Zafiyet taraması

Açılış

Kaan'ın şirketinde haftalık tarama raporu kırk iki sayfaydı ve kimse onu baştan sona okumuyordu. Gülay Hanım bunu bir rakamla gösterdi: son altı ayın raporlarında "kritik" ya da "yüksek" etiketli 214 bulgu vardı. Bunlardan 61'i kapanmıştı. Geri kalanı her hafta yeniden rapora giriyor, her hafta biraz daha görünmez oluyordu.

"Tarıyoruz," dedi Gülay Hanım. "Ama tarama bir iş değil. Taramanın bulduğu şeyi bir işe çevirmiyorsak, her hafta aynı listeyi yeniden basıyoruz."

Kaan rapora baktı. Bulguların çoğunun yanında bir cihaz adı vardı, bir puan vardı, bir öneri vardı. Bir kişi adı yoktu. Bir tarih yoktu.

O hafta Kaan'a yeni bir görev verildi: tarama raporunu, her bulgunun kime gittiği ve ne zaman kapanacağı belli olan bir iş listesine çevirmek.

Tek fikir

Zafiyet taraması, kendi sistemlerinde bilinen zafiyetleri düzenli ve otomatik olarak arar. Ama tarama tek başına hiçbir şeyi düzeltmez. Değeri, bulgunun incelenip, gerçek olanın bir sahibi ve bir hedef tarihi olan bir işe dönüştürülmesinden ve kapandığının yeni bir taramayla doğrulanmasından gelir.

Nasıl çalışır

Önceki derste yama yönetiminin ilk adımını "bil" olarak koymuştuk: hangi varlığın hangi yazılımı çalıştırdığını ve bunlarda zafiyet olup olmadığını bilmek. Zafiyet duyurularını takip etmek bunun bir yoludur. Ama duyurular yalnız bildiğin ürünleri kapsar; unuttuğun bir sunucuyu, güncellenmemiş bir kütüphaneyi, yanlış açılmış bir portu söylemez. Bunun için kendi sistemlerine düzenli olarak bakman gerekir.

Tarama bir saldırı değildir, ama dışarıdan bakan biri için ilk adımları bir saldırının keşif aşamasına benzeyebilir. Bu yüzden yalnız sahibi olduğun ya da taraman için yazılı yetki verilmiş sistemlerde yapılır; bunu dersin sonunda yeniden konuşacağız.

Taramanın ne yapması gerektiğini en açık biçimde anlatan kaynaklardan biri, NIST'in güvenlik kontrolleri kataloğundaki zafiyet izleme kontrolüdür.

Kontrolün metnindeki "gerçek" kelimesi önemlidir. Tarama aracının her bulgusu gerçek değildir. Modül 16'da tanımladığımız yanlış alarm burada da vardır: araç bir sürüm numarasına bakıp zafiyet var der, ama üretici yamayı eski sürüm numarasını değiştirmeden uygulamıştır. Ya da zafiyetli bileşen kuruludur ama hiç çalışmaz. Bu yüzden taramadan sonra bir inceleme adımı gelir: bulgu gerçek mi, ve bizim ortamımızda ne kadar önemli?

Taramanın ne kadar derin baktığı, nasıl yapıldığına bağlıdır.

İki tarama da gereklidir. Kimlik bilgisiz tarama, bir saldırganın dışarıdan ne görebileceğini gösterir. Kimlik bilgili tarama, içeride neyin eksik olduğunu gösterir. Ama kimlik bilgili taramanın kendi riski vardır: tarama aracına verilen hesap, birçok sisteme girebilen ayrıcalıklı bir hesaptır ve korunması gerekir.

Sahada

Savunma

İyi bir zafiyet tarama programı birkaç ilkeye dayanır.

Kapsamı envanterden al. Tarama, bildiğin varlıkları tarar; ama tarama sonuçları da bilmediğin varlıkları ortaya çıkarabilir. İkisini karşılaştır: taramanın bulup envanterde olmayan her cihaz, bir envanter açığıdır. Kontrolün hatırlattığı gibi yazıcıları ve ağ cihazlarını unutma.

Düzenli ve olay üzerine tara. Belirli bir sıklıkla, örneğin haftada ya da ayda bir, ve önemli bir zafiyet duyurulduğunda ek olarak.

Hem dışarıdan hem içeriden bak. Kimlik bilgisiz tarama saldırganın gördüğünü, kimlik bilgili tarama içerideki eksikleri gösterir.

Tarama hesabını koru. Kimlik bilgili tarama için ayrı, yalnız bu işe ayrılmış bir hesap kullan; mümkünse yalnız tarama sırasında etkin olsun, kullanımı kaydedilsin.

Bulguyu incele. Her bulgu gerçek değildir. Yanlış alarmları gerekçesiyle kapat; gerçek olanları puanın yanına tehdidi ve ortamı koyarak sırala.

Bulguyu işe çevir. Her gerçek bulgu bir bilet olur: kimin işi, ne zamana kadar, neyi kapatacak. Düzeltme süresi hedeflerini önceden yaz.

Kapanışı taramayla doğrula. Bir bilet, "düzelttik" denildiğinde değil, bir sonraki tarama bulguyu görmediğinde kapanır. Önceki dersteki doğrulama adımının tarama karşılığı budur.

Öğreneni paylaş. Kontrol, bir sistemde bulunan zafiyetin başka sistemlerde de aranması için bilginin paylaşılmasını ister. Bir bulgu bir türün örneğiyse, kardeşleri büyük ihtimalle başka makinelerdedir.

Uygulama

Kendi bilgisayarında işletim sisteminin yerleşik araçlarıyla küçük bir zafiyet kontrolü yapacak ve bulduklarını bir iş listesine çevireceksin.

Bittiğinde, kaç bulgu yazdığını ve bir hafta sonra kaçının kapandığını not et.

Defter: Güvenlik merkezinin uyarıları, bir yılı aşkın güncellenmemiş program ve eklentiler, bulgu listesi ve her satırın eylemi, önemi ve tarihi, bir hafta sonraki kontrolün sonucu.

Hata köşesi

Etik ve sınırlar

Zafiyet taraması, yalnız sahibi olduğun ya da taranması için yazılı yetki verilmiş sistemlerde yapılır. Bir tarama aracını internetteki bir adrese, bir komşunun ağına, bir kafenin kablosuz ağındaki cihazlara ya da sırf merak ettiğin bir siteye yöneltmek, sistemin sahibinin izni olmadan bilişim sistemlerine yönelik bir müdahale girişimi sayılabilir; Serinin ilk modülünden beri tekrarladığımız kural burada hiç esnemez: izin önce gelir. Kendi kurumunda bile tarama yetkisi önceden yazılır: kapsam, zaman ve yöntem; çünkü bir tarama hassas bir cihazı yavaşlatabilir ya da durdurabilir. Barındırma ya da bulut sağlayıcılarının taramayla ilgili kendi kuralları vardır ve kendi sunucunu tararken bile onlara uyman gerekir; Selin'in ekibi bu yüzden önce koşulları okudu. Kimlik bilgili tarama ayrıca kişisel verilere dokunabilir; tarama hesabının erişimi ve tarama sonuçları bu yüzden tarama ekibinin dışına çıkmaz.

Kapanış

1. Zafiyet taraması, kendi sistemlerini bilinen zafiyetler, eksik yamalar ve güvensiz yapılandırmalar için düzenli ve otomatik olarak kontrol etmektir; duyuruların göstermediği unutulmuş varlıkları ve eksikleri de ortaya çıkarır.
2. Kimlik bilgisiz tarama dışarıdan görüneni, kimlik bilgili tarama içerideki eksikleri gösterir; ikisi de gereklidir ve tarama hesabı ayrıca korunur.
3. Taramanın değeri bulguyu işe çevirmekten gelir: yanlış alarmları ayıkla, gerçek bulguyu önceliklendir, bir sahibe ve bir hedef tarihe bağla, kapanışı bir sonraki taramayla doğrula.

Üç soru

1. Gülay Hanım neden "tarama bir iş değil" dedi ve Kaan bunu nasıl değiştirdi?
2. Defne Hanım'ın bürosunda iki tarama neden bu kadar farklı sonuç verdi?
3. Selin'in ekibi kendi sitesini taramadan önce neden barındırma sağlayıcısının koşullarını okudu?

Yanıtlar

1. Raporlar her hafta aynı bulguları yeniden basıyordu; altı ayda 214 kritik ve yüksek bulgunun yalnız 61'i kapanmıştı, çünkü bulguların yanında bir kişi adı ve bir tarih yoktu. Kaan önce 38 yanlış alarmı gerekçesiyle ayıkladı, kalanları sahibine göre biletlere çevirdi ve her bilete ağırlığına göre bir hedef tarih verdi. Bilet, bir sonraki tarama bulguyu görmediğinde kapanacaktı.
2. İlk tarama kimlik bilgisizdi ve yalnız dışarıdan görünen servisleri ve sürümleri görebildi; dört bulgu çıkardı. İkinci tarama ayrı bir yönetici hesabıyla içeriden baktı ve kurulu programları, eksik yamaları tek tek okudu; otuz bir bulgu çıkardı. Eksiklerin çoğu dışarıdan görünmüyordu ama içerideydi.
3. Site, bir barındırma sağlayıcısının başka müşterilerle paylaşılan altyapısındaydı ve sağlayıcının taramaya ilişkin kuralları vardı: önceden bildirim, hız sınırı, başka müşterilere dokunmamak. Kendi sitesini taramak bile sağlayıcının altyapısına trafik göndermek demekti. Ekip bu yüzden önce koşulları okudu, taramayı test ortamında yaptı ve canlı site için önceden bildirim gönderdi.

Sonraki derse köprü

Bu derste zafiyetleri kendi sistemlerimizde kendimiz bulduk. Ama bazen bir zafiyeti dışarıdan biri, bir araştırmacı ya da sıradan bir kullanıcı bulur. Sorumlu açıklama dersi, bir zafiyeti bulan kişinin onu sahibine nasıl bildirdiğini, koordineli açıklamanın aşamalarını ve hata ödül programlarının nasıl işlediğini anlatıyor.