Dış Saldırı Yüzeyi Yönetimi: İnternete Açık Varlıkları Bulmak

Saldırgan kurumu internetten görünen yüzünden tanımaya başlar: alan adları, açık portlar, yönetim arayüzleri, VPN portalları ve iki yıl önce kurulup unutulmuş test sunucusu. Kurumun bildiği envanter ile internetten görünen gerçek durum çoğu zaman aynı değildir. Dış saldırı yüzeyi yönetimi bu varlıkları saldırganın baktığı yerden bulmak, her birine sahip atamak ve değişikliklerini sürekli izlemektir. Aşağıda ticari bir araca bağlı kalmadan uygulanabilecek keşif yöntemlerini, riskli servislerin önceliklendirilmesini ve bulguların firewall ile yayın süreçlerine nasıl bağlanacağını anlatıyoruz.

Dış saldırı yüzeyi neleri kapsar

Kapsamı dar tutmak en sık yapılan hatadır; envanter yalnızca IP listesi değildir. Şu varlık türlerini içerir:

• Alan adları ve alt alan adları: ana marka alanı, kampanya alanları, iştiraklerin alanları, eski ve devralınmış alanlar.
• IP adresleri: ISS’lerden alınan bloklar, veri merkezi ve barındırma adresleri, bulut sağlayıcılarındaki genel IP’ler.
• Servisler: web uygulamaları, e-posta, VPN ve uzak erişim portalları, API uç noktaları, dosya aktarım servisleri.
• Sertifikalar: süresi dolmak üzere olan, zayıf yapılandırılmış veya beklenmedik alt alan adlarını ortaya çıkaran sertifikalar.
• Üçüncü taraf barındırılan varlıklar: ajansın kurduğu kampanya sitesi, SaaS hizmetine yönlendirilen alt alan adları.

Varlık keşfi: DNS, sertifika şeffaflığı ve IP blokları

Keşif kurumun kontrol ettiği kaynaklardan başlar, dış kaynaklarla genişler. Tek kaynak yetmez.

DNS envanteri

Yetkili DNS sağlayıcısındaki bölge kayıtlarını dışa aktarın. Bölge aktarımının (AXFR) yalnızca yetkili ikincil sunuculara açık olduğunu da bu aşamada kontrol edin; aşağıdaki AXFR komutunun “Transfer failed” veya benzeri bir hata vermesi beklenir. Kayıt listesi dönüyorsa bölgenizin tamamı herkese açıktır.

dig +short NS example.com
dig AXFR example.com @ns1.example.com
dig +short example.com MX
dig +short _dmarc.example.com TXT

Sertifika şeffaflığı

Genel güvenilir sertifika otoriteleri verdikleri sertifikaları herkese açık şeffaflık loglarına yazar (RFC 6962). Bu loglar, DNS envanterinde olmayan alt alan adlarını bulmanın en verimli yoludur. crt.sh gibi arama servisleriyle örnek bir sorgu:

curl -s "https://crt.sh/?q=%25.example.com&output=json" \
  | jq -r '.[].name_value' | tr 'A-Z' 'a-z' | sort -u > ct_altalanlar.txt

# Bulunan adların hangilerinin hâlâ çözüldüğünü kontrol etme
while read h; do printf "%s %s\n" "$h" "$(dig +short "$h" | tr '\n' ' ')"; done < ct_altalanlar.txt

Joker sertifikalar (*.example.com) alt alan adlarını tek tek göstermez; CT tek başına yeterli kaynak değildir. Listede çözülmeyen adlar da çıkacaktır. Onları silmeyin; sahipsiz CNAME adayları çoğu zaman oradadır.

IP blokları

Kurum adına tahsisli bloklar RIPE NCC veritabanında kurum veya bakım nesnesi (mntner) üzerinden sorgulanabilir; ISS’den alınan küçük bloklar ise çoğu zaman ISS’nin nesnesi altında görünür ve sözleşme kayıtlarından doğrulanmalıdır. Bulut sağlayıcılarındaki genel IP’leri sağlayıcının API’si veya konsolundan düzenli olarak dışa aktarın. Bu adresler sık değişir. Statik liste hızla eskir.

Harici port ve servis taraması

Envanterdeki her IP’yi ve çözülen her adı internetten bakan bir noktadan tarayın. Tarama kurum ağının içinden yapılırsa firewall’un dış politikası test edilmiş olmaz; sahada en sık gördüğümüz yanılgı da budur. Kapsam yalnızca kurumun sahip olduğu veya yazılı izinle test ettiği adreslerdir; bulut ve barındırma sağlayıcılarının test politikalarını ayrıca kontrol edin.

# Tüm TCP portları, kurumun kendi bloğu (örnekte belgeleme bloğu 203.0.113.0/28)
nmap -Pn -sS -p- --max-retries 2 -oA dis_tcp_tam 203.0.113.0/28

# Açık bulunan portlarda servis ve sürüm tespiti
nmap -Pn -sV -p 22,443,3389,8443 -oA dis_servis 203.0.113.0/28

# Seçili UDP servisleri (yavaştır, hedefli kullanın)
nmap -Pn -sU -p 53,123,161,500,623,4500 -oA dis_udp 203.0.113.0/28

Önceki tarama ile yenisi arasındaki farkı Nmap ile gelen ndiff aracı gösterir: ndiff dis_tcp_onceki.xml dis_tcp_tam.xml. Web servisleri için ayrıca HTTP başlık bilgisini, sayfa başlığını ve sertifikadaki adları kaydedin; aynı IP üzerinde ad tabanlı sanal sunucular farklı uygulamalar barındırabilir. Parametrelerin ayrıntısı için Nmap Reference Guide kullanılabilir.

Riskli servisler ve önceliklendirme tablosu

Bulguların hepsi aynı aciliyette değildir. Önceliklendirmede servisin türü, kimlik doğrulama biçimi, sürümünde aktif istismar edilen bilinen bir açık olup olmadığı ve iş gerekçesi birlikte değerlendirilir. Bir sürümün aktif istismar edildiği bilgisi için CISA KEV kataloğu pratik bir kaynaktır.

Servis	Tipik port	Öncelik	Beklenen aksiyon
RDP	TCP 3389	Kritik	İnternetten kapat, VPN veya ağ geçidi arkasına al
SMB	TCP 445	Kritik	İnternete kesinlikle açık olmamalı
Firewall/router yönetim arayüzü	HTTPS, SSH	Kritik	Yalnız yönetim ağına veya izinli IP’lere sınırla
Sunucu uzaktan yönetim kartı (IPMI, iLO, iDRAC)	HTTPS, UDP 623	Kritik	Ayrı yönetim ağına taşı
Veritabanları	1433, 3306, 5432, 27017	Kritik	Uygulama katmanı arkasına al
Telnet, FTP	TCP 23, 21	Yüksek	Kapat veya şifreli alternatife geç
VPN portalı	TCP 443, UDP 500/4500	Yüksek	Güncel sürüm, MFA, yalnızca gerekli portal
SNMP	UDP 161	Yüksek	İnternete kapat, SNMPv3 kullan
Genel web uygulaması	TCP 80/443	Değişken	Sürüm, yönetim yolu ve sertifika kontrolü

VPN portalları yapıları gereği internete açık olmak zorundadır; risk, sürüm güncelliği ve kimlik doğrulama gücüyle yönetilir. Kapatamadığınız servisi güncel tutarsınız. Bu servislerin sıkılaştırması kurumsal VPN güvenliği kontrolleri yazısında ele alındı.

Gölge BT ve unutulmuş alt alan adları

Keşifte en sık çıkan bulgular resmi süreçle değil, bir proje veya tedarikçi aracılığıyla yayına alınmış varlıklardır: geçici kurulan bir test sitesi, eski bir kampanya alanı, bir yazılım tedarikçisinin destek için açtığı uzak erişim portu. Kimse kapatmaz, çünkü kimse açtığını hatırlamaz.

Ayrıca bakılması gereken durum sahipsiz CNAME kayıtlarıdır. Bir alt alan adı bulut barındırma veya SaaS hizmetindeki bir kaynağa CNAME ile yönlendirilmiş, ama o kaynak silinmişse başka biri aynı kaynak adını alarak kurumun alt alan adında içerik yayınlayabilir (subdomain takeover). Kontrol basittir: CNAME hedefi çözülmüyor veya hizmet sağlayıcının “kaynak bulunamadı” sayfasını döndürüyorsa ya kaydı kaldırın ya da kaynağı yeniden sahiplenin.

Bulunan her varlığa bir sahip atayın. Sahibi bulunamayan varlık kapatma adayıdır; kapatmadan önce erişim loglarına bakıp gerçekten kullanılmadığını doğrulayın.

Sürekli izleme ve değişiklik alarmı

Saldırı yüzeyi tek seferlik bir envanter değildir; her yeni DNS kaydı, NAT kuralı veya bulut kaynağı onu değiştirir. Sürdürülebilir bir döngü şöyle kurulabilir:

1. Haftalık: CT loglarından yeni alt alan adlarının ve DNS bölge değişikliklerinin raporlanması.
2. Haftalık veya günlük: dış IP bloklarında tam TCP taraması ve önceki sonuçla ndiff karşılaştırması.
3. Değişiklik alarmı: yeni açılan port, yeni görülen servis veya sertifika, yeni çözülmeye başlayan ad için kayıt açılması.
4. Aylık: sahipsiz varlıkların, süresi dolacak sertifikaların ve alan adı yenileme tarihlerinin gözden geçirilmesi.
5. Yıllık veya büyük değişiklik sonrası: kapsamlı dış sızma testi ile keşfin doğrulanması.

Bulguların firewall ve yayın süreçlerine bağlanması

Keşif ancak bulgular kapanıyorsa değer üretir. Rapor çekmeceye girerse yüzey küçülmez. Üç bağlantı kurun:

• Firewall kural yönetimi: internete açılan her NAT ve izin kuralı bir sahip, iş gerekçesi ve son kullanma tarihiyle kaydedilir. Taramada görülen beklenmedik açık port doğrudan ilgili kuralın gözden geçirilmesini tetikler; bu döngü firewall kural temizliği süreciyle birleştirilebilir.
• Yayın onayı: yeni bir servisin internete açılması sürüm güncelliği, kimlik doğrulama, log toplama ve tarama kapsamına eklenme kontrollerinden geçmeden onaylanmaz.
• Zafiyet yönetimi: keşfedilen her varlık otomatik olarak zafiyet tarama kapsamına eklenir ve bulgular zafiyet yönetimi programındaki SLA’lara göre takip edilir.

İlk keşif turunu ve sürekli tarama düzenini kurarken zafiyet analizi ve güvenlik taramaları hizmeti başlangıç noktası olarak kullanılabilir.

Sık sorulan sorular

Kendi IP adreslerimizi taramak için izin gerekir mi?

Kurumun kendi kullandığı adresler için iç onay yeterlidir; adresler bir barındırma veya bulut sağlayıcısına aitse sağlayıcının kabul edilebilir kullanım ve test politikasını kontrol edin. Taramayı dış bir firma yapıyorsa kapsam, zaman aralığı ve kaynak IP’ler yazılı olarak belirlenmelidir.

Sertifika şeffaflığı kayıtları hangi bilgiyi verir?

Genel güvenilir sertifika otoritelerinin verdiği sertifikalar herkese açık loglara yazılır. Bu loglarda kurumun alan adı için verilmiş sertifikalardaki tüm alt alan adları görünür; unutulmuş test ortamları ve dış firmaların kurduğu servisler çoğu zaman bu yolla bulunur. Aynı bilgiye saldırgan da erişir.

Saldırı yüzeyi taraması ile zafiyet taraması aynı şey mi?

Hayır. Saldırı yüzeyi yönetimi önce neyin internete açık olduğunu bulur ve envanteri güncel tutar; zafiyet taraması ise bilinen varlıklar üzerinde sürüm ve yapılandırma kaynaklı açıkları arar. Keşfedilmemiş bir varlık zafiyet taramasının kapsamına da girmez; keşif önce gelir.

Ticari EASM aracı almak gerekli mi?

Küçük ve orta ölçekli ortamlarda DNS envanteri, sertifika şeffaflığı sorguları ve zamanlanmış port taramasıyla işleyen bir süreç kurulabilir. Çok sayıda alan adı, sık değişen bulut varlıkları ve birden fazla iştirak varsa ticari araçların sürekli keşif ve ilişkilendirme yeteneği işletim yükünü azaltır.