Zafiyet Taraması Nedir?
İngilizce: Vulnerability Scanning
Yayın: · Son güncelleme:
Zafiyet Taraması Nedir? Kısaca
Zafiyet taraması, sunucu, ağ cihazı, uygulama ve bilgisayarlardaki bilinen güvenlik açıklarını, eksik yamaları ve hatalı yapılandırmaları otomatik araçlarla tespit edip raporlayan güvenlik kontrolüdür.
Zafiyet taraması nedir?
Zafiyet taraması, sistemlerdeki bilinen güvenlik açıklarının otomatik araçlarla aranmasıdır. Tarama aracı cihazlarda çalışan yazılımları ve sürümlerini tespit eder, bunları bilinen açık veritabanlarıyla karşılaştırır. Sonuçta hangi cihazda hangi açığın bulunduğunu gösteren bir rapor çıkar.
Bu açıklar genellikle CVE numarasıyla tanımlanır ve önem derecesi CVSS puanıyla gösterilir. Böylece hangi bulgunun önce ele alınacağı belirlenebilir.
Nasıl yapılır?
Taramalar farklı açılardan yapılabilir:
| Tür | Açıklama |
|---|---|
| Dış tarama | İnternetten görünen sistemleri tarar |
| İç tarama | Kurum ağının içinden yapılır |
| Kimlik bilgili tarama | Sisteme giriş yapıp daha derin bakar |
| Web uygulama taraması | Sitedeki uygulama açıklarını arar |
Kimlik bilgili taramalar daha doğru sonuç verir, çünkü sistemin içindeki yazılım listesini doğrudan görür. Kimlik bilgisi olmayan tarama ise dışarıdan bir saldırganın göreceği resmi yansıtır.
Örneğin aylık bir dış tarama, bir sunucuda yıllar önce kapatılması gereken eski bir uzaktan yönetim servisinin internete açık kaldığını gösterebilir.
Sonuçlar nasıl değerlendirilir?
Rapordaki her bulgu doğrudan acil değildir. Önce internete açık ve yüksek puanlı açıklar ele alınır. Bazı bulgular yanlış pozitif olabilir, bu yüzden kritik sonuçların elle doğrulanması iyi olur.
Tarama tek başına güvenlik sağlamaz, açıkların kapatılmasıyla değer kazanır. Bu sürecin tamamı için zafiyet yönetimi maddesine bakabilirsiniz. Kendi sistemleriniz dışındaki hedefleri izinsiz taramak yasal sorun doğurabilir.
Sıkça Sorulan Sorular
Zafiyet taraması ne sıklıkla yapılmalı?
Birçok kurum en az ayda bir tarama yapar, kritik sistemlerde bu sıklık daha da artırılır. Büyük değişikliklerden sonra ek tarama yapmak da iyi bir uygulamadır.
Zafiyet taraması sistemlere zarar verir mi?
Genellikle zarar vermez ama eski ya da hassas sistemlerde yavaşlama veya kesinti yaşanabilir. Bu yüzden taramalar önce test ortamında denenmeli ve uygun saatlerde yapılmalıdır.