Zafiyet tarama aracı ile sunucumu taradım — çıkan açıklar gerçek risk mi?

Paket versiyonu zafiyetleri genellikle arka port edilmiş yamalardan kaynaklanır. Linux dağıtımları paketin ana sürüm numarasını değiştirmeden güvenlik yamasını uygular ama tarayıcı sadece banner bilgisini okuduğu için açık var zanneder. Paket yöneticinizin değişiklik günlüğüne bakarak ilgili bülten numarasının kapatılıp kapatılmadığını teyit edin.

İlk yapacağınız iş güvenlik duvarı kurallarını sıkılaştırmak olmalı. Sunucuda dışarıya yalnızca 80 ve 443 portları açık kalmalı. SSH dahil tüm yönetim servislerini yerel ağa veya statik ofis IP adresinize bağlarsanız rapordaki uyarıların en az yarısı bir saatte yok olur.

Bizim platformda ilk taramada 62 açık çıkmıştı, yazılımcımızla iki gün kapanıp inceledik. Çıkan 6 kritik açıktan 5 tanesi sadece versiyon kontrolüne takılan yanlış pozitif çıktı. Kalan 1 kritik açık ise dışarıya açık bırakılan test veritabanı portuydu. Kapatınca skor anında düzeldi.

Tarama yaparken kimlik doğrulamalı mı taradınız yoksa sadece dış IP üzerinden mi koşturdunuz? Eğer kimlik bilgisi vermeden dışarıdan tarattıysanız ve buna rağmen içerideki paket sürümlerini döktüyse, servis afişleriniz dışarıya gereğinden fazla bilgi sızdırıyor demektir; önce bu başlıkları gizleyin.

Otomatik tarama araçları danışmanlık firmalarının rapor şişirmek için en çok kullandığı yöntemdir. Sayfalarca renkli grafik basıp korku iklimi yaratırlar. Gerçek bi saldırgan otomatik aracın işaret ettiği her şeye saldırmaz; yetki denetimi eksikliklerine ve API mantığına bakar. Panik yapmayın.

Kendinizi hırpalamayın, her sunucuda ilk taramada benzer tablolar çıkar. valla önce web sunucunuzun SSL yapılandırmasını test eden ücretsiz çevrim içi test araçlarıyla güvenli şifreleme setlerini güncelleyin. Sonra işletim sistemini yeniden başlatıp taramayı tekrarlayın sonucu görünce içiniz rahatlayacaktır.

bizde de ayni panik olmustu.. sonra tek tek cve nuumaralarini aratip gercekten exploit kodu yayinlanmis mi diye baktik. cogu yerel kullanici yetkisi gerektiren seylerdi yani sunucuya zaten sizmis birinin isiydi. teeml portlari kapatin gerisini zamana yayin.

Bulguları önceliklendirirken CVSS puanına körü körüne güvenmeyin. Önceliğiniz her zaman ağ üzerinden kimlik doğrulamasız tetiklenebilen açıklar olmalıdır. Eğer zafiyet için sunucuda yerel kullanıcı hesabı gerekiyorsa veya açık port dış dünyaya kapalıysa o madde kritik olsa bile operasyonel önceliği düşüktür.

bu yazılanlar bire bi bizim yaşadığımız ama yani unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

bi konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur. ben olsam bu yoldan giderdim.

Kesinlikle. Üstüne bi şey eklemek gerekirse: zafiyet tarama aracı tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Tartışma dağıldı, toparlayayım. açıkçası kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Başka türlü yapan varsa onu da merak ederim.

aynı durumdayım, o yüzdeen soruyorum.. sonra unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor

zaman kaybının çoğu onay bekleyn işlerde birikiyor bir de tecrübeyle sabit.

Bir uyarı bırakayım. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

doğru

Takipteyim. Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Bu kadar uzattıysam kusura bakmayın.

Bizde de aynı.

Emeğinize sağlık. zafiyet tarama aracı konusunda acele eden herkez aynı yerde takılıyor.

Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek. Kolay gelsin.

Deneyeceğim.