Hızlı cevap: Keşif (recon), bir sızma testinin ilk ve çoğu zaman en belirleyici aşamasıdır; saldırgan tek bir paket göndermeden önce hedef hakkında ne kadar çok şey öğrenirse, saldırısı o kadar isabetli olur. Açık kaynak istihbaratı (OSINT), kamuya açık kaynaklardan (web siteleri, DNS kayıtları, sızmış veri tabanları, sosyal medya, iş ilanları, sertifika logları) hedef hakkında bilgi toplamaktır ve tamamen pasif olabilir, yani hedefe hiç dokunmaz. Bir saldırganın topladığı tipik bilgiler: alan adları ve alt alanlar, IP aralıkları, kullanılan teknolojiler, çalışan e-postaları ve isimleri, sızmış parolalar. Kendinizi korumak için, bir saldırganın sizin hakkınızda kamuya açık olarak ne görebileceğini bilmeniz gerekir; çünkü göremediğiniz yüzeyi koruyamazsınız.

Filmlerdeki hacker imgesi, birinin klavyeye hızlıca bir şeyler yazıp anında bir sisteme girmesidir. Gerçek bir saldırı ise çok daha sessiz başlar: saldırgan, hedefe hiç dokunmadan, günlerce kamuya açık kaynaklardan bilgi toplar. Bu aşamaya keşif denir ve bir sızma testinin de ilk adımıdır. Bu yazı, keşfin ve açık kaynak istihbaratının (OSINT) ne olduğunu, bir saldırganın neyi nasıl topladığını ve kendinizi buna karşı nasıl koruyacağınızı anlatıyor.

Neden keşif bu kadar önemli

Bir saldırının başarısı, çoğu zaman ilk paketin gönderildiği anda değil, ondan çok önce, keşif aşamasında belirlenir. Hedef hakkında ne kadar çok şey bilinirse, saldırı o kadar isabetli ve sessiz olur. İyi bir keşif, hangi sistemlerin dışa açık olduğunu, hangi teknolojilerin kullanıldığını, kimlerin çalıştığını ve nerede zayıf noktalar olabileceğini ortaya çıkarır. Bir sızma testinde de aynı mantık geçerlidir; testçi, saldırganın göreceği yüzeyi önce görmek ister. Bu, PTES metodolojisinin ilk aşamalarından biridir.

Pasif ve aktif keşif

Keşfin iki türü vardır. Pasif keşif, hedefe hiç dokunmadan, tamamen üçüncü taraf kaynaklardan bilgi toplamaktır; hedef bunun farkına bile varmaz. Aktif keşif ise hedefle doğrudan etkileşim gerektirir (bir portun açık olup olmadığını kontrol etmek gibi) ve iz bırakabilir. OSINT, büyük ölçüde pasif keşfin alanıdır ve tam da bu yüzden tehlikelidir: bir saldırgan, siz hiç fark etmeden hakkınızda kapsamlı bir profil çıkarabilir.

Bir saldırgan neleri topluyor

Bilgi türü Kaynak Saldırgana ne sağlar
Alan adları ve alt alanlar DNS, sertifika logları Saldırı yüzeyi haritası
IP aralıkları WHOIS, DNS Hedef altyapı
Kullanılan teknolojiler Web başlıkları, sayfa kaynağı Bilinen açık eşleştirme
Çalışan e-posta ve isimleri Web sitesi, sosyal medya, iş ilanları Oltalama hedefleri
Sızmış parolalar Veri ihlali veri tabanları Hesap ele geçirme
Açık dosyalar, yedekler Yanlış yapılandırılmış sunucular Doğrudan veri sızıntısı

Bu tablonun anlattığı şey şu: kurumunuz, farkında olmadan çok sayıda ipucu yayıyor olabilir. İş ilanlarınız hangi teknolojileri kullandığınızı, çalışan profilleri kimin neye eriştiğini, eski bir veri ihlali de kullanıcılarınızın parolalarını açık edebilir.

Kendinizi nasıl korursunuz

Keşfe karşı korunmanın ilk adımı, bir saldırganın sizin hakkınızda ne görebileceğini kendiniz görmektir. Dışa açık yüzeyinizi düzenli olarak haritalayın: hangi alt alanlar aktif, hangi servisler internete açık, hangi teknolojiler dışarıdan görünüyor. Sızmış kimlik bilgilerini izleyin; çalışanlarınızın e-postaları bir veri ihlalinde geçtiyse, o parolaların değiştirildiğinden emin olun. Bu konuyu sızan parolalar ve credential stuffing ve dark web ve veri sızıntısı izleme yazılarında ele aldık. Ayrıca yanlışlıkla dışa açık kalmış dosya ve yedekleri düzenli kontrol edin.

Görünürlük, koruma için ön koşuldur

Buradaki temel ilke basit ama güçlü: göremediğiniz yüzeyi koruyamazsınız. Pek çok kurum, kendi dışa açık yüzeyinin ne kadar geniş olduğunu bilmez; unutulmuş bir alt alan, eski bir test sunucusu ya da yanlış yapılandırılmış bir servis, saldırganın bulduğu ama kurumun haberi olmadığı bir kapı olur. Düzenli bir dış yüzey değerlendirmesi, bu kör noktaları kapatmanın en etkili yoludur.

KAOS ve DSET yaklaşımı

DSET, kurumların bir saldırganın gözünden kendi dışa açık yüzeylerini görmelerine yardım eder. Yerel yapay zekâ motorumuz KAOS, bir kurumun alan adlarını, alt alanlarını, dışa açık servislerini, kullandığı teknolojileri ve sızmış kimlik bilgilerini tarayarak bir saldırganın toplayacağı istihbaratı önce sizin için çıkarır ve her bulguyu çalışan bir kanıtla raporlar. Amaç, bir saldırganın keşif aşamasında bulacağı her şeyi, o bulmadan önce sizin görmenizi sağlamaktır.

Sık sorulan sorular

Pasif keşif gerçekten hedefe hiç dokunmuyor mu? Büyük ölçüde evet. Pasif keşif, bilgiyi üçüncü taraf kaynaklardan (DNS kayıtları, sertifika logları, arama motorları, sızmış veri tabanları, sosyal medya) toplar ve hedef sisteme doğrudan bir istek göndermez. Bu yüzden hedef, kendisi hakkında bilgi toplandığını fark etmez. Bu, keşfi hem etkili hem de tespit edilmesi zor bir aşama yapar.

Kurumumun kamuya açık ne kadar bilgi yaydığını nasıl öğrenirim? Bir dış yüzey değerlendirmesiyle. Bu, bir saldırganın yapacağı keşfi sizin adınıza yapmak demektir: alan adları, alt alanlar, açık servisler, kullanılan teknolojiler ve sızmış kimlik bilgileri taranır. Sonuç, çoğu kurumu şaşırtır; unutulmuş sistemler ve beklenmedik ölçüde açık bilgi ortaya çıkar.

Sızmış parolaları izlemek gerçekten gerekli mi? Evet, çünkü sızmış kimlik bilgileri en yaygın saldırı başlangıç noktalarından biridir. Bir çalışanın e-postası ve parolası eski bir veri ihlalinde geçtiyse ve o parola hâlâ kullanılıyorsa, saldırganın işi çok kolaylaşır. Düzenli izleme, bu parolaların değiştirilmesini sağlar ve bir giriş kapısını kapatır.

Kaynaklar

Kurumunuzun dışa açık yüzeyini bir saldırganın gözünden görmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan keşif ve dış yüzey değerlendirmesi sağlıyoruz.