespit eder. Kapsamlı görünürlük için credentialed tarama altın standarttır."

Pratik önerimiz: Her iki türü de birlikte kullanın. Dış ağda kimlik doğrulamasız, iç ağda kimlik doğrulamalı tarama yaparak kapsamlı bir görünürlük elde edin.

Ağ Segmentasyonunun Tarama Sürecine Etkileri

Ağ segmentasyonu, güvenlik açısından kritik bir savunma katmanıdır; ancak zafiyet tarama sürecini de doğrudan etkiler. Segmentasyon, tarama sensörlerinin erişim alanını sınırlayarak kapsam boşlukları yaratabilir.

• Sensör yerleşimi: Her ağ segmentinde en az bir tarama sensörü konumlandırılmalıdır. Merkezi tek bir sensörle segmentler arası tarama yapmak, güvenlik duvarı kuralları nedeniyle eksik sonuçlara yol açar.
• Firewall kuralları: Tarama sensörleri için gerekli portların (örn. TCP 445 SMB, SNMP 161, SSH 22, WMI 135) izin listelerine eklenmesi gerekir.
• DMZ taraması: DMZ segmenti hem iç hem dış perspektiften ayrı ayrı taranmalıdır.
• Mikro-segmentasyon: Software-defined networking ortamlarında mikro-segmentler, tarama kapsamının ayrıntılı tanımlanmasını gerektirir.

SİTEY'in dağıtık sensör mimarisi, karmaşık segmente ağlarda bile tam kapsam sağlar. Her sensör merkezi platforma sonuçlarını güvenli kanaldan ileterek birleşik görünüm sunar.

Tarama Sıklığı ve Zamanlama Stratejileri

Zafiyet tarama sıklığı, organizasyonun risk profili, uyumluluk gereksinimleri ve operasyonel kapasitesi ile doğru orantılı olarak belirlenmelidir. Tek bir tarama frekansı tüm varlıklar için uygun olmayabilir.

• Kritik varlıklar: Haftalık veya sürekli (continuous) tarama. İnternetten erişilebilir sistemler ve PCI DSS kapsamındaki varlıklar bu gruba dahildir.
• Standart altyapı: Aylık periyodik tarama. İç sunucular, ağ cihazları ve iş istasyonları bu gruba girer.
• Geliştirme/test ortamları: Her büyük deploy öncesinde ve aylık. Üretim ortamına geçmeden önce tarama zorunluluğu konulmalıdır.
• Olay tetiklemeli taramalar: Yeni bir kritik CVE yayınlandığında, altyapı değişikliğinde veya güvenlik ihlali sonrasında anında tetiklenen taramalar.

Tarama penceresi tanımlarken üretim sistemleri üzerindeki performans etkisini göz önünde bulundurun. Yoğun iş saatlerinde agresif tarama yerine kademeli veya bantgenişliği sınırlı tarama profillerini tercih edin.

Zafiyet Validasyonu ve Servis Keşfi

Tarama sonuçları ham veridir ve doğrudan aksiyon listesine dönüşmeden önce validasyon sürecinden geçmelidir. False positive oranı, tarama aracının türüne ve konfigürasyonuna bağlı olarak %15-40 arasında değişebilir.

Validasyon sürecinin temel adımları:

1. Otomatik doğrulama: Tarama aracının kendi doğrulama mekanizmalarını (exploit modülleri, banner doğrulama) etkinleştirin.
2. Servis keşfi korelasyonu: Tespit edilen zafiyetin ilişkili servis versiyonuyla tutarlılığını kontrol edin.
3. Bağlam analizi: Zafiyetin erişilebilirliğini, kompenzasyon kontrollerini ve iş etkisini değerlendirin.
4. Manuel doğrulama: Kritik ve yüksek seviye zafiyetler için uzman tarafından manuel doğrulama yapılmalıdır.

Servis keşfi (service discovery) verileri, varlık envanterini güncel tutmak ve yeni ortaya çıkan servisleri tespit etmek için de kullanılır. Tarama sonuçları ile CMDB arasındaki tutarsızlıklar ayrıca incelenmelidir.

Tarama Performansı Optimizasyonu

Büyük ölçekli ağlarda zafiyet taraması, doğru yapılandırılmadığında ağ performansını olumsuz etkileyebilir ve tarama sürelerini kabul edilemez seviyelere uzatabilir. Performans optimizasyonu hem tarama kalitesini artırır hem de operasyonel etkiyi azaltır.

• Bant genişliği kontrolü: Tarama aracının maksimum bant genişliğini sınırlayın; üretim trafiğine etkiyi minimize edin.
• Paralel tarama: Birden fazla sensörle farklı subneti eşzamanlı tarayarak toplam süreyi kısaltın.
• Hedefli tarama profilleri: Her varlık grubu için yalnızca ilgili zafiyet kontrollerini içeren özelleştirilmiş profiller oluşturun; gereksiz kontrolleri devre dışı bırakın.
• Artımlı tarama: Her seferinde tam tarama yerine, yalnızca değişen varlıkları veya yeni CVE'leri hedefleyen artımlı (incremental) tarama kullanın.

SİTEY'in akıllı tarama motoru, ağ topolojisini analiz ederek tarama trafiğini otomatik olarak optimize eder. Şimdi SİTEY ile dış ve iç ağ zafiyet taramalarınızı tek platformdan yönetmeye başlayın.