Unuttuğumuz alt alan adları ve sunucular çıkıyor, EASM aracı şart mı yoksa abartı mı?

Sertifika şeffaflığı kayıtları en büyük hazinedir. Alan adınıza geçmişte alınmış her sertifika genel kayıtlarda tutulur. Açık kaynak kodlu basit bir terminal komutuyla tüm bu kayıtları çekip DNS üzerinde canlı olup olmadıklarını kontrol eden bir cron görevi kurabilirsiniz. Sıfır lisans maliyetiyle unutulan her şeyi bulur.

Biz geçen yıl benzer bir korkuyla yıllık 14.000 dolar verdik. Tüm yıl boyunca sistem bize sadece üç tane unutulmuş geliştirme alt alan adı ve iki tane süresi yaklaşan SSL sertifikası uyarısı verdi. Verdiğimiz paraya değmediğini görünce bu yıl yenilemedik, iç ekipten bir arkadaşın yazdığı haftalık Python kontrol betiğine döndük.

Piyasadaki bu tür yazılımların çoğu zaten kamuya açık DNS sunucularını ve port tarama veritabanlarını sorgulayan süslü arayüzlerden ibaret. Pazarlamacılar öyle bi anlatıyor ki sanki bilinmeyen bi sihir yapıyorlar. bu arada küçük işletmelerin bu panellere servet ödemesi sadece kurumsal korkulardan beslenen bi satış taktiği.

Hemen bugün yapmanız gereken ilk şey DNS panelinizdeki kullanılmayan tüm CNAME kayıtlarını silmek. Eski servis sağlayıcılara yönlendirilmiş sahipsiz CNAME kayıtları alt alan adı ele geçirme saldırılarına zemin hazırlar. Araç satın almayı düşünmeden önce mevcut alan adı panelinizdeki çöp kayıtları ayıklayın.

biziim ekipte de benzer duurum oldu stajyer arkadas terminalden cert transparency loglarini cekip eski stging adreslerini 15 dakikada cikardi.. sonra acikcasi yillik 15 bin dolar vereceginize o parayi guvenlik denetimine veya testlere harcayin bnc

Kurumsal risk değerlendirmesi açısından varlık envanterinizin güncel tutulması denetimler için gereklidir. Ancak denetim standartları sizden pahalı bir üçüncü taraf yazılımı değil, belgelenmiş ve işletilen bir varlık yönetim süreci talep eder. Kendi hazırlayacağınız aylık kontrol tutanakları denetimler için tamamen yeterlidir.

Peki bu unutulan sunucuda müşteri verisi var mıydı, yoksa sadece sentetik test verisi miydi? Eğer gerçek müşteri verisi sızma ihtimali olduysa araç aramaktan önce olay müdahale ve yasal bildirim gereksinimlerinize odaklanmanız gerekebilir durumu kontrol ettiniz mi?

Aynı hatayı yapmayın diye yazıyorum. Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor. Sonucu buraya yazarsanız başkalarına da faydası olur.

Aynı durumdayım o yüzden soruyorum... ya güvenli olmak mutlak değl; saldırıyı uğraşmaya değmez hâle getirmek demek.

Tecrübeyle sabit.

Geçen yıl neredeyse aynısını yaşadık. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

doğru söylüyorsunuz.. ve bunu tek başına yapmaay çalışmak en pahalı yol.

not olaak bırakayım lazım olur.

Buraya kadar söylenenleri özetleyeyim. işte her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

Benim görüşüm bu kesin doğru diye yazmıyorum.

bu yaklaşımın bi bedeli var, o da konuşulmuyor. neyse iki hafta boyunca not tutmak altı aylık tahminden iyi sonuç veriyor.

sorunuz olursa yazın elimden geldiğince cevaplarım.

Katılıyorum. Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

ben de aynı kanıdayım sonra otomatik taarma raporu ile sızma tsti aynı şey deil

sorunuz olursa yazin, elimden gelddigince cevaplarim

aynsini yasadim sonra yani bnun cevabi sektore gore cok degisiyor, genel gecer bi kural yok.

sorunuz olursa yazin, elimden gldigince cevaplarim.

detaya inersek şöyle: Güvenli omlak mutlak dgl; saldırıyı uğraşmaya değmez hâle getirmek demek.

her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor. valla kendi durumunuz fraklıysa tabii değişir.

Haklısınız, ben de aynı yoldan geçtim. Ölçmeden karar verince hep aynı yere geliyoruz.

Benim görüşüm bu, kesin doğru diye yazmıyorum.