Dış atak yüzeyi taraması nedir, kim yaptırmalı, ne kadar?

Atak yüzeyi tam olarak nedir?

Atak yüzeyi (attack surface), bir saldırganın size ulaşmak için deneyebileceği tüm giriş noktalarının toplamıdır. İç atak yüzeyi çalışan bilgisayarları, iç ağ ve Active Directory gibi içeriden erişilen sistemleri kapsar. Dış atak yüzeyi ise internetten herkesin görebildiği kısımdır:

• Alan adları ve alt alan adları (vpn., mail., test., eski-portal. gibi unutulmuş kayıtlar dahil)
• Açık portlar ve bu portlarda çalışan servisler (RDP, SSH, veritabanı, uzak yönetim)
• Web uygulamaları, yönetim panelleri, API uçları
• E-posta altyapısı: SPF, DKIM, DMARC kayıtları ve bunların eksikliğinin yol açtığı spoofing riski
• TLS sertifikaları, süresi dolmuş ya da yanlış yapılandırılmış olanlar
• Markanızı taklit eden lookalike / typosquat alan adları

Saldırıların büyük bölümü sofistike bir zero-day ile değil, bu listede unutulmuş bir kalemle başlar: patch'lenmemiş bir VPN cihazı, DMARC'ı olmayan bir domain, kimsenin hatırlamadığı bir test sunucusu.

Tarama nasıl yapılır, sistemlere zarar verir mi?

İki seviye vardır ve ikisinin ayrımı önemlidir:

Pasif değerlendirme yalnızca kamuya açık kaynakları okur: DNS kayıtları, Certificate Transparency logları, WHOIS, arama motorları. Sisteminize tek bir paket bile gönderilmez; dolayısıyla izin gerektirmez, kesinti riski sıfırdır. Fjordex connector'ı (MCP) bu seviyede çalışır.

Aktif değerlendirme port taraması, servis sürüm tespiti ve bilinen CVE eşleştirmesi yapar; sistemlerinize bağlanır ama exploit çalıştırmaz. Yazılı yetki ister, test penceresi birlikte belirlenir.

Bunların ötesinde penetrasyon doğrulaması gelir: bulunan kritik açıkların zarar vermeyen yöntemlerle elle doğrulanması. Bu adım yalnızca imzalı Rules of Engagement ve NDA kapsamında yapılır ve ayrı fiyatlandırılır.

Kim yaptırmalı?

Kısa kural: internete açık bir varlığınız varsa sizin de bir dış atak yüzeyiniz vardır ve biri onu zaten tarıyor. Özellikle öncelikli olanlar:

• KOBİ'ler (KKTC ve Türkiye): Çoğunun BT ekibi yoktur, altyapı dış firmalara dağılmıştır, kimse toplam resmi görmez. En sık bulgular: DMARC eksikliği nedeniyle şirket adına sahte fatura e-postası gönderilebilmesi, dışa açık RDP, sahibi belirsiz alt alan adları.
• Üniversiteler: Onlarca fakülte, yüzlerce alt alan adı, öğrenci projeleri, kapanmış ama DNS'te kalan servisler. Atak yüzeyi büyük ve dağınıktır; envanter çıkarmak tek başına değer üretir.
• Hastaneler ve klinikler: Hasta verisi, KVKK/GDPR yükümlülüğü ve kesintiye tahammülsüz operasyon. Pasif taramanın hiçbir sistemi etkilememesi burada belirleyici avantajdır.
• Belediyeler ve kamu kurumları: Vatandaş hizmetleri, e-posta ile yazışma ağırlığı ve itibar riski.
• Siber sigorta ya da ihale şartı olanlar: Sigortacılar ve büyük müşteriler giderek daha sık bağımsız bir dış değerlendirme raporu istiyor.

Ne kadar? ArveNova fiyatları

Aşağıdakiler başlangıç bedelleridir; EUR cinsinden ve KDV hariçtir. Kesin bedel, varlık sayısı ve kapsam bir keşif görüşmesinde netleştikten sonra yazılı olarak verilir. Katmanlar tek tek ya da birlikte alınabilir; her iş yazılı kapsam ve imzalı yetki belgesi (ROE) ile başlar.

Fiyat neye göre değişir? Dış yüzeyde internetten görünen varlık sayısına göre: alan adları, alt alan adları, kamuya açık IP ve servisler. Çalışan ya da bilgisayar sayısı dış yüzey fiyatını doğrudan belirlemez; Katman 3 (Active Directory) kullanıcı ve kampüs sayısına, Katman 2 platform sayısına göre fiyatlanır.

Penetrasyon testi: yukarıdaki katmanlardan ayrı bir hizmettir. Senaryo, metodoloji ve teslimat her proje için yazılı olarak tanımlanır; kapsam ve bedel teklifte belirlenir. Teklif Alın.

Sürekli izleme: uç noktalarınıza (endpoint) kurulan bir ajanla 7/24 izleme, Katman 4'ten ayrı bir hizmettir. Kapsam, başlangıç tarihi ve bedel teklifte belirlenir. Teklif Alın.

Rapor neye benzer? Örnek bulgu

Her bulgu şu yapıdadır: başlık, önem derecesi (CVSS vektöründen hesaplanır, elle atanmaz), güven düzeyi, kanıt, saldırgan bakışı (RED) ve çözüm (BLUE). İmzalı rapordan biçim örneği (gerçek bir koşu değildir):

[F-03] Güncel olmayan web bileşeni, Apache httpd 2.4.49
  Önem: Kritik (CVSS 9.8, NVD primary)
  CVE: CVE-2021-41773 · CWE-22
  Güven: CONFIRMED · Varlık: https://hedef.example:443
  RED: Path traversal, uzaktan dosya okuma koşulları.
  BLUE: 2.4.51+ sürümüne yükseltin.

CVE eşleşmesi, bulunan servis sürümünün NVD tabanlı bir CVE veri kümesiyle karşılaştırılmasıyla yapılır; sürüm aralığına dayanan eşleşmeler "teyit edilmedi" etiketiyle ayrı tutulur, paylaşımlı hosting ya da CDN arkasındaki varlıklar CVE'ye alınmaz. Aşağıdaki ikinci örnek ise Fjordex connector'ının bir e-posta güvenliği kontrolünden gelir:

{
  "id": "email.dmarc_missing",
  "title": "DMARC kaydı yok",
  "severity": "high",
  "evidence": "_dmarc.ornek-sirket.com için TXT kaydı bulunamadı.",
  "recommendation": "Önce p=none ile raporlama başlatın, 2-4 hafta sonra p=quarantine, ardından p=reject'e geçin.",
  "category": "email"
}

Bu tek satırın anlamı: şu an herhangi biri muhasebe@ornek-sirket.com adresinden müşterilerinize sahte fatura gönderebilir ve alıcı posta sunucuları bunu reddetmez. Çözüm bir DNS kaydıdır, ama kimse söylemezse yıllarca açık kalır.

Ne sıklıkla tekrarlanmalı?

Dış atak yüzeyi sabit değildir: yeni bir SaaS aboneliği, bir pazarlama kampanyası için açılan alt alan adı, değiştirilen hosting firması, tümü yüzeyi değiştirir. Pratik öneri: yılda bir tam değerlendirme (Katman 1), arada aylık delta izleme (Katman 4). Hastane ve üniversite gibi büyük yüzeylerde aylık izleme tek seferlik taramadan daha kıymetlidir, çünkü sorun çoğunlukla "yeni açılan" kalemlerde çıkar.