Kendi sunucumuzda açık aramak için pentest araçlarını denedik — sonuçlara güvenip paniğe kapılmayalım mı?

Yıllardır bu sektördeyim, otomatik tarayıcı çalıştırıp da ekranda onlarca kritik açık görmeyen kimse yoktur. Bu araçlar yazılımcıyı korkutup en kötü senaryoya hazırlamak üzere tasarlanır. Sakin olun, patronunuza bunun bir ön kontrol olduğunu ve her uyarının gerçek bir tehlike olmadığını anlatın.

Hemen uygulayabileceğiniz filtre: Dış IP adresinizden bi port taraması yapın... İnternetten erişilmeyen hiçbi servisin uyarısını ilk sıraya almayın. Sadece dışarıya açık web portu veya VPN kapısı varsa onları inceleyin, listeniz anında yüzde doksan erir.

Taramayı sunucuyla aynı yerel ağın içinden mi başlattınız yoksa tamamen bağımsız bi dış internet hattından mı? İç ağdan taradıysanız şirket içi erişimlerin tamamını dış saldırı gibi görmüş olabilir bu da sonucu aşırı şişirir.

Geçen ay benzer bir taramada kendi sunucumuzda 85 adet kritik uyarı aldık. Üç gün boyunca tek tek doğruladık; sadece 2 tanesi gerçekten uzaktan tetiklenebilirdi, geri kalan 83 tanesi sürüm başlığından kaynaklanan sahte alarmlardı.

otomasyon arraçları genelde gürültü üretir... web sunucusu yanıt başlıklarındaki sürüm bilgisini gizleyin, aynı taramayı bi daha yapın; uyarıların yarısının sırf o başlık gizlendiği için yok olduğunu göreceksiniz.

Ücretsiz araçlarla düğmeye basıp pentest yaptığını sanmak büyük yanılgı... Bu araçlar sadece yüzeysel bi kontrol listesidir... Gerçek bi pentest o açığın sistem üzerinde hak yükseltme veya veri sızdırma amacıyla kullanılıp kullanılamayacağını elle test etmektir.

Şu üç adımı izleyerek raporu temizleyin: 1) Harici erişime açık olmayan servisleri rapordan ayıklayın, 2) Kalan zafiyetlerin genel istismar kodlarının internette yaygın olup olmadığını kontrol edin, 3) Sürüm afişlerini kapatıp işletim sistemi güvenlik yamalarını güncelleyin.

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

ben de benzer bir tarama yapmayı düşünüyordum ama yanlış pozitif tam ollarak ne demek? yani araç orada açık var derken aslında yanılıyor mu, neden olmayan bir açığı var gibi göstersin?

yeni girenler için kısa özet: Bizde en çok zaman kaybettiren şey kimni karar vereceğinin beli olmamasıydı.

takipteyim sonra herkesin yaptığı şey doğru olduğu anlamına gelmiyor.

snucu buraya yazarsanız başkalarına da faydası olur.

İki yıl önce aynısını yaşadım. Zaman kaybının çoğu, onay bekleyen işlerde birikiyor.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

Sağ olun, aradığım cevap buydu. Kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Başka türlü yapan varsa onu da merak ederim.

tam zamanıdna bi konu

Aynı hatayı yapmayın diye yazıyorum. neyse yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek. açıkçası kendi durumunuz farklıysa tabii değişir.

Şunu yaşadıktan sonra bakışım değişti. Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.

Umarım işinize yarar.

Bu başlığı açtığınız iyi olmuş.

Tartışma dağıldı, toparlayayım. İnsanlar süreci değil, alışkanlığı savunur. Direnç oradan gelir.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

Uygulamada nsl yapıldığını yazayım. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Bunu baştan yazılı hâle getirmezseniz snra tartışma çıkıyor... neyse tecrübeyle sabit.