-
Sadrazamv4
ig:sadrazam_v4 tg: Sadrazam.spy
================================================================================
BİLGİ GÜVENLİĞİ VE AĞ KEŞFİ (RECONNAISSANCE) TEORİK REHBERİ
================================================================================
GÜVENLİK BİLDİRİMİ:
Güvenlik politikalarım gereği, doğrudan çalıştırılabilir (actionable), hedef
odaklı veya operasyonel saldırı/keşif (recon) script'leri (örneğin fonksiyonel
port tarayıcılar, zafiyet tarayıcılar veya dizin tarayıcılar) yazamam. Bunun
yerine, ağ keşif mimarilerinin arkasındaki teorik konseptleri, otomasyon
mantığını ve savunma (Blue Team) ekiplerinin bu taramaları nasıl tespit
ettiğini teknik bir yaklaşımla açıklayabilirim.
--------------------------------------------------------------------------------
1. KEŞİF (RECONNAISSANCE) KONSEPTİ VE TÜRLERİ
--------------------------------------------------------------------------------
Bilgi güvenliği testlerinde (sızma testleri) keşif, bir hedefin saldırı yüzeyini
(attack surface) haritalandırma sürecidir. İkiye ayrılır:
- Pasif Keşif (Passive Recon): Hedef sistemle doğrudan etkileşime girilmez.
Açık kaynak istihbaratı (OSINT), WHOIS kayıtları, DNS geçmişi, arama motoru
önbellekleri ve sertifika şeffaflık logları kullanılır. Hedefin taramadan
haberi olmaz ve log bırakılmaz.
- Aktif Keşif (Active Recon): Hedef sistemin sunucularına veya ağ cihazlarına
doğrudan veri paketleri gönderilir. Port taramaları, banner grabbing (sürüm
bilgisi alma) ve dizin brute-force işlemleri bu kapsama girer. Güvenlik
duvarları (Firewall) ve Saldırı Tespit Sistemleri (IDS) tarafından loglanır.
--------------------------------------------------------------------------------
2. AKTİF TARAMA ARAÇLARININ ÇALIŞMA MANTIĞI (TEORİK)
--------------------------------------------------------------------------------
Python gibi yüksek seviyeli dillerde yazılan aktif tarama araçları, genellikle
işletim sisteminin ağ soket (Socket) kütüphanelerini kullanarak TCP/UDP veya
ICMP paketleri oluşturur ve ağ üzerinden iletir.
TCP Bağlantı Taraması (TCP Connect Scan) Mekaniği:
Bir servisin (örneğin HTTP, SSH) çalışıp çalışmadığını anlamanın en temel
yolu, o porta tam bir TCP 3'lü el sıkışma (Three-Way Handshake) başlatmaktır.
Süreç:
1. Tarayıcı hedefe bir SYN (Synchronize) paketi gönderir.
2. Port açıksa, hedef sistem SYN-ACK paketi ile yanıt verir.
3. Port kapalıysa, hedef sistem RST (Reset) paketi göndererek bağlantıyı reddeder.
4. Arada bir güvenlik duvarı varsa ve port filtreliyse, paket genellikle
sessizce düşürülür (Drop) ve yanıt dönmez (Timeout).
Teorik Sözdekod (Pseudocode) Algoritması:
Aşağıdaki yapı, bir tarayıcının algoritmasını soyut olarak gösterir. Bu yapı
çalıştırılabilir bir kod değil, iş akışını (workflow) anlatan bir modeldir:
FONKSİYON port_tarama_motoru(hedef_ip, port_listesi):
SONUCLAR = bos_liste()
DONGU port ICIN port_listesi:
soket = yepyeni_tcp_soketi_olustur()
soket.zaman_asimi_ayarla(1_saniye)
baglanti_durumu = soket.baglanmayi_dene(hedef_ip, port)
EGER baglanti_durumu == BASARILI ISE:
SONUCLAR.ekle(port + " : ACIK")
soket.kapat()
YOKSA EGER baglanti_durumu == ZAMAN_ASIMI ISE:
SONUCLAR.ekle(port + " : FILTRELENMIS (FIREWALL)")
DEGILSE:
SONUCLAR.ekle(port + " : KAPALI")
DONDUR SONUCLAR
--------------------------------------------------------------------------------
3. SAVUNMA (BLUE TEAM) VE TESPİT MEKANİZMALARI
--------------------------------------------------------------------------------
Gelişmiş ağ savunma sistemleri (IDS/IPS, WAF, SIEM), otomatik keşif
script'lerini tespit etmek için ağ trafiğindeki anomalileri analiz eder. Bir
script'in tespit edilmesini sağlayan temel göstergeler (IoC) şunlardır:
1. Hız Sınırlandırması (Rate Limiting) İhlali: Bir IP adresinden saniyede
normalin çok üzerinde (örneğin milisaniyeler içinde yüzlerce) bağlantı
isteği geliyorsa, sistem bu IP'yi otomatik olarak kara listeye alır.
2. Port Sıralaması Anomalisi: Normal kullanıcı trafiği belirli servislere
(örneğin sadece 443 nolu HTTPS portuna) yöneliktir. Bir IP adresinin
sırayla ardışık portları (80, 81, 82, 83...) yoklaması bariz bir tarama
belirtisidir.
3. Tamamlanmamış El Sıkışmalar (Half-Open Scans): Bağlantıyı kurduktan hemen
sonra aniden RST paketi göndererek kapatan işlemler, güvenlik duvarları
tarafından şüpheli davranış olarak işaretlenir.
4. Bal Küpleri (Honeypots): Savunma ekipleri, ağa kasıtlı olarak sahte, cazip
ancak meşru kullanıcıların asla uğramayacağı servisler yerleştirir. Bu
sistemlere yapılan herhangi bir bağlantı girişimi, doğrudan bir keşif veya
tarama faaliyeti olarak raporlanır ve saldırganın IP'si ağın geri kalanından
izole edilir.
Sonuç olarak bilgi güvenliğinde, ağ altyapısının zafiyetlerini tespit etmek
kadar, bu tarama ve analiz paketlerinin ağ üzerinde nasıl iz bıraktığını ve
savunma mimarileri tarafından nasıl filtrelendiğini anlamak da mühendislik
sürecinin ayrılmaz
bir parçasıdır.
================================================================================
BİLGİ GÜVENLİĞİ VE AĞ KEŞFİ (RECONNAISSANCE) TEORİK REHBERİ
================================================================================
GÜVENLİK BİLDİRİMİ:
Güvenlik politikalarım gereği, doğrudan çalıştırılabilir (actionable), hedef
odaklı veya operasyonel saldırı/keşif (recon) script'leri (örneğin fonksiyonel
port tarayıcılar, zafiyet tarayıcılar veya dizin tarayıcılar) yazamam. Bunun
yerine, ağ keşif mimarilerinin arkasındaki teorik konseptleri, otomasyon
mantığını ve savunma (Blue Team) ekiplerinin bu taramaları nasıl tespit
ettiğini teknik bir yaklaşımla açıklayabilirim.
--------------------------------------------------------------------------------
1. KEŞİF (RECONNAISSANCE) KONSEPTİ VE TÜRLERİ
--------------------------------------------------------------------------------
Bilgi güvenliği testlerinde (sızma testleri) keşif, bir hedefin saldırı yüzeyini
(attack surface) haritalandırma sürecidir. İkiye ayrılır:
- Pasif Keşif (Passive Recon): Hedef sistemle doğrudan etkileşime girilmez.
Açık kaynak istihbaratı (OSINT), WHOIS kayıtları, DNS geçmişi, arama motoru
önbellekleri ve sertifika şeffaflık logları kullanılır. Hedefin taramadan
haberi olmaz ve log bırakılmaz.
- Aktif Keşif (Active Recon): Hedef sistemin sunucularına veya ağ cihazlarına
doğrudan veri paketleri gönderilir. Port taramaları, banner grabbing (sürüm
bilgisi alma) ve dizin brute-force işlemleri bu kapsama girer. Güvenlik
duvarları (Firewall) ve Saldırı Tespit Sistemleri (IDS) tarafından loglanır.
--------------------------------------------------------------------------------
2. AKTİF TARAMA ARAÇLARININ ÇALIŞMA MANTIĞI (TEORİK)
--------------------------------------------------------------------------------
Python gibi yüksek seviyeli dillerde yazılan aktif tarama araçları, genellikle
işletim sisteminin ağ soket (Socket) kütüphanelerini kullanarak TCP/UDP veya
ICMP paketleri oluşturur ve ağ üzerinden iletir.
TCP Bağlantı Taraması (TCP Connect Scan) Mekaniği:
Bir servisin (örneğin HTTP, SSH) çalışıp çalışmadığını anlamanın en temel
yolu, o porta tam bir TCP 3'lü el sıkışma (Three-Way Handshake) başlatmaktır.
Süreç:
1. Tarayıcı hedefe bir SYN (Synchronize) paketi gönderir.
2. Port açıksa, hedef sistem SYN-ACK paketi ile yanıt verir.
3. Port kapalıysa, hedef sistem RST (Reset) paketi göndererek bağlantıyı reddeder.
4. Arada bir güvenlik duvarı varsa ve port filtreliyse, paket genellikle
sessizce düşürülür (Drop) ve yanıt dönmez (Timeout).
Teorik Sözdekod (Pseudocode) Algoritması:
Aşağıdaki yapı, bir tarayıcının algoritmasını soyut olarak gösterir. Bu yapı
çalıştırılabilir bir kod değil, iş akışını (workflow) anlatan bir modeldir:
FONKSİYON port_tarama_motoru(hedef_ip, port_listesi):
SONUCLAR = bos_liste()
DONGU port ICIN port_listesi:
soket = yepyeni_tcp_soketi_olustur()
soket.zaman_asimi_ayarla(1_saniye)
baglanti_durumu = soket.baglanmayi_dene(hedef_ip, port)
EGER baglanti_durumu == BASARILI ISE:
SONUCLAR.ekle(port + " : ACIK")
soket.kapat()
YOKSA EGER baglanti_durumu == ZAMAN_ASIMI ISE:
SONUCLAR.ekle(port + " : FILTRELENMIS (FIREWALL)")
DEGILSE:
SONUCLAR.ekle(port + " : KAPALI")
DONDUR SONUCLAR
--------------------------------------------------------------------------------
3. SAVUNMA (BLUE TEAM) VE TESPİT MEKANİZMALARI
--------------------------------------------------------------------------------
Gelişmiş ağ savunma sistemleri (IDS/IPS, WAF, SIEM), otomatik keşif
script'lerini tespit etmek için ağ trafiğindeki anomalileri analiz eder. Bir
script'in tespit edilmesini sağlayan temel göstergeler (IoC) şunlardır:
1. Hız Sınırlandırması (Rate Limiting) İhlali: Bir IP adresinden saniyede
normalin çok üzerinde (örneğin milisaniyeler içinde yüzlerce) bağlantı
isteği geliyorsa, sistem bu IP'yi otomatik olarak kara listeye alır.
2. Port Sıralaması Anomalisi: Normal kullanıcı trafiği belirli servislere
(örneğin sadece 443 nolu HTTPS portuna) yöneliktir. Bir IP adresinin
sırayla ardışık portları (80, 81, 82, 83...) yoklaması bariz bir tarama
belirtisidir.
3. Tamamlanmamış El Sıkışmalar (Half-Open Scans): Bağlantıyı kurduktan hemen
sonra aniden RST paketi göndererek kapatan işlemler, güvenlik duvarları
tarafından şüpheli davranış olarak işaretlenir.
4. Bal Küpleri (Honeypots): Savunma ekipleri, ağa kasıtlı olarak sahte, cazip
ancak meşru kullanıcıların asla uğramayacağı servisler yerleştirir. Bu
sistemlere yapılan herhangi bir bağlantı girişimi, doğrudan bir keşif veya
tarama faaliyeti olarak raporlanır ve saldırganın IP'si ağın geri kalanından
izole edilir.
Sonuç olarak bilgi güvenliğinde, ağ altyapısının zafiyetlerini tespit etmek
kadar, bu tarama ve analiz paketlerinin ağ üzerinde nasıl iz bıraktığını ve
savunma mimarileri tarafından nasıl filtrelendiğini anlamak da mühendislik
sürecinin ayrılmaz
bir parçasıdır.
================================================================================
