Tarama güvenliği ve operasyon kontrolü

Bir zafiyet taraması yalnız teknik bir komut değildir. Hedefe paket gönderir, oturum açar, servis davranışını tetikler, log üretir ve bazen beklenmeyen yük oluşturur. Bu yüzden profesyonel ekip taramayı küçük bir operasyon olarak yönetir: başlamadan önce sınırı ve sorumluyu belirler, çalışma sırasında sistemi izler, gerektiğinde durdurur ve sonrasında hizmet sağlığını doğrular.

NIST SP 800-115, teknik güvenlik değerlendirmelerinin planlanması, uygulanması, bulguların analizi ve azaltım stratejisinin geliştirilmesi için rehberlik eder. Buradaki ana fikir yıllara bağlı değildir: araç kullanımı, önceden tanımlanmış değerlendirme planı ve rules of engagement içinde yürütülmelidir.

Tarama başlamadan önce yetkiyi çalıştırılabilir hâle getir

“Bu ağı tarayabilirsiniz” cümlesi operasyon için yetersizdir. Operatörün yanlış karar vermesini engelleyecek kayıt en az şunları içermelidir:

• Tam hedef listesi ve varlık sahipleri
• Açıkça hariç tutulan IP, host, rota ve üçüncü taraf hizmetler
• İzin verilen keşif, kimlik bilgili kontrol ve aktif web taraması türleri
• Başlangıç ve bitiş zamanı ile zaman dilimi
• Tarayıcının kaynak IP'si ve güvenlik cihazlarında beklenen görünümü
• Birincil teknik temas, hizmet sahibi ve olay eskalasyon kişisi
• Yasaklanan işlemler: veri silme, parola deneme, kalıcılık veya hizmet tüketme gibi
• Durdurma eşikleri ve yeniden başlatma yetkisi

Bu kayıt, sözleşme metninin araç ayarlarına çevrilmesini sağlar. Kapsam dışı hedefler scanner exclude listesine; izin verilen pencere zamanlayıcıya; yasak aktif kontroller politika seçimine yansıtılmalıdır.

Operasyon ilkesi

Önce küçük ölç, sonra kontrollü büyüt

Yeni bir profil veya yeni bir varlık sınıfı önce tek, kritik olmayan lab varlığında denenir. Ürettiği trafik ve hedef yükü görülmeden geniş kapsama uygulanmaz.

Trafik bütçesi oluştur

Tarama hızı yalnız “ne kadar çabuk biter?” sorusu değildir. Eşzamanlı host sayısı, host başına thread, yeniden deneme, zaman aşımı ve kullanılan eklenti ailesi hedefteki yükü belirler. Tenable belgeleri, gelişmiş şablonların yanlış yapılandırılmasının varlık kesintisi veya ağ doygunluğu yaratabileceğini açıkça belirtir. ZAP da aktif taramada host sayısı, thread, kural süresi ve toplam süre için ayrı sınırlar sunar.

Başlangıç profilini ihtiyatlı kur:

1. Önce bir varlık ve az sayıda port veya rota üzerinde ölç.
2. Eşzamanlılığı düşük tut; hedef gecikmesini ve hata oranını izle.
3. Zaman aşımını körlemesine düşürme; çok kısa değerler yeniden denemeleri artırabilir.
4. Tarama kapsamını tek seferde büyütmek yerine kontrollü gruplara böl.
5. Kritik ve eski sistemler için varlık sahibinden özel çalışma koşulu al.

Nmap'te agresif zamanlama, ZAP'ta yüksek thread veya sistem scanner'ında tüm eklentilerin aynı anda açılması “daha profesyonel” değildir. Doğru hız, yeterli kanıtı hizmet güvenliğini bozmadan üreten en düşük etkili profildir.

Kimlik bilgili taramayı ayrı bir güvenlik konusu say

Credentialed scan daha doğru paket ve yapılandırma kanıtı sağlayabilir; aynı zamanda güçlü bir hesap sırrını tarayıcıya emanet eder. Bu nedenle kişisel yönetici hesabı yerine taramaya ayrılmış, süresi ve yetkisi sınırlandırılmış hesap kullan. Parola veya anahtar bir sır kasasından alınmalı; komut satırı geçmişine, düz metin yapılandırmaya veya dışa aktarılan rapora yazılmamalıdır.

Tarama sonrası “credentialed checks: yes” yazısını görmek yeterli değildir. Kaç hedefte oturum başarıyla kurulduğunu ve hangi kontrol ailesinin gerçekten yerel kanıt kullandığını doğrula. Başarısız oturumlar raporda görünür olmalıdır; aksi hâlde eksik görünürlük yanlış bir temiz sonuç üretir.

Test hesabının kullanım zamanı ve kaynak IP'si izlenebilir olmalı. İş bitiminde sır döndürülmeli veya geçici hesap kaldırılmalı; scanner üzerinde kalan credential kaydı kurumun saklama politikasına göre silinmelidir.

Canlı izleme ve durdurma yetkisi

Tarama sırasında yalnız scanner ilerleme yüzdesine bakılmaz. Hedef veya gözlem platformundan şu sinyaller izlenebilir:

• CPU ve bellek artışı
• Uygulama gecikmesi ve HTTP 5xx oranı
• Bağlantı havuzu veya dosya tanıtıcısı tüketimi
• Güvenlik duvarı, WAF ve IDS alarm hacmi
• Hesap kilitlenmesi veya başarısız giriş sayısı
• Hizmet sağlık kontrolü ve kullanıcı şikâyeti

Her sinyal için tek evrensel eşik yoktur. Varlık sahibiyle normal aralık ve durdurma değeri önceden belirlenir. Eşik aşılırsa operatörün “biraz daha bekleme” kararı vermemesi için durdurma yetkisi açık olmalıdır. Tarama durdurulur, saat ve son çalışan kontrol kaydedilir, hizmet sahibi bilgilendirilir ve yeniden başlatma ayrı onayla yapılır.

Gerçek bir saldırgan izi veya beklenmeyen güvenlik olayı görülürse tarama kanıtını olay kanıtından ayırmak gerekir. Kaynak IP ve zaman penceresi bu nedenle önemlidir. Değerlendirme planında olay ekibinin ne zaman devreye gireceği ve scanner'ın durup durmayacağı yazılı olmalıdır.

Tarama bittikten sonra operasyon bitmez

Son görev “raporu indir” değildir. Hedeflerin sağlık kontrolünü çalıştır, geçici lab verisini temizle, kilitlenen hesap olmadığını doğrula ve scanner zamanlayıcısının yanlışlıkla tekrar çalışmayacağını kontrol et. Tarama konfigürasyonu, feed veya eklenti sürümü, başlangıç-bitiş zamanı ve kimlik doğrulama başarısı bulgu kanıtıyla birlikte saklanmalıdır.

Ham çıktılar IP, hostname, yazılım sürümü, iç rota, kullanıcı adı veya oturum verisi taşıyabilir. Erişimi görev gereği sınırla, aktarımda ve depolamada koru, rapor paylaşımında hassas alanları maskele ve tanımlı saklama süresi sonunda sil.

İyi operasyon kontrolü taramayı yavaşlatan bürokrasi değildir. Yanlış hedefi tarama, hizmet kesintisi, sır sızıntısı ve açıklanamayan sonuç riskini azaltarak programın tekrar edilebilir olmasını sağlar.