Kaynaklar · Siber Güvenlik
Fjordex vs Shodan vs Nessus: hangisi ne işe yarar?
Kısa cevap
Üçü farklı işler yapar ve birbirinin yerine geçmez. Shodan, internete bağlı cihazları indeksleyen bir arama motorudur; herhangi bir hedefi arayabilirsiniz ama size özel bir değerlendirme yapmaz. Nessus, kendi sistemlerinize bağlanıp bilinen zafiyetleri (CVE) tespit eden yetkili bir aktif tarayıcıdır. Fjordex, ArveNova'nın değerlendirme motorudur: dış atak yüzeyini pasif ve yetkili aktif keşifle çıkarır, bulunan sürümleri NVD tabanlı CVE verisiyle eşler, yetkiyle Active Directory güvenlik duruşunu okur ve sonucu abartısız, imzalanabilir bir Türkçe raporda toplar. Fjordex connector'ı (MCP) bu motorun yalnızca pasif önizlemesidir. Bulgular deterministik kurallardan gelir, LLM karar döngüsünde değildir.
Üç aracın tek tabloda karşılaştırması
| Shodan | Nessus | Fjordex | |
|---|---|---|---|
| Kategori | İnternet cihaz arama motoru | Zafiyet tarayıcı (vulnerability scanner) | Atak yüzeyi ve zafiyet değerlendirme motoru + raporlama katmanı |
| Hedefle etkileşim | Yok (Shodan kendi tarar, siz sonucu arıyorsunuz) | Aktif: hedefe bağlanır, servisleri sorgular | Pasif keşif (DNS, CT logları) + yetki kapısından geçen aktif keşif (canlı servis, port, TLS) + kimlikli AD okuması. Connector yalnızca pasif kısmı çalıştırır |
| Yetki gerekir mi? | Arama için hayır | Evet, kendi sistemleriniz ya da yazılı yetki | Her koşu yazılı yetki referansı ve test penceresi ister; kapsam dışı varlık taranmaz |
| Ne bulur? | Açık portlar, banner'lar, cihaz türleri, internet geneli | CVE eşleşmeleri, yanlış yapılandırma, eksik patch | Dışarıdan görünen varlık envanteri, SPF/DKIM/DMARC, TLS duruşu, dışa açık paneller, sürüm tabanlı CVE eşleşmesi, subdomain takeover, lookalike domainler, AD'de Kerberoast / AS-REP / ADCS riskleri |
| Ne bulmaz? | Size özel yorum, önceliklendirme | Dış görünürlük envanteri, marka taklidi | Gerçek zamanlı trafik izleme (SOC), otomatik saldırı, exploit çalıştırma |
| Kim kullanır? | Araştırmacılar, SOC, saldırganlar | BT ekipleri, pentester'lar | BT ekibi olmayan ya da dış bakış isteyen KOBİ, üniversite, hastane, belediye |
| Nereden çalışır? | Web arayüzü, API | Kurulu yazılım / Tenable bulutu | ArveNova tarafından yetkiyle çalıştırılır; pasif önizleme MCP connector'ı ile |
| Maliyet | Ücretsiz / üyelik | Lisans (yıllık) | İmzalı değerlendirme €2.200'den |
Shodan: internetin arama motoru
Shodan, interneti sürekli tarayıp bulduğu cihazları ve servis banner'larını indeksler. "Hangi IP'lerde 3389 portu açık ve Windows Server 2012 çalışıyor" gibi bir soruyu saniyeler içinde cevaplar. Güçlü yanı kapsamıdır: tüm internet. Zayıf yanı da aynı şeydir: size özel değildir. Shodan size "sizin atak yüzeyiniz şu" demez; veri eskimiş olabilir ve sonucu yorumlamak size kalır. Saldırganların da ilk baktığı yer olduğu için Shodan keşfi besleyen kaynaklardan biridir; Fjordex bunun üstüne hedefe özel, taze ve yetkili doğrulamayı, CVE eşleşmesini ve raporu koyar.
Nessus: kimlikli zafiyet tarayıcısı
Nessus (Tenable) kendi sistemlerinize bağlanır, çalışan servislerin sürümlerini tespit eder ve bunları bilinen zafiyet veritabanıyla eşleştirir. Çıktısı CVE numaraları, CVSS puanları ve eksik patch listesidir. En iyi sonucu kimlikli (authenticated) taramada, yani iç ağda verir; çıktısı İngilizcedir ve genellikle yüzlerce satırdır. Bir iç BT ekibi için vazgeçilmezdir. Fjordex Nessus'un yerine geçmez, yanında çalışır: Nessus derin iç CVE taraması, Fjordex dış atak yüzeyi, AD duruşu ve karar katmanı (önceliklendirme, delta, imzalanabilir Türkçe rapor). Aktif tarama olduğu için hassas sistemlerde (hastane cihazları, eski endüstriyel kontrol sistemleri) dikkat ister; nadiren de olsa servis kesintisine yol açabilir.
Fjordex: değerlendirme motoru ve connector'ı
Fjordex iki düzlemde çalışır. Dış düzlem, kurumun internete açık varlıklarını çıkarır: pasif keşif (alt alan adları, Certificate Transparency logları, SPF/DKIM/DMARC, lookalike domainler) ve yazılı yetkiyle sınırlı aktif keşif (canlı servisler, portlar, TLS duruşu, dışa açık paneller, subdomain takeover). Bulunan servis sürümleri NVD tabanlı bir CVE veri kümesiyle eşlenir; önem derecesi CVSS vektöründen hesaplanır, elle atanmaz. İç düzlem, kimlikli ve salt-okunur bir Active Directory güvenlik duruşu değerlendirmesidir: zayıf parola politikası, Kerberoast / AS-REP riskleri, ADCS yapılandırma hataları ve Domain Admin'e giden yolun planlanması; hiçbir yol yürütülmez.
Her koşu tek bir yetki kapısından geçer: yazılı yetki referansı ve test penceresi yoksa tarama başlamaz, kapsam dışı varlıklar taranmaz. Çıktı imzalanabilir Türkçe rapor, "geçen koşuya göre ne değişti" delta raporu ve aylık izleme raporudur; rapor gövdesi yalnızca motordan gelir.
Fjordex connector'ı (MCP) bu motorun pasif önizlemesidir: e-posta güvenliği, DNS hijyeni, alt alan adı keşfi ve lookalike domain kontrolü. Sisteme bağlanmaz, kurulum gerektirmez; "arvenova.ai için e-posta güvenliğini kontrol et" cümlesiyle çalışır.
Fjordex ne değildir?
Bu bölüm en önemlisidir, çünkü yanlış beklenti güvenlikte en pahalı hatadır.
- Nessus'un yerine geçmez. Fjordex sürüm tabanlı CVE eşleşmesi yapar ama Nessus'un geniş, kimlikli iç plugin tabanını hedeflemez. "Connector temiz çıktı" cümlesi "sistemimizde zafiyet yok" anlamına gelmez; yalnızca kamuya açık DNS ve sertifika verisinde görünen sorun yok demektir.
- SOC ya da 7/24 izleme değildir. Gerçek zamanlı saldırı tespiti yapmaz, olay müdahalesi vermez. İzleme ürünü periyodik yeniden tarama ve aylık delta raporudur.
- Penetrasyon testi değildir. Fjordex değerlendirme yapar; manuel bulgu doğrulama eki, kritik bulguları yazılı yetkiyle elle teyit eder ve maskelenmiş kanıtı imzalı ekte sunar. Saldırı simülasyonu ve lateral movement yoktur.
- RMM ya da EDR değildir. Cihazlarınıza ajan kurmaz, uç noktaları izlemez, yama dağıtmaz.
- Kararı LLM vermiyor. Tarama, önem derecesi ve önceliklendirme tamamen deterministiktir: aynı girdi, aynı rapor. Dil modeli yalnızca isteğe bağlı yönetici özeti için, yerel ve kapalı devre kullanılır; özetteki bir IP, CVE ya da önem derecesi kaynak veride yoksa o cümle rapora girmez. Connector'da da asistan yalnızca aracı çağırır ve sonucu açıklar.
- İmzalı rapor değildir. Connector çıktısı otomatik bir önizlemedir. Denetim, sigorta ya da ihale için kullanılacak belge, insan yorumu içeren imzalı rapordur (Katman 1 ve üzeri).
Hangisini ne zaman kullanmalı?
- Kendi sunucularınız var, patch durumunu bilmek istiyorsunuz: Nessus ya da eşdeğeri, kendi ekibinizle ya da danışmanla.
- Saldırganın sizi nasıl gördüğünü, internet genelinde neyin sızdığını merak ediyorsunuz: Shodan sorguları, tercihen bir uzman eşliğinde.
- Dış yüzeyi tam olarak, imzalı ve önceliklendirilmiş bir raporla istiyorsanız: ArveNova Katman 1 değerlendirmesi (€2.200'den başlar, kapsama göre). Active Directory duruşu için Katman 3.
İmzalı değerlendirme mi istiyorsunuz?
İmzalı rapor, bulgu doğrulama ve düzenli izleme için bizimle iletişime geçin. Kesin bedel kısa bir kapsam görüşmesinden sonra netleşir.
Sık sorulan sorular
Fjordex, Nessus'un yerini tutar mı?
Hayır, yanında çalışır. Nessus derin ve kimlikli iç CVE taramasında güçlüdür; Fjordex dış atak yüzeyini, Active Directory duruşunu ve karar katmanını (önceliklendirme, delta, imzalanabilir Türkçe rapor) sağlar. Connector ise yalnızca pasif kontrolleri çalıştırır.
Fjordex sonuçlarını bir yapay zeka mı üretiyor?
Hayır. Tarama, önem derecesi ve önceliklendirme deterministik kurallarla yapılır; aynı girdi aynı raporu verir. Dil modeli yalnızca isteğe bağlı özet metni için kullanılır ve kaynak veride olmayan hiçbir bilgiyi rapora ekleyemez.
Fjordex'i rakip bir şirketin domaini için çalıştırabilir miyim?
Hayır. Pasif connector teknik olarak engel koymaz, ancak yalnızca işlettiğiniz ya da değerlendirme yetkiniz olan alan adları için kullanılmalıdır. Tam motor ise yazılı yetki referansı olmadan hiç başlamaz.
Shodan ücretsiz mi?
Temel arama ücretsizdir; filtreler, API ve geçmiş veri için üyelik gerekir. Shodan bir değerlendirme hizmeti değil, veri kaynağıdır.
Hastane ağında Nessus çalıştırmak güvenli mi?
Genellikle evet, ancak tıbbi cihazlar ve eski sistemler aktif taramaya beklenmedik tepki verebilir. Bu nedenle hastanelerde önce pasif değerlendirme, sonra kapsamı ve zamanı belirlenmiş aktif tarama önerilir.