Nmap ile kontrollü keşif

Nmap güçlü olduğu için değil, doğru soruya kontrollü biçimde cevap verdiğinde değerlidir. Tek bir komutla geniş hedef aralıklarında bütün portları, sürümleri ve script'leri çalıştırmak daha fazla bilgi üretebilir; fakat kapsam hatası, gereksiz yük ve yorum karmaşası riskini de büyütür. Profesyonel yaklaşım, keşfi küçük ve gözlenebilir aşamalara ayırır.

Bu ders yalnız yazılı olarak yetkilendirilmiş, izole laboratuvar için tasarlanmıştır. İnternet üzerindeki rastgele sistemlerde veya sahipliği doğrulanmamış hedeflerde uygulanmaz.

Nmap hangi soruları cevaplar?

Nmap'in farklı özellikleri birbirinden ayrı sorulara yanıt verir:

• List scan (-sL): Hedef ifadesi hangi adreslere genişliyor?
• Host discovery (-sn): Hangi hedefler kullanılan problara yanıt veriyor?
• Port scan: Belirli TCP veya UDP portları açık, kapalı ya da filtreli mi görünüyor?
• Service/version detection (-sV): Erişilebilir portta hangi servis ve olası sürüm belirtileri gözleniyor?
• NSE: Seçilmiş bir script, belirli servis hakkında hangi ek bilgiyi güvenli biçimde toplayabilir?

Bu sıralama aynı zamanda bir güvenlik kontrolüdür. İlk aşamada kapsam hatasını bulur, sonra yalnız canlı görünen hedeflere geçer, ardından yalnız gerekli portları incelersin. Her adımın çıktısı bir sonraki adımın hedefini daraltır.

Aşama 0: hedefi çalıştırmadan önce gör

İlk komut ağ probu göndermek için değil, hedef dosyasının nasıl yorumlandığını doğrulamak içindir:

nmap -sL -n -iL authorized.txt --excludefile excluded.txt

-sL hedefleri listeler, port taraması yapmaz. -n DNS çözümünü kapatır. Çıktı, kapsam snapshot'ındaki adreslerle karşılaştırılır. Beklenmeyen bir adres görülürse sonraki adıma geçilmez; envanter ve onay düzeltilir.

Aşama 1: kontrollü host discovery

Yetkili lab hedeflerinin hangilerinin kullanılan problara yanıt verdiğini görmek için:

nmap -sn -n -iL authorized.txt \
  --excludefile excluded.txt -oA 01-discovery

-oA sonucu normal, XML ve grepable biçimlerde aynı kök adla saklar. XML daha sonra araçla işlemek, normal çıktı ise insan tarafından okumak için yararlıdır.

“Host down” sonucu hedefin kesinlikle kapalı olduğunu göstermez. Firewall veya host politikası discovery problarını engelliyor olabilir. Aynı şekilde “up” sonucu yalnız hedefin en az bir proba yanıt verdiğini gösterir. Bu gözlemler tarama noktasına, zamana ve ağ kurallarına bağlıdır.

Aşama 2: yalnız gerekli portları incele

Laboratuvar ROE'sinde 22, 80 ve 443 portları onaylandıysa örnek servis taraması şöyle dar tutulabilir:

nmap -sV --version-light -T3 --max-rate 50 \
  -p 22,80,443 -iL approved-live-hosts.txt -oA 02-services

--version-light, daha hafif version probe yoğunluğu kullanır. -T3 varsayılan, dengeli zamanlama yaklaşımıdır. --max-rate 50 gönderim hızına üst sınır koyar; doğru değer hedef kapasitesi ve ROE'ye göre daha düşük olabilir. Hız sınırı tek başına güvenlik garantisi değildir: eş zamanlı hedef sayısı, retry, timeout, servis davranışı ve ağ cihazları da izlenmelidir.

Port durumlarını dikkatli yorumla:

• Open: Hedef portta bağlantı kabul eden bir servis görülür.
• Closed: Hedefe erişilir fakat o portta dinleyen servis görülmez.
• Filtered: Ağ veya host kontrolü nedeniyle açık ya da kapalı olduğuna yeterli yanıt alınamaz.
• Open|filtered: Kullanılan tarama tekniği iki durumu birbirinden ayıramaz.

443/tcp open gözlemi “HTTPS güvenli” veya “uygulama zafiyetli” anlamına gelmez. Hatta port numarası servis kimliğinin kesin kanıtı değildir; farklı uygulamalar alışılmadık portlarda çalışabilir. -sV servis yanıtlarından çıkarım yapar ve sonuç güven düzeyiyle okunmalıdır.

Aşama 3: NSE'yi kategori adına güvenerek çalıştırma

Nmap Scripting Engine; discovery, authentication, vulnerability kontrolü ve daha birçok iş için script'ler sunar. safe, intrusive, vuln, exploit, dos, brute ve external gibi kategoriler bulunur. Bir script birden fazla kategoride yer alabilir.

Laboratuvarda dahi topluca --script vuln veya --script all kullanmak doğru başlangıç değildir. Önce tekil script'in NSEDoc sayfası okunur: hangi isteği gönderdiği, argümanları, kategorileri, dış servise veri gönderip göndermediği ve yan etki ihtimali incelenir. ROE ile uyumlu tek script seçilir. Genel bir seçim örneği ancak aynı kontrol yapıldıktan sonra kullanılmalıdır:

nmap --script "safe and not external" \
  --script-timeout 30s -p 80,443 <LAB_IP>

safe etiketi script'in servis çökertmek veya zafiyet sömürmek için tasarlanmadığını anlatır; tüm hedeflerde sıfır yan etki garantisi vermez. Eski veya hatalı servisler normal isteklerde bile sorun yaşayabilir. Bu yüzden pilot hedef, düşük hız, timeout, sağlık izlemesi ve stop koşulu birlikte uygulanır.

Çıktıyı kanıta dönüştür

Bir ekran görüntüsü tek başına yeterli keşif kanıtı değildir. Tekrar üretilebilir pakette şu bilgiler bulunmalıdır:

• Onaylı kapsam ve exclude dosyasının sürümü
• Scanner kaynak IP'si ve operatör
• Başlangıç/bitiş zamanı
• Nmap sürümü ve tam komut
• Normal ve XML ham çıktılar
• Hedef, port, state, olası servis ve confidence notu
• Taramayı etkileyen timeout, filtreleme veya health olayı
• Gözlem ile analistin çıkarımını ayıran kısa yorum

Örneğin doğru ifade “10.20.30.8:443/tcp, scanner konumundan open görüldü; Nmap TLS kullanan bir HTTP servisi olabileceğini raporladı”dır. “Sunucu güvenli HTTPS çalıştırıyor” ifadesi ise sertifika, protokol yapılandırması ve uygulama davranışı incelenmeden fazla kesinlik üretir.

Kontrollü keşfin başarısı bulunan port sayısıyla ölçülmez. Başarı; doğru hedefte, izin verilen yöntemle, hedefi gereksiz yük altına sokmadan ve başka bir analistin yeniden değerlendirebileceği kanıtla görünürlük üretmektir.