Hızlı cevap: Google dorking ve Shodan, bir kurum hakkında internette açıkta kalan bilgiyi hedefle doğrudan temas kurmadan bulmaya yarayan pasif keşif araçlarıdır. Google dorking, gelişmiş arama operatörleriyle (site:, filetype:, inurl:) arama motorlarının dizinlediği hassas dosya ve sayfaları bulur. Shodan ise internete bağlı cihaz ve servisleri (açık portlar, kameralar, veritabanları, endüstriyel sistemler) tarayan bir arama motorudur. İkisi de sızma testinin ilk ve en sessiz adımıdır.

Pasif keşif neden önemli?

Bir saldırı ya da yetkili sızma testi, hedefle doğrudan temas kurmadan önce halka açık kaynaklardan bilgi toplamakla başlar. Buna pasif keşif denir ve iz bırakmaz. Google dorking ve Shodan bu aşamanın en güçlü iki aracıdır çünkü kurumun bilmeden internete açtığı bilgiyi, kurumu hiç rahatsız etmeden ortaya çıkarır.

Önemli nokta şudur: bu araçlar kurumun kendi dışa açık bilgisini gösterir. Yani savunma için de aynı derecede değerlidir; saldırgandan önce kendi açık yüzeyinizi görmenizi sağlar.

Google dorking operatörleri

Operatör İşlevi
site: Belirli bir alan adıyla sınırlama
filetype: Belirli dosya türünü arama (pdf, xls, sql)
inurl: URL'de belirli kelimeyi arama
intitle: Sayfa başlığında arama
cache: Arama motorunun önbelleğindeki eski sürüm

Bu operatörler birleştirildiğinde, arama motorlarının yanlışlıkla dizinlediği hassas belgeleri (yedekler, yapılandırma dosyaları, giriş panelleri, sızmış listeler) ortaya çıkarabilir. Kurumlar çoğu zaman bu dosyaların arama motorlarınca dizinlendiğinin farkında değildir.

Shodan ile ne bulunur?

Shodan, web sitelerini değil internete bağlı cihaz ve servisleri tarar. Açık portları, servis banner'larını, sürümleri ve çoğu zaman kurumun farkında olmadığı dışa açık sistemleri (yönetim panelleri, veritabanları, kameralar, endüstriyel kontrol cihazları) gösterir. Bir kurum, Shodan'da kendi IP aralığını arayarak internete açık bıraktığı her şeyi saldırgan gözünden görebilir.

Savunma: dışa açık bilgiyi nasıl azaltırsınız?

  1. Hassas dosya ve dizinlerin arama motorlarınca dizinlenmesini engelleyin (robots, erişim kontrolü).
  2. Dizinlenmiş hassas içeriği tespit edip kaldırın ve arama motorundan düşürün.
  3. İnternete yalnızca gerçekten gerekli servisleri açın, gerisini güvenlik duvarıyla kapatın.
  4. Kendi IP aralığınızı Shodan ve benzeri araçlarla düzenli izleyin.
  5. Dışa açık saldırı yüzeyini sürekli keşif ve envanterle (ASM) yönetin.

KAOS ve DSET yaklaşımı

DSET, sızma testlerinin pasif keşif aşamasında kurumun internette açıkta kalan bilgisini ortaya çıkarır: dizinlenmiş hassas dosyalar, dışa açık servisler ve sızmış veriler. Geliştirdiğimiz KAOS güvenlik motoru, pasif kaynaklardan dış saldırı yüzeyini toplar. Saha deneyimimizde en sık gördüğümüz durum, kurumun arama motorlarınca dizinlendiğini bilmediği bir yedek dosyası ya da Shodan'da görünen unutulmuş bir yönetim panelidir. Amacımız kurumun dışa açık yüzeyini saldırgandan önce göstermektir.

Bağlantılı okumalar: OSINT ve pasif bilgi toplama, dış saldırı yüzeyi OSINT, subdomain keşfi ve enumeration, saldırı yüzeyi yönetimi ASM, dizin ve içerik keşfi gobuster ffuf, sızan API anahtarları ve sır yönetimi.

Sık sorulan sorular

Google dorking yasal mı? Gelişmiş arama operatörlerini kullanmak, yani arama motorunun zaten dizinlediği halka açık sayfaları aramak başlı başına yasaldır. Yasadışı olan, bulunan bir açık ya da hassas bilgiyle yetkisiz erişim sağlamaktır. Kurumlar kendi dışa açık bilgilerini görmek için Google dorking'i savunma amaçlı rahatça kullanabilir.

Shodan ile web sitesi mi aranır? Hayır, Shodan web sayfalarını değil internete bağlı cihaz ve servisleri tarar: açık portlar, servis banner'ları, sürümler, kameralar, veritabanları ve endüstriyel sistemler. Bir kurum Shodan'da kendi IP aralığını arayarak internete açık bıraktığı tüm servisleri saldırgan gözünden görebilir ve gereksiz açık olanları kapatabilir.

Pasif keşfe karşı nasıl korunulur? Pasif keşif halka açık bilgiyi topladığı için, savunma o bilgiyi en baştan açıkta bırakmamaktır: hassas dosyaların dizinlenmesini engellemek, internete yalnızca gerekli servisleri açmak ve dışa açık yüzeyi düzenli izlemek. Kendi kurumunuzu Google dorking ve Shodan ile düzenli taramak, açık yüzeyinizi saldırgandan önce görmenin en etkili yoludur.

Kaynaklar

Kurumunuzun internette açıkta kalan bilgisini keşfetmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.