En iyi port izleme aracı, kritik TCP ve UDP servislerinizi sürekli kontrol eden, doğru protokolün gerçekten yanıt verdiğini doğrulayan ve bir portun durumu beklentinizden saptığında sizi uyaran araçtır. Çoğu ekip için bu, dahili servisler için kendi sunucunuzda barındırılan veya ticari bir araç ile internete açık her şey için harici bir SaaS izleyici anlamına gelir. Nmap gibi tarayıcılar denetimlere yardımcı olur, ancak izleme değildir.
Bir Port İzleme Aracı Nasıl Değerlendirilir?
Bu kriterleri kendi ortamınıza göre tartın:
- TCP ve UDP kapsamı. TCP bağlantı kontrolleri kolaydır. UDP daha zordur; çünkü el sıkışma yoktur, bu nedenle aracın protokole özgü bir yük (DNS sorgusu, SNMP get, NTP isteği) gönderip geçerli bir yanıt beklemesi gerekir.
- Protokol farkındalıklı kontroller ile düz bağlantı kontrolü. 5432 numaralı porttaki başarılı bir TCP el sıkışması yalnızca bir şeyin dinlediğini kanıtlar. Protokol farkındalıklı bir kontrol ise PostgreSQL, SMTP veya Redis'in gerçekten doğru yanıt verdiğini teyit eder.
- Bakış noktası. Dahili yoklayıcılar özel servisleri ve güvenlik duvarı kurallarını içeriden görür. Harici yoklayıcılar ise müşterilerin ve saldırganların gördüğünü görür. Genellikle her ikisine de ihtiyacınız vardır.
- Değişiklik tespiti ve temel çizgiler. İyi araçlar mevcut port durumunu beklenen bir yapılandırmayla karşılaştırır ve yalnızca kapanan portları değil, yeni açılan portları veya beklenmeyen servisleri de işaretler.
- Tarama ile sürekli izleme. Haftalık bir tarama maruziyeti bulur; 1 dakikalık bir kontrol ise kesintileri yakalar. Bunlar farklı işlerdir.
- Alarm kanalları. Alarmlar Slack'e, Teams'e, e-postaya veya ekibinizin zaten takip ettiği bir webhook'a ulaşmalıdır.
- İşletim yükü. Kendi sunucunuzda barındırılan araçlar; güncellemeler, depolama ve izleyicinin kendisinin erişilebilir tutulması için zaman harcatır.
Kategoriye Göre Araç Yelpazesi
Tarayıcılar ve CLI Yardımcı Programları
nc (netcat) tek bir portu elle test etmenin en hızlı yoludur; Nmap ise tüm alt ağlarda keşif, servis sürümü tespiti ve denetim için standarttır. Hiçbiri tek başına zamanlama, geçmiş veya alarm sağlamaz; bu nedenle bunları inceleme ve denetim araçları olarak değerlendirin.
Kendi Sunucunuzda Barındırılan İzleme
- Nagios ve Icinga,
check_tcpvecheck_udpile SMTP, IMAP ve diğerleri için protokol eklentileri kullanır. Olgundurlar ancak yapılandırması yoğundur. - Zabbix, tetikleyiciler ve şablonlarla birlikte
net.tcp.servicevenet.tcp.portöğeleri sunar; bu da daha büyük filolara uygundur. - Prometheus Blackbox Exporter, TLS dahil olmak üzere dize gönderip bekleyebilen bir TCP yoklayıcısına sahiptir. Kubernetes ve Prometheus tabanlı yığınlara uyar; alarmlar Alertmanager üzerinden iletilir.
- Uptime Kuma, TCP port kontrolleri için küçük ekipler arasında popüler olan basit bir web arayüzü sunar.
Ticari Ağ Paketleri
PRTG ve SolarWinds, port sensörlerini SNMP, akış (flow) ve cihaz izlemeyle birlikte sunar. Bunları zaten anahtarlar ve sunucular için kullanan BT ekiplerine uygundurlar, ancak esas olarak dahilidirler ve kendi altyapılarına ihtiyaç duyarlar.
SaaS Harici İzleyiciler
UptimeRobot, Better Stack, Pingdom ve Datadog Synthetics, genellikle HTTP izlemeyle birlikte dışarıdan TCP port kontrolleri sunar. UpScanX port izleme port katmanında daha ileri gider: TCP ve UDP kontrolleri, sürüm tespitiyle servis parmak izi çıkarma, protokole özgü yanıt doğrulaması, bağlantı ve yanıt gecikmesi takibi ve yetkisiz servisleri işaretleyen bir yapılandırma temel çizgisine karşı değişiklik tespiti. Kontroller 15'ten fazla küresel konumdan çalışır; alarmlar E-posta, Slack, Telegram, Microsoft Teams veya Webhook aracılığıyla iletilir.
Kategori Karşılaştırması
| Kategori | Sürekli kontroller | UDP desteği | Değişiklik tespiti | Dahili görünürlük | Kurulum eforu |
|---|---|---|---|---|---|
| Tarayıcılar (nc, Nmap) | Hayır | Evet (Nmap) | Manuel karşılaştırma | Evet | Düşük |
| Kendi sunucunuzda (Zabbix, Blackbox) | Evet | Değişken | Özel kurallar | Evet | Orta-yüksek |
| Ağ paketleri (PRTG, SolarWinds) | Evet | Protokol sensörleriyle | Kısmi | Evet | Yüksek |
| SaaS harici izleyiciler | Evet | Sağlayıcıya göre değişir | Sağlayıcıya göre değişir | Hayır | Düşük |
Ekip Türüne Göre Öneriler
Girişim (startup) DevOps ekibi. 443, SMTP ve SSH bastion'ları gibi genel portlar için bir SaaS harici izleyici kullanın ve zaten küme içinde Prometheus çalıştırıyorsanız Blackbox Exporter TCP yoklamaları ekleyin. Kontrol aralıklarını 1 dakikada tutun ve alarm vermeden önce iki ardışık başarısızlık şartı koyun.
Kurumsal BT. Dahili servisler için Zabbix, PRTG veya SolarWinds'i koruyun ve çevre (perimeter) için temel çizgi değişiklik tespitine sahip harici bir izleyici ekleyin. Aylık Nmap denetimlerini onaylı port listenizle karşılaştırın.
Yönetilen hizmet sağlayıcısı (MSP). Düşük kurulum eforuna öncelik verin. Servis parmak izi çıkarma özelliğine sahip harici bir izleyici, bir müşterinin RDP'yi veya bir veritabanı portunu dışarıya açtığında bunu gösterir; webhook alarmları da talep yönetim sisteminizi besleyebilir.
Araç seçildikten sonra aralıkları ve eşikleri ayarlamak için port izleme en iyi uygulamaları yazımıza bakın.
Önemli Çıkarımlar
- Tarayıcılar maruziyeti bulur; izleme araçları ise kesintileri ve sapmaları yakalar. Her ikisine de ihtiyacınız vardır.
- Veritabanları, e-posta ve DNS için düz TCP bağlantıları yerine protokol farkındalıklı kontrolleri tercih edin.
- Dahili yoklayıcıları harici çok konumlu kontrollerle birleştirin.
- Port izlemeyi yalnızca bir çalışma süresi (uptime) kontrolü olmaktan çıkarıp bir güvenlik kontrolüne dönüştüren şey temel çizgi değişiklik tespitidir.