01Sorun ve çözüm
Zafiyet taraması, sistemlerinizi bilinen açık kayıtlarıyla otomatik olarak karşılaştırır ve bir güvenlik hijyen listesi çıkarır. Han Dijit taramayı yazılı izin ve onaylı hedef listesiyle çalıştırır, araç çıktısını elle ayıklar ve yalnızca doğrulanmış, öncelik sırasına konmuş bulguları raporlar. Tarama geniş alanı hızla görür ama derine inmez; derinlik gerektiğinde sızma testi onu tamamlar.
02Kimler için
Zafiyet taraması hizmeti hangi durumlarda yeterlidir
Amaç sistemlerin genel sağlığını görmekse tarama, ilk adım olarak ölçülebilir ve yeterli bir araçtır.
- Sunucu, ağ cihazı ve uygulama sayısı artmış ama yama durumunu tek listede göremeyen BT ekipleri
- Sızma testine başlamadan önce bilinen açıkları temizleyip testin derin bulgulara odaklanmasını isteyen kurumlar
- Müşteri ya da iş ortağı anketlerinde güncel tarama raporu istenen firmalar
- Yeni bir sunucu, bulut ortamı veya uygulama kurduktan sonra ilk güvenlik durumunu görmek isteyen ekipler
03İhtiyaçlar
Zafiyet taramasıyla tespit edilen sorunlar
Tarama, bilinen ve kataloglanmış sorunları sistematik olarak bulmak için tasarlanmıştır.
- 01
Eksik güvenlik yamaları
İşletim sistemi, veritabanı, web sunucusu ve üçüncü taraf yazılımların bilinen açıklı sürümleri CVE numaralarıyla listelenir.
- 02
Güvensiz varsayılan ayarlar
Varsayılan parolalar, gereksiz açık servisler ve eski protokol sürümleri gibi yapılandırma hataları işaretlenir.
- 03
Zayıf şifreleme ayarları
Süresi dolmuş veya zayıf ayarlı TLS sertifikaları ile eski şifreleme paketleri tespit edilir.
- 04
Bilinen web açıkları
Güncellenmemiş eklentiler, açık yönetim arayüzleri ve yaygın yapılandırma hataları web tarafında taranır.
- 05
Ağ cihazı yazılımları
Yönlendirici, güvenlik duvarı, yazıcı ve kamera gibi cihazların güncellenmemiş donanım yazılımları, dışarıdan görünen ve sık gözden kaçan zayıf noktalardır.
04Özellikler
Zafiyet taraması kapsamı, doğrulama ve rapor
Araç çıktısı ham veridir; değer, o verinin yorumlanıp önceliklendirilmesinde ortaya çıkar.
- 01
Kimlik bilgili ve bilgisiz tarama
Dışarıdan bir saldırganın gördüğü yüzey ile salt okunur bir hesapla içeriden görülen yama durumu ayrı ayrı çıkarılır.
- 02
Yanlış alarm ayıklama
Araçların işaretlediği bulgular elle kontrol edilir; yalnızca sürüm bilgisinden çıkarılan ama gerçekte yamalı olan maddeler elenir.
- 03
Önceliklendirme
Bulgular CVSS puanı, açığın bilinen bir istismar koduna sahip olup olmadığı ve sistemin iş önemi birlikte değerlendirilerek sıralanır.
- 04
Yeniden tarama
Yamalar uygulandıktan sonra aynı hedefler tekrar taranır, kapanan bulgular raporda işaretlenir.
05Entegrasyonlar
Taramanın bağlandığı envanter ve yama süreçleri
Sonucun işe yaraması için kimin neyi düzelteceği belli olmalıdır.
- 01
Varlık envanteri
Taranan hedefler envanterinizle karşılaştırılır; listede olmayıp yanıt veren cihazlar ayrıca bildirilir.
- 02
Yama ve değişiklik yönetimi
Bulgular, yama pencerenize ve değişiklik sürecinize uygun işlere bölünür.
- 03
Güvenlik duvarı ve izleme
Tarama kaynak adresleri önceden paylaşılır; böylece tarama trafiği izleme araçlarınızda gerçek bir saldırı alarmı gibi değerlendirilmez.
06Süreç
Tarama çalışması nasıl yürür
Adım 01
Hedef listesi ve izin
Taranacak IP, alan adı ve uygulamalar ile tarama saatleri yazılı olarak onaylanır.
Adım 02
Tarama planı
Hız, yoğunluk ve kimlik bilgili tarama gerekip gerekmediği hedeflerin hassasiyetine göre belirlenir.
Adım 03
Tarama
Hedefler planlanan pencerede taranır.
Adım 04
Elle doğrulama
Araç bulguları kontrol edilir, yanlış alarmlar ayıklanır.
Adım 05
Rapor ve önceliklendirme
Doğrulanmış bulgular risk sırasına konur, yama önerileriyle sunulur.
Adım 06
Yeniden tarama
Yamalardan sonra hedefler tekrar taranır ve sonuç rapora işlenir.
07Teknoloji
Zafiyet taramasında yöntem ve veri kaynakları
Bulgular CVE kayıtlarıyla eşleştirilir ve CVSS ile derecelendirilir; yama önceliği için gerektiğinde CISA'nın bilinen istismar edilen açıklar kataloğuna bakılır. Yöntem NIST SP 800-115'teki tarama ve zafiyet analizi adımlarını, yama tarafında NIST SP 800-40 yaklaşımını izler.
Devamını okuDaha az göster
Tarama sistemlere yük bindirebileceği için saat ve hız ayarları ön görüşmede belirlenir; hassas sistemler daha düşük yoğunlukta taranır. Tarama bir açığın kullanılabildiğini kanıtlamaz, bunu gösteren çalışma sızma testidir. Hedef listesi dışına çıkılmaz; bulut ya da barındırma firmasına ait IP aralıklarında sağlayıcının politikası ve gerekiyorsa onayı alınır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Zafiyet taraması hakkında sık sorulan sorular
Zafiyet taraması ile sızma testi arasındaki fark nedir?
Tarama bilinen açıkları otomatik araçlarla geniş bir alanda listeler ve açığı kullanmaya çalışmaz. Sızma testi ise bulunan zayıflıkları elle deneyerek gerçek etkiyi ve birleşme ihtimallerini gösterir. Biri düzenli hijyen, öteki derin doğrulama içindir.
Zafiyet taraması fiyatları nelere göre belirlenir?
Taranacak IP ve uygulama sayısı, kimlik bilgili tarama ihtiyacı, elle doğrulamanın yoğunluğu ve yeniden tarama planı fiyatı etkiler.
Zafiyet taraması firması hangi erişimleri ister?
Hedef listesi, tarama saatleri ve iletişim kişisi yeterlidir. Kimlik bilgili tarama için salt okunur hesaplar istenir; bu hesaplar yalnızca tarama sırasında kullanılır ve sonrasında kapatılması önerilir.
Tarama sırasında sunucularım yavaşlar mı?
Tarama trafik üretir. Hız ve eşzamanlı bağlantı sayısı hassas sistemler için düşürülür, gerekirse yoğun olmayan saatlere alınır. Bir etki görülürse tarama durdurulur.
Ne sıklıkla zafiyet taraması yaptırmalıyım?
Değişiklik hızınıza bağlıdır: büyük bir yayın, altyapı değişikliği veya yama döneminden sonra tarama anlamlıdır. Düzenli ve takipli bir döngü istiyorsanız sürekli zafiyet tarama hizmeti daha uygundur.
Tarama sonuçlarını kimler görür, ham veriler nasıl saklanır?
Bulgular yalnızca sizin belirlediğiniz kişilerle paylaşılır. Ham araç çıktıları ve rapor, sözleşmede belirlenen yöntemle saklanır ya da silinir.
10İlgili hizmetler