01Sorun ve çözüm
Dış saldırı yüzeyi analizi hizmetinde kurumunuzun adından yola çıkıp internetten görünen her şeyi dışarıdan bakan bir saldırgan gibi çıkarıyor, her varlığın sahibini, amacını ve riskini sizinle birlikte netleştiriyoruz. Keşif ve doğrulama, sahipliğini onayladığınız alan adları ve yazılı izin çerçevesinde yapılır.
02Kimler için
Dış saldırı yüzeyi analizi kimler için faydalı
Varlık sayısı arttıkça kimin neyi yayına aldığını izlemek zorlaşır.
- Zamanla birçok alan adı, alt alan adı ve bulut hesabı biriktirmiş orta ve büyük ölçekli şirketler
- Birleşme veya devralma sonrası devraldığı varlıkların dökümünü çıkarmak isteyen kurumlar
- Birden fazla yazılım firmasıyla çalışmış ve neyin yayında olduğunu tam bilmeyen yönetim ekipleri
- Sızma testi ya da zafiyet taramasından önce taranacak varlıkların eksiksiz listesini isteyen güvenlik sorumluları
03İhtiyaçlar
Dış saldırı yüzeyinde aranan riskler
Her bulgu, varlığın gerçekten sizin olup olmadığı ve açık kalması gerekip gerekmediği sorusuna bağlanır.
- 01
Sahibi belli olmayan varlıklar
Eski kampanya siteleri, deneme sunucuları ve ayrılan çalışanların kurduğu servisler güncellenmediği için en kolay hedeflerdir.
- 02
Gereksiz açık servisler
Uzak masaüstü, veritabanı, yönetim paneli ya da dosya paylaşımı gibi hizmetlerin gerekmediği hâlde internete açılması sık yapılan bir hatadır.
- 03
Sızdırılmış hesap bilgisi ve gizli anahtarlar
Herkese açık kod depolarında ve bilinen veri ihlali kayıtlarında kurumunuza ait hesap bilgisi ya da anahtar olup olmadığı kontrol edilir; bulunan parolalarla giriş denenmez.
- 04
Alan adı, e-posta ve sertifika hataları
Eksik SPF, DKIM ve DMARC kayıtları, süresi dolan TLS sertifikaları ve devralınabilir alt alan adları incelenir.
04Özellikler
Dış saldırı yüzeyi analizi kapsamı ve çıktıları
Çalışma bir envanterle başlar, önceliklendirilmiş bir aksiyon listesiyle biter.
- 01
Pasif keşif
Alan adı kayıtları, sertifika şeffaflık kayıtları ve açık kaynaklar kullanılarak sizinle temas etmeden kuruma ait varlıklar toplanır.
- 02
Yıkıcı olmayan doğrulama
Bulunan adreslerin hangi servisleri çalıştırdığı, yalnızca sahipliğini onayladığınız varlıklarda hafif denemelerle belirlenir.
- 03
Envanter ve sahiplik tablosu
Her varlık için sahibi, amacı, risk durumu ve önerilen karar (koru, kapat, devret) tabloya yazılır.
- 04
Hızlı kazanım listesi
Bulgular risk sırasıyla sunulur; kolay kapanabilecek maddeler ayrı bir listede verilir. İsterseniz çalışma dönemsel olarak tekrarlanır.
05Entegrasyonlar
Analizin ilişkilendirildiği kayıtlar ve hesaplar
Dış yüzey, kurumun dışında tutulan kayıtlarla birlikte okunur.
- 01
Alan adı ve DNS yönetimi
Alan adı sağlayıcınızdaki kayıtlar ve DNS bölgesi karşılaştırılarak sahipsiz kayıtlar ve devralınabilir alt alan adları bulunur.
- 02
Bulut ve barındırma hesapları
Herkese açık depolama, açık bırakılmış sanal makine ve yönetim arayüzleri; hesap erişimi verirseniz iç kayıtlarla karşılaştırılır.
- 03
Sonraki test planı
Çıkan envanter, ardından yapılacak zafiyet taraması ve sızma testlerinin kapsamını belirlemek için girdi olur.
06Süreç
Analiz çalışması nasıl yürür
Adım 01
Kapsam ve sahiplik doğrulaması
Ana alan adları, bilinen IP aralıkları ve marka adları alınır; sahiplik yazılı onayla doğrulanır.
Adım 02
Pasif keşif
Açık kaynaklarda, kayıtlarda ve sertifika günlüklerinde kuruma ait varlıklar toplanır.
Adım 03
Varlık doğrulama
Bulunan adreslerin gerçekten size ait olup olmadığı ve hangi servisleri çalıştırdığı belirlenir.
Adım 04
Risk değerlendirmesi
Her varlık açıklık, hassasiyet ve sahiplik durumuna göre derecelendirilir.
Adım 05
Envanter ve rapor teslimi
Envanter, sahiplik tablosu ve hızlı kazanım listesi teslim edilir.
Adım 06
Tekrar planı
Değişimi izlemek için çalışmanın hangi aralıkla tekrarlanacağı birlikte kararlaştırılır.
07Teknoloji
Dış saldırı yüzeyi analizinde yöntem
Çalışma PTES'in bilgi toplama aşamasını temel alır ve NIST SP 800-115'teki keşif adımlarıyla örtüşür. Varlıklar alan adı kayıtları, IP aralıkları, sertifika kayıtları ve bulut kayıtları gibi bağımsız kaynaklardan çaprazlanarak bulunur; tek kaynağa güvenilmez.
Devamını okuDaha az göster
Yazılı izin en çok bu hizmette kritiktir, çünkü internetten görünen her adres size ait değildir. Barındırma sağlayıcısına, ortak kullanılan IP'lere ya da iş ortağınızın sistemlerine ait adresler doğrulanmadan aktif kontrole alınmaz. Keşfedilen varlıkların bir kısmı bilerek açıktır; amaç hepsini kapatmak değil, her açık varlığın bilinçli bir karar olmasını sağlamaktır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Dış saldırı yüzeyi analizi hakkında sık sorulan sorular
Dış saldırı yüzeyi analizi ile zafiyet taraması arasındaki fark nedir?
Tarama, size ait olduğunu bildiğiniz hedeflerdeki açıkları arar. Yüzey analizi ise hedeflerin kendisini bulur ve envanterde olmayan varlıkları ortaya çıkarır. Çoğu zaman önce analiz, sonra tarama yapılır.
Dış saldırı yüzeyi analizi fiyatları neye bağlıdır?
Alan adı ve IP sayısı, kurumun bulut kullanımı, aktif doğrulama yapılıp yapılmayacağı ve çalışmanın dönemsel olarak tekrarlanıp tekrarlanmayacağı fiyatı belirler.
Dış saldırı yüzeyi analizi firması hangi bilgileri ister?
Ana alan adları, bilinen IP aralıkları, marka adları ve onay verecek yetkili kişi yeterlidir. Sahipliği doğrulanamayan bir adres için yazılı onay beklenir.
Analiz sırasında sistemlerime zarar gelir mi?
Pasif keşif sizinle hiç temas etmez. Aktif doğrulamada yıkıcı olmayan, hız sınırlı denemeler yapılır ve yalnızca sahipliğini onayladığınız varlıklara uygulanır.
Çalışanların kişisel hesapları da kapsamda mı?
Hayır. Kapsam kuruma ait varlıklarla sınırlıdır. Çalışanların kişisel hesapları ve üçüncü kişilerin sistemleri incelenmez.
Sızdırılmış hesap bilgisi bulunursa ne yapılır?
Hesabın varlığı ve hangi kaynakta göründüğü raporlanır, hesaba giriş yapılmaz. Etkilenen kişinin parolasını değiştirmesi ve çok adımlı doğrulamanın açılması önerilir.
10İlgili hizmetler