01Sorun ve çözüm
Web sitesi güvenlik taraması, sitenizi ve ona bağlı alan adlarını dışarıdan, zarar vermeyen yöntemlerle inceler. Otomatik tarayıcıların bulduklarını tek tek elle doğruluyor, yanlış alarmları ayıklıyor ve sonucu hem site sahibinin anlayacağı sade bir özetle hem de sitenizi yöneten ajansın ya da geliştiricinin doğrudan kullanabileceği teknik bir ekle teslim ediyoruz.
Devamını okuDaha az göster
Tarama, kapsamlı bir web uygulaması sızma testinin yerini tutmaz; ama tanıtım siteleri, kampanya sayfaları ve küçük işletme siteleri için en sık karşılaşılan riskleri daha sınırlı bir kapsamla görünür kılar.
02Kimler için
Web sitesi güvenlik taraması kimler için uygun
Sitesi olan ama site güvenliğiyle günlük ilgilenen kimsesi olmayan her kurum için anlamlıdır.
- Sitesini dışarıdan bir ajansa yaptırmış ve teslimden sonra hiç güvenlik kontrolü yaptırmamış şirketler
- Yıllar içinde birçok kampanya sitesi, alt alan adı ve açılış sayfası açmış pazarlama ekipleri
- Ziyaretçilerinden form üzerinden iletişim, başvuru ya da teklif bilgisi toplayan işletmeler
- Arama sonuçlarında ya da tarayıcıda sitesi hakkında güvenlik uyarısı gören site sahipleri
- Ajans ya da barındırma firması değiştirmeden önce mevcut durumu kayda geçirmek isteyen kurumlar
03İhtiyaçlar
Taramada en sık karşılaşılan açıklar
Bulguların çoğu karmaşık saldırılar değil, unutulmuş dosyalar ve ayarlardır.
- 01
Açıkta kalan dosyalar
Sıkıştırılmış site yedekleri, veritabanı dökümleri, eski yapılandırma dosyaları ve sürüm kontrol klasörleri tarayıcıdan indirilebilir durumda olabilir. Bunlar parolaları ve ziyaretçi verilerini doğrudan dışarı verir.
- 02
Güncel olmayan bileşenler
İçerik yönetim sistemi sürümü, eklentiler ve ön yüz kütüphaneleri bilinen zafiyet kayıtlarıyla karşılaştırılır. Sürümü sayfa kaynağından okunabilen eski bir bileşen, otomatik saldırı araçlarının ilk hedefidir.
- 03
Sahipsiz alt alan adları
Kapatılmış bir hizmete hâlâ yönlenen DNS kayıtları, başkasının o alt alan adını ele geçirip sizin adınıza içerik yayınlamasına izin verebilir.
- 04
Zayıf iletişim ayarları
Eski TLS sürümleri, eksik HSTS ve içerik güvenliği politikası başlıkları, güvenlik bayrağı olmayan çerezler ve yönetim paneline herkesin erişebilmesi kontrol edilir.
- 05
Gizli içerik enjeksiyonu
Sayfalara yalnızca arama motorlarının göreceği şekilde eklenmiş bağlantılar ve yönlendirme kodları, sitenizin itibarını sessizce zedeler; kaynak kod ve arama sonuçları bu izler için incelenir.
04Özellikler
Web sitesi güvenlik taraması hizmetinin çıktıları
Raporu okuyan herkesin bir sonraki adımı bilmesi hedeflenir.
- 01
Varlık listesi
Ana alan adınıza bağlı bütün alt alan adları, hangi sunucuda çalıştıkları ve hâlâ kullanılıp kullanılmadıkları listelenir; unutulmuş kayıtlar genellikle bu listede ortaya çıkar.
- 02
Doğrulanmış bulgular
Her bulgu elle teyit edilir, önem derecesi ve bulunduğu adresle birlikte yazılır; tarayıcının ürettiği ama gerçekte sorun olmayan kayıtlar rapora girmez.
- 03
Kime ne düştüğü
Bulgular barındırma firması, ajans ya da iç ekip gibi sorumluya göre gruplanır; her grubun ne yapması gerektiği kısa maddelerle açıklanır.
- 04
Kontrol taraması
Düzeltmeler yapıldıktan sonra kapatılan bulgular yeniden taranır ve raporun güncel hâli teslim edilir.
05Entegrasyonlar
Taramada incelenen altyapı bileşenleri
Site, üzerinde çalıştığı altyapıdan bağımsız değerlendirilemez.
- 01
Barındırma ve kontrol paneli
cPanel ya da Plesk gibi panellerin dışarıdan erişimi, PHP sürümü ve aynı sunucudaki başka sitelerin oluşturduğu risk değerlendirilir.
- 02
DNS ve e-posta kayıtları
Alan adı kayıtları, SPF, DKIM ve DMARC ayarları incelenir; alan adınız adına sahte e-posta gönderilip gönderilemeyeceği raporlanır.
- 03
CDN ve WAF
Cloudflare gibi bir hizmet kullanılıyorsa asıl sunucu adresinin dışarıdan bulunup bulunamadığı ve koruma kurallarının etkin olup olmadığı kontrol edilir.
- 04
Google Search Console
Erişim verirseniz güvenlik sorunları ve manuel işlemler raporları incelenir, temizlik sonrasında yeniden inceleme talebi için yol gösterilir.
06Süreç
Web sitesi güvenlik taraması hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Taramanın sınırları ve güvenli çalışma biçimi
Tarama, sitenin yayınını aksatmayacak bir hızda yapılır; form gönderme, toplu istek ve kaba kuvvetle parola deneme gibi siteyi yorabilecek ya da gerçek kayıt oluşturabilecek denemeler kapsam dışıdır. Alt alan adı keşfi için sertifika şeffaflık kayıtları ve kamuya açık DNS kaynakları gibi pasif yöntemler kullanılır, bu yüzden keşif sizin sunucunuza yük bindirmez.
Devamını okuDaha az göster
Tarama yalnızca alan adının sahibi ya da sahibinin yazılı izni ile yapılır. Siteyi bir ajans yönetiyorsa barındırma firmasının saldırı tespit sistemi taramayı engelleyebileceği için tarama saati ve kaynak adresi önceden paylaşılır. Bir saldırı izi bulunursa tarama durdurulur, size hemen haber verilir ve kanıtlar temizlikten önce kayıt altına alınır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Web sitesi güvenlik taraması hakkında sık sorulan sorular
Sitemiz yalnızca bir tanıtım sitesi; yine de taramaya ihtiyaç var mı?
Tanıtım siteleri saldırganlar için çoğunlukla bir araçtır. Ele geçirilen bir site, oltalama sayfası barındırmak, zararlı yazılım dağıtmak ya da arama motoru spam'i için kullanılır ve kurum adınız bu işlerle anılır.
Web sitesi güvenlik taraması fiyatları neye göre belirlenir?
Alan adı ve alt alan adı sayısı, sitenin hangi altyapıyla yapıldığı, giriş gerektiren bölümlerin taramaya dahil olup olmadığı ve düzeltme sonrası kontrol taraması istenip istenmediği teklifi belirler.
Tarama sitemizi yavaşlatır ya da kapatır mı?
İstek hızı sınırlanır ve siteye yük bindiren denemeler yapılmaz. Paylaşımlı barındırmada çalışan küçük sitelerde tarama trafiğin düşük olduğu saatlere planlanır.
Sitemizi bir ajans yönetiyor; taramayı kimin onaylaması gerekir?
Alan adı ve site sizin olduğu için onayı siz verirsiniz. Ajansa ve barındırma firmasına önceden bilgi verilmesi, taramanın yanlışlıkla saldırı sanılmasını önler ve bulguların kapatılmasını hızlandırır.
Tarayıcı ziyaretçilere sitemizin tehlikeli olduğu uyarısını gösteriyor; ne yapmalıyız?
Bu uyarı genellikle sitede zararlı kod ya da yönlendirme tespit edildiğini gösterir. Önce kaynağı bulmak gerekir; tarama bu kaynağı, etkilenen sayfaları ve temizlik için yapılacakları ortaya koyar.
Bulunan sorunları web sitesi güvenlik taraması firması mı düzeltir?
Asıl çıktı, sorunların kimde ve nasıl düzeltileceğini anlatan rapordur. Ajansınız ya da iç ekibiniz düzeltmeyi üstlenebilir; isterseniz danışmanlık kapsamında düzeltmeye eşlik edebilir ya da doğrudan yapabiliriz.
10İlgili hizmetler