Port izleme önemlidir, çünkü her açık port hem kullanıcılarınızın dayandığı bir hizmet hem de bir saldırganın deneyebileceği bir kapıdır. Hangi portların yanıt verdiğini, üzerlerinde neyin dinlediğini ve bunun zaman içinde nasıl değiştiğini sürekli kontrol etmek; açığa çıkmış hizmetleri, sessiz hizmet arızalarını ve yapılandırma kaymalarını erkenden yakalamanızı sağlar. Aynı kontrol geçmişi, denetçilere ağ kontrollerinizin yalnızca denetim gününde değil her gün çalıştığına dair kanıt da sunar.
Güvenlik: Saldırı Yüzeyinizdeki Kaymayı İzlemek
Bir Terraform değişikliği bir güvenlik grubunu 0.0.0.0/0'a açar veya bir hata ayıklama konteyneri bir portu ana makineye yayımlar. İkisi de uygulama hatası tetiklemez; bu nedenle her ikisi de aylarca fark edilmeden kalabilir.
Port izleme, erişilebilir olanı olması gerekenle karşılaştırır. Yaygın bulgular şunlardır:
- Açığa çıkmış veri depoları. 3306 (MySQL), 5432 (PostgreSQL), 6379 (Redis), 27017 (MongoDB) veya 9200 (Elasticsearch) gibi portların herkese açık internetten yanıt vermesi.
- Yönetim ve uzaktan erişim. 22 numaralı porttaki SSH'ın, 3389'daki RDP'nin veya 8080 ya da 8443'teki bir web yönetim panelinin yalnızca bir VPN veya bastion sunucusundan değil her yerden erişilebilir olması.
- Güncel olmayan yazılımlar. Sürüm tespiti içeren hizmet parmak izi çıkarma, bir yama döngüsünün tamamlandığı varsayılmasına rağmen bir dinleyicinin hâlâ eski bir OpenSSH, nginx veya e-posta sunucusu sürümünü duyurduğunu gösterir.
- Beklenmeyen hizmetler. Tasarımın hiçbir zaman parçası olmamış, yanlış yapılandırmaya veya ele geçirilmeye işaret eden yeni bir dinleyici.
Bir kural tartışılmazdır: Yalnızca sahibi olduğunuz veya taramak için açıkça yetkilendirildiğiniz ana makineleri izleyin.
Çalışma Süresi: Ayakta Olan Bir Ana Makine, Çalışan Bir Hizmet Demek Değildir
Ping size bir makinenin yanıt verdiğini söyler. PostgreSQL'in bağlantı kabul edip etmediğini, 587 numaralı porttaki SMTP'nin istemcileri hâlâ karşılayıp karşılamadığını veya bir UDP portundaki VoIP hizmetinin yanıt verip vermediğini söylemez. Ana makine erişilebilir kalırken süreçler çöker ve dinleyiciler kaybolur.
Port düzeyindeki kontroller bu boşluğu kapatır. Bir TCP kontrolü el sıkışmanın tamamlandığını doğrular; protokole özgü yanıt doğrulaması ise arkasındaki hizmetin protokolünü gerçekten doğru konuştuğunu doğrular. Bağlantı süresi ve yanıt gecikmesi erken uyarı sağlar: Bağlantı süresi 5 ms'den 400 ms'ye tırmanan bir veritabanı portu, genellikle bağlantıları reddetmeden önce performans kaybı yaşamaktadır. Tipik bir başlangıç noktası, kritik portlarda 1 dakikalık kontroller ve birden fazla konumdan iki veya üç ardışık başarısızlıktan sonra uyarı vermektir.
Uyumluluk: Ağ Kontrolleri İçin Sürekli Kanıt
Çoğu çerçeve, izin verilen ağ hizmetlerini tanımlamanızı ve kuralların geçerliliğini koruduğunu doğrulamanızı bekler. Port izleme sizi uyumlu hâle getirmez, ancak destekleyici kanıt üretir:
- PCI DSS, Gereksinim 1'i ağ güvenliği kontrollerine, Gereksinim 11'i ise Onaylı Tarama Sağlayıcısı (ASV) tarafından yapılması gereken üç aylık harici zafiyet taramaları dahil düzenli güvenlik testlerine odaklar. Sürekli port izleme bu ASV taramalarını tamamlar, ancak asla onların yerini almaz.
- ISO/IEC 27001 Ek A, ağların ve ağ hizmetlerinin güvenliğine yönelik kontroller içerir. Onaylı port referansı ve sapma uyarıları, kontrolün zaman içinde işlediğini gösterir.
- SOC 2 incelemeleri değişiklik yönetimini ve sistem izlemeyi değerlendirir. Beklenmeyen port açılışlarına ilişkin, çözüm notları içeren zaman damgalı uyarılar, yetkisiz değişikliklerin tespit edilip ele alındığını gösterir.
Belirli bir andaki tarama yalnızca o günkü durumu kanıtlar; izleme geçmişi ise tüm denetim dönemini kapsar.
Üç Bakış Açısı Nasıl Bir Araya Gelir?
| Bakış açısı | Risk | Port izlemenin sağladıkları |
|---|---|---|
| Güvenlik | Açığa çıkmış veritabanları, yönetim portları, güncel olmayan hizmet sürümleri | Referansa karşı değişiklik tespiti, hizmet parmak izi çıkarma, beklenmeyen dinleyiciler için uyarılar |
| Çalışma süresi | Ana makine yanıt verirken hizmetin çökmüş olması | TCP/UDP kontrolleri, protokol doğrulaması, bağlantı ve yanıt gecikmesi trendleri |
| Uyumluluk | Ağ kontrollerinin sürekli işlediğine dair kanıt olmaması | Port durumu, sapmalar ve müdahalelerin zaman damgalı geçmişi |
Uygulamaya Geçirmek
- İnternete açık ana makinelerin envanterini çıkarın ve her biri için onaylı portları tanımlayın.
- Onaylı portları erişilebilirlik ve gecikme açısından izleyin ve referansın dışında açılan her port için uyarı verin.
- Yola özgü güvenlik duvarı veya yönlendirme sorunlarını ortaya çıkarmak için birden fazla bölgeden kontrol edin.
- Güvenlik uyarılarını ve erişilebilirlik uyarılarını doğru sorumlulara yönlendirin.
- Her planlı değişiklikten sonra referansları güncelleyin.
UpScanX port izleme; 15'ten fazla küresel konumdan çalıştırılan TCP ve UDP kontrolleri, sürüm tespitli hizmet parmak izi çıkarma, protokole özgü yanıt doğrulaması ve referans değişiklik tespitiyle bu iş akışını kapsar. Uyarılar e-posta, Slack, Telegram, Microsoft Teams veya bir webhook'a gider. Neleri izlemeniz gerektiğine dair ayrıntılı bir liste için kritik açık port izleme kontrol listesine göz atın.
Önemli Çıkarımlar
- Port izleme iki soruyu yanıtlar: Hizmet çalışıyor mu ve bu hizmete erişilebilmesi gerekiyor mu?
- Referanslar ve değişiklik tespiti, sessiz saldırı yüzeyi kaymasını eyleme dönüştürülebilir uyarılara çevirir.
- Hizmet düzeyindeki kontroller, ana makine düzeyindeki kontrollerin kaçırdığı arızaları yakalar.
- Sürekli geçmiş uyumluluk kanıtını güçlendirir, ancak ASV taramaları gibi zorunlu değerlendirmelerin yerini almaz.
- UpScanX ile kontrolleri sahibi olduğunuz veya test etmeye yetkili olduğunuz altyapıyla sınırlı tutun.