Zafiyet taraması ve sızma testi, denetim dosyasında çoğu zaman aynı satıra yazılır; oysa biri envanterdeki bilinen açıklıkları listeler, diğeri o açıklıkların bir saldırgan elinde neye dönüştüğünü gösterir. Aradaki farkı en net anlatan durum şudur: bir kurumun aylık tarama raporunda hiçbir kritik bulgu yoktur, yalnızca “orta” seviyeli bir SMB imzalama uyarısı ve “bilgi” seviyesinde bir ad çözümleme notu vardır. Aynı ağda çalışan bir uzman, bu iki düşük öncelikli maddeyi birleştirerek üç saat içinde alan yöneticisi (domain admin) yetkisine ulaşır.

Tarayıcı yanılmamıştır; bulguları doğru puanlamıştır. Yanıldığı yer, bulguları tek tek değerlendirip aralarındaki ilişkiyi kuramamasıdır. Bu yazıda iki yöntemin hangi soruları cevapladığını, tarayıcının yapısal olarak göremediği zafiyet sınıflarını, ikisinin birlikte nasıl kurgulanacağını ve denetim karşısında hangisinin neyi kanıtladığını somut örneklerle ele alıyoruz.

İki yöntem birbirinin alternatifi değil, farklı sorunun cevabı

Zafiyet taraması “envanterimde bilinen hangi açıklıklar var?” sorusuna cevap verir. İmza veritabanı, sürüm tespiti ve yapılandırma kontrolleriyle çalışır; hızlıdır, tekrarlanabilir ve otomatikleştirilebilir. Sızma testi ise “bu açıklıklar birleştiğinde bir saldırgan nereye kadar gelebilir?” sorusunu sorar. Çıktısı liste değil, saldırı zinciridir.

Bu ayrım pratikte şu sonucu doğurur: tarama kapsamı genişletmek kolaydır, derinleştirmek imkânsızdır. Bin sunucuyu bir gecede tarayabilirsiniz ama tarayıcı hiçbir zaman “bu sunucudaki servis hesabının parolası zayıf olduğu için buradan finans veritabanına geçilebiliyor” cümlesini kuramaz.

Elinizdeki çıktının hangi yönteme ait olduğunu dört soruyla anlarsınız:

• Kanıt: Bulgu istismar edilerek mi doğrulandı, yoksa sürüm bilgisinden mi çıkarıldı?
• İlişki: Bulgular arasındaki bağlantı değerlendirildi mi, yoksa her satır bağımsız mı ele alındı?
• Bağlam: Etkilenen sistemin iş süreci içindeki yeri rapora girdi mi?
• Derinlik: Kimlik doğrulaması sonrası yüzey, yani oturum açan kullanıcının gördüğü ekranlar da incelendi mi?

Tarayıcının yapısal olarak göremediği zafiyet sınıfları

Otomatik araçların atladığı bulgular, çoğu kurumda en yüksek iş etkisine sahip olanlardır:

• İş mantığı hataları: İndirim kuponunun negatif tutarla uygulanabilmesi, sipariş adımlarının atlanarak ödeme yapılmadan sipariş oluşturulabilmesi. Tarayıcı için bu istekler tamamen normaldir; sunucu 200 döner.
• Yetkilendirme atlatma: Başka bir müşterinin sipariş numarasını çağırdığınızda kayıtların dönmesi. Tarayıcı yanıtın size ait olup olmadığını bilemez, çünkü verinin sahibi kavramı ondan gizlidir.
• Zincirleme senaryolar: Tek başına düşük riskli üç bulgunun birleşerek kritik bir yola dönüşmesi.
• Yarış durumu ve durum yönetimi hataları: Aynı bakiyeyi eşzamanlı iki istekle harcamak gibi zamanlamaya bağlı problemler.
• Süreç ve insan katmanı: Yardım masasının kimlik doğrulama yapmadan parola sıfırlaması, kapalı olması gereken bir istisnanın kalıcılaşması.
• Yanlış konumlanmış güven ilişkileri: Test ortamının üretim veritabanına erişebilmesi, tedarikçi bağlantısının ağ segmentasyonunu delmesi.

Bu sınıfların ortak özelliği, açıklığın kodda değil bağlamda olmasıdır. Bağlamı ise ancak kurumu anlayan bir insan değerlendirebilir. Envanteri ve iş süreçlerini birlikte okuyup hangi varlığın gerçekten kritik olduğunu belirlemek, kurumsal siber güvenlik danışmanlığı çalışmalarının temel çıktılarından biridir ve test kapsamının doğru kurulmasını sağlayan asıl adımdır.

Somut senaryo: temiz tarama raporundan alan yöneticisine

Girişte anlatılan zinciri açalım. Tarama raporunda üç madde vardır: SMB imzalama zorunlu değil (orta), ad çözümleme protokolleri açık (bilgi), bir servis hesabının Kerberos bileti talep edilebilir durumda (bilgi).

1. Uzman, ağdaki yanlış yazılmış ad çözümleme isteklerini yanıtlayarak kimlik doğrulama trafiğini kendine yönlendirir (MITRE ATT&CK T1557.001).
2. Yakaladığı kimlik doğrulama isteğini, SMB imzalaması zorunlu olmayan bir sunucuya aktarır ve o sunucuda yerel yönetici olur.
3. Sunucunun belleğindeki oturum bilgilerinden başka bir hesabın kimlik verilerini elde eder.
4. Bu hesapla alan üzerinden servis hesabının bileti talep edilir ve çevrimdışı kırılır (T1558.003).
5. Servis hesabının aşırı geniş yetkisi, yanal hareketin (lateral movement) son adımını ve yetki yükseltmeyi tamamlar.

Zincirin hiçbir adımında “kritik” etiketli bir zafiyet yoktur. Kritik olan, adımların birbirine bağlanabilmesidir. Tarayıcının bulgu listesinde bu bağ görünmez; sızma testi raporunda ise tek bir sayfa halinde yer alır.

Hangi yöntem neyi verir: karşılaştırma

Zafiyet taraması neyi iyi yapar

Tarama, sızma testinin yerini tutmaz ama sızma testi de taramanın yerini tutmaz. Otomatik tarama şu işlerde rakipsizdir:

• Yeni yayımlanan bir açıklığın envanterde hangi sistemleri etkilediğini saatler içinde çıkarmak.
• Yama uyumluluğunu ve yapılandırma sapmalarını sürekli ölçmek.
• Testler arasındaki dönemde yeni açılan servisleri ve unutulmuş sistemleri yakalamak.
• Düzeltmelerin gerçekten uygulanıp uygulanmadığını tekrar tekrar doğrulamak.

Doğru kurgu, taramayı sürekli çalışan bir sağlık ölçümü, sızma testini ise periyodik bir dayanıklılık sınavı olarak konumlandırmaktır.

İkisini birlikte kurgulamanın adımları

1. Envanteri tek kaynağa bağlayın. Tarayıcı yalnızca bildiği varlığı tarar; bilinmeyen sunucu ne taranır ne de test kapsamına girer.
2. Tarama çıktısını temizleyin. Sızma testine, doğrulanmamış yüzlerce bulgudan oluşan ham listeyle değil, ayıklanmış ve kritiklik sınıflandırması yapılmış bir tabloyla girin.
3. Test kapsamını tarama sonuçlarıyla önceliklendirin. Yoğunlaşılacak segmentleri, tarama verisindeki risk kümelenmesine bakarak seçin.
4. Testte doğrulanan bulguları tarama profiline geri besleyin. İstismar edilebilirliği kanıtlanmış bir yapılandırma hatası, sonraki taramalarda özel kural olarak izlenmelidir.
5. Düzeltme ve yeniden test döngüsünü kapatın. Kritik bulgular kapatıldıktan sonra doğrulama testi yapılmadan risk kapanmış sayılmaz.
6. Metrikleri ayrı izleyin. Tarama tarafında açık bulgu yaşı ve yama uyumu; test tarafında zincir sayısı ve tekrar eden bulgu oranı takip edilmelidir.

Denetimde hangisi neyi kanıtlar

Denetçi karşısında tarama raporu “teknik açıklıkları düzenli izliyoruz” iddiasını, sızma testi raporu ise “kontrollerimizin etkinliğini bağımsız biçimde sınadık” iddiasını destekler. ISO 27001 teknik açıklıkların yönetilmesini ve kontrollerin düzenli gözden geçirilmesini bekler; kart verisi ve bankacılık düzenlemelerinde ise ikisi ayrı yükümlülük olarak tanımlanır. KVKK kapsamında da alınan teknik tedbirlerin işlediğini gösterebilmek, yalnızca aracın çalıştığını göstermekten farklıdır.

Bir adım ötesi, saldırının fark edilip edilmediğini ölçmektir. Sızma testi zafiyeti bulur; savunma ekibinin o zinciri görüp göremediğini ise iki ila altı hafta süren, keşiften raporlamaya kadar gerçek bir saldırgan davranışını taklit eden red team hizmeti ortaya koyar. Bu çalışmanın çıktısı bulgu listesi değil, tespit süresi (MTTD) ve müdahale süresi (MTTR) üzerinden okunan bir savunma olgunluk tablosudur.

Bütçe sınırlıysa nereden başlamalı

Kaynak kısıtlı kurumlarda yatırım sırası genellikle şöyle kurulur:

• Varlık envanterinin çıkarılması ve düzenli, kimlik doğrulamalı otomatik tarama.
• Gelir üreten uygulama ile internete açık yüzey için odaklı sızma testi.
• İç ağ ve dizin hizmeti yapılandırmasının test edilmesi.
• Tespit ve yanıt kabiliyeti ölçülebilir hale geldikten sonra kırmızı takım tatbikatı.

Bu sıra bozulduğunda ortaya çıkan tablo öngörülebilir: tespit olgunluğu yokken yapılan tatbikat, zaten bilinen eksikleri pahalı biçimde bir kez daha gösterir.

Sık sorulan sorular

Zafiyet taraması ve sızma testi arasındaki temel fark nedir?

Tarama otomatik araçlarla bilinen açıklıkları listeler ve saatler sürer. Sızma testi uzmanların bu açıklıkları istismar edip birbirine bağlamasıyla ilerler, tipik olarak bir ila iki hafta sürer ve çıktısı doğrulanmış bir saldırı zinciridir.

Düzenli tarama yapıyorsak sızma testine gerek var mı?

Var. Tarama iş mantığı hatalarını, yetkilendirme atlatmalarını ve zincirleme senaryoları göremez. Ayrıca tarama bulgularının bir bölümü yanlış pozitiftir; hangisinin gerçekten istismar edilebilir olduğunu ancak manuel doğrulama gösterir.

Kimlik doğrulamalı tarama sızma testine yaklaşır mı?

Kimlik doğrulamalı tarama görünürlüğü ciddi biçimde artırır ve yama durumunu çok daha doğru ölçer. Ancak yine imza tabanlıdır; oturum açtıktan sonra başka bir kullanıcının verisine erişilip erişilemediğini değerlendiremez.

Tarama sonuçlarındaki bulgu sayısı neden bu kadar yüksek?

Tarayıcılar emin olamadıkları durumlarda bulgu üretmeye eğilimlidir ve aynı açıklığı etkilenen her varlık için ayrı satır olarak sayar. Doğru okuma biçimi, bulgu sayısını değil benzersiz açıklık sayısını ve bunların istismar edilebilirliğini izlemektir.

Sızma testi sırasında tarama da yapılır mı?

Evet, çoğu metodolojide keşif aşaması otomatik tarama içerir. Fark, taramanın testin çıktısı değil başlangıç girdisi olmasıdır; asıl çalışma bu çıktının doğrulanması ve zincire dönüştürülmesiyle başlar.

Sonuç

Zafiyet taraması envanterinizin sağlık kontrolü, sızma testi ise savunmanızın sınavıdır; birini diğerinin yerine koymak, kan tahlilini yeterli görüp hiç egzersiz testi yaptırmamaya benzer. İkisini aynı envanter ve aynı önceliklendirme mantığı üzerine oturtan kurumlar, hem sürekli görünürlük kazanır hem de gerçek saldırı yollarının kapandığını kanıtlayabilir.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.