Tarama yetkisi, kapsam ve Rules of Engagement

Bir IP adresine ulaşabiliyor olman, onu taramaya yetkili olduğun anlamına gelmez. Aynı kurum içinde bile sistemlerin farklı sahipleri, müşterileri, hizmet sağlayıcıları ve hukuki yükümlülükleri olabilir. Güvenlik değerlendirmesinin ilk profesyonel becerisi bir aracı çalıştırmak değil, nerede durman gerektiğini kesin olarak bilmektir.

Üç ayrı belge, üç ayrı soru

Yetkili çalışmanın temelinde birbirini tamamlayan üç kayıt bulunur:

1. Yetkilendirme: Kim, hangi görev veya sözleşme kapsamında bu değerlendirmeye izin veriyor?
2. Kapsam: Hangi IP adresleri, hostname'ler, URL'ler, uygulama ortamları ve bileşenler değerlendirilecek; hangileri dışarıda kalacak?
3. Rules of Engagement (ROE): Çalışma hangi saatlerde, hangi scanner kaynaklarından, hangi tekniklerle ve hangi operasyon kurallarıyla yürütülecek?

“Şirket sistemlerini kontrol et” ifadesi bunların hiçbirini yeterince açıklamaz. “10.20.30.0/28 eğitim VLAN'ında, 10.20.30.3 scanner IP'sinden, 19 Temmuz 20.00–22.00 arasında yalnız host discovery, belirlenmiş TCP portları ve safe-check policy çalıştırılabilir” ifadesi ise doğrulanabilir bir sınır oluşturur.

Değişmez kapı

Belirsizlik varsa tarama başlamaz

Bir hedefin sahipliği, üçüncü taraf durumu veya izin verilen test yöntemi açık değilse analistin görevi tahminde bulunmak değildir. Belirsizlik çözülür, belge güncellenir ve gerekli onay alındıktan sonra çalışmaya devam edilir.

Kapsam yalnız IP listesi değildir

IP ve hostname teknik hedefi tanımlar; fakat güvenli kapsam için bağlam da gerekir. Aynı IP bir yük dengeleyici arkasında birden fazla müşteriye hizmet verebilir. Bir alan adı üçüncü taraf CDN'e çözülebilir. Bulut hesabındaki bir adres yeniden atanabilir. Web uygulamasının ödeme veya e-posta gönderme uçları dış hizmetleri tetikleyebilir.

Bu nedenle kapsam kaydında en az şu sorular cevaplanmalıdır:

• Hedefin sistem sahibi ve operasyon irtibatı kim?
• Üretim, test veya izole laboratuvar ortamlarından hangisi?
• Paylaşılan altyapı veya üçüncü taraf hizmet var mı?
• Özellikle dokunulmaması gereken legacy, sağlık, endüstriyel veya kritik hizmet bulunuyor mu?
• Hangi protokol, port, uygulama yolu veya kullanıcı rolü değerlendirilecek?
• Hangi testler açıkça yasak?

Hariç tutulan hedefler ayrı ve görünür bir listede tutulmalıdır. “Diğer sistemlere dokunulmayacak” yerine adres aralıkları, host adları ve gerekçe yazılır. Nmap gibi araçlarda --exclude veya --excludefile kullanmak teknik bir güvenlik ağı sağlar; fakat yanlış ana hedef listesini düzeltmez. Önce insan tarafından doğrulanmış kapsam gerekir.

ROE çalışmanın nasıl yapılacağını belirler

İyi bir ROE, yalnız tarama zamanını değil operasyonun tamamını tarif eder:

• Amaç: Envanter doğrulama mı, bilinen zafiyet taraması mı, web uygulaması değerlendirmesi mi?
• Kaynak: Scanner IP'si, konumu ve sorumlu operatör.
• Yöntem: Host discovery, port aralığı, service detection, credentialed scan veya passive web incelemesi gibi izin verilen teknikler.
• Yasaklar: DoS kontrolleri, parola denemeleri, exploit çalıştırma, dosya oluşturma/değiştirme veya veri dışarı aktarma gibi yapılmayacak eylemler.
• Zaman: Başlangıç, bitiş, bakım penceresi ve varsa tekrar deneme zamanı.
• Yük sınırı: Rate, concurrency ve aynı anda taranabilecek hedef sayısı.
• İletişim: Sistem sahibi, SOC/NOC, incident ekibi ve karar verecek yönetici.
• Durdurma: Servis sağlık bozulması, beklenmeyen kapsam, hassas veri veya gerçek saldırı belirtisi görülürse uygulanacak süreç.

ROE aynı zamanda yeniden başlatma koşulunu da tanımlamalıdır. Analist bir sorun nedeniyle taramayı durdurduktan sonra kendi kararıyla devam etmemelidir; hedef sahibinin doğrulaması veya ROE'de belirtilen yetkilinin onayı gerekir.

Durdurma koşulları önceden yazılır

Tarama esnasında hedefin yanıt süresi artabilir, servis health-check'i başarısız olabilir veya beklenmeyen bir alt alan adına yönlendirme görülebilir. Bu anda ne yapılacağı önceden kararlaştırılmadıysa zaman baskısı altında hatalı karar verme riski yükselir.

Örnek stop koşulları şunlardır:

• Kritik servisin art arda health-check kaybetmesi
• Hedef CPU veya hata oranının üzerinde uzlaşılan eşiği aşması
• Kapsam dışı IP ya da üçüncü taraf sisteme yönlenme
• Gerçek müşteri verisi veya aktif oturum anahtarı görülmesi
• Eş zamanlı gerçek incident belirtisi
• Operasyon sahibinin durdurma talebi

Durdurulduğunda saat, çalışan policy, son hedef, gözlenen belirti ve yapılan iletişim kaydedilir. Bu kayıt hem olay incelemesini kolaylaştırır hem taramanın sorunla gerçekten ilişkili olup olmadığını değerlendirmeye yardım eder.

Yetkili olmak veriyi sınırsız kullanma hakkı vermez

Scanner raporları; iç IP'leri, ürün sürümlerini, kullanıcı adlarını, hata içeriklerini ve kimi zaman hassas yapılandırmaları barındırabilir. ROE bu verinin nerede saklanacağını, kimlerin göreceğini, nasıl aktarılacağını, ne kadar süre tutulacağını ve çalışma sonunda nasıl silineceğini belirlemelidir.

Kimlik bilgileri rapor içine yazılmaz. Ayrı ve onaylı bir secret store kullanılır. HTTP kanıtlarındaki token, cookie ve kişisel veriler maskelenir. Ham çıktıya erişim ile yönetici özetine erişim aynı olmak zorunda değildir; en az yetki burada da geçerlidir.

Güvenli tarama, “zarar vermemeye çalışmak” gibi kişisel bir niyetten daha güçlüdür. Yazılı yetki, dar kapsam, ölçülü teknik ayarlar, açık stop koşulları ve izlenebilir iletişim sayesinde niyet; denetlenebilir bir çalışma biçimine dönüşür.