Hızlı cevap: Yapay zeka destekli geniş tarama, her sayfayı ve her alt alan adını çok sayıda uzman ajanla taradığı için on binlerce ham bulgu üretebilir. Bu sayının büyük çoğunluğu bilgi seviyesinde gözlemdir, gerçek zafiyet değildir. Ham bulgu sayısı asla saldırı yüzeyinin ölçüsü sayılmaz. Doğru okuma, bulguları güven kademelerine ayırmaktır: kanıtlanmış, olası, hipotez ve bilgi. Operatör önce kanıtlanmış kritik ve yüksek önemdeki avuç içi bulguya bakar, geri kalanını bağlamıyla değerlendirir. İyi bir tarama aracının değeri ne kadar çok bulduğunda değil, gürültüyü ne kadar iyi ayıkladığındadır.

Modern bir web uygulamasına kapsamlı yapay zeka taraması koşturduğunuzda ilk gördüğünüz sayı çoğu zaman şaşırtıcı olur. On binlerce bulgu. İnsanın aklına ilk gelen, hedefin delik deşik olduğudur. Gerçek bunun çok uzağındadır. Bu yazı, o büyük sayının neden oluştuğunu, neden yanıltıcı olduğunu ve binlerce satırın içinden gerçekten önemli olan birkaç düzineye nasıl inileceğini anlatır.

Aşırı üretim neden olur

Geniş kapsamlı tarama tasarımı gereği çok üretir. Bunun birkaç yapısal sebebi vardır.

Birincisi yayılmadır. Araç yalnız ana sayfayı değil, keşfettiği her alt alan adını ve her sayfayı ayrı ayrı tarar. Keşfedilen kırk canlı alt alan adı ve yüzlerce sayfa, her biri için ayrı test kümesi demektir. Bu kapsama derinliği istenen bir şeydir, çünkü bakılmadık yer kalmaması hedeflenir, ama doğrudan bulgu hacmini büyütür.

İkincisi uzman çokluğudur. Bir taramada onlarca farklı uzman ajan koşar. Her biri kendi açı sınıfını dener ve kendi gözlemlerini üretir. Enjeksiyon, kimlik, başlık, yapılandırma, bilgi ifşası gibi başlıklar çarpıldığında sayı hızla kabarır.

Üçüncüsü bilgi seviyesi gözlemlerdir. Eksik bir güvenlik başlığı, açık bir sürüm bilgisi, varsayılan bir hata sayfası gibi şeyler tek başına zafiyet değildir. Bunlar bağlam için kaydedilir, fakat ham listeye birer satır olarak düşer. Tipik bir taramada bu bilgi seviyesi kayıtlar toplamın büyük bölümünü oluşturur.

Keşfin derinliği konusunu ayrıca ele aldığımız yapay zeka ile saldırı yüzeyi keşfi yazımız bu yayılmanın teknik tarafını açıklar.

Ham bulgu sayısı saldırı yüzeyi değildir

Burası en kritik nokta. Bir raporun başında yazan toplam bulgu sayısı, o hedefteki gerçek riskin ölçüsü değildir. Gerçek ölçü, kaç tanesinin doğrulandığı ve bunlardan kaçının yüksek etkili olduğudur.

Somut bir örnek verelim. Tipik bir geniş tarama şöyle bir dağılım gösterebilir.

Kademe Tipik pay Anlamı
Bilgi yüzde doksan ve üzeri Gözlem, tek başına zafiyet değil
Düşük önem yüzde birkaç Küçük sertleştirme fırsatı
Orta önem yüzde bir iki İncelenmeye değer, bağlam gerekir
Yüksek önem onlarca kayıt Ciddi, doğrulama bekler veya doğrulanmış
Kritik tek haneli En yüksek öncelik, çoğu doğrulanmış

Yani on binlerce satırlık bir çıktıda gerçekten aksiyon alınacak bölüm çoğu zaman birkaç düzine yüksek ve kritik kayıttan ibarettir. Doğrulanmış sonuç sayısı ise bundan da azdır. Bu azlık bir kusur değildir, dürüst bir aracın doğal sonucudur. Her gözlemi kritik ilan eden bir araç güvenilmez bir araçtır.

Bu konuda doğrulanmış zafiyet ve yanlış pozitifsiz test yazımız ölçüt tarafını derinleştirir.

Bulgu kademeleri ve triyaj hunisi

Gürültüyü ayıklamanın yolu bulguları net güven kademelerine koymaktır. Kademe, bir bulguya ne kadar güvenebileceğinizi söyler.

Kanıtlanmış bulgu, bağımsız bir kanıt içerir. Zaman tabanlı bir enjeksiyonda ölçülmüş gecikme, yansıyan bir betikte ham çıktı, bir dosya okumasında beklenen içerik gibi. Bu kademe aksiyon için hazırdır.

Olası bulgu, güçlü sinyal taşır ama kesin kanıt henüz yoktur. Doğrulama kuyruğuna girer.

Hipotez, bir desenin veya sürümün işaret ettiği teorik bir risktir. Doğrulanana kadar iddia değildir.

Bilgi, yalnız kayıt amaçlı gözlemdir.

Triyaj hunisi bu kademeleri bir akışa döker.

Aşama Girdi Çıktı
Ham toplama tüm ajan gözlemleri on binlerce kayıt
Tekilleştirme aynı bulgunun kopyaları birleştirilmiş benzersiz kayıt
Önem süzme bilgi seviyesi ayrımı yüksek ve kritik öne
Doğrulama kapısı olası ve kritik adaylar kanıtlanmış veya reddedilmiş
Operatör incelemesi doğrulanmış avuç içi rapor ve öncelik

Bu huni sayesinde operatör on binlerce satırla değil, doğrulama kapısından geçmiş birkaç düzineyle ilgilenir. Doğrulama mantığını yapay zeka pentest raporlaması yazımızda ayrıntılı işledik.

Operatör neye bakmalı

Bir yapay zeka tarama raporu açıldığında ilk bakılacak yer toplam sayı değildir. Sırası şudur.

Önce doğrulanmış kritik ve yüksek bulgular. Bunlar kanıt taşır, hemen ele alınır. Sonra doğrulama bekleyen olası bulgular. Bunlar elle hızlı teyit edilir, çünkü bir timing ölçümünde ağ dalgalanması, bir yansımada bağlam gibi yanlış pozitif kaynakları olabilir. En son bilgi seviyesi yığını. Bunlar bir sertleştirme kontrol listesi olarak toplu değerlendirilir, tek tek kritik muamelesi görmez.

Aradaki farkı yapay zeka destekli taramanın genel mantığını anlattığımız geleneksel tarayıcıdan farkı yazımızda bulabilirsiniz.

Sinyal ve gürültü dengesi

İyi bir aracın hedefi bulgu sayısını artırmak değil, sinyali gürültüden ayırmaktır. Bir güvenlik ekibinin zamanı sınırlıdır. Her gözlemi yüksek önemle işaretleyen bir araç, ekibi binlerce yanlış alarmla yorar ve gerçek kritik bulgu bu kalabalıkta kaybolur. Bu, alarm yorgunluğu denen klasik tuzaktır.

Güven kademeleri ve doğrulama kapısı tam da bu yorgunluğu önlemek içindir. Bir aracın olgunluğu, ne kadar çok bulduğuyla değil, bulduğunu ne kadar dürüst sınıflandırdığıyla ölçülür. Bu ölçüm tarafını bir güvenlik yapay zekası nasıl ölçülür yazımız ele alır. Yapay zeka ajanlarının abartıya ve halüsinasyona kayma eğilimini ise yapay zeka adli ajanlar ve halüsinasyon yazımızda tartıştık.

KAOS ve DSET yaklaşımı

DSET olarak geliştirdiğimiz yapay zeka tarama aracı KAOS, bu yazının temel ilkesini kod düzeyinde uygular. Tarama ne kadar geniş olursa olsun, her bulgu bir güven kademesine bağlanır ve raporun özeti ham sayıyı değil doğrulanmış sonucu öne çıkarır. Bir gözlem kanıt taşımıyorsa kritik ilan edilmez, hipotez olarak işaretlenir. Bu, operatörün binlerce satırda boğulmasını değil, gerçekten önemli olana odaklanmasını sağlar. KAOS hakkında daha fazlası için yapay zeka siber güvenlik tarama aracımız yazısına bakabilirsiniz.

Kapsamlı bir güvenlik testinde gerçek riski gürültüden ayırmak, sadece bir rapor özelliği değil bir uzmanlık işidir. Ankara Hacettepe Teknokent bünyesindeki ekibimiz, otomatik taramanın çıktısını doğrulanmış ve önceliklendirilmiş bir rapora dönüştürür. DSET ile iletişime geçin.

Sık sorulan sorular

Tarama neden bu kadar çok bulgu üretiyor, hedef gerçekten bu kadar açık mı? Hayır. Yüksek bulgu sayısının büyük bölümü bilgi seviyesinde gözlemdir, gerçek zafiyet değildir. Her sayfa ve her alt alan adının ayrı ayrı taranması ve onlarca uzmanın paralel koşması sayıyı kabartır. Gerçek risk, doğrulanmış kritik ve yüksek önemdeki az sayıda bulgudadır.

Ham bulgu sayısına göre iki aracı karşılaştırmak doğru mu? Doğru değildir. Daha çok bulgu üreten araç daha iyi değildir, çoğu zaman daha gürültülüdür. Doğru karşılaştırma doğrulanmış bulgu sayısı, yanlış pozitif oranı ve kanıt kalitesi üzerinden yapılır.

Bilgi seviyesi bulguları tamamen yok saymalı mıyım? Hayır, ama tek tek kritik gibi ele almamalısınız. Bunları toplu bir sertleştirme kontrol listesi olarak değerlendirmek, eksik başlıklar ve ifşalar için topluca iyileştirme yapmak en verimli yoldur.

Kaynaklar

  • NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, bulgu değerlendirme ve raporlama ilkeleri.
  • OWASP Web Security Testing Guide, test çıktılarının doğrulanması ve önem sınıflandırması.
  • FIRST CVSS, önem derecelendirme çerçevesi.
  • DSET blog: doğrulanmış zafiyet ve yanlış pozitifsiz test.