Bilkomsis rehberleri
Zafiyet taraması nedir, şirketlerde ne sıklıkla yapılmalı?
Zafiyet taraması, sunucularda, ağ cihazlarında ve uygulamalarda bilinen güvenlik açıklarını otomatik araçlarla tespit etme çalışmasıdır. Amaç, bir saldırganın kullanabileceği eksik güncellemeleri, zayıf yapılandırmaları ve gereksiz açık servisleri saldırgandan önce bulmaktır.
Zafiyet taraması ile sızma testi aynı şey değildir
| Konu | Zafiyet taraması | Sızma testi |
|---|---|---|
| Yöntem | Ağırlıklı olarak otomatik araçlar | Uzman tarafından yürütülen, saldırıyı taklit eden çalışma |
| Amaç | Bilinen açıkları geniş kapsamda bulmak | Açıkların gerçekten istismar edilip edilemeyeceğini göstermek |
| Sıklık | Düzenli ve tekrarlı | Genellikle yılda bir veya büyük değişikliklerden sonra |
| Çıktı | Önem derecesine göre sıralanmış bulgu listesi | Saldırı senaryoları ve ayrıntılı bulgular |
Çoğu işletme için düzenli zafiyet taraması, güvenlik programının temelini oluşturur. Sızma testi ise bu temelin üzerine eklenen, daha derin bir kontroldür.
Kapsamı ve izni yazılı olarak belirleyin
Taranacak IP adreslerini, sistemleri, tarama zamanını ve hariç tutulacak kritik cihazları yazılı olarak onaylayın. Dışarıdan erişilen sistemler ile iç ağ ayrı ayrı değerlendirilmelidir. Yetkisiz tarama hem hukuki risk hem de hizmet kesintisi riski taşır.
Ne sıklıkla yapılmalı?
- İnternete açık sistemler: en az ayda bir ve her önemli değişiklikten sonra
- İç ağ ve sunucular: en az üç ayda bir
- Yeni bir sunucu veya uygulama yayına alınmadan önce
- Kritik bir açık duyurulduğunda, etkilenen sistemler için hemen
Sıklık, sistemlerin kritikliğine ve değişim hızına göre artırılabilir. Önemli olan, taramanın tek seferlik değil düzenli bir süreç olmasıdır.
Bulguları önceliklendirerek kapatın
Tarama raporları çok sayıda bulgu içerebilir. Önce internete açık sistemlerdeki kritik ve yüksek öneme sahip açıkları kapatın. Her bulgu için bir sorumlu ve hedef tarih belirleyin; düzeltmeden sonra yeniden tarama yaparak açığın kapandığını doğrulayın. NIST SP 800-115, güvenlik testlerinin planlanması için kapsamlı bir çerçeve sunar.
Örneğin varsayımsal bir şirkette tarama, destek süresi bitmiş bir uzak erişim cihazını ve güncellenmemiş bir web sunucusunu ortaya çıkarabilir. Bu iki bulgu, iç ağdaki onlarca düşük öncelikli bulgudan önce ele alınmalıdır.
Zafiyet taraması hizmetimiz ve IT danışmanlığı kapsamında zafiyet taraması kapsamınızı birlikte belirleyebiliriz.