Nmap ile Yetkili Port Taraması Nasıl Planlanır?
Nmap, ağ üzerindeki sistemleri ve erişilebilir hizmetleri incelemek için kullanılan bir ağ keşif ve güvenlik denetimi aracıdır. Yetkili port taramasının amacı rastgele hedeflerde mümkün olduğunca fazla bilgi toplamak değil, size ait veya tarama izni aldığınız sistemlerin beklenen ağ erişimini kontrollü biçimde doğrulamaktır.
Komutu çalıştırmadan önce yazılı yetkiyi, hedef kapsamını, incelenecek portları, trafik sınırını, test zamanını, kayıt yöntemini ve taramayı durduracak koşulları belirleyin.
Tarama sonuçları, hedeflerin yalnız tarama anında kullanılan kaynak IP adresinden ve ağ yolundan nasıl göründüğünü gösterir. Güvenlik duvarı, erişim kontrol listesi, NAT, yük dengeleyici, paket kaybı veya geçici servis durumu sonuçların yorumunu etkileyebilir.
Yazılı Yetkinin Kapsamı ve Sorumlular
Yazılı yetki, yalnız taramaya izin verildiğini değil, iznin hangi sistemleri, zaman aralığını ve test yöntemlerini kapsadığını da göstermelidir. Belgede sistem sahibi, testi talep eden birim, taramayı çalıştıracak kişi, operasyon sorumlusu ve acil durumda ulaşılacak kişi bulunmalıdır.
Bir IP adresinin kurum envanterinde görünmesi tek başına yeterli olmayabilir. Bulut, barındırma, yönetilen güvenlik veya CDN hizmetini sunan kuruluşun sözleşme koşulları ve test politikası ayrıca kontrol edilmelidir. Aynı kontrol, ortak kullanılan ağları işleten kuruluş için de geçerlidir.
Ortam türü, gereken yetki kanıtını ve alınacak önlemleri değiştirir:
| Ortam | Gerekli Yetki | Planlama Notu |
|---|---|---|
| Yerel laboratuvar | Laboratuvar sahibinin onayı ve cihaz listesi | Test trafiğinin üretim ağına veya paylaşılan hizmetlere taşmadığı doğrulanmalıdır. |
| Kurum içi ağ | Sistem sahibi onayı, değişiklik kaydı ve test iş emri | Testin hizmetlere etkisi ve bakım zamanı, izleme ekipleriyle birlikte planlanmalıdır. |
| Üçüncü taraf hedef | Hedef sahibinden açık yazılı izin ve gerekiyorsa üçüncü taraf altyapıyı işleten kuruluşun onayı | Yetki tamamlanmadan hedef tarama kapsamına eklenmemelidir. |
Tarama Amacı ve Başarı Kriterleri
Tarama amacı ölçülebilir bir soruya dayanmalıdır. Örneğin envanterde kayıtlı hizmetlerin doğrulanması, güvenlik duvarı değişikliği sonrasında beklenen erişimin kontrol edilmesi veya belirli bir sunucu grubunda gereksiz portların görünür olup olmadığının incelenmesi ayrı amaçlardır.
“Ağdaki bütün açıkları bulmak” gibi geniş bir ifade uygun bir başarı kriteri değildir. Bunun yerine beklenen portların doğru kaynaktan erişilebilir olması, beklenmeyen bir portun araştırma kaydına alınması, test sırasında hizmet kesintisi oluşmaması ve bütün sonuçların zaman damgasıyla saklanması gibi doğrulanabilir kriterler kullanılmalıdır.
Port taraması bir zafiyetin gerçekten istismar edilebildiğini tek başına kanıtlamaz. Açık görünen bir port, yalnız o ağ yolundan erişilebilen bir hizmet bulunduğunu gösterir; hizmetin sürümü, yapılandırması ve güvenlik durumu ayrı değerlendirme gerektirir.
Yetkili Hedef Kapsamını Kesinleştirme
Nmap taramasının kapsamı yalnız bir alan adı veya geniş IP bloğu yazılarak belirsiz bırakılmamalıdır. Her hedef için IP adresi, alan adı, sistem sahibi, ortam türü, işlev, dahil edilme nedeni ve hariç tutulan alt sistemler kayıt altına alınmalıdır.
Alan adları DNS nedeniyle birden fazla IP adresine çözümlenebilir veya test süresince farklı bir adrese yönlenebilir. Bu nedenle tarama başlangıcında çözümlenen adresler kaydedilmeli ve bunların gerçekten yetkili kapsamda olduğu doğrulanmalıdır. CDN, ters proxy veya yük dengeleyici kullanılan yapılarda görülen IP adresi, uygulamanın asıl sunucusuna ait olmayabilir.
IPv4 ve IPv6 hedefleri ayrı ayrı ele alınmalıdır. Bir hizmetin IPv4 üzerinde filtrelenmesi, aynı hizmetin IPv6 üzerinden de aynı politikaya tabi olduğunu göstermez. Taramayı başlatan sistemin IP adresi ve bulunduğu ağ bölümü de plana eklenmelidir; farklı kaynaklardan yapılan taramalar farklı sonuç verebilir.
Kapsam belgesinin her güncel sürümü ayrı kaydedilmelidir. Test başladıktan sonra yeni bir IP adresi fark edilirse otomatik olarak taramaya eklenmemeli, önce sistem sahibi ve yazılı yetki kaydıyla doğrulanmalıdır.
Port ve Protokol Kapsamını Riske Göre Seçme
Her taramada bütün portları incelemek gerekli değildir. İlk kapsam iş uygulamasının kullandığı portlar, yönetim erişimleri, güvenlik duvarında izin verilen hizmetler ve değişiklikten etkilenen portlarla sınırlandırılabilir. Daha geniş bir aralık gerekiyorsa bunun iş gerekçesi, tahmini trafik yükü ve onayı ayrıca kaydedilmelidir.
TCP ve UDP farklı davranış gösterdiği için aynı test grubu gibi değerlendirilmemelidir. TCP portlarının durumu, kullanılan tarama yöntemine göre bağlantı isteğine gelen yanıt, bağlantının sıfırlanması veya yanıt beklerken zaman aşımına uğranması üzerinden değerlendirilir. UDP hizmetleri her yoklamaya yanıt vermediği için daha uzun bekleme, tekrar denemesi ve daha dikkatli yorumlama gerekebilir.
Nmap sonuçları yalnız “açık” ve “kapalı” olarak sınıflandırılmaz. Açık durum bir hizmetin bağlantı veya veri kabul ettiğini, kapalı durum hedefe ulaşılabildiği halde ilgili portta hizmet dinlemediğini gösterebilir. filtered (filtrelenmiş) durumu ise güvenlik duvarı veya başka bir ağ kontrolü nedeniyle portun açık mı kapalı mı olduğunun belirlenemediğini ifade eder. open|filtered ve closed|filtered gibi birleşik durumlar, alınan yanıtların iki durum arasında kesin ayrım yapmaya yetmediğini gösterir.
Hizmet tanımlama veya ek uygulama sorguları daha fazla trafik ve farklı günlük kayıtları oluşturabilir. Böyle bir inceleme gerekiyorsa temel port erişim kontrolünden ayrı bir test aşaması olarak onaylanmalıdır.
Tarama Hızı ve Zamanını Ortama Göre Sınırlama
Nmap için her ortamda güvenli kabul edilebilecek tek bir hız değeri yoktur. Sunucu kapasitesi, güvenlik cihazları, ağ bant genişliği, hedef sayısı ve izleme sistemlerinin eşikleri farklıdır. Plan, eş zamanlı hedef sayısını, gönderim yoğunluğunu, yeniden deneme davranışını ve bir hedef için ayrılabilecek azami süreyi sınırlamalıdır.
Üretim ortamlarında önce az sayıda ve kritiklik düzeyi düşük hedefle sınırlı bir pilot tarama yapılmalıdır. Pilot sırasında hedef sunucunun işlemci ve bağlantı kullanımı, güvenlik duvarı oturumları, ağ gecikmesi, hata oranları ve izleme uyarıları izlenir. Belirgin bir olumsuzluk görülmezse kapsam kontrollü aşamalarla genişletilebilir.
Tarama zamanı yalnız teknik ekibin uygunluğuna göre seçilmemelidir. İşlem yoğunluğu, yedekleme saatleri, toplu veri işleri, bakım çalışmaları ve kritik iş süreçleri dikkate alınmalıdır. Yoğun bir yedekleme veya dağıtım sırasında yapılan tarama, hem hizmeti etkileyebilir hem de zaman aşımı nedeniyle yanıltıcı sonuçlar üretebilir.
Güvenlik duvarında taramayı yapan sistem için geçici bir izin tanımlanacaksa bu değişiklik test amacına uygun olmalıdır. İnternetten görünen gerçek erişimi ölçmek amaçlanıyorsa tarama kaynağını özel olarak izinli hale getirmek sonucu değiştirebilir. Her geçici kural için geri alma zamanı ve sorumlusu belirlenmelidir.
Bildirim ve Durdurma Koşulları
Tarama başlamadan önce ağ operasyonu, güvenlik operasyonu, sistem yönetimi ve yardım masası gibi etkilenebilecek ekipler bilgilendirilmelidir. Bildirimde test zamanı, kaynak IP adresi, hedef grubu, sorumlu kişi ve beklenen güvenlik uyarıları açıkça belirtilmelidir.
Durdurma koşulu, yalnız “sorun çıkarsa durdurulur” biçiminde bırakılmamalıdır. Kritik servisin yanıt vermemesi, hata oranının yükselmesi, bağlantı gecikmesinin belirlenen eşiği aşması, güvenlik cihazındaki oturum sayısının kapasite sınırına yaklaşması, beklenmeyen hedeflere trafik gitmesi veya acil durum sorumlusunun talebi somut durdurma nedenleri olabilir.
Durdurma prosedürü şu sırayı izleyebilir:
- Yeni tarama trafiğini durdurun ve taramanın o andaki durumunu kaydedin.
- Operasyon ekibine ve sistem sahiplerine belirlenen iletişim kanalı üzerinden bildirim gönderin.
- Geçici güvenlik duvarı veya izleme değişikliklerini onaylı geri alma planına göre kaldırın.
- Hizmet durumunu tarama öncesindeki ölçümlerle karşılaştırın.
- Olay incelenmeden aynı kapsamda taramayı yeniden başlatmayın.
Tarama Kayıtlarının Saklanması
Tarama kaydı yetki belgesi veya iş emri numarasını, kapsam sürümünü, başlangıç ve bitiş zamanını, saat dilimini, taramayı yapan sistemi, kaynak IP adresini, kullanılan Nmap sürümünü ve taramayı yapan kişiyi içermelidir. Kullanılan tarama profilinin adı ve kapsam değişiklikleri de testin daha sonra nasıl yapıldığının anlaşılabilmesi için saklanmalıdır.
Okunabilir çıktı ile yapılandırılmış çıktı birlikte tutulabilir. Yapılandırılmış sonuçlar sonraki taramalarla karşılaştırma ve envanter eşleştirmesi için kullanışlıdır. Dosyalar erişim kontrolü uygulanan bir konumda saklanmalı; hedef bilgileri yalnız yetkili kişilerin erişebildiği sistemlerde tutulmalı ve herkese açık kayıt sistemlerine eklenmemelidir.
Saklama süresi kurumun güvenlik, denetim ve veri sınıflandırma politikasına göre belirlenmelidir. Sonuçları gereğinden uzun süre saklamak, sistem envanteri ve açık hizmet bilgilerini daha fazla kişinin erişimine açabilir. Silme tarihi ve silme sorumlusu test planında yer almalıdır.
Port Durumlarını Ağ ve Sistem Bağlamında Yorumlama
Nmap'in gösterdiği port durumu kalıcı bir sistem özelliği değildir. Sonuç tarama kaynağına, kullanılan protokole, ağ yoluna, güvenlik duvarı politikasına, paket kaybına ve tarama anındaki hizmet durumuna bağlıdır. Aynı hedef, farklı ağ bölümlerinden tarandığında farklı sonuçlar verebilir.
filtered olarak görünen bir port doğrudan kapalı kabul edilmemelidir. Yanıt alınamaması güvenlik duvarı engeli, oran sınırlaması, geçici ağ sorunu veya hedefin yanıt vermemesi gibi farklı nedenlerden kaynaklanabilir. Benzer biçimde açık bir port, uygulamanın yetkili kullanıcılar için doğru yapılandırıldığını veya güvenli olduğunu kanıtlamaz.
Sonuçlar mevcut varlık envanteri, güvenlik duvarı kuralları, değişiklik kayıtları ve uygulama sahibinin beklediği hizmet listesiyle karşılaştırılmalıdır. Beklenmeyen bir port görüldüğünde doğrudan müdahale etmek yerine önce portun hangi sistem veya süreç tarafından kullanıldığı doğrulanmalıdır.
Tarama Öncesi Yetki, Kapsam ve Operasyon Kontrolü
Tarama başlamadan önce planın yalnız taramayı yapacak kişi tarafından değil, sistem sahibi ve operasyon sorumlusu tarafından da kontrol edilmesi gerekir. Aşağıdaki maddelerden biri belirsizse tarama ertelenmeli ve kapsam netleştirilmelidir.
- Yazılı yetki belgesi geçerli ve tarama tarihini kapsıyor mu?
- Hedef ve hariç tutma listeleri son onaylı sürümle eşleşiyor mu?
- Alan adlarının çözümlendiği bütün IP adreslerinin sahipliği doğrulandı mı?
- TCP ve UDP port kapsamları ayrı ve gerekçeli biçimde tanımlandı mı?
- Pilot tarama, trafik sınırı ve test zamanı onaylandı mı?
- İzleme ekipleri kaynak IP adresini ve beklenen uyarıları biliyor mu?
- Durdurma koşulları, acil iletişim kişisi ve geri alma adımları hazır mı?
- Çıktıların saklanacağı konum, erişim yetkisi ve silme tarihi belirlendi mi?
Tarama Sonrası Bulguların Yönetimi
Beklenen ve beklenmeyen portları sınıflandırın, sonuçları sistem sahipleriyle doğrulayın ve gerekli düzeltmeleri kurumun değişiklik yönetimi sürecine göre planlayın.
