Açık portları hizmet bazında izlersiniz: Beklenen her portun bağlantı kabul ettiğini kontrol eder, üzerinde doğru protokolün yanıt verdiğini doğrular ve bağlantı süresini bir temel seviyeye göre takip edersiniz. Web ve e-posta portları birden fazla genel bölgeden kontrol edilmelidir; veritabanı portları ise dahili veya izin listesine alınmış bir gözlem noktasından izlenmeli ve herkese açık şekilde erişilebilir hâle geldikleri anda uyarı üretmelidir.
TCP Bağlantısı Neden Yeterli Değildir?
Başarılı bir TCP el sıkışması yalnızca bir şeyin dinlediğini kanıtlar. Askıda kalmış bir çalışan havuzu veya yanlış yapılandırılmış bir proxy, bağlantıları kabul edip işe yarar hiçbir şey döndürmeyebilir. İyi bir port izleme protokol yanıtını kontrol eder: bir HTTP durum satırı, bir TLS el sıkışması, bir SMTP 220 karşılama mesajı veya bir veritabanı el sıkışması. Hizmet parmak izi çıkarma (fingerprinting), hangi yazılımın ve sürümün yanıt verdiğini doğrulayarak ikinci bir sinyal ekler.
Hizmet Bazında Başvuru Tablosu
| Hizmet | Port(lar) | Neyi doğrulamalı | Erişim beklentisi |
|---|---|---|---|
| HTTP | 80 | HTTPS'e yönlendirme | Herkese açık |
| HTTPS | 443 | TLS el sıkışması, sertifika, durum | Herkese açık |
| MySQL | 3306 | Sunucu karşılama mesajı ve sürüm | Yalnızca dahili |
| PostgreSQL | 5432 | SSLRequest'e yanıt | Yalnızca dahili |
| MongoDB | 27017 | hello komutu yanıtı |
Yalnızca dahili |
| Redis | 6379 | +PONG veya -NOAUTH |
Yalnızca dahili |
| SQL Server | 1433 | TDS ön oturum açma (pre-login) yanıtı | Yalnızca dahili |
| SMTP | 25 | 220 banner'ı, STARTTLS |
Herkese açık (MX) |
| Gönderim (Submission) | 587 / 465 | 220; STARTTLS / örtük TLS |
Herkese açık veya kısıtlı |
| IMAP | 143 / 993 | * OK; 993'te TLS |
Herkese açık veya kısıtlı |
| POP3 | 110 / 995 | +OK; 995'te TLS |
Herkese açık veya kısıtlı |
Web Sunucuları: 80 ve 443 Portları
Her iki portu da birden fazla bölgeden kontrol edin. 80 portunda HTTPS'e 301 veya 308 yönlendirmesi bekleyin; 200 yanıtı, yönlendirmenin bir yapılandırma değişikliğinde kaybolduğu anlamına gelebilir. 443 portunda TLS el sıkışmasını ve sertifikayı doğrulayın; çünkü süresi dolmuş veya eşleşmeyen bir sertifika, port açık olsa bile istemcileri bozar. Bağlantı süresini yanıt gecikmesinden ayrı takip edin: Artan bağlantı süresi ağ veya yük dengeleyici baskısına, artan yanıt süresi ise uygulamaya işaret eder.
Veritabanları: Özel Olarak İzleyin, Dış Erişimde Uyarı Verin
Veritabanı portları asla internete açık olmamalıdır; bu da iki ayrı kontrol anlamına gelir:
- İçeriden sağlık kontrolü. Bunu dahili bir ana bilgisayardan veya izin listesine alınmış bir kaynaktan çalıştırın. MySQL bağlantı açılır açılmaz bir karşılama mesajı gönderirken PostgreSQL, MongoDB, Redis ve SQL Server istemciyi bekler; bu nedenle kontrolün ilk konuşan taraf olması gerekir.
- Dışarıdan erişim kontrolü. 3306, 5432, 27017, 6379 ve 1433 portlarını genel konumlardan yoklayın ve “açık” sonucunu başarısızlık durumu olarak kabul edin. Bir güvenlik grubu düzenlemesi veya yanlış port eşlemesiyle yayımlanan bir konteyner, bir veritabanını dakikalar içinde açığa çıkarabilir ve otomatik tarayıcılar açıktaki örnekleri hızla bulur.
E-posta Hizmetleri: Banner'ı Okuyun
E-posta protokolleri kendilerini tanıtır, bu da onları doğrulamayı kolaylaştırır. SMTP sunucuları 220 ile yanıt vermelidir; 421 ise hizmetin bağlantıları reddettiği anlamına gelir. 587 portunda EHLO'dan sonra STARTTLS'in duyurulduğunu doğrulayın; 465, 993 ve 995 portlarında TLS el sıkışmasının başarılı olduğunu doğrulayın. IMAP * OK, POP3 ise +OK ile karşılama yapmalıdır. Bazı bulut ağları giden 25 portunu engeller; bu nedenle yoklamayı buna izin verilen konumlardan yapın.
Aralıklar ve Eşikler
Kendi temel seviyenize göre ayarlanacak tipik başlangıç noktaları:
- Web (80/443): En az üç bölgeden dakikada bir; iki veya daha fazla konum art arda iki kontrolde başarısız olduğunda uyarı verin.
- E-posta (25/587/993): 1 ila 5 dakikada bir; art arda iki başarısızlıkta veya beklenmeyen bir banner'da uyarı verin.
- Veritabanı sağlığı (dahili): Dakikada bir; art arda iki ila üç başarısızlıktan sonra uyarı verin.
- Veritabanı dış erişimi (harici): 5 ila 15 dakikada bir; ilk “açık” sonucunda uyarı verin.
- Gecikme: Bağlantı süresi temel seviyesinin iki ila üç katının üzerinde kaldığında uyarı verin.
Daha kapsamlı bir politika görünümü için port izleme en iyi uygulamaları yazımıza göz atın.
UpScanX ile Uygulamaya Geçirmek
UpScanX port izleme, TCP ve UDP port kontrollerini 15'ten fazla küresel konumdan; hizmet parmak izi çıkarma ve sürüm tespiti, protokole özgü yanıt doğrulama ve bağlantı süresi ile yanıt gecikmesi takibiyle birlikte çalıştırır. Port durumunu bir yapılandırma temel seviyesiyle karşılaştırır, beklenmeyen hizmetleri işaretler ve E-posta, Slack, Telegram, Microsoft Teams veya Webhook üzerinden uyarı gönderir.
Önemli Çıkarımlar
- Yalnızca TCP bağlantısını değil, her porttaki protokol yanıtını doğrulayın.
- Herkese açık web ve e-posta portlarını birden fazla bölgeden kontrol edin ve uyarı vermeden önce konumlar arasında uzlaşma şartı koyun.
- Veritabanı sağlığını dahili olarak izleyin ve herkese açık erişilebilirliği bir olay olarak ele alın.
- Beklenen portların bir envanterini tutun ve bu envanterden herhangi bir sapmada uyarı verin.