Siber güvenlik denildiğinde çoğumuzun aklına, karanlık bir odada oturarak sistemlere saldırı düzenleyen bir hacker canlanıyor. Filmler ve popüler kültür, bu imajı o kadar kuvvetle yerleştirdi ki, gerçek dünyada da siber tehditlerin tamamen saldırı odaklı ilerlediğini düşünüyoruz.
Oysa gerçek şu ki: Birçok siber güvenlik süreci, saldırıdan çok keşifle başlıyor. Yani sistemlere dair mümkün olduğunca çok bilgi toplanmasıyla. Bu adım, ne bir hırsızlık ne de yasa dışı bir eylem olarak görülmeli. Aksine, bir sistemin savunmasını güçlendirmenin ilk ve en kritik adımıdır.
Yeni Bir Şehre Taşınır gibi: Bilgi Toplama Süreci
Diyelim ki daha önce hiç gitmediğiniz bir şehre yerleşiyorsunuz. Burada ev kiralamadan önce neler yaparsınız?
- Komşu mahalleleri gezer, güvenlik durumunu değerlendirirsiniz.
- Ana yolları, trafik yoğunluğunu ve ulaşım seçeneklerini incelersiniz.
- Yakınlardaki hastaneleri, okulları ve acil durum noktalarını belirlersiniz.
- Güvenlik kameralarının yoğunluklu olduğu bölgeleri tespit edersiniz.
Hiç kimse buna "şehre zorla girmek" demez. Sadece o şehrin yapısını, olanaklarını ve risklerini anlamaya çalışıyorsunuzdur. Siber güvenlikte de durum aynıdır.
Keşif: Sistemin Haritasını Çıkarmak
Bir şirketin güvenlik durumunu değerlendirmek üzere görevlendirildiğinizi düşünün. İlk adım olarak ne yapardınız?
- Şirketin sahip olduğu tüm dijital varlıkları (websiteleri, API’leri, veritabanları) listelemek.
- Hangi sistemlerin internete açık olduğunu belirlemek.
- Kullanılan yazılım ve donanımları tespit etmek.
- Dışa açık API uç noktalarını ve servisleri incelemek.
Bu süreç, varlık keşfi (asset discovery) olarak adlandırılır. Bir sistemin savunmasını planlamadan önce, onu tanımak ve anlamak gerekir. Korunacak bir şey varsa, önce onu görmek gerekir.
Tehdit Modellemesi: Sıra Sıcak Noktaları Belirlemek
Varlık keşfi tamamlandıktan sonra sıra, olası tehditleri anlamaya gelir. Artık sorular daha spesifik hale geliyor:
- Hangi sistemler en kritik öneme sahip?
- Bu sistemlerin çökmesi durumunda iş sürekliliği nasıl etkilenir?
- Hangi tehdit aktörleri bu sistemlere odaklanabilir?
- Olası saldırı senaryoları neler olabilir?
Bu aşama tehdit modellemesi olarak bilinir. Burada hedef, sistemdeki zayıflıkları bulmak değil, olası riskleri öngörmektir. Tıpkı bir şehrin afet planlaması yaparken deprem, sel veya yangın risklerini değerlendirmesi gibi.
Güvenlik Değerlendirmesinin Temeli: Tüm Alana Bakış
Bir binayı denetlemeye gittiğinizde, sadece ön kapıyı kontrol etmek yeterli olmaz. Arka kapı, pencereler, çatı, bodrum ve kullanılmayan odalar da incelenmelidir. Benzer şekilde, bir güvenlik değerlendirmesi de tüm sistemlerin ve olası giriş noktalarının dikkate alınmasını gerektirir.
Keşif olmadan yapılan bir güvenlik testi, eksik kalmaya mahkumdur. Örneğin:
- Sadece web sitesinin giriş sayfasını test etmek.
- API uç noktalarını gözden kaçırmak.
- Eski, unutulmuş sunucuları ve veritabanlarını ihmal etmek.
- Bulut altyapısının maruz kalan bileşenlerini fark etmemek.
Tüm bunlar, gerçek bir saldırganın izleyebileceği yolları gözden kaçırır. Keşif, bu boşlukları kapatmanın ilk adımıdır.
En Büyük Yanılgı: Keşif Sadece Saldırganların İşidir
Birçok kişi keşifi, siber saldırıların ilk adımı olarak görür. Oysa keşif, savunma yapan ekipler tarafından da yoğun şekilde kullanılır. İyi bir siber güvenlik uzmanı, sadece zayıflıkları bulmakla kalmaz; aynı zamanda sistemin genel yapısını da anlar.
Saldırganlar keşif yapar, çünkü hedeflerini belirlemek isterler. Savunmacılar da keşif yapar, çünkü neyi koruduklarını bilmek zorundadırlar. Danışmanlar, denetçiler ve kurum içi güvenlik ekipleri de aynı şekilde hareket eder.
Sonuç: Doğru Soruları Sormak
En yetkin siber güvenlik uzmanları, en fazla exploit bilenler değil; en iyi soruları soranlardır. Ve bu soruların çoğu şu basit cümleyle başlar:
"Bakmamız gereken şey nedir?"
Keşif, sadece bilgi toplamakla ilgili değildir. Aynı zamanda bilinçli kararlar almanın ve sistemleri gerçekten korumanın temelidir. Önce sistemi tanımak, sonra onu savunmak gerekir.
Yarın saldırıya uğramamak için bugün keşif yapmak, siber güvenliğin en güçlü silahlarından biri haline gelir.
Yapay zeka özeti
Siber güvenlikte keşif adımı, sistemleri tanımak ve savunmak için ilk adımdır. Varlık keşfi ve tehdit modellemesiyle nasıl başlanır? Detaylar burada.
